LGPD e vazamento de dados: seus direitos como titular

Quando uma conta é invadida e informações pessoais acabam expostas ou usadas indevidamente, muita gente pensa apenas na perda do perfil. O problema, porém, é maior: nome, CPF, endereço, fotos, conversas e outros dados podem alimentar golpes, fraudes bancárias e até a abertura de contas em nome da vítima. É nesse ponto que entra a Lei Geral de Proteção de Dados.

A LGPD (Lei nº 13.709/2018) criou um conjunto de direitos para o titular dos dados, ou seja, para a pessoa a quem os dados se referem. Saber como acioná-los muda a forma de lidar com um vazamento e amplia as ferramentas jurídicas disponíveis.

Seus direitos como titular de dados

A lei reúne no art. 18 os principais direitos do titular. Entre eles estão a confirmação da existência de tratamento e o acesso aos dados; a correção de informações incompletas, inexatas ou desatualizadas; a anonimização, o bloqueio ou a eliminação de dados desnecessários ou excessivos; a portabilidade; a informação sobre as entidades com quem os dados foram compartilhados; e a revisão de decisões tomadas unicamente com base em tratamento automatizado.

Também é possível se opor a tratamentos que não observem a lei e solicitar a eliminação de dados tratados com base no consentimento, quando aplicável. Esses pedidos devem ser dirigidos ao controlador, isto é, à empresa que decide sobre o tratamento dos dados.

O que a empresa deve fazer em caso de incidente

Quando ocorre um incidente de segurança que possa acarretar risco ou dano relevante aos titulares, o art. 48 da LGPD exige que o controlador comunique o fato à Autoridade Nacional de Proteção de Dados (ANPD) e aos titulares afetados. A forma, o conteúdo e o prazo dessa comunicação são definidos em regulamentação própria da ANPD.

A norma também impõe o dever de adotar medidas de segurança técnicas e administrativas capazes de proteger os dados (art. 46). Quando esse cuidado falha, configura-se o tratamento irregular previsto no art. 44, o que abre espaço para a responsabilização dos agentes de tratamento.

Reparação por dano decorrente de tratamento de dados

O art. 42 da LGPD prevê que o controlador ou o operador que causar dano patrimonial, moral, individual ou coletivo, em virtude de tratamento realizado em desacordo com a lei, é obrigado a repará-lo. O art. 43 traz hipóteses em que essa responsabilidade pode ser afastada, como quando a empresa comprova que não realizou o tratamento, que não houve violação à legislação ou que o dano decorreu de culpa exclusiva do titular ou de terceiro.

É importante ter prudência quanto ao dano moral. A reparação depende da demonstração do dano ou de uma violação relevante, e o Superior Tribunal de Justiça analisa cada situação de forma concreta, considerando a natureza dos dados expostos e as consequências efetivas. Não existe um valor automático, e a mera alegação de vazamento, por si só, nem sempre é suficiente.

Além da reparação, a ANPD pode aplicar sanções administrativas previstas no art. 52, como advertência, multa e publicização da infração. Essas medidas não substituem a indenização individual, mas reforçam o dever de cuidado das empresas.

O que fazer passo a passo

Diante de um vazamento, organize a resposta em etapas claras:

• Solicite formalmente à plataforma informações sobre o incidente, os dados afetados e as medidas adotadas, guardando o protocolo.
• Preserve as provas do vazamento: e-mails, notificações, prints, links e publicações que revelem a exposição.
• Reúna indícios dos danos decorrentes, como tentativas de golpe com seu nome, abertura indevida de cadastros ou prejuízos financeiros.
• Registre Boletim de Ocorrência se houver uso indevido dos dados, por exemplo em fraudes com o seu CPF.
• Reúna provas de que você não deu causa ao vazamento e de que a empresa era responsável pela guarda dos dados.

Depois, acione os canais apropriados:

• Registre reclamação na plataforma e, se o caso envolver relação de consumo, no consumidor.gov.br e no Procon.
• Avalie, com orientação jurídica, a conveniência de uma petição à ANPD relatando o incidente.
• Se houver prejuízo relevante, considere a notificação extrajudicial e, persistindo a omissão, a ação judicial.

Prazos reais que você deve observar

A LGPD determina a comunicação do incidente em prazo razoável, na forma estabelecida pela ANPD em regulamento próprio. Como o relógio começa a correr a partir do conhecimento do fato pela empresa, demora injustificada na comunicação pode, por si só, agravar a responsabilidade do controlador.

Para buscar a indenização, o Código Civil fixa em 3 anos, em regra, o prazo para a reparação civil (art. 206, § 3º, V). E, como a LGPD remete ao dever de guarda de registros, vale lembrar que o Marco Civil prevê a conservação de registros de acesso às aplicações por 6 meses (art. 15), o que reforça a urgência de reunir provas.

Erros comuns que enfraquecem o caso

• Não formalizar o pedido de informações e contentar-se com respostas genéricas do suporte.
• Apagar e-mails e mensagens que comprovam o vazamento ou a comunicação tardia.
• Atribuir o vazamento a si mesmo sem provas, o que favorece a tese de culpa exclusiva do titular.
• Exigir indenização sem demonstrar qualquer dano concreto, o que enfraquece o pedido.
• Confundir a atuação da ANPD, que aplica sanções administrativas, com o pedido individual de indenização.

Quando procurar um advogado

Se os seus dados foram expostos após uma invasão de conta e existe risco concreto de fraude, ou se a empresa não prestou informações claras sobre o incidente, a análise jurídica ajuda a definir a estratégia. Em muitos casos, o caminho passa por uma notificação formal e, conforme a gravidade, por uma ação buscando a reparação dos danos e obrigações relacionadas ao tratamento dos dados.

A Ghisio Advocacia atende presencialmente em Santa Maria, no Rio Grande do Sul, e também de forma online para clientes de todo o Brasil. Fale conosco pelo WhatsApp ou acesse a página de Direito Digital.

Conclusão

A LGPD transformou dados pessoais em um bem juridicamente protegido e deu ao titular instrumentos concretos de defesa. Em um vazamento, reunir provas, cobrar explicações e, quando necessário, buscar a reparação faz toda a diferença. Conhecer os próprios direitos é o primeiro passo para não ficar indefeso diante de uma empresa que falhou na proteção das suas informações.