Vazou Dado de Cliente: O Que Fazer e Pelo Que a Empresa Responde
Poucos pesadelos de uma empresa de tecnologia se comparam à descoberta de que dados de clientes vazaram. No primeiro momento, vem o pânico: o que fazer agora, com quem falar, pelo que a empresa vai responder. As decisões das primeiras horas, e a forma como o incidente é conduzido, fazem enorme diferença no tamanho do estrago, jurídico e reputacional. Saber como reagir, antes de precisar, é parte de proteger o negócio.
Este texto é para a empresa de tecnologia que sofreu um vazamento, ou quer estar preparada para a hipótese. Não é um manual técnico de segurança da informação, é um guia jurídico do que fazer, do que a empresa deve comunicar e pelo que ela responde.
A regra de ouro é que vazamento mal conduzido é muito pior do que vazamento bem conduzido. A diferença está na preparação e na reação.
O que fazer nas primeiras horas
Diante de um vazamento, as primeiras horas são decisivas, e a reação precisa ser organizada, não desesperada. O foco inicial é conter o incidente, entender o que aconteceu e registrar tudo. Conter significa estancar a falha que permitiu o vazamento. Entender significa identificar quais dados foram afetados, de quantas pessoas e qual a gravidade. Registrar significa documentar cada passo, o que será essencial depois.
Esse trabalho inicial, feito com método, é o que permite tomar as decisões seguintes com base em fatos, e não em pânico. Reagir no susto, sem entender a dimensão do incidente, costuma levar a erros que agravam a situação. A empresa preparada tem um plano de resposta a incidentes; a despreparada improvisa no pior momento, e o improviso cobra caro.
As obrigações da empresa
A LGPD impõe deveres específicos diante de um incidente de segurança que possa gerar risco aos titulares. Em determinadas situações, a empresa precisa comunicar a autoridade nacional de proteção de dados e os próprios titulares afetados, dentro de prazos e com informações sobre o ocorrido e as medidas adotadas. Avaliar se e como essa comunicação deve ser feita é uma das decisões jurídicas mais importantes do incidente.
Essa avaliação exige cuidado, porque tanto comunicar de forma errada quanto deixar de comunicar quando se deveria geram problemas. É um terreno em que a orientação técnica é essencial, e em que a empresa que já tem sua conformidade com a LGPD organizada, tema da página sobre LGPD para empresas de tecnologia, reage com muito mais segurança.
Pelo que a empresa responde
A grande pergunta financeira é: pelo que a empresa responde em um vazamento? A LGPD prevê a responsabilidade por danos causados pelo tratamento inadequado de dados, e os titulares afetados podem buscar reparação. A empresa pode ainda sofrer sanções da autoridade de proteção de dados. O tamanho dessa responsabilidade depende muito das circunstâncias e, principalmente, das medidas de segurança que a empresa havia adotado.
Aqui está o ponto central: a empresa que demonstra ter adotado medidas de segurança adequadas e ter reagido corretamente ao incidente está em posição muito melhor do que a que foi negligente. A responsabilidade não é automática nem ilimitada; ela é fortemente influenciada pela diligência da empresa antes e depois do vazamento. Prevenção e boa resposta reduzem a exposição.
Jurídico no ritmo da tecnologia
Vazamento de dados é o tipo de crise em que cada hora conta e a improvisação custa caro. Pelo PRETOR, o modelo de acompanhamento jurídico contínuo da Farah & Laurindo, a empresa de tecnologia mantém um plano de resposta a incidentes e a conformidade com a LGPD em dia, de modo a reagir com método, e não no pânico, quando o pior acontece.
Quem se prepara para o incidente o enfrenta de pé; quem improvisa, paga em dobro.
O incidente bem conduzido reduz o estrago
Vale insistir nisso, porque é o que mais importa na prática: a forma como o incidente é conduzido afeta diretamente o seu desfecho. Uma empresa que contém rápido, avalia corretamente, cumpre suas obrigações de comunicação e demonstra diligência tende a sofrer consequências menores, tanto na esfera regulatória quanto nas ações de titulares e na reputação.
- Conter o incidente e estancar a falha o mais rápido possível.
- Avaliar com precisão o que vazou e qual o risco aos titulares.
- Cumprir as obrigações de comunicação quando cabíveis, da forma correta.
- Documentar tudo, demonstrando a diligência da empresa antes e depois.
Cada um desses passos, bem executado, reduz o estrago. A diferença entre uma empresa que sai de um vazamento com a reputação arranhada mas de pé, e outra que sofre consequências devastadoras, costuma estar menos no incidente em si e mais em como ele foi enfrentado.
Prevenir vale mais
Como em quase tudo, prevenir vale mais do que remediar. A combinação de boas medidas de segurança da informação com uma conformidade sólida à LGPD reduz tanto a chance do vazamento quanto a responsabilidade da empresa caso ele ocorra. Investir em segurança e em conformidade não é custo, é a apólice que mais protege uma empresa de tecnologia contra esse pesadelo.
A empresa que trata dados com responsabilidade, que tem segurança proporcional ao risco e um plano de resposta a incidentes, não fica imune a vazamentos, mas fica muito mais protegida. E demonstra, se o pior acontecer, que agiu com a diligência que a lei espera. Proteger os dados dos clientes é, no fim, proteger a própria empresa.
O olhar do advogado
Quando uma empresa de tecnologia me liga em pânico por causa de um vazamento, a primeira coisa que faço é tirar o caso do desespero e colocá-lo no método. Conter, avaliar, decidir sobre as comunicações, documentar. As decisões das primeiras horas, tomadas com cabeça fria e orientação técnica, definem boa parte do desfecho. Improviso, nessa hora, é o que mais agrava.
O que mais determina o tamanho do estrago, porém, é o que veio antes: a empresa tinha medidas de segurança e conformidade, ou não? A responsabilidade num vazamento é fortemente influenciada pela diligência da empresa. Por isso insisto na preparação. Já vi empresas atravessarem vazamentos com a reputação preservada porque estavam prontas, e outras sofrerem demais por negligência anterior. Proteger empresa de tecnologia é prepará-la para o dia que ninguém quer.
Rodrigo Kfouri Laurindo, sócio fundador da Farah & Laurindo Sociedade de Advogados, atua na proteção jurídica de empresas de tecnologia, em LGPD, resposta a incidentes e direito digital.
Perguntas frequentes
Vazaram dados dos meus clientes, o que faço primeiro?
Conter o incidente, entender o que aconteceu e registrar tudo. Conter é estancar a falha; entender é identificar quais dados foram afetados e a gravidade; registrar é documentar cada passo. Essas primeiras horas, conduzidas com método e orientação técnica, definem boa parte do desfecho.
Preciso comunicar a ANPD e os clientes?
Em determinadas situações, sim. A LGPD prevê que, diante de incidente que possa gerar risco aos titulares, a empresa comunique a autoridade de proteção de dados e os afetados, em prazos e com informações específicas. Avaliar se e como comunicar é uma das decisões jurídicas mais importantes do incidente.
A empresa responde pelo vazamento?
Pode responder por danos causados pelo tratamento inadequado de dados, e sofrer sanções da autoridade. Mas a responsabilidade não é automática nem ilimitada: ela é fortemente influenciada pelas medidas de segurança adotadas e pela forma como a empresa reagiu. Diligência reduz a exposição.
E se o vazamento foi causado por um hacker?
O fato de haver um ataque externo é relevante, mas não afasta automaticamente a responsabilidade. O que mais pesa é se a empresa adotou medidas de segurança adequadas e reagiu corretamente. Demonstrar diligência antes e depois do incidente é o que melhora a posição da empresa.
Como reduzir o impacto de um vazamento?
Contendo rápido, avaliando com precisão o que vazou, cumprindo as obrigações de comunicação quando cabíveis e documentando a diligência da empresa. Um incidente bem conduzido tende a ter consequências menores na esfera regulatória, nas ações de titulares e na reputação.
Como prevenir vazamentos?
Com boas medidas de segurança da informação, proporcionais ao risco, somadas a uma conformidade sólida com a LGPD e a um plano de resposta a incidentes. Essa combinação reduz tanto a chance do vazamento quanto a responsabilidade caso ele ocorra. Prevenir é a melhor proteção.