Denúncia de vazamento de dados LGPD: como apurar passo a passo

Um analista manda para o WhatsApp pessoal uma planilha com o CPF de quatro mil clientes. Um ex-colaborador segue com acesso ao sistema interno três meses depois do desligamento. As duas situações caem na mesma categoria do canal de denúncias e podem virar um incidente com dados pessoais sob a LGPD. Veja o que caracteriza uma denúncia de vazamento de dados, como apurar e quais prazos adotar.

Conteúdo informativo; não substitui orientação jurídica. Envolva o jurídico e o encarregado de dados da empresa.

O que caracteriza uma denúncia de vazamento de dados

Vazamento de dados é o acesso, uso, compartilhamento ou exposição de informação protegida fora do que a regra e a finalidade permitem — não apenas o "hacker invadindo o servidor". Boa parte dos casos que chegam a um canal interno não envolve invasão nenhuma: nasce de quem tem acesso legítimo e o usa fora da finalidade.

No canal de denúncias da Safio, quem relata classifica o caso em uma de oito categorias. A de Vazamento de Dados e Segurança da Informação aparece ao denunciante com esta descrição: "Uso indevido de dados (quebra da LGPD), roubo de propriedade intelectual ou compartilhamento de senhas sigilosas". São três frentes distintas: a primeira aciona a LGPD, a segunda protege o patrimônio informacional da empresa e a terceira é uma falha de controle que costuma abrir caminho para as outras duas.

Exemplos práticos que caem nessa categoria

• Uso indevido de dados pessoais: planilha com CPF ou informação de saúde enviada para e-mail pessoal; consulta ao cadastro de um cliente por curiosidade; lista de colaboradores repassada a fornecedor sem base legal.
• Roubo de propriedade intelectual: cópia de código-fonte, projeto, fórmula ou carteira de clientes às vésperas de um desligamento.
• Compartilhamento de senhas sigilosas: login coletivo, senha em planilha compartilhada, acesso mantido para ex-colaborador, chave de integração exposta.
• Exposição por descuido: relatório publicado em link sem autenticação ou e-mail com centenas de destinatários em cópia aberta.

A fronteira com as outras categorias

Dois testes resolvem a classificação. Houve vantagem financeira indevida, como venda da base? O caso migra para Fraude e Corrupção. Foi descumprimento de norma interna sem dado protegido envolvido? É Violação de Políticas Internas. O caso de fronteira mais comum é a credencial compartilhada, que aparece nas duas categorias: o que decide é o dado que está atrás do acesso. Reclassificar na triagem é normal, desde que a mudança e o motivo fiquem registrados no caso.

O que a LGPD acrescenta à apuração

É nessa categoria que a apuração interna esbarra com mais frequência em uma obrigação externa de comunicar. A LGPD determina que o controlador comunique à ANPD e aos titulares os incidentes de segurança que possam acarretar risco ou dano relevante, em prazo curto contado do conhecimento do fato — e não do fim da investigação. Na prática, o relógio começa no dia em que a denúncia é lida, muito antes de haver conclusão. Daí duas consequências para o rito: o encarregado (DPO) entra na triagem, não na conclusão, e contenção e investigação correm em paralelo. Vale o inverso também: senha compartilhada sem acesso indevido comprovado é falha de controle a corrigir, não incidente consumado a comunicar.

Como apurar uma denúncia de vazamento de dados passo a passo

Apurar é reunir elementos para concluir, com imparcialidade e sigilo, o que foi exposto, por qual caminho e o que precisa mudar. São quatro etapas, cada uma ligada a um status no painel.

1. Recebimento com protocolo anônimo

O relato entra por uma página pública da empresa, sem login, com um código de 6 caracteres na URL. Quem denuncia escolhe a categoria, descreve o ocorrido — o formulário pede o que ocorreu, quando, onde e quem esteve envolvido, com no mínimo 20 caracteres — e decide se quer se identificar: nome, e-mail e telefone são opcionais. Depois cria uma senha de acompanhamento (mínimo de 6 caracteres) e recebe um protocolo no formato DEN-XXXXXX. Protocolo e senha juntos são a única forma de voltar ao caso, e a senha não pode ser recuperada nem pela empresa.

Do lado da empresa chegam um e-mail e uma notificação no sistema sem o conteúdo do relato: o e-mail traz protocolo, categoria e se a manifestação é anônima ou identificada; a notificação no painel, apenas o protocolo e a empresa. O caso entra como Nova e é marcado como lido quando alguém o abre — registro útil justamente para demonstrar quando a empresa tomou conhecimento do fato.

2. Triagem

Mova o caso para Em análise e responda quatro perguntas antes de investigar qualquer pessoa:

• Que dado está envolvido? Dado pessoal, dado sensível (saúde, biometria), segredo de negócio ou credencial — é o que define se há dever de comunicação.
• A exposição continua em curso? Se o link ainda está no ar ou o acesso segue ativo, contenção primeiro.
• Qual a escala? Um registro consultado por curiosidade e uma base de milhares de titulares exigem ritos diferentes.
• Quem não pode apurar? Nessa categoria o citado costuma ser justamente quem administra o sistema — e teria como apagar os registros da própria conduta.

Relato vago não precisa morrer aqui: a empresa envia uma mensagem no acompanhamento e o denunciante responde pelo protocolo, mesmo anônimo.

3. Investigação

A regra de ouro é preservar antes de perguntar: em dados, isso significa congelar o que se apaga sozinho.

• Colete os registros primeiro: logs de acesso e exportação, histórico de e-mail e de compartilhamento em nuvem, versionamento de repositórios. Muitos têm retenção curta.
• Contenha em paralelo: revogar credenciais, encerrar sessões, derrubar links públicos, trocar chaves expostas. Contenção não é acusação.
• Reconstitua o caminho do dado: o que saiu, por qual via e se houve acesso por terceiros — é o que sustenta a avaliação de risco aos titulares.
• Ouça o citado com direito de defesa e registre as diligências no campo de observação interna do painel, que não é exibido ao denunciante.

4. Conclusão: Procedente ou Improcedente

O painel trabalha com cinco status — Nova, Em análise, Procedente, Improcedente e Concluída. O fechamento é sempre uma decisão registrada:

• Procedente: houve uso, compartilhamento ou exposição indevida. As providências vão além do indivíduo: medida disciplinar proporcional, comunicação a titulares e autoridade quando cabível e correção do controle que falhou — exportação sem registro, offboarding que não revoga acesso.
• Improcedente: o acesso era autorizado e com finalidade legítima, ou faltam elementos. Fundamente — improcedente não pode significar "arquivado sem análise".
• Concluída: caso encerrado depois de verificadas as providências.

Em qualquer desfecho, publique no acompanhamento uma resposta informando o encerramento em termos gerais. Toda mudança de status avisa quem informou e-mail, sem revelar identidade.

Prazos recomendados por etapa

A Lei 14.457/2022 exige procedimentos de apuração, mas não fixa prazos. Defina os seus — nesta categoria a régua é apertada.

Etapa	Status no painel	Prazo recomendado
Leitura e aviso de recebimento	Nova	Até 1 dia útil
Contenção da exposição em curso	Nova → Em análise	Até 24 horas
Triagem e acionamento do encarregado (DPO)	Em análise	Até 2 dias úteis
Avaliação de risco e comunicação a titulares e autoridade	Em análise	Prazo regulamentar, contado da ciência
Investigação de caso simples	Em análise	10 a 20 dias
Caso complexo (vários sistemas ou terceiros)	Em análise	Até 45 dias
Decisão e devolutiva ao denunciante	Procedente / Improcedente	Até 10 dias após a última diligência
Verificação da correção e da não retaliação	Concluída	30, 60 e 90 dias

Proteção ao denunciante e não retaliação

Aqui há um agravante: quem percebe o vazamento costuma ser de TI ou da equipe que manuseia a base — e, muitas vezes, é subordinado de quem está sendo denunciado.

• Anonimato de verdade: identificação opcional e acompanhamento por protocolo e senha, sem login e sem vínculo com o cadastro de nenhum colaborador.
• Confidencialidade de quem se identifica: o e-mail informado serve para avisar de atualizações; a identidade fica restrita a quem apura.
• Não confunda mensageiro com autor. Investigar quem relatou, e não o fato, mata o canal.
• Política de não retaliação por escrito, com sanção para quem retaliar, inclusive gestores e lideranças técnicas.
• Monitoramento pós-caso em 30, 60 e 90 dias: revogação de acessos "por precaução", mudança de escopo ou isolamento merecem revisão.
• Boa-fé protegida: relato não confirmado feito de boa-fé não gera punição.

Erros comuns na apuração

• Avisar o investigado antes de preservar o log. Registro de exportação apagado não volta.
• Tratar como problema só de TI. Comunicar titulares, aplicar sanção e corrigir processo são decisões da empresa.
• Esperar a conclusão para conter: enquanto o link está no ar, o dano cresce.
• Parar na pessoa. Se o sistema exporta a base inteira sem registro, o próximo fará igual.
• Circular a evidência em grupo de mensagens. Investigar um vazamento criando outro é o desfecho mais constrangedor possível.
• Fechar como Improcedente sem fundamentar ou deixar o caso parado em "Nova" por semanas — dois sinais clássicos de canal decorativo.

Da denúncia isolada ao ciclo de gestão

Vazamento por descuido raramente é desleixo isolado: costuma nascer de ritmo excessivo, ferramentas inadequadas e regras impossíveis de cumprir na rotina — fatores que a NR-1 manda gerenciar. Na Safio, o canal (a partir do plano Growth) e o diagnóstico COPSOQ II vivem na mesma plataforma: 41 itens em 23 dimensões, escala de 0 a 100 e faixas 0-33, 34-66 e 67-100, com resultados por setor apenas a partir de 5 respondentes (k-anonimato) — o mesmo cuidado com o anonimato que sustenta o canal. Dimensões como ritmo de trabalho e exigências quantitativas acendem antes da primeira denúncia, e as Pesquisas de Pulso (planos Growth e Enterprise, liberadas no teste grátis) mantêm a escuta entre os ciclos. O que se decide vira plano de ação no PDCA e é registrado nos seis documentos T01 a T06, assinados digitalmente pelo responsável técnico e guardados por 20 anos.

Para entender a obrigação legal por trás do canal, leia nosso guia sobre o canal de denúncias e a Lei 14.457/2022. E se você quer receber, apurar e concluir denúncias com protocolo anônimo, sigilo e histórico auditável, crie sua conta na Safio e ative o canal da sua empresa.