Vazou a base com a sua foto: o prazo de 3 dias úteis e o que fazer nele

Três dias úteis, e não 72 horas: onde cada número está escrito

Chegou o e-mail avisando que houve um incidente, ou você soube por terceiros que vazou a base de uma empresa em que você é candidato, cliente ou empregado, e que a sua foto estava dentro dela. A primeira pergunta prática é sempre a mesma: já passou do prazo? Para responder, vale saber que o prazo de um vazamento de dados não está na lei que todo mundo cita.

A LGPD escreve o dever, não o relógio. O art. 48 diz que o controlador deverá comunicar à autoridade nacional e ao titular a ocorrência de incidente de segurança que possa acarretar risco ou dano relevante. E o § 1º delega: a comunicação será feita "em prazo razoável, conforme definido pela autoridade nacional". Medição própria no texto integral da lei, extraído do Planalto em 15/08/2026: a expressão "72 horas" aparece zero vez.

Quem fixou o número foi a Resolução CD/ANPD nº 15, de 24 de abril de 2024, publicada no Diário Oficial da União de 26/04/2024, Edição 81, Seção 1, Página 114. O anexo dela é o Regulamento de Comunicação de Incidente de Segurança, e ele escreve dois prazos que são o mesmo prazo:

• Art. 6º, caput e § 1º. A comunicação à ANPD é feita em três dias úteis, e o prazo é contado "do conhecimento pelo controlador de que o incidente afetou dados pessoais".
• Art. 9º, caput. A comunicação ao titular, ou seja, a você, é feita no mesmo prazo de três dias úteis, contados do mesmo marco: o conhecimento de que o incidente afetou dados pessoais.
• Art. 6º, § 8º, e art. 9º, § 6º. Os dois prazos são contados em dobro para agente de tratamento de pequeno porte, nos termos da Resolução CD/ANPD nº 2, de 27 de janeiro de 2022.

Repare no marco da contagem, porque é ele que costuma ser mal lido: o relógio começa quando a empresa soube que dados pessoais foram afetados, e não na data em que o ataque aconteceu. Entre uma coisa e outra pode haver semanas, e a norma não fecha esse intervalo.

E o 72? Existe, é real, e é europeu. O art. 33, n.º 1 do Regulamento Geral sobre a Proteção de Dados manda notificar a autoridade de controlo "sem demora injustificada e, sempre que possível, até 72 horas após ter tido conhecimento" da violação. O detalhe que quase ninguém publica em português é o artigo seguinte: no art. 34, que trata da comunicação ao titular, o texto europeu diz apenas "sem demora injustificada", sem número nenhum. Na parte que interessa a você, a regra brasileira é mais específica que a europeia.

Na prática, dias úteis e horas corridas só coincidem em semana limpa. A tabela abaixo é cálculo próprio, com os feriados nacionais de 2026, e serve para você conferir a data que a empresa informou.

Os sete itens que o aviso precisa ter (confira o e-mail que chegou)

Aqui está o artefato principal deste texto, e é o que nenhuma das páginas que lemos em 15/08/2026 publica: o art. 9º do Regulamento não diz só quando avisar, diz o que o aviso tem de conter. São sete incisos. Abra o e-mail que você recebeu e marque um a um.

1. A natureza e a categoria dos dados afetados (inciso I). "Seus dados" não é categoria. Tem de dizer o que saiu: cadastro, documento, credencial, fotografia. É neste inciso que mora a pergunta do seu rosto.
2. As medidas técnicas e de segurança usadas para proteger os dados (inciso II). O texto ressalva os segredos comercial e industrial, então a resposta costuma ser genérica. Genérica é permitido; ausente, não.
3. Os riscos do incidente, com os possíveis impactos aos titulares (inciso III). É a parte que diz o que pode acontecer com você, e não só o que aconteceu com o servidor da empresa.
4. Os motivos da demora, se a comunicação saiu fora do prazo (inciso IV). A norma pressupõe atraso e obriga a explicá-lo. A ausência dessa explicação num aviso atrasado é uma lacuna visível.
5. As medidas para reverter ou mitigar os efeitos, quando cabíveis (inciso V). É onde entram instruções como troca de senha e monitoramento.
6. A data do conhecimento do incidente (inciso VI). Este é o item decisivo e o que mais falta. Sem ele você não tem como aplicar a tabela da seção anterior, porque não sabe quando o relógio começou.
7. O contato para obter informações e, quando aplicável, os dados do encarregado (inciso VII). É o endereço para onde vai o pedido por escrito que está mais abaixo.

O mesmo artigo tem três critérios de forma que também dão para conferir. O § 1º manda usar "linguagem simples e de fácil entendimento" e comunicar "de forma direta e individualizada" quando for possível identificar os titulares. O § 2º explica o que conta como direta e individualizada: os meios que a empresa já usa para falar com você, "tais como telefone, e-mail, mensagem eletrônica ou carta". Aviso genérico em canal aberto não substitui o contato direto quando a empresa tinha como te encontrar, e o parágrafo seguinte da norma diz exatamente em que hipótese a divulgação pública é permitida.

E se você não recebeu nada? Antes de concluir que não houve comunicação, olhe os canais da empresa. O § 3º permite que, quando a comunicação individual for inviável ou os titulares não puderem ser identificados, o controlador divulgue o incidente pelos meios disponíveis, como sítio eletrônico, aplicativos, mídias sociais e canais de atendimento, de modo que a informação fique visível "pelo período de, no mínimo, três meses". Muita gente conclui que foi ignorada quando o aviso está numa página de comunicados que ninguém visita.

Dois detalhes de bastidor ajudam a interpretar um aviso vago. O art. 6º, § 3º deixa o controlador complementar as informações à ANPD em até vinte dias úteis a contar da comunicação, o que explica por que o primeiro texto costuma ser curto. E o art. 9º, § 4º obriga a empresa a juntar ao processo uma declaração de que comunicou os titulares, com os meios usados, em até três dias úteis contados do fim do prazo do caput. Ou seja: existe documento, e ele tem data.

O que muda quando o dado que vazou é o seu rosto

Uma base de RH, de portaria ou de processo seletivo raramente guarda só e-mail. Ela guarda a foto do crachá, a imagem enviada no cadastro, às vezes a captura do controle de acesso. Quando essa base vaza, o item que sai não é substituível, e é aí que o roteiro padrão de vazamento para de servir.

Comece pelo enquadramento oficial, que é mais simples do que parece. A ANPD escreve, na sua página para o titular, que são dados pessoais, além de nome, identidade, CPF e endereço, "outros dados que estejam relacionados com uma pessoa natural, tais como seus hábitos de consumo, sua aparência e aspectos de sua personalidade". A sua aparência é dado pessoal. Ela passa a ser tratada como dado biométrico quando é processada como tal, e esse recorte já tem página própria aqui: onde o blog separa foto de rosto de dado biométrico e o que perguntar quando o rosto vira chave de catraca e de ponto. Não vamos reconstruir nenhum dos dois.

O que interessa aqui é que a própria norma de incidente nomeia esse dano. O art. 5º do Regulamento diz que o incidente pode acarretar risco ou dano relevante quando puder afetar significativamente interesses e direitos fundamentais dos titulares e, cumulativamente, envolver pelo menos um de seis critérios (dados sensíveis, dados de crianças, adolescentes ou idosos, dados financeiros, dados de autenticação, dados protegidos por sigilo legal, judicial ou profissional, ou dados em larga escala). E o § 1º descreve o estrago possível como "discriminação, violação à integridade física, ao direito à imagem e à reputação, fraudes financeiras ou roubo de identidade". O direito à imagem está escrito na norma, com todas as letras.

Agora a frase que organiza o resto do artigo, e ela vai rotulada: senha se troca, rosto não. Isto é leitura nossa, não frase de lei. O que sustenta a leitura são três fatos verificáveis. Primeiro, para senha existe procedimento oficial de reversão, escrito em caixa alta no fascículo Vazamento de Dados do CERT.br (PDF de 19/01/2024): trocar imediatamente as senhas expostas, em todos os serviços onde elas são usadas. Segundo, para rosto não existe passo equivalente em material oficial nenhum que tenhamos lido: medição própria no texto integral desse mesmo fascículo devolve zero ocorrência de "rosto", "foto", "face", "facial", "imagem", "selfie" e do radical "biometr". Terceiro, a norma prevê o dano à imagem e não prevê como desfazê-lo.

A autoridade descreve as consequências possíveis, ainda que sem remédio. No Radar Tecnológico nº 2, de junho de 2024, que é estudo preliminar e não norma, a ANPD escreve que do vazamento de dados biométricos pode decorrer "roubo de identidade, danos à reputação, danos morais e materiais, fraude financeira, estresse emocional, problemas com autoridades públicas". Vale a mesma cautela do documento: é lista de possibilidades, não previsão sobre o seu caso. E se a empresa também coletou a selfie ao lado do documento, que costuma dormir na mesma pasta, esse arquivo entra na sua pergunta do inciso I.

Os primeiros dias do seu lado: o que fazer, na ordem

A empresa tem a lista de obrigações dela. Você tem uma lista bem mais curta, e ela começa antes de qualquer denúncia. A ordem abaixo é a que preserva a sua capacidade de cobrar depois.

1. Guarde o aviso, não só o print. O e-mail original, com remetente e cabeçalho, vale mais que a captura de tela. Anote a data e a hora em que ele chegou até você. Se o aviso for público, salve o endereço da página e a data em que você a viu, porque o § 3º garante três meses de exibição e não mais que isso.
2. Feche o que ainda dá para fechar. Isto é consenso técnico e vem do fascículo do CERT.br: trocar a senha exposta em todos os serviços onde ela era usada, ativar a verificação em duas etapas e analisar os registros de acesso das contas envolvidas.
3. Avise quem cuida do seu dinheiro. Informar as instituições envolvidas, revisar extratos de conta e cartão, contestar lançamentos irregulares pelos canais oficiais e bloquear ou substituir cartões, quando for o caso.
4. Monitore a sua identidade pelos canais oficiais e gratuitos. O fascículo nomeia dois: o Registrato, do Banco Central, para acompanhar registros financeiros, e o Cadastro Pré-Pago, para ver se alguma linha de celular foi ativada no seu CPF.
5. Boletim de ocorrência nas três hipóteses que o material oficial nomeia. Alguém se passando por você, prejuízo financeiro ou tentativa de extorsão. Fora disso, o registro policial não é obrigatório para exercer os seus direitos de titular.
6. Não tente descobrir o vazamento por conta própria. O CERT.br é explícito em duas frases: "Não compre dados de vazamentos" e "Evite acessar sites e abrir arquivos que supostamente confirmem ou exibam dados vazados". Não citamos nenhum site desse tipo aqui, e a recomendação vale mesmo para os famosos.
7. Só então cuide da parte do rosto. Cobrança por escrito, que é a próxima seção, e atenção a dois sintomas que já têm página própria: o mesmo rosto abrindo um perfil que não é seu e uma cena que você nunca viveu, montada com a sua imagem. Cada um tem canal, prova e norma diferentes.

Note o que não está na lista: apagar perfis, sumir da internet e trocar fotos. Nada disso alcança uma cópia que já saiu. O que alcança é papel: o aviso guardado, o pedido protocolado e a resposta que a empresa der.

O pedido por escrito ao controlador, pronto para copiar

Antes de recorrer à autoridade, a orientação oficial é falar com a empresa. O fascículo do CERT.br diz para solicitar esclarecimentos à organização, ou seja, ao controlador, e só recorrer à ANPD se a solicitação não for atendida ou se você não souber qual instituição está envolvida. O endereço para isso deveria estar no próprio aviso, por força do art. 9º, VII. Se não estiver, a ANPD lembra que o contato do encarregado costuma estar na política de privacidade publicada no site do controlador.

O modelo abaixo é para copiar, preencher e enviar por e-mail ou pelo canal de privacidade da empresa. Ele mistura dois fundamentos de propósito: o Regulamento de incidente, que rege o aviso, e o art. 18 da LGPD, que rege os seus direitos.

Assunto: Pedido de informações sobre incidente de segurança com dados pessoais (LGPD, art. 18)

1. Quem sou e qual é o vínculo
Nome completo, CPF e a relação que tenho ou tive com a empresa (candidato, cliente,
empregado ou ex-empregado), com as datas.

2. O comunicado que recebi
Recebi em __/__/____, pelo canal ____ (e-mail, aplicativo, carta), comunicado sobre
incidente de segurança.
Se não houve: não recebi comunicação individual e não localizei aviso público nos
canais da empresa até a data deste pedido.

3. Natureza e categoria dos dados afetados (art. 9º, I, da Resolução CD/ANPD nº 15/2024)
Peço a descrição da natureza e da categoria dos dados afetados e a confirmação expressa
de que fotografia, imagem de rosto e registro biométrico estavam, ou não, entre os dados
atingidos.

4. Data do conhecimento (art. 9º, VI)
Peço a data em que a empresa tomou conhecimento de que o incidente afetou dados pessoais.

5. Riscos e medidas (art. 9º, III e V)
Peço os riscos identificados, os possíveis impactos aos titulares e as medidas adotadas
ou a adotar para reverter ou mitigar os efeitos.

6. Confirmação e acesso (art. 18, I e II, da LGPD)
Peço a confirmação da existência de tratamento dos meus dados e o acesso a eles, por meio
da declaração clara e completa do art. 19, II, da LGPD.

7. Registro do incidente (art. 10 do Regulamento)
Peço a confirmação de que o incidente está registrado, com os itens do art. 10, § 1º, e a
informação sobre a forma e o conteúdo da comunicação feita aos titulares.

Peço protocolo deste pedido e resposta por escrito para este mesmo endereço.

Por que cada campo existe, que é a parte que costuma faltar nos modelos que circulam:

• O vínculo (campo 1) define qual base de dados a empresa vai procurar. Candidato, cliente e ex-empregado costumam viver em sistemas diferentes, e um pedido sem vínculo declarado volta pedindo esclarecimento.
• A referência ao comunicado (campo 2) ancora o pedido num fato datado. A declaração de que não houve comunicação também é útil: ela fixa por escrito o que você procurou e não encontrou.
• A pergunta pela categoria dos dados (campo 3) é a que faz o rosto aparecer no processo. Se você não nomear fotografia, imagem e registro biométrico, a resposta padrão vai falar de nome, e-mail e telefone.
• A data do conhecimento (campo 4) é o único número que permite conferir o prazo de três dias úteis. É também o inciso que mais some dos avisos.
• Riscos e medidas (campo 5) cobram os incisos III e V, que são os que dizem o que a empresa espera que aconteça e o que ela está fazendo a respeito.
• Confirmação e acesso (campo 6) é o direito do art. 18, I e II. Uma trava de redação, porque a internet erra muito nisso: os quinze dias do art. 19, II valem para a declaração clara e completa de confirmação e acesso, e não são um prazo geral de resposta para todos os direitos do art. 18. O detalhe já foi tratado em quanto tempo aquele arquivo pode continuar guardado.
• O registro do incidente (campo 7) existe porque o art. 10 do Regulamento obriga o controlador a manter o registro por, no mínimo, cinco anos, contados da data do registro, inclusive de incidentes que ele não comunicou. O registro precisa conter, entre outros itens, a data de conhecimento, a natureza e a categoria dos dados afetados e os motivos da ausência de comunicação, quando for o caso.

Envie por um canal que gere comprovante e guarde o número de protocolo. É esse protocolo que vira a comprovação de contato prévio caso o assunto siga para a autoridade, como a próxima seção explica.

Denúncia ou petição: qual das duas o vazamento pede

Comece pelo canal errado, porque é o mais procurado. A Comunicação de Incidente de Segurança, o famoso CIS, "se destina exclusivamente aos controladores de dados pessoais", e a própria página manda quem foi atingido usar o canal de denúncia. Ela foi modificada em 04/08/2026 e traz a frase que sustenta todo este artigo: "A obrigação do art. 48 da LGPD não se cumpre com a mera comunicação do incidente de segurança à ANPD. Havendo risco ou dano relevante, o controlador deve, necessariamente, comunicar o ocorrido aos titulares dos dados pessoais violados no incidente".

Do seu lado existem duas vias, e elas não são intercambiáveis. A página de denúncia e petição de titular da ANPD descreve as duas:

• Denúncia. Serve para noticiar suposta infração à LGPD e pode ser enviada de forma anônima, bastando marcar a opção no formulário. Entre os exemplos que a própria autoridade lista está "a ausência de medidas de segurança adequadas", que é exatamente a hipótese de um vazamento.
• Petição de titular. Não pode ser anônima e exige "o envio da comprovação de contato prévio com o controlador". Ou seja: ela pressupõe um direito exercido e não atendido, e por isso vem depois do pedido da seção anterior, nunca antes.

Desde 1º de janeiro de 2025 as duas vias correm exclusivamente pelo Sistema de Requerimentos, com login gov.br, e o recebimento pelo sistema anterior foi desativado. Esse caminho já está descrito em detalhe no texto sobre o que fazer quando a empresa simplesmente não responde, então aqui fica a versão curta.

Duas condições práticas mudam o resultado. A primeira: sem identificar o agente de tratamento, com nome ou razão social, site e e-mail de contato, "não é possível que a ANPD atue". Denúncia genérica sobre um vazamento sem dono não vira nada. A segunda: a ANPD "não realiza investigação criminal, mas de infrações administrativas", e orienta que fraudes, boletos falsos e cartão clonado sejam informados à instituição responsável e levados à autoridade policial.

Para dimensionar a fila em que o seu requerimento entra, os números oficiais do 3º Relatório de Ciclo de Monitoramento da ANPD ajudam. No ciclo de 1º de julho de 2023 a 30 de junho de 2025 a autoridade recebeu 9.629 requerimentos entre denúncias e petições de titulares, alta de 1.840,9% sobre o ciclo anterior, e registrou 723 comunicações de incidente de segurança. Por ano, as comunicações foram 186 em 2021, 275 em 2022, 352 em 2023, 336 em 2024 e 198 no primeiro semestre de 2025. Entre os requerimentos admissíveis, o tipo mais frequente foi "Exposição de dados pessoais e/ou sensíveis", com 1.013 registros, seguido de "Dificuldade em exercer direito de eliminação de dados", com 795, e de "Vazamento de Dados/Incidente de Segurança", com 789. São comunicações e requerimentos recebidos pela autoridade, não a contagem de vazamentos ocorridos no país.

Trocar a foto de perfil não recolhe cópia nenhuma

O reflexo mais comum depois de um aviso de vazamento é mexer na imagem: trocar a foto do perfil, apagar a conta, sumir por uns meses. É compreensível e não funciona, por um motivo mecânico. A cópia saiu de uma base que você não administra. Você controla a imagem que está publicada hoje no seu perfil; você não controla o arquivo que já foi copiado de um sistema de terceiro. Trocar uma coisa não alcança a outra, e o custo é real: você perde a imagem que as pessoas usam para te reconhecer sem ganhar proteção nenhuma.

O que sobra é observação, e ela tem endereço. Se o rosto vazado aparecer numa conta que não é sua, o caminho é o passo a passo de quem descobre a própria imagem numa conta alheia. Se aparecer numa cena que nunca existiu, o caso é outro e tem norma própria: quando a imagem é nova e você nunca posou para ela. Este artigo publica o gatilho, não o método: os dois textos vizinhos já trazem a coleta de prova e os canais certos de cada caso.

E a pergunta que aparece em toda busca sobre vazamento: como descobrir se o meu rosto já está sendo usado? A resposta honesta é pelo negativo. O atalho que a internet oferece é o que o material oficial manda evitar, e a razão está no item 6 da lista de primeiras providências. O que resta é legítimo e chato: observar os seus próprios canais, levar a sério o aviso de um conhecido que viu algo estranho e usar o método de busca por imagem que já está publicado no texto sobre perfil falso.

Se em algum momento você decidir atualizar a sua imagem profissional, que seja por decisão sua e não por susto. As regras de enquadramento, roupa e fundo continuam sendo as de sempre, e estão reunidas no guia que trata da imagem que fica ao lado do seu nome na rede.

Quando a base é a do RH, o controlador é a empresa onde você trabalha

Existe um cenário que as páginas de vazamento quase nunca tratam, e é o mais comum com foto: a base que vazou é interna. Cadastro de admissão, sistema de ponto, crachá, controle de acesso, intranet, a pasta compartilhada com as fotos usadas no site. Aqui a pergunta muda de figura. Não é "fui vítima de um golpe", é "quem tratava o meu rosto, com qual base legal e por quanto tempo".

Isso muda três coisas a seu favor. O controlador é identificável, que é justamente a condição sem a qual a autoridade não atua. O canal existe: quem tem encarregado designado publica o contato, e o pedido da seção anterior segue pelo mesmo caminho de qualquer outro pedido de titular. E o vínculo dá contexto ao inciso I: você consegue nomear os arquivos que sabe que a empresa tem, do documento enviado na admissão à foto tirada na portaria.

Três situações vizinhas já têm texto próprio e não vão ser reescritas aqui: o rosto lido por um sistema para liberar catraca e registrar ponto trata da biometria no trabalho e das perguntas para o RH; quando o rosto continua no ar em nome de um vínculo que acabou trata da imagem que sobra no site depois do desligamento; e o prazo de guarda dos arquivos de candidatura tem página só dele.

Um limite honesto para fechar a seção: nada disso é orientação trabalhista. Contrato, convenção coletiva, política interna e a relação com o empregador têm regras próprias, e a decisão de acionar sindicato, Ministério Público do Trabalho ou advogado depende do caso concreto. O que este texto entrega é a parte de proteção de dados, que vale igual para candidato, empregado e ex-empregado.

O que este texto não pode dizer

Este artigo lê norma publicada e a cita com data. Ele não é parecer jurídico e não avalia caso concreto. Três limites merecem estar escritos, porque são exatamente as perguntas que aparecem depois de um vazamento.

Indenização não é automática. Em 17/03/2023, a Segunda Turma do Superior Tribunal de Justiça decidiu que "o vazamento de dados não tem a capacidade, por si só, de gerar dano moral indenizável" e que é necessário que o titular comprove o efetivo prejuízo (AREsp 2.130.619). O relator ressalvou: "Diferente seria se, de fato, estivéssemos diante de vazamento de dados sensíveis, que dizem respeito à intimidade da pessoa natural". Em 13/02/2026, a Quarta Turma reafirmou a linha em outro contexto, o do cadastro positivo, exigindo a comprovação de "abalo significativo" aos direitos de personalidade do titular (REsp 2.221.650), e a relatora distinguiu os dados sensíveis, "cuja proteção é reforçada em razão de seu potencial discriminatório". Nenhuma das duas decisões julgou vazamento de imagem de rosto. A LGPD cria o dever de reparar no art. 42 e lista no art. 43 as hipóteses em que o agente não responde. Avaliar o seu caso é trabalho de advogado, Defensoria Pública ou órgão de defesa do consumidor, não deste artigo.

Prazo em norma é dever, não garantia. Os três dias úteis dizem o que a empresa deveria fazer. Eles não garantem que ela vá fazer, e o descumprimento não gera reparação automática para você. E lembre do prazo em dobro: se o controlador for agente de tratamento de pequeno porte, os mesmos três dias viram seis dias úteis, o que numa virada de ano pode empurrar o vencimento para o ano seguinte.

Não recomendamos serviço pago de monitoramento de vazamento. E não ensinamos ninguém a procurar base vazada ou a acessar dado de terceiro. Além de ser o oposto do que orienta o material oficial, é o tipo de atalho que transforma vítima em parte de um problema maior. Os canais citados aqui são gratuitos e públicos.

Resumo e próximos passos

Três frases carregam o artigo. O prazo é de três dias úteis, contados do dia em que a empresa soube que o incidente atingiu dados pessoais, e ele vale igual para a ANPD e para você, com contagem em dobro se o controlador for agente de pequeno porte. O aviso que chega até você tem sete itens obrigatórios, e o que mais falta é o sexto, a data do conhecimento, justamente o que permite conferir o prazo. E o que reverte um vazamento de senha não existe para vazamento de rosto: sobra registrar, cobrar por escrito e observar.

O passo seguinte é curto: abra o e-mail que você recebeu, marque quais dos sete incisos estão lá, copie o modelo de pedido desta página, nomeie fotografia e imagem de rosto no campo 3 e envie por um canal que gere protocolo. Só depois, se não vier resposta, a via da autoridade faz sentido.

Para continuar: se essa base veio de um processo seletivo, vale reler a foto que você anexou no começo, quando mandou o currículo, que é o guia do arquivo que costuma iniciar toda essa cadeia. E, para entender por que uma imagem carrega mais informação do que parece antes mesmo de vazar, vale o levantamento sobre o que mais viaja junto quando uma imagem sua sai por aí.