Como pedir informações após vazamento de dados: o que exigir da empresa, o prazo de 15 dias e como registrar a negativa

Você recebeu um aviso vago de “incidente de segurança”, viu uma notícia sobre ataque hacker em uma loja ou banco onde tem cadastro, ou começou a receber ligações de golpistas que sabem seu CPF e endereço. A dúvida é imediata: meus dados estavam no vazamento? Quais? E a quem eu pergunto? Este guia mostra como pedir informações após vazamento de dados de forma organizada, com base na Lei Geral de Proteção de Dados (LGPD), e como guardar a prova caso a empresa não responda.

Resposta direta: a empresa precisa responder, mas o pedido precisa ser formal

Sim, você pode exigir da empresa que trata seus dados (o controlador, isto é, quem decide como e para que seus dados são usados) a confirmação de que ela trata seus dados, o acesso a eles e a informação sobre com quem foram compartilhados. A LGPD (Lei 13.709/2018) prevê esses direitos no art. 18 e fixa, no art. 19, resposta imediata em formato simplificado ou declaração completa em até 15 dias contados do requerimento [2][3].

A ressalva importante: esses prazos começam a contar do seu pedido expresso. Reclamação genérica em rede social ou telefonema sem protocolo dificilmente servirá de prova. E a resposta pode ter limites legítimos, como a proteção de segredo comercial e industrial, que não se confunde com silêncio.

O que muda quando há um vazamento

Um vazamento é um tipo de incidente de segurança: acesso não autorizado, perda ou divulgação indevida de dados pessoais. Nesse cenário existem duas obrigações diferentes da empresa, e é útil não misturá-las.

A primeira é o dever de avisar por iniciativa própria. O art. 48 da LGPD e a Resolução CD/ANPD nº 15/2024 obrigam o controlador a comunicar a autoridade e os titulares quando o incidente puder causar risco ou dano relevante [4]. A segunda é o dever de responder quando você pergunta, previsto nos arts. 18 e 19 [2][3]. Mesmo que a empresa não tenha avisado, você pode provocá-la.

A proteção de dados pessoais também foi incluída entre os direitos fundamentais da Constituição pela Emenda Constitucional 115/2022 [1]. Esse reforço não cria o prazo de 15 dias, mas mostra o peso que o ordenamento dá ao tema.

Qual regra se aplica: os direitos do titular na LGPD

Você é o titular: a pessoa a quem os dados se referem. Pelo art. 18 da LGPD, o titular pode obter do controlador, mediante requerimento, entre outros pontos [2][3]:

• confirmação de que existe tratamento dos seus dados;
• acesso aos dados tratados;
• informação sobre as entidades públicas e privadas com as quais o controlador compartilhou seus dados.

O exercício desses direitos é gratuito. Se a empresa não puder atender de imediato, deve responder indicando que não é a agente de tratamento (e, se possível, quem é) ou explicando as razões de fato ou de direito que impedem a providência [3]. Uma recusa genérica, sem motivo, é exatamente o tipo de documento que você deve guardar.

O prazo de 15 dias do art. 19

O art. 19 prevê duas formas de resposta [2]:

1. Imediata, em formato simplificado — uma confirmação básica de que há tratamento.
2. Declaração clara e completa, em até 15 dias contados do requerimento, indicando a origem dos dados, a inexistência de registro (se for o caso), os critérios utilizados e a finalidade do tratamento, respeitados os segredos comercial e industrial.

Você pode escolher receber a resposta por meio eletrônico seguro ou em forma impressa. A lei também permite que a autoridade fixe prazos diferentes para setores específicos; até a revisão deste conteúdo, não localizamos norma desse tipo aplicável ao consumidor em geral. A lei não diz expressamente se os 15 dias são corridos ou úteis; por prudência, organize-se pelo prazo mais curto (corridos).

O dever de aviso em incidente relevante

Segundo o texto reproduzido da Resolução CD/ANPD nº 15/2024, a comunicação ao titular deve ocorrer em três dias úteis contados do conhecimento, pelo controlador, de que o incidente afetou dados pessoais, de forma direta e individual (e-mail, telefone, mensagem ou carta) e em linguagem simples [4]. Há fontes que interpretam esse prazo de modo diferente, e agentes de pequeno porte podem ter prazos diferenciados; por isso, trate os três dias úteis como referência para avaliar a demora, não como conclusão automática de irregularidade.

Aviso do incidente e resposta ao titular não são a mesma coisa

Muita gente acha que, se a empresa publicou um comunicado no site, já cumpriu tudo. Não é assim: o comunicado geral pode atender (ou não) ao dever de aviso, mas não substitui a resposta individual ao seu pedido.

Ponto	Aviso de incidente (art. 48 e Res. 15/2024)	Resposta ao pedido do titular (arts. 18 e 19)
Quem toma a iniciativa	A empresa, por conta própria	Você, por requerimento expresso
Quando se aplica	Incidente com risco ou dano relevante	A qualquer tempo, com ou sem incidente
Prazo de referência	Três dias úteis, segundo o texto da resolução	Imediato (simplificado) ou até 15 dias (completo)
Conteúdo	Dados afetados, riscos e medidas adotadas	Confirmação, acesso, origem, finalidade, critérios e compartilhamentos
Se falhar	Denúncia à ANPD	Petição de titular à ANPD, reclamação de consumo e eventual ação

Como pedir informações após vazamento de dados: roteiro em 6 passos

1. Identifique o controlador e o canal oficial

Procure na política de privacidade da empresa o canal do encarregado (também chamado DPO, a pessoa indicada para atender titulares) ou o formulário de direitos do titular. Na falta dele, use o SAC ou a ouvidoria com protocolo.

2. Envie um pedido expresso e por escrito

Prefira e-mail ou formulário que gere número de protocolo. Inclua seu nome e um dado mínimo de identificação. Não envie cópia de documentos além do necessário e desconfie de qualquer “atendente” que procure você pedindo senha ou código: golpistas exploram vazamentos para se passar pela empresa.

3. Use o modelo de requerimento abaixo

Modelo de requerimento ao controlador (adapte ao seu caso)

Ao encarregado pelo tratamento de dados pessoais da [nome da empresa].

Eu, [nome], titular de dados pessoais tratados por esta empresa, com fundamento nos arts. 18 e 19, II, da Lei 13.709/2018 (LGPD), requeiro, no prazo de 15 dias, declaração clara e completa contendo:

1. confirmação de que meus dados pessoais são tratados por esta empresa;

2. confirmação de que meus dados foram ou não afetados pelo incidente de segurança [descreva: data aproximada, notícia ou aviso recebido];

3. quais categorias de dados foram afetadas (por exemplo: nome, CPF, endereço, dados bancários, senha, dados de saúde);

4. cópia dos dados pessoais que a empresa mantém sobre mim;

5. origem dos dados, critérios utilizados e finalidade do tratamento;

6. relação das entidades públicas e privadas com as quais meus dados foram compartilhados;

7. medidas adotadas para conter o incidente e reduzir riscos, e se houve comunicação à ANPD.

Solicito resposta por meio eletrônico seguro, neste e-mail. Caso haja recusa de qualquer item, peço a indicação expressa das razões de fato ou de direito.

[local, data e nome]

Os itens 1, 4, 5 e 6 decorrem diretamente dos arts. 18 e 19. Os itens 2, 3 e 7 se apoiam no conteúdo do dever de comunicação de incidentes; a empresa pode alegar que parte dessas informações está protegida por segredo ou investigação, mas deve explicar o motivo.

4. Conte o prazo a partir do protocolo

Anote a data de envio. É dela que se conta o prazo de 15 dias do art. 19, II [2].

5. Avalie a resposta item por item

Compare o que chegou com o que você pediu. Resposta que só diz “seus dados estão seguros” sem confirmar se foram afetados é incompleta. Quando a empresa responde pela metade, o conteúdo sobre vazamento de dados e resposta incompleta da empresa ajuda a organizar a cobrança complementar.

6. Escale com o dossiê pronto

Vencido o prazo sem resposta, ou com recusa sem justificativa, você terá o documento que os órgãos pedem. Os caminhos estão explicados adiante.

Exemplo hipotético de contagem

Imagine (exemplo fictício) que Ana enviou o requerimento pelo formulário do encarregado em 3 de março e recebeu o protocolo no mesmo dia. Contando 15 dias corridos, a declaração completa deveria chegar até 18 de março. Em 10 de março, a empresa respondeu apenas “seus dados são tratados conforme a política de privacidade”. Essa resposta não indica se Ana foi afetada, nem origem, finalidade ou compartilhamentos. Ana guarda o protocolo, a resposta e uma reiteração enviada em 19 de março: esse conjunto mostra o pedido, o prazo e a omissão.

Impacto prático: por que saber quais dados vazaram muda suas decisões

A informação sobre quais dados vazaram orienta a sua proteção. Vazamento de e-mail e telefone aumenta o risco de mensagens falsas; de CPF e endereço, de cadastros e empréstimos fraudulentos; de dados bancários ou senhas, exige troca imediata de credenciais e contato com o banco.

Se o vazamento já se converteu em tentativa de golpe, as providências mudam de natureza. O guia sobre golpe no Pix ou no cartão nas primeiras 24 horas trata da reação financeira, que corre em paralelo ao pedido de informações e não depende dele.

Dados sensíveis, como biometria e saúde, exigem atenção redobrada. Os conteúdos sobre biometria e risco de vazamento no reconhecimento facial e sobre CPF na farmácia e dados de saúde aprofundam essas situações.

O que muda a conclusão: cenários e exceções

• A empresa diz que não é a controladora. Ela pode ser apenas operadora (quem trata dados em nome de outro). Nesse caso, deve informar isso e, se possível, indicar o controlador [3]. Redirecione o pedido.
• A empresa nega o incidente. O pedido continua válido para confirmação e acesso; a negativa formal também é prova.
• A resposta invoca segredo comercial. A lei admite esse limite para parte do conteúdo [2], mas ele não justifica deixar de confirmar se você foi afetado.
• O vazamento foi em órgão público. Os direitos de titular se aplicam, mas canais e reclamações de consumo podem não ser adequados; avalie ouvidoria e ANPD.
• Você não tem certeza de qual empresa vazou. Pode ser preciso enviar pedidos a mais de um controlador.

Empresa não respondeu ou negou: a quem reclamar

Petição de titular na ANPD

A ANPD, hoje transformada em Agência Nacional de Proteção de Dados pela Medida Provisória 1.317/2025, aprovada pelo Congresso em fevereiro de 2026 [8], recebe a petição de titular: a comunicação de um pedido feito ao controlador e não resolvido no prazo. A Resolução CD/ANPD nº 1/2021 exige prova de que o pedido foi submetido antes à empresa, admitindo autodeclaração quando não houver outro meio [5].

Segundo a orientação da própria agência, desde 1º de janeiro de 2025 petições e denúncias são enviadas pelo Sistema de Requerimentos com login gov.br; petição anônima não é aceita, o serviço é gratuito e o conteúdo pode ser compartilhado com o encarregado da empresa [6][7]. A ANPD recomenda guardar protocolos, mensagens e e-mails [6].

Expectativa realista: os requerimentos alimentam o monitoramento e a fiscalização, e a análise individual é excepcional [5]. A petição pressiona e registra, mas não é garantia de que a ANPD resolverá seu caso específico.

Denúncia por falta de aviso do incidente

Se a empresa sabia do incidente e não comunicou os titulares, cabe denúncia à ANPD, que pode ser feita sem identificação, segundo a página da agência [6]. Ela serve para comunicar a infração, não para obter resposta individual.

Procon e consumidor.gov.br

Quando há relação de consumo, a reclamação no Procon de sua cidade (em Goiás, o Procon-GO) ou no consumidor.gov.br pode ser útil. A LGPD prevê, no art. 18, a possibilidade de exercer esses direitos também perante organismos de defesa do consumidor [2]. O mesmo dossiê serve aqui.

Via judicial

Se as vias anteriores não funcionarem, é possível avaliar ação para obrigar a empresa a entregar as informações (obrigação de fazer) e, se houver prejuízo comprovado, pedir indenização. A prova do pedido e do silêncio ajuda a demonstrar que a empresa resistiu sem motivo. Dano moral por vazamento não é automático: depende do caso, dos dados expostos e das consequências demonstradas.

💬 A empresa ignorou seu pedido ou respondeu pela metade? Podemos analisar o requerimento enviado, a contagem do prazo e a resposta recebida para indicar o caminho mais adequado. Solicitar análise pelo WhatsApp

Documentos e provas: o que cada um demonstra

Documento	O que prova	Quem fornece
Requerimento enviado (e-mail ou formulário)	Que houve pedido expresso e o que foi pedido	Você
Número de protocolo ou e-mail de confirmação	Data de início do prazo de 15 dias	A empresa
Resposta da empresa ou captura do silêncio	Conteúdo, incompletude ou omissão	A empresa / você
Aviso de incidente recebido ou comunicado público	Que a empresa conhecia o incidente e quando	A empresa
Notícias sobre o vazamento	Contexto e data aproximada do incidente	Imprensa
Mensagens e ligações suspeitas após o vazamento	Possível uso indevido dos seus dados	Você
Protocolos na ANPD, Procon ou consumidor.gov.br	Tentativas de solução e escalada	Os próprios órgãos
Boletim de ocorrência, se houver fraude	Registro formal de uso criminoso dos dados	Polícia

Guarde capturas de tela com data e hora visíveis e salve os e-mails em PDF. Para montar uma linha do tempo organizada, o conteúdo sobre como montar o dossiê e a linha do tempo traz um método aplicável também aqui.

Prazos, riscos e erros comuns

O prazo de 15 dias é da empresa, não seu. Para o titular, não há prazo curto para pedir informações, mas a demora dificulta reconstruir os fatos e, se houver pretensão de indenização, existe prazo de prescrição, cujo marco e duração dependem do enquadramento do caso e devem ser avaliados individualmente.

Erros que mais prejudicam:

• reclamar só por telefone, sem protocolo;
• fazer pedido genérico (“quero saber dos meus dados”), sem listar os itens do art. 19;
• ir à ANPD sem ter pedido antes à empresa;
• apagar e-mails e mensagens suspeitas;
• fornecer senha ou código a quem diz falar em nome da empresa;
• tratar o comunicado público da empresa como resposta individual.

💬 Não sabe se o prazo já venceu ou se a resposta basta? A análise considera a data do protocolo, os itens respondidos e os documentos que você já tem. Solicitar análise pelo WhatsApp

Quando a orientação jurídica individual faz diferença

Você pode fazer o pedido sozinho, e muitas vezes isso basta. A orientação individual tende a fazer diferença quando a empresa nega ser controladora, invoca segredo para não responder nada, quando dados sensíveis ou bancários foram expostos, ou quando o vazamento já gerou fraude, empréstimo ou cobrança.

O que esperar de cada caminho: a reiteração ao encarregado é rápida e gratuita, mas depende da boa-fé da empresa; a ANPD fiscaliza, mas raramente decide caso a caso; o Procon pode mediar; a ação judicial pode impor a entrega das informações, mas tem custo de tempo e exige prova. Quando o vazamento se conecta a golpe, o escritório aplica o método Rota Jurídica Pós-Golpe 360 (diagnóstico, estratégia e condução) para coordenar as frentes.

O que analisamos em casos como esse

• Se o destinatário do pedido é de fato o controlador ou apenas operador.
• Se o requerimento listou os itens do art. 19, II, e foi enviado por canal que gera prova de data.
• A contagem do prazo de 15 dias e eventuais prazos setoriais.
• Se a resposta confirma ou nega a afetação e se a recusa tem justificativa concreta.
• Se houve aviso individual do incidente e quando, comparado à Resolução CD/ANPD nº 15/2024.
• Quais categorias de dados foram expostas, com atenção a dados sensíveis e bancários.
• Indícios de uso indevido dos dados (golpes, cadastros, empréstimos) e o nexo com o incidente.
• Adequação de petição na ANPD, reclamação de consumo ou ação de obrigação de fazer, e a viabilidade de pedido indenizatório.

A análise não garante resultado; ela organiza fatos, provas e opções para uma decisão informada.

Perguntas frequentes

A empresa é obrigada a dizer quais dados meus vazaram?

Sim, em regra. Pelo direito de acesso e confirmação dos arts. 18 e 19 da LGPD, e pelo conteúdo mínimo do aviso de incidente, você pode exigir saber se foi afetado e quais categorias de dados estavam envolvidas. Segredos comerciais podem limitar detalhes técnicos, não a confirmação.

Qual é o prazo de resposta do controlador?

Até 15 dias, contados do requerimento, para a declaração completa; a confirmação simplificada pode ser imediata. A lei não esclarece se são dias corridos ou úteis, por isso convém contar pelos corridos.

Posso reclamar na ANPD ou no Procon por vazamento e omissão?

Sim, mas na ANPD é preciso comprovar o pedido prévio à empresa e fazer login no gov.br. No Procon e no consumidor.gov.br, a reclamação é cabível quando há relação de consumo.

Preciso de advogado para enviar o pedido à empresa?

Não. O pedido pode ser feito pelo próprio titular, de graça. A orientação jurídica ajuda quando há recusa, dados sensíveis expostos ou prejuízo concreto.

Se meus dados vazaram, tenho direito automático a indenização?

Não. A indenização depende da análise do caso, dos dados expostos e das consequências demonstradas. O vazamento, por si só, não gera valor certo.

A empresa só publicou um comunicado no site. Isso basta?

Depende. A resolução da ANPD prevê aviso direto e individual ao titular em incidentes relevantes; um comunicado geral pode não atender a essa exigência e não substitui a resposta ao seu pedido.

Resumo prático

1. Identifique o controlador e o canal do encarregado.
2. Envie o requerimento escrito com os itens do art. 19, II.
3. Guarde o protocolo e conte 15 dias.
4. Compare a resposta item por item.
5. Sem resposta ou com recusa sem motivo: petição na ANPD, Procon ou consumidor.gov.br.
6. Se houver prejuízo ou recusa persistente, avalie a via judicial com o dossiê completo.

Próximo passo

Cada vazamento envolve uma combinação diferente de dados expostos, respostas parciais e prazos. Se você já enviou o pedido e a empresa silenciou, ou se o incidente já gerou fraude, organize os documentos para análise: requerimento, protocolo, resposta e mensagens suspeitas. Com eles é possível avaliar a viabilidade jurídica de cada caminho. Solicitar análise da situação pelo WhatsApp.

A atuação é coordenada pelo Dr. Gutemberg do Monte Amorim, OAB/GO 33.567, com sede em Goiânia e atendimento online para todo o Brasil.

Fontes e atualização

1. Presidência da República — Constituição Federal, art. 5º (EC 115/2022). https://www.planalto.gov.br/ccivil_03/constituicao/constituicao.htm — Pesquisa revisada em 07/11/2026.
2. Presidência da República — Lei 13.709/2018 (LGPD). https://www.planalto.gov.br/ccivil_03/_ato2015-2018/2018/lei/l13709.htm — Pesquisa revisada em 07/11/2026.
3. Ministério da Educação — Perguntas frequentes sobre privacidade e prazos da LGPD. https://www.gov.br/mec/pt-br/acesso-a-informacao/perguntas-frequentes/privacidade-e-protecao-de-dados-pessoais/qual-o-prazo-para-que — Pesquisa revisada em 07/11/2026.
4. ANPD — Resolução CD/ANPD nº 15/2024 (Regulamento de Comunicação de Incidente de Segurança), reprodução. https://www.legisweb.com.br/legislacao/?id=458235 — Pesquisa revisada em 07/11/2026.
5. ANPD — Resolução CD/ANPD nº 1/2021 (processo de fiscalização e petição de titular), reprodução. https://www.legisweb.com.br/legislacao/?id=422356 — Pesquisa revisada em 07/11/2026.
6. ANPD — Denúncia ou petição de titular referente à LGPD. https://www.gov.br/anpd/pt-br/canais_atendimento/cidadao-titular-de-dados/denuncia-peticao-de-titular-referente-lgpd — Pesquisa revisada em 07/11/2026.
7. ANPD — Petição de titular contra controlador de dados. https://www.gov.br/anpd/pt-br/canais_atendimento/cidadao-titular-de-dados/peticao-de-titular-contra-controlador-de-dados — Pesquisa revisada em 07/11/2026.
8. Senado Federal — Senado aprova MP que transforma a ANPD em agência. https://www12.senado.leg.br/noticias/materias/2026/02/24/senado-aprova-mp-que-transforma-a-anpd-em-agencia-e-cria-200-cargos — Pesquisa revisada em 07/11/2026.

Atualizado em: 07/11/2026

Responsável pela revisão jurídica:

Conteúdo informativo, que não substitui a análise individual do seu caso. A existência de vazamento, o conteúdo devido na resposta e eventual direito a indenização dependem dos fatos, dos dados expostos e das provas disponíveis.