Vazamento de dados na agência: o que fazer nos primeiros 3 dias úteis

A palavra vazamento de dados lembra hackers e manchetes de jornal. Por isso, muitas agências acham que nunca passaram por isso. Na prática, a maioria já teve pelo menos um incidente. Só não percebeu.

Neste artigo, mostramos o que conta como incidente numa agência de tráfego, qual é o prazo para agir e o passo a passo para não transformar um erro em um problema maior.

O que conta como vazamento de dados numa agência

A LGPD fala em incidente de segurança: qualquer acesso não autorizado, perda, destruição ou divulgação indevida de dado pessoal. No dia a dia de uma agência, isso aparece assim:

• Planilha de leads compartilhada com "qualquer pessoa com o link".
• E-mail com a base de um cliente enviado para outro cliente.
• BM invadida a partir do perfil de alguém da equipe.
• Notebook ou celular roubado com conversas de WhatsApp e planilhas.
• Automação mal configurada mandando leads para o destino errado.
• Ex-funcionário que continua acessando dados de clientes.

Nenhum desses casos parece um ataque. Todos podem ser incidentes.

A dor que ninguém vê: o incidente que ninguém registrou

O maior risco não é o vazamento em si. É ele acontecer e ninguém tratar como incidente. O link aberto é corrigido em silêncio, o e-mail errado vira piada no grupo da equipe e a vida segue.

Meses depois, um lead reclama no Procon ou o cliente descobre o problema por outra fonte. Aí a pergunta deixa de ser "o que aconteceu?" e passa a ser "por que vocês não avisaram?". Esconder é sempre pior do que errar.

O prazo: 3 dias úteis

Em 2024, a ANPD publicou o regulamento de comunicação de incidentes. A regra central: quando o incidente pode causar risco ou dano relevante às pessoas, o controlador deve comunicar a ANPD e os titulares em até 3 dias úteis.

Na relação com cada cliente, quem comunica é o controlador, normalmente o próprio cliente. Mas ele só consegue cumprir o prazo se a agência avisar rápido. Cada hora que a agência gasta "vendo se é grave" é uma hora a menos para o cliente.

O regulamento também pede que o controlador mantenha um registro dos incidentes, inclusive dos que não foram comunicados, por pelo menos cinco anos.

Passo a passo em caso de vazamento de dados

1. Conter

Feche a porta antes de qualquer coisa. Remova o link público, troque senhas, retire acessos, desconecte aparelhos e pause a automação.

2. Avisar o cliente

Comunique o cliente no mesmo dia, por escrito. Diga o que aconteceu, quais dados podem ter sido afetados, quantas pessoas e o que já foi feito.

3. Avaliar o risco

Pergunte: que tipo de dado foi exposto? Por quanto tempo? Quem pode ter tido acesso? Dados sensíveis, como saúde, ou dados financeiros pesam mais.

4. Apoiar a comunicação

Se houver risco relevante, o cliente comunica a ANPD e os titulares. A agência ajuda com as informações técnicas.

5. Registrar

Anote tudo: data, descoberta, causa, dados envolvidos, medidas tomadas e decisão sobre comunicar ou não.

6. Corrigir a causa

Um incidente que se repete pesa muito mais. Mude o processo que permitiu o erro.

Sinais de um incidente que passou despercebido

• Um lead diz que recebeu contato de outra empresa logo depois de se cadastrar.
• Aparece na conta do cliente um anúncio que ninguém da equipe criou.
• Uma planilha de leads mostra acessos de pessoas desconhecidas.
• Um ex-funcionário comenta algo que só saberia com acesso aos dados.
• O cliente recebe reclamações de pessoas que dizem nunca ter se cadastrado.

Nenhum desses sinais prova um vazamento de dados sozinho. Mas todos merecem investigação, e o registro do que foi verificado.

O que deve estar no contrato com o cliente

O contrato de dados com cada cliente deve dizer em quanto tempo a agência avisa sobre um incidente, por qual canal e quem é o contato de cada lado. Sem isso, cada caso vira uma negociação no pior momento possível.

Vale também definir quem paga os custos da resposta, como perícia técnica ou comunicação aos titulares. Combinar isso antes evita uma briga justamente quando a agência e o cliente mais precisam estar do mesmo lado.

Por que ter um plano antes do problema

Num incidente, ninguém pensa com calma. Quem já tem um roteiro pronto, contatos definidos e um responsável age em horas. Quem não tem perde dias.

E agir rápido conta a favor: a lei considera boa-fé e correção rápida na hora de definir a sanção. Explicamos isso no artigo sobre multa da LGPD.

Quem conduz o incidente na sua agência?

Esse é o trabalho do DPO. No plano Growth, a Dattis é o DPO da sua agência e ajuda a agir certo quando algo dá errado. No plano Scale, também conduz incidentes e responde perante a ANPD.

Para descobrir quais portas estão abertas hoje e evitar o próximo vazamento de dados, faça a Auditoria da sua agência.