Vazamento de dados de assinantes: os 3 dias da LGPD

Quem vende acesso VIP acumula, sem perceber, um dos ativos mais delicados que existem: uma planilha que liga nome, telefone ou usuário do Telegram a um pagamento por conteúdo adulto. Um vazamento de dados de assinantes nesse contexto não é um problema de imagem apenas, é um evento com prazo, com formulário e com uma obrigação de registro que dura cinco anos.

Resposta primeiro: se o incidente puder acarretar risco ou dano relevante, o relógio é de três dias úteis, contados do dia em que você soube que dados pessoais foram afetados, e ele vale para avisar tanto a Autoridade Nacional de Proteção de Dados quanto os próprios assinantes.

Este guia percorre o teste que define quando a obrigação nasce, mostra por que a lista de um VIP quase sempre passa nesse teste, desmonta a expectativa do prazo em dobro para pequeno porte, lista campo por campo o que cada comunicação precisa dizer e termina na obrigação silenciosa que sobra mesmo quando não há nada a comunicar.

Vazamento de dados de assinantes: quando a obrigação nasce

Resposta primeiro: nem todo incidente precisa ser comunicado. Só o que "possa acarretar risco ou dano relevante aos titulares", e o regulamento traduz essa expressão em um teste de duas partes.

O ponto de partida é o art. 48 da Lei Geral de Proteção de Dados: "O controlador deverá comunicar à autoridade nacional e ao titular a ocorrência de incidente de segurança que possa acarretar risco ou dano relevante aos titulares." A lei diz que a comunicação será feita "em prazo razoável, conforme definido pela autoridade nacional", e foi a ANPD quem preencheu esse espaço.

O art. 5º do Regulamento aprovado pela Resolução CD/ANPD nº 15, de 24 de abril de 2024 monta o teste assim: o incidente pode acarretar risco ou dano relevante "quando puder afetar significativamente interesses e direitos fundamentais dos titulares e, cumulativamente, envolver, pelo menos, um dos seguintes critérios". Os critérios são seis: dados sensíveis, dados de crianças, adolescentes ou idosos, dados financeiros, dados de autenticação em sistemas, dados protegidos por sigilo legal, judicial ou profissional, e dados em larga escala.

A palavra que decide é cumulativamente. Não basta a lista ser grande, e não basta o dado ser delicado: precisa haver efeito significativo sobre direitos e, junto, um dos seis tipos.

Antes de continuar, dois termos que voltam o tempo todo. Controlador é, pela definição do art. 5º, VI, da LGPD, "pessoa natural ou jurídica, de direito público ou privado, a quem competem as decisões referentes ao tratamento de dados pessoais". Quem escolhe qual bot usar, o que guardar e por quanto tempo é controlador, com ou sem CNPJ. O que essa condição implica no dia a dia, das bases legais aos direitos do titular, está no guia geral de LGPD para quem vende conteúdo digital; aqui o recorte é só o incidente. Incidente de segurança, no vocabulário do regulamento, é "qualquer evento adverso confirmado, relacionado à violação das propriedades de confidencialidade, integridade, disponibilidade e autenticidade da segurança de dados pessoais". Confirmado: suspeita ainda não é incidente.

Por que a lista de um VIP quase sempre passa no teste

Resposta primeiro: pelo critério do dado financeiro, que é objetivo e não depende de interpretação nenhuma.

O próprio regulamento define, no art. 3º, VII, dado financeiro como "dado pessoal relacionado às transações financeiras do titular, inclusive para contratação de serviços e aquisição de produtos". Uma base de assinantes de VIP é exatamente isso: pessoas identificáveis associadas à contratação de um serviço. Não é preciso discutir sensibilidade para o terceiro critério estar marcado.

Sobre a primeira parte do teste, o § 1º do art. 5º explica que o efeito significativo se caracteriza, "dentre outras situações", naquelas em que o tratamento puder "ocasionar danos materiais ou morais aos titulares, tais como discriminação, violação à integridade física, ao direito à imagem e à reputação, fraudes financeiras ou roubo de identidade". Uma lista de quem paga por conteúdo adulto, exposta, atinge reputação e abre porta para extorsão. É difícil sustentar que não afeta significativamente.

E há um terceiro ponto, que precisa ser dito com cuidado. A LGPD define dado sensível no art. 5º, II, e a lista inclui "dado referente à saúde ou à vida sexual". O regulamento não nomeia nenhum nicho, e não existe fonte oficial dizendo "assinante de canal adulto é dado sensível". A leitura deste artigo, e é leitura, é que um registro que liga uma pessoa identificável à compra de conteúdo adulto revela informação sobre a vida sexual dela. Se essa leitura estiver correta, o primeiro critério também está marcado, e é ela que reaparece no bloco do prazo em dobro mais adiante.

Critério do art. 5º	Marcado numa base de VIP?
Dados sensíveis	provável, por leitura
Crianças, adolescentes, idosos	não, se o público é adulto
Dados financeiros	sim, por definição
Autenticação em sistemas	só se houver senha
Sigilo legal ou profissional	em regra não
Larga escala	depende do tamanho

Repare que basta um. Uma base pequena, sem senha, de público adulto, já passa pelo critério financeiro sozinho.

O relógio de três dias úteis, e de onde ele começa a contar

Resposta primeiro: o prazo é de três dias úteis contados do conhecimento, e não da data em que o vazamento aconteceu.

O art. 6º é direto: "A comunicação de incidente de segurança à ANPD deverá ser realizada pelo controlador no prazo de três dias úteis, ressalvada a existência de prazo para comunicação previsto em legislação específica." E o § 1º define a contagem: "O prazo a que se refere o caput será contado do conhecimento pelo controlador de que o incidente afetou dados pessoais."

O art. 9º repete o mesmo prazo para o assinante: "A comunicação de incidente de segurança ao titular deverá ser realizada pelo controlador no prazo de três dias úteis contados do conhecimento pelo controlador de que o incidente afetou dados pessoais."

Existem dois prazos secundários que quase ninguém conhece e que salvam a operação. O § 3º do art. 6º permite complementar as informações "de maneira fundamentada, no prazo de vinte dias úteis, a contar da data da comunicação". Ou seja: você não precisa ter a investigação concluída no terceiro dia, precisa comunicar. E o § 4º do art. 9º manda juntar ao processo "uma declaração de que foi realizada a comunicação aos titulares, constando os meios de comunicação ou divulgação utilizados, em até três dias úteis, contados do término do prazo" da comunicação ao titular.

Caso de borda que vale antecipar: descobrir na sexta-feira à noite significa comunicar até a quarta-feira seguinte, porque o prazo é em dias úteis. Descobrir na véspera de um feriado prolongado estica ainda mais no calendário, e encolhe na prática, porque ninguém trabalha.

O prazo em dobro do pequeno porte, e por que ele provavelmente não é seu

Resposta primeiro: existe um prazo em dobro, mas o mesmo regulamento que o concede tem uma porta de saída que costuma alcançar exatamente este nicho.

O § 8º do art. 6º e o § 6º do art. 9º dizem que os prazos são contados em dobro para os agentes de pequeno porte, nos termos do Regulamento aprovado pela Resolução CD/ANPD nº 2, de 27 de janeiro de 2022. E esse regulamento define agentes de pequeno porte de um jeito bem largo, que inclui "pessoas naturais e entes privados despersonalizados que realizam tratamento de dados pessoais, assumindo obrigações típicas de controlador ou de operador". Criador pessoa física está lá dentro.

Só que o art. 3º do mesmo regulamento diz quem não pode se beneficiar do tratamento diferenciado, e o inciso I é o primeiro da lista: os agentes de pequeno porte que "realizem tratamento de alto risco para os titulares, ressalvada a hipótese prevista no art. 8º". A ressalva do fim não devolve o prazo em dobro a ninguém: o art. 8º trata apenas da faculdade de se organizar por entidades de representação para negociar e conciliar reclamações de titulares.

E o art. 4º define alto risco: "será considerado de alto risco o tratamento de dados pessoais que atender cumulativamente a pelo menos um critério geral e um critério específico". Entre os critérios gerais estão "tratamento de dados pessoais em larga escala" e "tratamento de dados pessoais que possa afetar significativamente interesses e direitos fundamentais dos titulares". Entre os específicos está a alínea "d": "utilização de dados pessoais sensíveis ou de dados pessoais de crianças, de adolescentes e de idosos".

Junte as peças e o desenho aparece. Se a leitura de que a base de um VIP adulto envolve dado sensível estiver correta, o critério específico está marcado. Se a exposição dessa base pode violar imagem e reputação, o critério geral também. Cumpridos os dois, o tratamento é de alto risco, e quem faz tratamento de alto risco não recebe o prazo em dobro. Na dúvida, a postura segura é operar com três dias úteis, não com seis.

Contra-argumento honesto: essa conclusão é uma leitura encadeada, não uma decisão da ANPD sobre este mercado. Um criador que trate poucos assinantes, sem dado sensível, pode sustentar que não faz tratamento de alto risco. O que não dá é presumir o prazo em dobro sem fazer essa análise, porque quem precisa comprovar o enquadramento é você: o art. 5º do regulamento de pequeno porte manda o agente comprovar, quando solicitado pela ANPD, em até quinze dias.

O que cada comunicação precisa dizer

Resposta primeiro: são duas comunicações diferentes, com conteúdos diferentes, e a do assinante é a mais curta.

A comunicação à ANPD é feita por formulário eletrônico disponibilizado pela própria autoridade, como manda o § 4º do art. 6º, e o § 2º do mesmo artigo pede doze itens, entre eles a natureza e a categoria dos dados afetados, "o número de titulares afetados", as medidas técnicas adotadas antes e depois, os riscos com os possíveis impactos, os motivos da demora se houver, a data da ocorrência e a do conhecimento, a identificação do controlador e do operador, a descrição do incidente com a causa principal quando identificável, e "o total de titulares cujos dados são tratados nas atividades de tratamento afetadas pelo incidente".

A comunicação ao titular, pelo art. 9º, pede sete itens, e o § 1º acrescenta dois critérios de forma: "fazer uso de linguagem simples e de fácil entendimento" e "ocorrer de forma direta e individualizada, caso seja possível identificá-los".

Item	ANPD	Titular
Natureza e categoria dos dados	sim	sim
Medidas técnicas de proteção	sim	sim
Riscos e possíveis impactos	sim	sim
Motivos da demora	sim	sim
Medidas de mitigação	sim	sim
Data do conhecimento	sim	sim
Contato para informações	sim	sim
Número de titulares afetados	sim	não
Causa principal do incidente	sim	não
Identificação do operador	sim	não

A assimetria não é detalhe burocrático: ela diz o que não vai para o assinante. Contagem de base, identificação de fornecedor e causa raiz são informação de fiscalização, não de aviso ao consumidor.

Como avisar quem você não consegue identificar

Resposta primeiro: pelos canais públicos, e por no mínimo três meses.

O § 2º do art. 9º define o que conta como comunicação direta e individualizada: "aquela realizada pelos meios usualmente utilizados pelo controlador para contatar o titular, tais como telefone, e-mail, mensagem eletrônica ou carta". Mensagem eletrônica está na lista, então a mensagem no Telegram, que já é o canal do relacionamento, serve.

Quando não dá, o § 3º manda comunicar "pelos meios de divulgação disponíveis, tais como seu sítio eletrônico, aplicativos, suas mídias sociais e canais de atendimento ao titular, de modo que a comunicação permita o conhecimento amplo, com direta e fácil visualização, pelo período de, no mínimo, três meses".

Passo concreto: se a sua base é o próprio canal, o aviso vai como mensagem fixada nele e permanece fixado por três meses. Se você tem público que já saiu, o aviso público cobre quem não é mais alcançável. Ter a base organizada, no padrão descrito em como manter a lista de assinantes do Telegram, é o que decide se você vai pelo caminho individualizado ou pelo público.

Há uma boa prática premiada pela própria norma: o § 5º diz que pode ser considerada boa prática, para efeito do art. 52, § 1º, IX, da LGPD, incluir na comunicação ao titular "recomendações aptas a reverter ou mitigar os efeitos do incidente". Traduzindo: dizer ao assinante o que ele deve fazer conta a seu favor na dosimetria de uma eventual sanção.

A obrigação que fica mesmo quando não há nada a comunicar

Resposta primeiro: o registro do incidente, por cinco anos, inclusive dos incidentes que você concluiu que não precisavam ser comunicados.

O art. 10 é explícito, e vale ler a frase até o fim: "O controlador deverá manter o registro do incidente de segurança, inclusive daquele não comunicado à ANPD e aos titulares, pelo prazo mínimo de cinco anos, contado a partir da data do registro, exceto se constatadas obrigações adicionais que demandem maior prazo de manutenção." Cinco anos é piso, não teto: se outra norma mandar guardar por mais tempo, vale a mais longa. E o § 1º lista o conteúdo mínimo, que inclui um item revelador: "os motivos da ausência de comunicação, quando for o caso".

Ou seja, a decisão de não comunicar não é um silêncio, é um documento. Você registra o que aconteceu, avalia o risco, conclui que não havia risco relevante e escreve por quê. Se a ANPD abrir um procedimento de apuração de ofício, previsto no art. 13, I, para incidente não comunicado, esse registro é a sua defesa pronta.

A lógica é a mesma dos outros relógios de guarda que este mercado precisa manter, detalhados em por quanto tempo guardar o comprovante de cada venda: o prazo não conta do evento, conta de um marco definido em norma, e quem não registra não tem como provar nada depois.

Erros comuns

• Contar o prazo do vazamento e não do conhecimento. A norma é clara: o relógio começa quando você soube que dados pessoais foram afetados.
• Esperar terminar a investigação para comunicar. Existe complementação em vinte dias úteis justamente para isso. Comunicar tarde com tudo pronto é pior do que comunicar no prazo com o que se sabe.
• Presumir o prazo em dobro. Tratamento de alto risco tira o benefício, e a comprovação do enquadramento é sua.
• Avisar só a ANPD. São duas comunicações, e a do titular tem o mesmo prazo.
• Mandar para o assinante o texto que foi para a ANPD. A norma pede linguagem simples ao titular e não pede a ele número de base nem causa raiz.
• Não registrar o incidente que você decidiu não comunicar. É o registro que sustenta a decisão, e ele precisa durar cinco anos.
• Tratar conformidade como assunto de empresa grande. Controlador é quem decide sobre o tratamento, e a definição legal alcança a pessoa natural.

Conclusão

Um vazamento de dados de assinantes é raro e caro, e a diferença entre um susto e um processo está quase toda em três decisões tomadas antes: saber que o relógio é de três dias úteis a partir do conhecimento, saber que a sua base marca pelo menos o critério do dado financeiro, e ter o hábito de registrar todo incidente, inclusive os que você não comunicou.

O próximo passo cabe em uma tarde. Escreva um documento de uma página com quatro campos: quem é o contato responsável, quais dados você guarda hoje, onde eles ficam e por qual canal você avisaria a base. Guarde junto o endereço do formulário da ANPD. Isso é o plano de resposta inteiro para uma operação pequena, e ele só serve se existir antes.

Reduzir o dado que você guarda é a outra metade do trabalho. Quando o pagamento é pass-through e a entrada e a saída do VIP são automáticas, sobra menos planilha manual circulando por aí. A Afroditte cobra R$ 0,69 fixos por transação, sem mensalidade, com o valor caindo direto na sua conta. Veja como funciona a segurança de quem vende no Telegram e crie sua conta para operar com menos superfície exposta.