A LGPD não pergunta como o sistema foi feito
A Lei Geral de Proteção de Dados (Lei 13.709/2018) se aplica a qualquer empresa que trate dado pessoal de gente no Brasil, seja uma multinacional com time de segurança dedicado ou um founder que construiu o sistema sozinho usando ChatGPT, Claude, Lovable ou Cursor em um final de semana.
Isso significa que a responsabilidade legal existe independente do nível técnico de quem construiu o sistema. "Não sabíamos que dava para invadir" não é uma defesa reconhecida pela ANPD (Autoridade Nacional de Proteção de Dados), o órgão responsável por fiscalizar e aplicar a lei.
O que a lei prevê em caso de vazamento
Quando ocorre um incidente de segurança que afeta dado pessoal, a LGPD estabelece uma série de consequências e obrigações. Os principais pontos:
Multa administrativa
O artigo 52 da LGPD prevê multa de até 2% do faturamento da empresa no Brasil no último exercício, limitada a R$ 50.000.000,00 (cinquenta milhões de reais) por infração. A ANPD também pode aplicar multa diária, dentro desse mesmo limite.
Obrigação de notificação
A empresa é obrigada a comunicar o incidente à ANPD e a cada titular afetado em prazo razoável. Isso significa que, além da multa em si, a exposição pública do incidente vira parte inevitável da consequência — diferente de outros tipos de falha interna que uma empresa pode simplesmente corrigir sem ninguém saber.
Responsabilidade civil
O artigo 42 garante ao titular do dado o direito de exigir reparação por dano material, moral ou coletivo causado por infração à lei. Na prática, isso significa que uma pessoa cujo CPF ou e-mail vazou pode processar a empresa individualmente, ou o caso pode virar uma ação coletiva, que multiplica o valor potencial de indenização.
Sanções operacionais
Além da multa, a ANPD tem poder para determinar o bloqueio ou a eliminação dos dados relacionados à infração, e até a suspensão do funcionamento do banco de dados enquanto a irregularidade não for corrigida — o que, na prática, pode significar parar de operar até resolver.
Por que sistemas vibe-coded são um risco maior
Ferramentas de IA para criar sistemas (o que ficou conhecido como "vibe coding") são excelentes para gerar algo funcional rápido. O problema é que elas normalmente não avisam sobre configurações de segurança que deveriam existir:
- Banco de dados sem restrição real entre usuários (um cliente conseguindo ver dado de outro cliente)
- Chaves de acesso privadas expostas no código que roda no navegador de qualquer visitante do site
- Rotas internas (como painel administrativo) sem verificação de quem está chamando
Qualquer um desses três itens, sozinho, já é o tipo de falha que costuma estar por trás de um vazamento de dados real. E nenhum deles aparece testando o sistema como um cliente comum — só aparece quando alguém revisa por dentro.
O que fazer a respeito
A LGPD não exige que uma empresa pequena tenha o mesmo time de segurança de um banco. Mas exige diligência: medidas técnicas e administrativas razoáveis para proteger o dado que você guarda. Uma auditoria de segurança é exatamente isso — um jeito de demonstrar (para você mesmo, e se necessário para a ANPD) que essas medidas foram tomadas.
Ter um relatório de auditoria, com os riscos encontrados e corrigidos documentados, não é só uma questão técnica. É uma peça de diligência que pode fazer diferença real caso um incidente aconteça de qualquer forma.
Este artigo é conteúdo educativo sobre segurança técnica e não substitui orientação jurídica. Para avaliar a situação específica da sua empresa perante a LGPD, consulte um advogado especializado.