Quando vaza, quem responde? O que a LGPD exige que sua empresa prove

Um dado pessoal de cliente vaza pelo e-mail da sua empresa. Pode ter sido um anexo enviado para o destinatário errado, uma conta comprometida, um encaminhamento indevido. O cliente percebe e liga. A pergunta que ele faz é simples: o que exatamente aconteceu, quando, e quem teve acesso?

Se a resposta do seu time for “vou levantar e te aviso”, a empresa já perdeu. Não a discussão técnica. A confiança. E, dependendo do tamanho do vazamento, a chance de demonstrar conformidade com a Lei Geral de Proteção de Dados Pessoais antes que a ANPD (Autoridade Nacional de Proteção de Dados) bata na porta.

Escrevo isso porque esse cenário não é hipotético. Já vi acontecer mais de uma vez com empresas que operavam com ferramentas respeitáveis, equipes competentes e, ainda assim, sem capacidade de reconstituir o que ocorreu com a granularidade que a situação exige. A ausência de evidência não é inocência perante a lei. É agravante.

Este artigo desenvolve a tese central: a responsabilidade por um vazamento não vaza junto com o dado. Ela fica com a empresa. A única pergunta relevante é se a empresa conseguirá mostrar o que fez antes, durante e depois do incidente.

O que a LGPD realmente exige de você

A LGPD, em vigor desde setembro de 2020, não demanda perfeição operacional. Nenhuma legislação séria de proteção de dados faz isso. O que ela exige é que o controlador de dados (na prática, a empresa que decide para que os dados serão usados) adote medidas técnicas e administrativas aptas a proteger os dados pessoais de acessos não autorizados e de situações acidentais ou ilícitas.

A palavra central é “aptas”. Isso implica demonstração. Não intenção.

Quando um incidente ocorre, a ANPD pode requisitar à empresa que comprove quais controles estavam ativos, qual era a política de acesso vigente, em que momento o vazamento foi detectado e o que foi feito nas 72 horas seguintes. Setenta e duas horas é o prazo de referência adotado internacionalmente, inclusive pelo GDPR europeu, que influenciou diretamente a redação brasileira.

Sem documentação estruturada desses eventos, a empresa entra no processo regulatório com narrativa, não com evidência. E narrativa sem evidência, num contexto jurídico-regulatório, equivale a admissão de lacuna de controle.

A LGPD não pede que você seja infalível. Pede que você saiba o que aconteceu e consiga provar.

Por que o e-mail corporativo é o ponto cego mais comum

O e-mail continua sendo o canal de maior superfície de exposição em ambientes corporativos. É por onde contratos são negociados, documentos com CPF e dados financeiros circulam, acessos são compartilhados. E é também o canal que a maioria das empresas monitora com menor profundidade.

A razão é estrutural. Plataformas de e-mail foram concebidas para entregar mensagem com confiabilidade, velocidade e escala. O registro granular de quem fez o quê, com qual anexo, para qual destinatário externo, em que horário exato e a partir de qual dispositivo é uma camada separada. Uma camada que as configurações padrão da maioria dos serviços não ativam por padrão, e que exige retenção de log (registro de eventos) por período compatível com o ciclo de investigação de um incidente.

O que costuma acontecer na prática:

• O log existe, mas tem retenção de 30 dias. O incidente é descoberto no 45º dia.
• O log existe, mas registra o evento no nível do servidor, sem granularidade suficiente para identificar o anexo específico que foi encaminhado.
• O log não cobre acesso via cliente de e-mail de terceiro configurado pelo próprio usuário.
• Não há correlação entre o log de e-mail e o log de autenticação, impossibilitando determinar se a conta estava comprometida no momento do envio.

Cada um desses cenários, individualmente, já é suficiente para inviabilizar a reconstituição do incidente com o nível de detalhe que uma investigação formal exige.

O que uma trilha de auditoria precisa conter

Uma trilha de auditoria (audit trail, no jargão técnico de segurança da informação) capaz de sustentar uma defesa real em caso de incidente precisa registrar, no mínimo:

1. Identidade do usuário que executou a ação (não só o IP, mas o usuário autenticado).
2. Timestamp preciso com fuso horário definido.
3. Natureza da ação (leitura, encaminhamento, download de anexo, acesso externo).
4. Identificação do destinatário ou destino dos dados.
5. Dispositivo e ponto de acesso utilizados.
6. Período de retenção compatível com a janela de investigação regulatória.

Sem esses seis elementos presentes e consultáveis de forma ágil, a empresa não tem trilha. Tem fragmento. E fragmento não sustenta resposta a incidente.

A diferença entre ter controle e conseguir demonstrar que tem

Este é o ponto que mais gera resistência quando converso com gestores. A objeção usual é: “mas nós temos política de segurança, nós treinamos a equipe”. Concordo que isso importa. Só que importa para prevenir. Não para responder.

No dia em que o incidente ocorre, o que conta é a capacidade de reconstrução. Quem acessou o dado do cliente X? Em que momento? O acesso era autorizado pela política vigente? Havia alguma anomalia de comportamento detectável antes do evento? O dado saiu criptografado ou em claro?

São perguntas técnicas com respostas que precisam estar em log, não em memória de colaborador. Colaboradores saem da empresa, lembram de forma seletiva e, em processos regulatórios, não substituem evidência documental.

O que a UNODATA mapeou ao desenvolver o AHSU 360 (AntiHacking System UNODATA, plataforma de monitoramento e resposta a incidentes voltada para o ambiente de e-mail corporativo) é exatamente esse gap: a maioria das empresas que chegam com problema de conformidade não falhou na intenção de proteger dados. Falhou na instrumentação que permitiria provar que a proteção existia. A diferença entre as duas situações, perante a ANPD, é significativa.

O custo de descobrir que não tem trilha no dia que precisa

A ANPD pode aplicar sanções que vão de advertência a multa de até 2% do faturamento bruto da empresa no último exercício, limitada a cinquenta milhões de reais por infração. Isso está no artigo 52 da LGPD. Mas o número formal é só uma parte do custo.

O custo real de um incidente sem trilha de auditoria tem pelo menos três dimensões:

Dimensão regulatória. A empresa não consegue demonstrar conformidade, o que agrava a avaliação da ANPD sobre a intencionalidade ou negligência na proteção dos dados.

Dimensão contratual. Clientes corporativos, especialmente os do segmento enterprise e os que operam em setores regulados (saúde, financeiro, jurídico), incluem cláusulas de proteção de dados em contrato. Um incidente sem capacidade de resposta documentada pode configurar inadimplemento contratual independentemente da sanção regulatória.

Dimensão reputacional. Esta é a mais difícil de quantificar e a mais duradoura. Um cliente que recebe a resposta “vou levantar e te aviso” num momento de crise não esquece. E conta.

Na minha experiência à frente da UNODATA, o ciclo de venda para clientes que já passaram por um incidente sem resolução satisfatória é notavelmente diferente. Eles sabem exatamente o que querem perguntar. E a primeira pergunta nunca é sobre preço.

A instrumentação de segurança adequada não é gasto de TI. É custo de operação de uma empresa que lida com dado de terceiro. Que é, em 2025, toda empresa.

Se o seu ambiente de e-mail corporativo fosse auditado agora, você conseguiria responder, com evidência, o que aconteceu com cada mensagem que continha dado pessoal nos últimos noventa dias?

Perguntas frequentes

O que é trilha de auditoria e por que ela importa para a LGPD?

Trilha de auditoria é o registro cronológico e rastreável de ações realizadas sobre dados em um sistema. Para a LGPD, ela importa porque é o instrumento que permite à empresa demonstrar, com evidência concreta, que adotou medidas de controle e que consegue reconstituir o que ocorreu em caso de incidente. Sem trilha, a empresa não tem defesa técnica, tem declaração.

Plataformas de e-mail comuns como Google Workspace ou Microsoft 365 geram trilha suficiente para conformidade?

Geram logs, mas as configurações padrão frequentemente não atendem aos requisitos de granularidade e retenção que uma investigação de incidente exige. Retenção de 30 dias, ausência de correlação entre log de e-mail e log de autenticação, e falta de registro por anexo específico são lacunas comuns. A conformidade real exige configuração ativa e, em muitos casos, camadas adicionais de monitoramento.

Qual é o prazo para notificar a ANPD em caso de vazamento de dados?

A LGPD determina que o controlador deve comunicar o incidente à ANPD e aos titulares afetados em prazo razoável. A regulamentação da ANPD fixou 3 dias úteis como prazo para comunicação inicial do incidente, contados a partir da ciência do evento. Por isso, a capacidade de detecção rápida é tão crítica quanto a capacidade de resposta.

O que é o AHSU 360 e como ele atua na proteção do e-mail corporativo?

AHSU 360 é o AntiHacking System UNODATA, plataforma desenvolvida para monitoramento e resposta a incidentes no ambiente de e-mail corporativo. Ele atua gerando a camada de trilha de auditoria que as configurações padrão das plataformas de e-mail não entregam, com registro granular de acessos, movimentação de anexos e comportamento de conta, com retenção compatível com ciclos de investigação regulatória.