Documentos pessoais vazaram: o que fazer, passo a passo

Quando um documento pessoal vaza, o caminho é descobrir o que vazou, mapear quem tem a cópia, reduzir o uso indevido dos dados, registrar o incidente e cobrar a empresa responsável. Nenhum desses passos recolhe uma cópia já espalhada, mas juntos reduzem o dano e deixam tudo documentado.

Primeiro: o que exatamente vazou

Nem todo vazamento tem o mesmo peso. Um holerite com nome e salário é diferente de um RG com foto, e os dois são diferentes de um contrato com número de conta bancária. Antes de agir, escreva o que estava no arquivo: CPF, RG, endereço, data de nascimento, dados de conta, assinatura, foto. Essa lista define o que você precisa proteger.

Segundo: descubra por onde a cópia saiu

Procure a origem. Se o documento foi enviado por você, confira o e-mail, o WhatsApp e a nuvem para saber a quem foi mandado. Se o documento foi entregue a uma empresa ou a um órgão, peça o registro de quem teve acesso. Se o arquivo tinha uma marca d’água com código, a planilha de envios mostra o destinatário. O guia sobre marca d’água para rastrear vazamento explica como montar esse controle antes que ele seja necessário.

Essa etapa precisa ser feita com calma. Uma cópia que aparece na internet pode ter saído de um envio legítimo, de uma conta invadida ou de um aparelho perdido. Cada origem pede um caminho diferente.

Terceiro: reduza o uso indevido

Com o vazamento mapeado, o foco é impedir que os dados sejam usados. Três ações resolvem a maior parte dos casos:

1. Troque as senhas das contas afetadas. Comece pelo e-mail, porque ele recupera as outras contas. Ative a verificação em duas etapas onde houver a opção.
2. Avise o banco e confira as transações. Peça a inclusão de alerta em movimentações fora do padrão. Se houver cobrança ou conta que você não reconhece, conteste por escrito.
3. Consulte os órgãos de proteção ao crédito. Veja se há consultas ou cadastros em seu nome que você não reconhece e, se o serviço oferecer, peça aviso de novas consultas. O Registrato, do Banco Central, também lista contas e relacionamentos bancários ligados ao seu CPF.

Quarto: registre o incidente

O registro é o que transforma o vazamento em fato documentado. Um boletim de ocorrência (em muitos estados, pela delegacia virtual) serve para comprovar o incidente diante do banco, de órgãos e da própria empresa. Guarde o número do protocolo, o print do e-mail com o arquivo e a data em que você soube do vazamento. Essas três coisas se pedem depois, e é mais difícil reconstruí-las de memória. Quem enviou o arquivo por engano e precisa decidir sobre a comunicação à ANPD encontra o roteiro em PDF enviado para a pessoa errada.

Se o vazamento veio de uma empresa, envie uma comunicação por escrito pedindo informações: quais dados foram expostos, quem teve acesso, o que foi feito e quais medidas foram tomadas. Guarde a resposta e, se ela não vier, passe ao próximo passo.

Quinto: cobre a empresa e a autoridade

A Lei Geral de Proteção de Dados, no artigo 48, prevê que o controlador comunique à Autoridade Nacional de Proteção de Dados e ao titular a ocorrência de incidente de segurança que possa acarretar risco ou dano relevante. Isso vale para empresas, órgãos e outras organizações que tratam dados pessoais. Se a comunicação não chegou, o primeiro passo é reclamar à própria empresa por escrito. A LGPD (art. 18, § 1º) permite ao titular peticionar à ANPD contra o controlador, e a lei prevê que a ANPD aprecie a petição depois de comprovada a reclamação à empresa que não foi resolvida no prazo regulamentado. O prazo para a comunicação do incidente é definido em regulamento da ANPD (o texto de 2024 fala em três dias úteis); confira a norma vigente no site da autoridade.

Esse passo não depende de prova perfeita. Basta mostrar o que foi exposto, a origem provável e a falta de resposta. A autoridade avalia o caso com base no que você apresentar, por isso vale juntar as provas antes de registrar.

Um arquivo vazado não volta atrás. O que você controla é o uso que se faz dele a partir de agora.

O que não dá para fazer

Vale ser honesto sobre o limite. Não existe ferramenta que apague uma cópia já baixada por outra pessoa. Um PDF que foi a uma caixa de entrada alheia, a um grupo de mensagens ou a um site público não pode ser recolhido por você. O que dá para fazer é pedir a remoção por escrito, registrar a resposta e reduzir o dano com as ações acima.

Também não existe “limpeza” que devolva ao documento o sigilo perdido. Se o arquivo com seus dados foi publicado, o melhor a fazer é tratar os dados como comprometidos e agir sobre eles, não sobre o arquivo.

Para o futuro: como enviar sem repetir o problema

Para o próximo envio, proteja o arquivo com senha antes de mandá-lo. A ferramenta de proteger PDF do AjustaPDF aplica criptografia AES de 256 bits e não guarda a senha. A senha precisa seguir por outro canal, e o documento deve ter só os dados necessários. Quando for só para conferência, a tarja de CPF e outros dados é um passo que ajuda antes do envio.

Para pedir à empresa quais dados ela tem sobre você, veja como fazer um pedido de dados com base na LGPD. Para os casos específicos, o guia sobre enviar CPF e RG em PDF com segurança mostra o que fazer antes de qualquer envio, e o texto sobre boletim de ocorrência online e anexos em PDF ajuda a organizar as provas para o registro.