Uma violação de dados não se limita a um roubo de credenciais. O quadro regulatório europeu agora sobrepõe vários regimes jurídicos (RGPD, DSA) que criam obrigações distintas para os controladores de dados e as plataformas online. Para as pessoas afetadas, essa sobreposição abre alavancas de ação frequentemente subutilizadas.
Articulação RGPD e DSA: dois regimes cumulativos em caso de vazamento em uma plataforma
Quando uma violação de dados ocorre em uma grande plataforma, o RGPD impõe a notificação à CNIL e, em caso de risco elevado, a informação direta das pessoas. O regulamento sobre serviços digitais (DSA) acrescenta obrigações específicas para as plataformas online, especialmente em termos de transparência e gestão de riscos sistêmicos.
Esses dois regimes se acumulam, não se substituem. Uma plataforma que notifica uma violação sob o RGPD continua sujeita às suas obrigações DSA sobre a moderação de conteúdos resultantes da violação, por exemplo, a divulgação de bases de dados roubadas em seus próprios serviços.
Observamos que a maioria das pessoas não menciona o DSA em suas reclamações à CNIL. Mencionar explicitamente o DSA em uma queixa permite sinalizar à autoridade que a plataforma também falhou em suas obrigações de diligência. Várias fontes documentam essa dupla exigência, como os guias práticos da Mindtrap que detalham os recursos disponíveis de acordo com o tipo de plataforma envolvida.
Sanções CNIL em 2026: o que revelam os valores sobre a doutrina de controle
A CNIL não sanciona apenas a falha técnica. Em seu relatório publicado em 9 de setembro de 2026, a autoridade impôs uma multa de 27 milhões de euros contra um operador de telefonia móvel em 8 de janeiro de 2026. As infrações incluíam a segurança dos dados, mas também a falta de informação das vítimas.
O sinal é claro: uma empresa que sofre uma violação e demora a informar as pessoas afetadas se expõe a uma sanção autônoma apenas por esse atraso. Para um particular, isso significa que a ausência de notificação constitui, por si só, uma reclamação admissível perante a CNIL.
Dados de saúde: um nível de risco jurídico superior
Em 3 de setembro de 2026, a CNIL sancionou um hospital privado em 500 000 euros por uma violação de dados de saúde. Os dados médicos gozam de um regime de proteção reforçado sob o artigo 9 do RGPD. Sua divulgação pode levar a discriminações em seguros, emprego ou crédito, muito além do risco clássico de phishing.
Recomendamos às pessoas cujos dados de saúde vazaram que documentem sistematicamente qualquer recusa ou mudança nas condições contratuais ocorridas após a violação. Esses elementos constituem provas de prejuízo no âmbito de uma ação de reparação.
Direitos das vítimas de vazamentos de dados: alavancas concretas frequentemente ignoradas
Os artigos voltados ao público em geral se concentram na mudança de senha e na vigilância contra phishing. Essas medidas são necessárias, mas cobrem apenas uma fração das ações disponíveis.
- Direito de acesso reforçado (artigo 15 RGPD): solicitar ao controlador de dados a lista exata das categorias de dados comprometidos, os destinatários a quem foram comunicados e a data precisa de detecção da violação. Este direito obriga a entidade a fornecer uma resposta documentada em até um mês.
- Queixa à CNIL com dupla fundamentação: invocar simultaneamente a falha na segurança (artigo 32 RGPD) e a falta de notificação às pessoas (artigo 34 RGPD). Mencionar o DSA se a violação envolver uma plataforma online sujeita a esse regulamento.
- Ação de reparação do prejuízo: o RGPD abre um direito à reparação do dano material ou moral (artigo 82). Documentar as tentativas de fraude recebidas após a violação, as diligências administrativas realizadas e o tempo dedicado a proteger suas contas constitui um dossiê utilizável perante o juiz civil.
- Monitoramento ativo do IBAN: em caso de vazamento de uma credencial bancária, contatar seu banco para ativar uma lista branca de credores autorizados em débito SEPA. Contestação de qualquer débito não reconhecido dentro de um prazo de 13 meses.
Segurança das contas após um vazamento: além da senha
Mudar uma senha comprometida não é suficiente se a mesma credencial (endereço de e-mail) serve como pivô de autenticação em vários serviços. A reutilização de credenciais continua sendo o principal vetor de exploração após um vazamento.
Um gerenciador de senhas gera credenciais únicas por serviço, mas a camada de proteção determinante continua sendo a autenticação multifatorial (MFA). Priorizar um aplicativo TOTP ou uma chave física FIDO2 em vez do SMS, cuja interceptação por SIM swapping está documentada.
Monitorar seus dados expostos na web
Vários serviços permitem verificar se um endereço de e-mail está em uma base de dados comprometida. Essas ferramentas não substituem a notificação obrigatória pelo controlador de dados, mas preenchem uma lacuna: alguns vazamentos nunca são notificados às vítimas, seja por negligência, seja porque a entidade contestou a qualificação de violação.
Configurar alertas para suas credenciais principais permite reagir antes de receber uma notificação oficial, se esta chegar um dia.
O quadro jurídico europeu oferece às vítimas de vazamentos de dados recursos mais amplos do que apenas medidas de higiene digital. Documentar a cronologia da violação, invocar os fundamentos jurídicos corretos e explorar a complementaridade RGPD-DSA transforma uma postura defensiva em uma alavanca de ação real contra as entidades falhas.
