Quase nenhum vazamento acontece por ataque. A maioria acontece por conveniência, numa segunda-feira, para resolver um problema pequeno de operação.
O link que era só para o suporte
Chamemos ele de Caio. Conteúdo de fotografia, lançou o primeiro curso próprio e vendeu três mil e cem vagas. Sucesso genuíno, e junto com o sucesso veio um volume de dúvidas que ele não conseguia responder sozinho.
Contratou três freelas para o suporte. Para que eles pudessem localizar rapidamente quem estava perguntando, exportou a base da plataforma de pagamento numa planilha: nome completo, e-mail, telefone, CPF, valor pago, forma de pagamento e data da compra.
Compartilhar por e-mail um a um dava trabalho, e um deles teve problema de acesso. Para resolver, Caio mudou a permissão para qualquer pessoa com o link pode visualizar e mandou o link no grupo de WhatsApp da equipe. Levou quinze segundos e resolveu o problema daquela tarde.
Semanas depois, um dos freelas colou o link errado numa conversa com um aluno. O aluno compartilhou num grupo de turma, achando que era material. De lá foi para um grupo de Telegram, e desse ponto em diante não há como saber.
As ligações
O sinal não foi um alerta de segurança, foi um comentário. Uma aluna escreveu no grupo perguntando se o curso tinha uma central de reembolso, porque tinha recebido uma ligação.
A pessoa do outro lado sabia o nome completo dela, sabia o valor exato que ela tinha pago, sabia a data da compra e sabia a forma de pagamento. Com esses quatro dados, a conversa deixa de parecer golpe e passa a parecer atendimento. A oferta era um reembolso parcial por um problema técnico, e para receber bastava confirmar os dados do cartão.
Em duas semanas, dezenas de alunos relataram ligações parecidas. E todos eles associaram a origem a uma única coisa: o curso.
Você é controlador, mesmo sendo uma pessoa só
A primeira reação de Caio foi a mais comum de todas: LGPD é coisa de empresa grande, eu sou um criador de conteúdo com um curso.
Não é assim que a lei está escrita. O artigo 5º, inciso VI, da Lei 13.709 de 2018 define controlador como a pessoa natural ou jurídica a quem competem as decisões referentes ao tratamento de dados pessoais. Quem decidiu coletar CPF, quem decidiu exportar, quem decidiu compartilhar e como: essa pessoa é o controlador. Não existe faixa de faturamento mínima nessa definição.
Os freelas de suporte e a plataforma de pagamento são operadores, na definição do inciso VII, porque tratam dados em nome do controlador. Isso não transfere a responsabilidade, distribui.
Existe sim um tratamento diferenciado para agentes de pequeno porte, previsto em regulamentação da Autoridade Nacional de Proteção de Dados, que simplifica obrigações formais e prazos. Ele reduz burocracia. Não dispensa segurança, nem dispensa comunicar um incidente.
O que a lei diz
A base legal envolvida
Segurança é princípio, não é opcional. O artigo 6º da LGPD lista os princípios do tratamento, entre eles segurança, prevenção e responsabilização com prestação de contas. E o artigo 46 obriga os agentes a adotar medidas de segurança técnicas e administrativas aptas a proteger os dados de acessos não autorizados.
Coletar só o necessário. Os princípios da finalidade, da adequação e da necessidade, no mesmo artigo 6º, limitam o tratamento ao mínimo necessário para a finalidade declarada. Guardar CPF sem precisar emitir nota é exatamente o tipo de coleta que a lei não sustenta.
Incidente tem que ser comunicado. O artigo 48 determina que o controlador comunique à Autoridade Nacional de Proteção de Dados e ao titular a ocorrência de incidente de segurança que possa acarretar risco ou dano relevante. O procedimento e o prazo foram regulamentados pela ANPD, e o prazo é curto, contado do conhecimento do incidente.
As sanções existem e são graduais. O artigo 52 prevê advertência, multa simples de até dois por cento do faturamento no Brasil no último exercício, limitada a cinquenta milhões de reais por infração, multa diária, publicização da infração, bloqueio e eliminação dos dados. Advertência com prazo para correção é o começo mais comum, e não o fim.
E existe a reparação civil. O artigo 42 responsabiliza quem, no exercício da atividade de tratamento, causar dano patrimonial, moral, individual ou coletivo ao titular. Quem perdeu dinheiro no golpe tem esse caminho.
Conteúdo informativo. A aplicação concreta de cada dispositivo depende dos fatos, das provas e do momento em que o caso é levado.Vale notar: quem ligou para os alunos cometeu estelionato por meio eletrônico, com pena agravada pelo parágrafo 2º-A do artigo 171 do Código Penal. Que o criminoso seja outra pessoa não afasta a responsabilidade de quem deixou a porta aberta. São duas responsabilidades diferentes, e elas convivem.
O que fazer quando o vazamento já aconteceu
- Fechar a torneira primeiro. Revogar o link, trocar as permissões, revisar quem teve acesso e a partir de quando. Antes de qualquer comunicação.
- Levantar o escopo. Quais dados, de quantas pessoas, por quanto tempo expostos, com que histórico de acesso. Sem isso, qualquer comunicação será imprecisa e piora a situação.
- Registrar tudo internamente. Linha do tempo, decisões, prints, quem sabia o quê e quando. A prestação de contas do artigo 6º é justamente isso, e é o que diferencia negligência de erro tratado com responsabilidade.
- Comunicar os titulares. Com clareza sobre quais dados vazaram, quais golpes esperar e o que a sua equipe nunca vai pedir. Essa comunicação é a que efetivamente protege as pessoas.
- Comunicar a autoridade, no prazo. Seguindo o procedimento previsto na regulamentação.
- Corrigir a causa, não o sintoma. O link foi o sintoma. A causa foi manter CPF e valor pago numa planilha que precisava circular.
Cinco medidas de custo zero
- Acabar com o compartilhamento por link. Acesso nominal, por e-mail, com o menor nível possível. Se a pessoa só precisa ler, não dá permissão de editar.
- Parar de guardar o que você não precisa. CPF só faz sentido se houver emissão de documento fiscal que o exija. Se não houver, não colete. Dado que não existe não vaza.
- Separar as bases. A base de contato, com nome e e-mail, não precisa morar na mesma planilha da base financeira. Quem faz suporte não precisa ver valor pago.
- Contrato com quem opera. Freela de suporte, social media, editor e assistente são operadores. Cláusula de confidencialidade, regra de tratamento de dados e revogação de acesso no último dia de trabalho.
- Um plano de incidente de uma página. Quem descobre avisa quem, em quanto tempo, com qual texto pronto. Uma página escrita hoje economiza os três dias que se perde decidindo o que fazer.
O teste da segunda-feira
Abra agora a sua pasta na nuvem e filtre por arquivos compartilhados com link. Provavelmente existe pelo menos um que foi criado para resolver o problema de uma tarde específica, há muito tempo, e que continua aberto até hoje. Esse é o seu risco real, e ele leva dois minutos para ser fechado.
Advocacia e gestão para criadores de conteúdo