Sétimo país mais atacado do mundo, com vazamentos em série e ataques a órgãos públicos triplicando. O problema não é falta de lei — é falta de consequência.
Toda vez que um vazamento de dados vira notícia no Brasil, o roteiro se repete com uma precisão quase litúrgica. A empresa reconhece “um incidente”, afirma que agiu “em estrita conformidade com a LGPD”, sustenta que não houve risco relevante aos titulares, e o assunto morre em uma semana. Enquanto isso, o CPF de milhões de pessoas segue circulando em fórum de criminoso, e ninguém devolve nada — porque dado vazado não se devolve.
Os números tiraram o debate do campo da percepção. Um relatório da empresa de cibersegurança DeepStrike apontou o Brasil como o 7º país mais atacado digitalmente em 2025, e 2026 é projetado como o período mais desafiador para o país, com intensificação de fraudes apoiadas em inteligência artificial, ataques à cadeia de suprimentos e aumento de casos de ransomware. Em 2025, o país já havia registrado o maior ataque ao sistema financeiro nacional.
No setor público, o cenário é ainda mais grave: o número de ataques cibernéticos contra órgãos públicos brasileiros mais que triplicou em um ano. Não é um problema de imagem — é um problema de continuidade de serviço. Prefeitura parada significa alvará não emitido, folha não paga, cirurgia remarcada. A Autoridade Nacional de Proteção de Dados (ANPD) incluiu o tratamento de dados pessoais pelo Poder Público entre suas prioridades de fiscalização para o biênio 2026-2027, e a decisão é acertada. Chega tarde.
O caso mais didático do semestre veio do setor privado. Em maio, um agente de ameaças publicou em um fórum de vazamentos a alegação de possuir dezenas de milhões de registros de usuários brasileiros do iFood; a empresa confirmou um vazamento de 1,2 milhão de usuários e sustentou que o evento, ocorrido em dezembro de 2025, foi isolado, rapidamente neutralizado e dispensava comunicação por não acarretar risco relevante — critério previsto na regulamentação. A ANPD notificou a companhia para prestar informações.
Repare no ponto de atrito, porque ele é a chave de tudo: quem decide se um vazamento é “relevante” é, na prática, a própria empresa vazada. É a organização que errou que avalia a gravidade do próprio erro e conclui se precisa avisar você. Esse desenho, tal como está sendo operado, transforma o dever de transparência em decisão discricionária de gestão de crise.
Não estou dizendo que a LGPD é inútil — ao contrário. Ela criou obrigações concretas, deu à ANPD poder de sanção de até 2% do faturamento, limitado a R$ 50 milhões por infração, e produziu a primeira geração brasileira de profissionais de privacidade. A fiscalização também mudou de patamar: a autoridade saiu da fase pedagógica e passou a autuar, com foco em ausência de base legal, vazamentos, falta de transparência e segurança da informação precária.
O problema é de escala e de velocidade. Multa de até R$ 50 milhões é dissuasiva para uma empresa de médio porte e é linha de despesa operacional para uma gigante. E o tempo do processo administrativo sancionador não conversa com o tempo do crime: o dado é monetizado em dias, a sanção sai em anos. Quando a punição chega, o prejuízo já foi todo distribuído — para você, não para quem falhou.
Há três correções possíveis e nenhuma delas exige lei nova. Primeira: padrão técnico mínimo obrigatório de segurança, tema que já está na agenda regulatória da ANPD — hoje “medidas técnicas e administrativas adequadas” é um conceito elástico o bastante para acomodar quase qualquer negligência. Segunda: notificação individual como regra, com o ônus de provar a irrelevância recaindo sobre a empresa, e não sobre o titular. Terceira: responsabilização de dirigentes em casos de negligência reiterada — enquanto segurança for custo de TI e não risco de diretoria, ela vai perder todo orçamento para o que gera receita.
E, do lado do cidadão, cinco minutos de defesa valem mais que qualquer indignação: autenticação em dois fatores em banco, e-mail e redes; senha única por serviço, em gerenciador; desconfiança sistemática de qualquer contato que crie urgência; e Registrato do Banco Central para checar se existe crédito no seu nome. Com fraude assistida por IA, o golpe agora tem a voz do seu parente e o texto sem erro de português. A regra velha continua valendo, só ficou mais difícil: confirme por outro canal.
O Brasil não é atacado por azar. É atacado porque é um mercado grande, digitalizado, bancarizado e com custo de negligência baixo. Enquanto proteger dados for mais caro do que vazá-los, a conta vai continuar chegando para o lado errado do balcão.
