Data breach (vazamento de dados)

A LGPD obriga o controlador a comunicar à ANPD e aos titulares afetados a ocorrência de incidente de segurança que possa acarretar risco ou dano relevante (art. 48). A omissão na comunicação pode configurar infração administrativa grave.

Quando o vazamento resulta de invasão criminosa, o invasor responde pelo art. 154-A do CP; quando resulta de negligência do controlador, seus dirigentes podem responder por omissão penalmente relevante se ocupavam posição de garante. Megavazamentos — como o que expôs dados de 223 milhões de CPFs brasileiros em 2021 — têm repercussão criminal, civil e regulatória simultânea.