Vazamento de dados é qualquer situação em que dado pessoal sai do controle de quem o guarda e chega a quem não deveria. Não precisa de hacker. Uma planilha com link aberto, um celular perdido sem bloqueio, um e-mail mandado para a lista errada, um ex-funcionário que levou os contatos. A LGPD, Lei 13.709/2018, chama isso de incidente de segurança.
No negócio pequeno, o vazamento típico é banal e barato de evitar. Ele custa caro depois: cliente que recebe golpe com o nome da sua loja, reputação, e o dever legal de comunicar a ANPD e os titulares quando há risco ou dano relevante.
Como o vazamento acontece no negócio pequeno?
Nos diagnósticos que a gente faz, as causas se repetem:
- Senha igual em tudo, e o e-mail da empresa cai junto quando um site qualquer é invadido.
- Planilha de clientes no Drive compartilhada com "qualquer pessoa com o link".
- WhatsApp da empresa no celular pessoal do vendedor, sem bloqueio de tela.
- Backup do site guardado em pendrive na gaveta.
- Golpe de phishing: um e-mail falso "do banco" que pega a senha do gerente.
- Site desatualizado com uma brecha conhecida.
O que é considerado vazamento e o que não é?
Vazou quando alguém de fora teve acesso, ou quando o dado ficou exposto por tempo suficiente para isso. Planilha pública por três meses deve ser tratada como vazamento mesmo que ninguém tenha aberto, porque você não consegue provar o contrário.
Não é vazamento o dado que a empresa compartilha com quem tem motivo: a transportadora recebe o endereço, o contador recebe a folha. Isso é tratamento por operador e está previsto na lei, desde que exista contrato ou combinação clara.
Uma ótica que manda um e-mail de promoção com 300 clientes em cópia visível mostra o e-mail de todos para todos. É vazamento, pequeno, mas é. A correção é usar cópia oculta ou uma ferramenta de envio.
O que fazer agora
Feche os pontos da lista acima nesta semana: senha única com gerenciador, verificação em duas etapas no e-mail, link do Drive restrito, bloqueio nos celulares, site atualizado. Se acontecer, o roteiro está em https://avilaops.com/guias/vazamento-o-que-fazer-nas-primeiras-24-horas/. Diagnóstico do que está exposto, em uma conversa: https://avilaops.com/contato/ ou chame no WhatsApp: https://wa.me/5517997811471.
Perguntas frequentes
Vazamento pequeno precisa ser comunicado à ANPD? A lei manda comunicar incidentes que possam causar risco ou dano relevante aos titulares. E-mail com 300 endereços visíveis costuma ficar abaixo disso, mas registre internamente. Senha, dado bancário, de saúde ou de criança estão entre os critérios da ANPD (Resolução CD/ANPD nº 15/2024): se o incidente pode afetar o titular de forma significativa, comunique.
Celular da empresa roubado é vazamento? Se estava sem bloqueio ou com WhatsApp aberto, sim. Com bloqueio de tela e possibilidade de apagar à distância, o risco cai muito. Configure isso hoje.
Quem responde pelo vazamento causado por uma plataforma que eu uso? A plataforma responde como operadora, mas a sua empresa, como controladora, responde perante o cliente. Por isso o contrato com o fornecedor importa. Entenda o que é dado pessoal em https://avilaops.com/guias/o-que-e-dado-pessoal-na-pratica/.
