Vazamento de dados em SaaS e fintech: LGPD e como evitar multa em 2026

Sua empresa coleta dados de clientes — nome, email, CPF, endereço, cartão, dados bancários. Você sabe disso. O que talvez você não saiba: se um desses dados vazar, sua empresa pode ser multada em até 2% do faturamento (limite de R$ 50 milhões por infração) — e isso ainda é a parte mais barata da conta.

Esse texto explica, em linguagem normal, três coisas:

• O que a lei exige antes do vazamento (preventivo)
• O que a lei exige depois do vazamento (reativo)
• Como evitar tudo isso, sem virar especialista em LGPD

O que é “vazamento de dados” perante a lei

A LGPD (Lei 13.709/2018) chama de incidente de segurança qualquer situação em que dados pessoais foram acessados, alterados ou divulgados por quem não deveria. Inclui:

• Banco de dados invadido por hacker (clássico)
• Funcionário acessando dados que não deveria
• Email enviado em cópia errada com dados pessoais
• Cliente A conseguindo ver dados do cliente B no sistema (bug)
• Backup do banco em S3/Drive público sem senha
• Dados de cliente em arquivo perdido no transporte
• Engenharia social que enganou funcionário

Repare: nem todo vazamento envolve hacker. Boa parte dos casos públicos foi configuração errada, bug de sistema, ou funcionário descuidado. Você não precisa ser atacado por gênio do crime cibernético — basta a configuração padrão do servidor estar errada.

Quanto custa um vazamento, na prática

A multa da ANPD

A Autoridade Nacional de Proteção de Dados (ANPD) pode aplicar:

• Advertência (mais leve)
• Multa simples — até 2% do faturamento, limitada a R$ 50 milhões por infração
• Multa diária — para descumprimento contínuo
• Publicização da infração — sua empresa em comunicado público da ANPD
• Bloqueio dos dados pessoais até regularização
• Eliminação dos dados pessoais
• Suspensão parcial do banco de dados — até 6 meses
• Suspensão da atividade de tratamento — até 6 meses
• Proibição parcial ou total de exercer atividades

Mas a multa não é o pior

Somando os itens acima, o impacto total típico de um vazamento de porte médio em SaaS ou e-commerce brasileiro fica entre R$ 500.000 e R$ 5 milhões — variando conforme volume de dados, natureza dos dados expostos e tamanho da base de clientes.

O que a lei exige da sua empresa ANTES de qualquer vazamento

A LGPD não exige perfeição. Exige que você tenha adotado medidas razoáveis de proteção. O Art. 46 fala explicitamente em “medidas técnicas e administrativas aptas a proteger os dados pessoais”. Em fiscalização da ANPD, o que tem peso:

• Pentest documentado e recente (últimos 12 meses) — prova concreta de medida técnica ativa
• Política de privacidade publicada e atualizada
• Encarregado de Dados (DPO) designado formalmente
• Inventário de dados pessoais mantido pela empresa
• Contratos com operadores (Vercel, AWS, Stripe etc.) com cláusula de proteção de dados
• Plano de resposta a incidente escrito
• Trilhas de auditoria (logs) com retenção mínima

Empresas que tinham todos esses itens antes do incidente recebem multa drasticamente menor — em alguns casos, só advertência. Empresas que não tinham são tratadas como negligentes — multa máxima.

O que a lei exige da sua empresa DEPOIS do vazamento

Aqui o relógio começa a correr.

Comunicar a ANPD

Art. 48 da LGPD: o controlador deve comunicar à ANPD em prazo razoável qualquer incidente que possa acarretar “risco ou dano relevante”. A Resolução CD/ANPD nº 15/2024 fixa esse prazo em 3 dias úteis. Atrasar agrava a multa.

A comunicação deve incluir:

• Natureza dos dados afetados
• Número aproximado de titulares
• Riscos envolvidos
• Medidas já adotadas
• Cronograma de comunicação aos titulares

Comunicar os clientes afetados

A lei exige comunicação direta aos titulares cujos dados foram afetados. Sem rodeio. Em linguagem clara. Por canal idôneo (email, push, ou comunicado público se inviável individualizar).

Esconder não funciona. Hoje, a ANPD recebe denúncias de clientes em volume crescente. Muitos vazamentos descobertos primeiro pela imprensa antes da empresa ter chance de comunicar oficialmente — e nesses casos a punição é máxima.

Documentar

Tudo. Quando descobriu, como descobriu, quem decidiu o quê, em que horário, com qual base. Esse documento é a defesa da empresa em eventual processo administrativo.

O caminho que a maioria escolhe (e por que dá errado)

A reação típica de dono de empresa que descobre que “tem que se adequar à LGPD” é:

1. Contrata advogado pra escrever a política de privacidade
2. Designa um DPO (geralmente o CFO ou advogado externo)
3. Faz inventário de dados em planilha
4. Treina a equipe em workshop de 2 horas
5. Bate o martelo: “estamos adequados”

Esse processo cobre a parte burocrática da LGPD. Mas ignora a parte mais arriscada: a parte técnica do seu sistema. Se o sistema tem bug que permite vazamento, todo o trabalho jurídico vira figurinha colada — porque o vazamento vai acontecer mesmo assim, e a ANPD vai perguntar: “quais medidas técnicas vocês adotaram pra evitar isso?”.

E aqui entra o ponto que ninguém te conta antes do incidente.

A camada que falta: validação técnica independente

Adequar à LGPD no papel é a parte fácil. Garantir que o sistema realmente protege os dados é a parte que protege a empresa de verdade. Essa segunda parte só pode ser feita por terceiro técnico independente — alguém treinado pra tentar invadir a sua plataforma e mostrar o que está vulnerável.

Esse processo se chama pentest (teste de invasão). É contratado, com NDA, com escopo definido. O resultado é um relatório técnico mostrando:

• Quais bugs específicos permitem vazamento de dados pessoais agora
• Como cada bug pode ser explorado (com prova)
• Como corrigir cada bug
• Validação após correção

Pentest documentado não é “aceito” ou certificado pela ANPD — a autoridade não valida relatórios de terceiros. Mas é evidência concreta de medida técnica adotada (Art. 46), útil em fiscalização, due diligence de cliente ou resposta a incidente. Ter esse documento pronto muda a conversa: em vez de alegar que protegeu os dados, a empresa mostra.

Quanto custa fazer direito vs quanto custa o vazamento

Conta financeira: prevenção custa 1% a 5% do que custa o vazamento. E ainda tem o ganho intangível — você dorme.

O que fazer agora (passos práticos)

Passos jurídicos (você ou seu advogado faz)

1. Publicar política de privacidade clara em /privacidade
2. Publicar termos de uso em /termos
3. Designar DPO formalmente (carta, contrato, ata)
4. Fazer inventário de dados pessoais em planilha
5. Revisar contratos com operadores (cláusula de proteção de dados)
6. Escrever plano de resposta a incidente em 2–3 páginas

Passos técnicos (precisa de empresa especializada)

1. Pentest formal com escopo focado em dados pessoais
2. Relatório técnico + executivo formatado para LGPD
3. Plano de remediação priorizado
4. Re-test após correção
5. Considerar recorrente para monitoramento contínuo

Como a No Vuln entra

A No Vuln faz a parte técnica. Pentest com relatório formatado para evidência LGPD: sumário executivo alinhado ao Art. 46, mapa de findings × tipo de dado pessoal afetado, severidade calibrada (técnica + impacto LGPD), plano de remediação 30/60/90 dias, re-test incluso.

Pentest LGPD para empresa pequena (1 sistema, dados básicos): pacote Sprint (25h), R$ 8.750 a R$ 12.500. Empresa média (múltiplos sistemas + integrações): Deep Dive (50h), R$ 17.500 a R$ 25.000. Empresa grande ou dados sensíveis: Full Scope (100h+), a partir de R$ 35.000.

Para o investimento médio que essa rota representa, você sai do cenário de “esperar acontecer” para o cenário de “temos evidência documentada de que o sistema está protegido”. A diferença, na hora de uma fiscalização ou auditoria de cliente, é literalmente de ordem de grandeza.

Marca uma call com a No Vuln. Em 30 minutos a gente avalia o que faz sentido pra sua empresa e te manda proposta formal em 3 dias úteis. NDA bilateral antes de qualquer conversa técnica.