Vazamento de dados na rastreadora: você tem 3 dias úteis para avisar a ANPD

Se um funcionário mandou a planilha de clientes para o e-mail errado, se alguém entrou no painel com a senha de um ex-colaborador ou se sua base vazou em um ataque, sua rastreadora tem três dias úteis para comunicar o incidente à ANPD e aos titulares afetados, contados do momento em que você tomou conhecimento do caso. O prazo está no artigo 6º da Resolução CD/ANPD nº 15/2024 e vale igual para a central com 200 placas e para a de 20 mil. Se sua empresa se enquadra como agente de tratamento de pequeno porte, os prazos são contados em dobro.

Ninguém descobre isso num dia tranquilo. Descobre na segunda-feira em que o cliente liga perguntando por que recebeu uma mensagem estranha com o endereço da casa dele. Abaixo está o roteiro para não queimar o prazo.

O que a ANPD considera incidente relevante na sua operação?

Não é todo erro que vira comunicado. O artigo 5º da resolução define incidente relevante como aquele que pode afetar de forma significativa os direitos fundamentais dos titulares e envolve pelo menos um destes elementos: dados pessoais sensíveis, dados de crianças, adolescentes ou idosos, dados financeiros, credenciais de acesso, dados protegidos por sigilo legal ou profissional, ou dados em larga escala.

Traduzindo para a rotina de uma central, os casos que mais aparecem são:

• Exportação da base de clientes — nome, CPF, telefone, endereço, placa — enviada para fora da empresa.
• Login de operador ou instalador que continuou ativo depois do desligamento.
• Acesso indevido ao histórico de localização de um veículo específico, em geral em contexto familiar ou de litígio.
• Planilha de cobrança com dados bancários e inadimplência compartilhada em grupo de WhatsApp.
• Cópia ou sequestro do banco de dados do servidor.

Três dos cinco não envolvem hacker nenhum. São erro de processo e falta de controle de acesso — o que usuários nominais e perfis de permissão separados resolvem antes de virar caso de ANPD.

Histórico de localização conta como dado sensível?

Pela letra da LGPD, não. A lista do artigo 5º da lei é fechada — origem racial ou étnica, convicção religiosa, opinião política, filiação sindical, saúde, vida sexual, dado genético e biométrico — e localização não está lá.

Isso não te salva: o histórico de deslocamento de milhares de placas é tratamento de dados em larga escala, o outro gatilho do artigo 5º da resolução, e revela indiretamente endereço residencial e local de trabalho. Uma rastreadora que perde base de localização deve tratar o caso como incidente relevante por padrão, em vez de procurar enquadramento para deixar de comunicar.

Quem comunica a ANPD: você ou o cliente com frota?

Depende do papel que sua empresa exerce em cada contrato, e a maioria das rastreadoras exerce os dois ao mesmo tempo sem ter isso escrito em lugar nenhum. O artigo 48 da LGPD coloca o dever de comunicar no controlador, quem decide a finalidade do tratamento.

Situação	Seu papel	Quem comunica
Cliente pessoa física que contrata o rastreamento do carro dele	Controladora	Sua rastreadora, para a ANPD e para o titular
Transportadora que usa seu painel para monitorar os motoristas dela	Operadora, na maior parte do tratamento	A transportadora. Seu dever imediato é avisá-la por escrito
Seu cadastro financeiro, boletos e contratos da base	Controladora	Sua rastreadora

Se o contrato com o cliente de frota não diz quem é controlador e quem é operador, você descobre isso discutindo responsabilidade no meio da crise. A cláusula pronta nos contratos digitais custa cinco minutos agora e um advogado depois.

O roteiro dos três dias úteis

1. Primeiras horas: contenha. Revogue o acesso usado, troque as senhas administrativas, suspenda a integração comprometida. Não apague nada — log apagado é prova perdida.
2. Dia 1: meça o escopo. Quantos titulares, quais campos, qual período. Sem esse número você não preenche o formulário da ANPD, que exige a quantidade de afetados.
3. Dia 1: defina o papel. Em cada base afetada, você é controladora ou operadora? Se for operadora, o aviso ao cliente sai no mesmo dia.
4. Dia 2: monte a comunicação. O artigo 6º exige natureza e categorias dos dados, número de titulares, medidas de segurança que existiam, riscos identificados, providências de mitigação, data do incidente, data em que você soube e contato do encarregado.
5. Dia 3: protocole e avise os titulares. A comunicação vai pelo canal de Comunicação de Incidente de Segurança no gov.br. O aviso aos titulares corre no mesmo prazo, pelo artigo 9º.

Como avisar milhares de titulares sem travar a central

Aqui a operação trava de verdade. A resolução pede comunicação direta e individualizada, em linguagem acessível, quando é possível identificar o titular — e na sua base é sempre possível, porque você tem telefone e e-mail de todo mundo. Só quando isso é inviável ela admite divulgação em canal de ampla visibilidade, por no mínimo três meses.

Ligar um a um para 4 mil clientes não é opção, e esconder num aviso no site também não. O caminho é disparo nominal por e-mail, SMS ou WhatsApp, com registro de quem recebeu. É para esse tipo de comunicação em massa que a Findit, plataforma de gestão para empresas de rastreamento veicular, mantém integração com WhatsApp Business e envio de SMS ligados à base: o mesmo canal da cobrança serve para a notificação obrigatória, com o cadastro já segmentado por contrato e por placa. Deixe o modelo de aviso pronto antes de precisar dele.

O que acontece se você não comunicar

O artigo 52 da LGPD prevê multa simples de até 2% do faturamento no Brasil no último exercício, limitada a R$ 50 milhões por infração, além de advertência, publicização da infração e bloqueio dos dados. Para uma rastreadora que fatura R$ 3 milhões por ano, o teto de 2% dá R$ 60 mil — valor que não quebra a empresa, mas a publicização num mercado que vende confiança custa muito mais que isso em churn.

E tem o detalhe que passa batido: o artigo 10 da resolução manda guardar o registro de todo incidente por no mínimo cinco anos, inclusive dos que você decidiu não comunicar. Se a ANPD pedir, você mostra a avaliação de risco que te levou a concluir que o caso não era relevante. Decisão sem registro equivale a omissão.

Perguntas frequentes

O prazo de três dias úteis conta do vazamento ou de quando eu descobri?

De quando você tomou conhecimento. O artigo 6º da Resolução CD/ANPD nº 15/2024 fala em prazo contado da ciência do incidente pelo controlador. Um vazamento ocorrido em março e descoberto em outubro tem prazo começando em outubro — mas você vai precisar justificar a demora.

Minha rastreadora é pequena. O prazo é o mesmo?

Se sua empresa se enquadra como agente de tratamento de pequeno porte nos critérios da ANPD, os prazos do artigo 6º são contados em dobro, chegando a seis dias úteis. O dever de comunicar não muda, só o prazo — e o registro de cinco anos vale igual.

Preciso ter encarregado de dados para operar uma central de rastreamento?

O artigo 41 da LGPD exige que o controlador indique um encarregado, e a comunicação de incidente pede o contato dele. Não precisa ser cargo novo: pode ser o sócio, o gestor da central ou um escritório externo, desde que o nome e o canal estejam publicados e funcionando.

Se o vazamento foi do fornecedor do rastreador, a responsabilidade é dele?

Perante o titular, você responde como controladora do seu cadastro, independentemente de onde a falha nasceu. Dá para buscar o fornecedor em regresso depois, se o contrato com ele tiver cláusula de responsabilidade e obrigação de avisar você em prazo menor que o seu. Sem essa cláusula, o prejuízo fica todo do seu lado.

Três tarefas para esta semana, nenhuma delas custa dinheiro: liste quem tem acesso ao painel e ao financeiro e desative o que sobrou de gente que saiu; escreva numa página o roteiro dos três dias úteis com quem faz cada passo; revise os contratos dos clientes com frota para definir controlador e operador.

Centralizar cadastro, contratos, cobrança e comunicação num único sistema é o que torna esse roteiro executável em 2026: na hora do incidente você precisa saber em minutos quais titulares foram afetados. A Findit é a plataforma de gestão para empresas de rastreamento veicular que reúne contratos digitais com assinatura eletrônica, gestão de clientes e placas, cobrança e canais de atendimento na mesma operação. Fale pelo WhatsApp ou conheça a plataforma em findit.com.br.

Vale revisar também o que sua central precisa ter em LGPD e como responder quando a polícia pede o histórico de localização. Fonte dos prazos: canal de Comunicação de Incidente de Segurança da ANPD e Resolução CD/ANPD nº 15, de 24 de abril de 2024.