O vazamento custa mais do que a invasão

O custo médio de uma violação de dados no Brasil atingiu R$ 7,44 milhões em 2026, o maior valor já registrado pelo levantamento Cost of a Data Breach. Em saúde, setor que concentra informações especialmente sensíveis, a média chega a R$ 12,55 milhões por incidente. Prestação de serviços e tecnologia também aparecem entre os segmentos mais afetados, com custos médios de R$ 8,96 milhões e R$ 8,63 milhões, respectivamente.

Um incidente não termina quando o acesso indevido é bloqueado. A empresa precisa identificar quais informações foram atingidas, quem são os titulares envolvidos, avaliar os riscos, preservar evidências, decidir sobre comunicações, responder aos titulares, coordenar fornecedores e demonstrar quais providências foram adotadas. Dependendo do caso, entram ainda impactos reputacionais, operacionais e regulatórios.

O episódio recentemente comunicado pelo Hospital Sírio-Libanês ajuda a visualizar essa dimensão. Em setembro, a instituição identificou um possível acesso não autorizado a um sistema interno de relatórios relacionado a alguns de seus projetos sociais. Segundo o próprio hospital, entre as informações potencialmente atingidas estão dados cadastrais, raça, etnia, orientação de gênero e informações de atendimentos de saúde. O caso foi comunicado à ANPD e à Polícia Federal, houve investigação técnica e os públicos potencialmente afetados passaram a ser informados.

O exemplo acima serve para mostrar o que acontece depois que um incidente tem acesso a dados pessoais.

Nesse momento, Segurança da Informação é indispensável, mas a resposta deixa de ser exclusivamente tecnológica. É necessário compreender os tratamentos envolvidos, classificar os dados, avaliar riscos aos titulares, cumprir obrigações regulatórias, organizar a comunicação e documentar cada decisão.

Improvisar nessa etapa, sai caro. O próprio levantamento mostra que sistemas complexos e ferramentas desconectadas adicionam, em média, mais de R$ 645 mil ao custo de uma violação no Brasil, enquanto o uso corporativo de sistemas e serviços sem autorização das equipes responsáveis acrescenta aproximadamente R$ 720 mil. O comprometimento de parceiros e fornecedores, por sua vez, gera prejuízo médio de R$ 7,32 milhões por ocorrência.

Por isso, um programa de privacidade não deve esperar para quando ocorrer um vazamento. Antes dele, a empresa precisa conhecer seus fluxos de dados, definir responsabilidades, avaliar fornecedores, estabelecer procedimentos de resposta a incidentes, revisar acessos, treinar pessoas e saber exatamente quem deve tomar cada decisão quando algo acontecer.

A Data Protection Brasil atua na estruturação de programas de proteção de dados considerando a realidade, os serviços e os riscos específicos de cada empresa. Realizamos o mapeamento das atividades de tratamento, revisão de políticas e contratos, avaliação de fornecedores, análise de riscos, definição de procedimentos e adequação de novos produtos e serviços às exigências de proteção de crianças e adolescentes.

Também atuamos como DPO terceirizado, acompanhando continuamente os tratamentos e apoiando a empresa na gestão de incidentes, no atendimento aos titulares e na interlocução com a ANPD.Entre em contato conosco.

Fernanda Gonçalves

Advogada | Data Protection Brasil