Como este tema funciona no seu condomínio
O protocolo de resposta a um incidente de dados é o mesmo para qualquer porte — os quatro passos valem aqui igualmente. A diferença prática está na escala: o síndico morador provavelmente conhece pessoalmente todos os titulares afetados, o que torna a notificação individual mais direta. Incidentes comuns nesse porte envolvem grupos de WhatsApp com dados expostos, planilhas de cobrança compartilhadas indevidamente e e-mails enviados para o destinatário errado.
Com administradora contratada e mais sistemas em uso — app condominial, CFTV, controle de acesso —, o mapeamento de titulares afetados exige maior coordenação. Um incidente no sistema de controle de acesso ou na base de dados da administradora pode envolver dezenas de moradores simultaneamente. Vale ter um contato claro na administradora que responda rapidamente à contenção inicial.
O volume de dados tratados — moradores, funcionários, prestadores, visitantes — é maior, e as origens possíveis de um incidente se multiplicam: biometria, câmeras com IA, sistemas integrados, banco de dados da administradora. Condomínios desse porte têm mais a ganhar com um Encarregado de Dados (DPO) designado, mesmo que não obrigatório por lei. Em caso de incidente, a comunicação com centenas de titulares exige processo estruturado.
Um incidente de dados no condomínio é qualquer evento que resulte em acesso não autorizado, divulgação indevida, perda, alteração ou destruição de dados pessoais de moradores, funcionários ou visitantes. Não precisa envolver hacker: um e-mail enviado para o destinatário errado com uma planilha de boletos é um incidente de dados. A LGPD (Lei 13.709/2018) — em especial o art. 48 — obriga os controladores de dados a comunicar incidentes que possam acarretar risco ou dano aos titulares, tanto à ANPD (Autoridade Nacional de Proteção de Dados) quanto aos próprios afetados.
O que é um incidente de dados no contexto do condomínio
A primeira dificuldade para o síndico é reconhecer que um incidente de dados ocorreu. A imagem do hacker invadindo um servidor não corresponde à maioria dos casos reais. Na prática condominial, incidentes de dados acontecem com frequência e de forma silenciosa.[1]
Exemplos concretos de incidentes de dados em condomínios:
- Planilha com dados de moradores (nome, unidade, CPF, telefone, valor do boleto) compartilhada em grupo de WhatsApp de funcionários ou enviada para destinatário errado
- Grupo de WhatsApp de moradores invadido ou com participantes não autorizados que tiveram acesso a informações pessoais das conversas
- E-mail da administradora enviado para a lista de condôminos errada, expondo dados de outro condomínio
- Sistema de controle de acesso com banco de dados vazado ou acessado por ex-funcionário
- Câmeras de CFTV com acesso remoto não protegido por senha, disponíveis publicamente
- Documentos físicos com dados de moradores jogados no lixo sem destruição adequada
- Credenciais de acesso ao app condominial comprometidas por ataque de phishing
- Funcionário demitido que mantém acesso a sistemas e continua consultando dados
Em condomínios horizontais, um incidente pode envolver dados de controle de acesso de toda a via interna — mapeando horários e rotinas de todos os moradores. O volume de informação exposta tende a ser mais sensível por revelar padrões de movimento em área privativa extensa.
Identificado o evento, o síndico precisa agir em quatro passos. A ordem importa.
Passo 1 — Contenção: parar o vazamento antes de tudo
A contenção é a ação imediata. Antes de avaliar a gravidade, antes de notificar qualquer pessoa, o objetivo é interromper o acesso indevido ou o compartilhamento de dados que ainda estiver ativo.[2]
Ações de contenção dependem do tipo de incidente:
- Grupo de WhatsApp com dados expostos: remover os participantes não autorizados, apagar as mensagens com dados pessoais (ciente de que o conteúdo já pode ter sido salvo), encerrar o grupo se necessário
- E-mail enviado para destinatário errado: solicitar ao destinatário que desconsidere e exclua o e-mail; revogar acesso ao documento compartilhado se for link de drive
- Acesso não autorizado a sistema: bloquear as credenciais comprometidas imediatamente; trocar senhas de acesso; acionar o suporte técnico do fornecedor do sistema
- Câmera com acesso público: desconectar o sistema da internet até a senha ser configurada; acionar o fornecedor de CFTV
- Funcionário com acesso indevido: revogar credenciais de sistemas, chaves e cartões de acesso imediatamente após a rescisão
- Documentos físicos descartados indevidamente: recuperar os documentos se ainda for possível; acionar coleta especial de resíduos
Nesta fase, não há tempo para deliberação em assembleia. O síndico age com a autoridade de gestão que tem. O que for feito deve ser documentado — horário, ação tomada, responsável — pois esse registro compõe o relatório de incidente que virá a seguir.
Passo 2 — Avaliação: o incidente precisa ser notificado?
Nem todo incidente de dados obriga notificação à ANPD e aos titulares. O art. 48 da LGPD estabelece que a comunicação é devida quando o incidente puder "acarretar risco ou dano relevante aos titulares".[1]
A avaliação de gravidade considera principalmente:
- Natureza dos dados expostos: dados sensíveis (saúde, biometria, religião) exigem atenção maior do que dados de contato simples
- Volume de titulares afetados: exposição de dados de um morador versus dados de todo o condomínio têm impacto diferentes
- Probabilidade de uso indevido: o destinatário do e-mail errado é de confiança e confirmou a exclusão, ou é desconhecido?
- Reversibilidade: o acesso foi interrompido rapidamente, ou o dado circulou por tempo indeterminado?
- Possibilidade de dano concreto: risco de discriminação, fraude financeira, dano à reputação, ou o dado já é público?
A ANPD publicou regulamentação específica sobre comunicação de incidentes (Resolução CD/ANPD nº 15/2024 e regulamentos anteriores) que detalha critérios de gravidade e prazos. Consultar o portal da ANPD é obrigatório antes de concluir pela não notificação em casos de dúvida.[2]
A regra prática: se houver dúvida sobre a necessidade de notificar, notifique. O custo de notificar sem obrigação estrita é baixo. O custo de não notificar quando a lei exigia pode ser alto.
Importante: mesmo que o incidente não exija notificação à ANPD ou aos titulares, ele precisa ser registrado. Esse ponto está no Passo 4.
Passo 3 — Notificação: ANPD e moradores afetados
Se a avaliação indicar que o incidente pode acarretar risco ou dano relevante aos titulares, a LGPD impõe dois deveres simultâneos de comunicação: à ANPD e aos próprios titulares afetados.[1]
Notificação à ANPD
O art. 48 da LGPD determina que a comunicação à ANPD deve ocorrer em "prazo razoável". A regulamentação da ANPD especifica os prazos e o formato exigido — o canal oficial é o portal gov.br/anpd, onde está disponível o formulário de comunicação de incidente de segurança. O síndico ou a administradora (se for o operador dos dados) deve informar:
- Descrição da natureza dos dados pessoais afetados
- Informações sobre os titulares envolvidos
- Indicação das medidas técnicas e de segurança adotadas
- Riscos relacionados ao incidente
- Medidas adotadas ou que serão adotadas para reverter ou mitigar os efeitos
Para o detalhamento dos prazos e critérios vigentes de notificação à ANPD, consulte o artigo específico sobre comunicação de incidentes à ANPD — este artigo não duplica aquele conteúdo regulatório.
Notificação aos titulares afetados
A comunicação aos moradores, funcionários ou visitantes cujos dados foram comprometidos deve ser feita de forma clara e em linguagem acessível. Ela deve informar:
- O que aconteceu — sem minimizar, sem alarmar excessivamente
- Quais dados foram afetados
- O que o condomínio fez para conter o incidente
- O que os titulares podem fazer para se proteger
- Canal de contato para dúvidas
A notificação deve ser individual quando possível — circular genérica no quadro de avisos não substitui a comunicação direta ao titular afetado. Em incidentes que envolvam dados sensíveis, a notificação individual é especialmente importante.
Tom adequado: objetivo, direto, sem culpabilização e sem promessas que o condomínio não pode cumprir. Um e-mail ou mensagem via app condominial endereçado ao titular, com o conteúdo acima, já cumpre o requisito de forma adequada na maioria dos casos.
Passo 4 — Registro: documentar tudo, mesmo sem notificar
O registro do incidente é obrigatório independentemente de a notificação ter sido feita ou não. Documentar protege o síndico, demonstra boa-fé diante da ANPD em eventual fiscalização e é a base para melhorar as práticas de proteção de dados do condomínio.[2]
O registro de incidente deve conter:
- Data e hora em que o incidente foi identificado
- Descrição do evento: o que aconteceu, como foi descoberto, quem identificou
- Dados afetados: tipo de dado, quantidade de titulares, categorias de titulares (moradores, funcionários, visitantes)
- Medidas de contenção: o que foi feito, quando, por quem
- Avaliação de gravidade: critérios usados, conclusão sobre necessidade de notificação
- Notificações realizadas: data, forma, destinatários (ANPD e/ou titulares), conteúdo resumido
- Medidas corretivas: o que foi mudado para evitar recorrência
- Responsável pelo registro e data de conclusão
O registro deve ser mantido de forma segura — não em grupo de WhatsApp, não em e-mail pessoal, não em planilha sem controle de acesso. Uma pasta física ou arquivo digital com acesso restrito ao síndico e, se aplicável, ao Encarregado de Dados, é o mínimo aceitável.
Condomínios que já sofreram um incidente e registraram bem o ocorrido estão em posição muito melhor diante de uma eventual auditoria da ANPD do que aqueles que não têm registro nenhum. A ausência de registro, ao contrário, pode ser interpretada como indício de que o condomínio não trata dados pessoais com o cuidado que a LGPD exige.
Medidas para não repetir
Todo incidente deve disparar uma revisão das práticas que permitiram que ele ocorresse. As medidas preventivas mais comuns após incidentes condominiais incluem:
- Revisar quem tem acesso a grupos de WhatsApp com dados de moradores e funcionários
- Definir política de descarte seguro de documentos físicos com dados pessoais
- Estabelecer protocolo de revogação imediata de credenciais quando funcionário ou prestador encerra vínculo
- Treinar funcionários e a equipe da administradora sobre boas práticas de segurança de dados
- Revisar as permissões de acesso aos sistemas condominiais (app, CFTV, controle de acesso)
- Conferir se câmeras remotas têm senha configurada e acesso protegido
Como preparar o condomínio para responder rapidamente a um incidente
A resposta a um incidente de dados é significativamente mais eficaz quando o condomínio já tem um protocolo minimamente definido antes de qualquer ocorrência. Improvisar sob pressão, com moradores perguntando o que aconteceu, aumenta o risco de erros e de decisões tomadas sem documentação adequada.
Três medidas preventivas de alto impacto e baixo custo:
- Mapeie os dados que o condomínio trata. Saiba quais dados pessoais existem (cadastro de moradores, fichas de funcionários, registros de CFTV, logs de controle de acesso, dados do app), onde estão armazenados, quem acessa e com quem são compartilhados. Esse mapeamento — mesmo que básico — é o ponto de partida de qualquer resposta a incidente.
- Defina quem faz o quê em caso de incidente. Em um condomínio sem DPO, o síndico é o responsável central. Se há administradora, definir em contrato quem notifica a ANPD e quem comunica os titulares evita confusão em momento crítico.
- Tenha um modelo de registro pronto. Um formulário simples com os campos listados no Passo 4 já é suficiente. Não precisa ser sofisticado — precisa existir antes de ser necessário.
Condomínios grandes com maior volume de dados pessoais têm mais a ganhar com a designação formal de um Encarregado de Dados (DPO), conforme previsto na LGPD. Para condomínios pequenos e médios, a responsabilidade recai sobre o síndico com suporte da administradora.
O condomínio precisa de suporte jurídico ou de proteção de dados após um incidente?
Se o condomínio passou por um incidente de dados e há dúvidas sobre a necessidade de notificar a ANPD, como comunicar os moradores ou como estruturar a resposta adequada, o oHub conecta condomínios a advogados e consultores especializados em LGPD condominial. Em menos de 3 minutos, sem compromisso.
Encontrar fornecedores de Condomínios no oHub
Sem custo, sem compromisso. Você recebe propostas e decide se e com quem avançar.
Perguntas frequentes
O que fazer quando dados de moradores vazam no condomínio?
Agir em quatro passos: (1) contenção — interromper imediatamente o acesso ou compartilhamento indevido; (2) avaliação — verificar se o incidente pode causar risco ou dano relevante aos titulares; (3) notificação — comunicar à ANPD e aos moradores afetados se a avaliação indicar necessidade; (4) registro — documentar tudo, mesmo que a notificação não seja obrigatória. A contenção é o passo mais urgente: qualquer outra ação vem depois de parar o vazamento.
Quando o condomínio precisa notificar a ANPD sobre vazamento de dados?
Quando o incidente puder acarretar risco ou dano relevante aos titulares — conforme o art. 48 da LGPD e a regulamentação da ANPD sobre incidentes de segurança. Os critérios consideram o tipo de dado exposto, o volume de titulares afetados, a probabilidade de uso indevido e a reversibilidade do incidente. Incidentes com dados sensíveis (saúde, biometria) ou que envolvam muitos titulares tendem a exigir notificação. Em caso de dúvida, consulte o portal da ANPD ou um especialista antes de concluir pela não notificação.
O condomínio precisa avisar os moradores sobre incidente de dados?
Sim, quando o incidente puder causar risco ou dano relevante aos titulares afetados. A comunicação deve ser direta — dirigida ao morador cujos dados foram comprometidos — e deve informar o que aconteceu, quais dados foram afetados, o que o condomínio fez para conter o incidente e o que o morador pode fazer para se proteger. Circular genérica no quadro de avisos não substitui a comunicação individual quando há titulares identificados.
Quanto tempo o síndico tem para agir após um incidente de dados?
A contenção deve ser imediata — não há prazo para esse passo, é uma ação de urgência. A avaliação de gravidade deve ocorrer logo em seguida, de preferência no mesmo dia. Para a notificação à ANPD, o art. 48 da LGPD menciona "prazo razoável", detalhado na regulamentação específica da ANPD. Consulte o portal da ANPD para verificar os prazos vigentes — eles podem ter sido atualizados. O registro deve ser concluído assim que as ações de resposta forem encerradas.
Grupo de WhatsApp hackeado é incidente de dados que precisa ser notificado?
Depende do que estava no grupo e de quem teve acesso indevido. Se o grupo continha apenas mensagens de gestão sem dados pessoais identificáveis, pode não configurar incidente que exige notificação. Se havia dados de moradores — nome, unidade, situação financeira, informações de saúde —, a avaliação de gravidade é necessária e pode indicar obrigação de notificar. O acesso ao grupo por pessoa não autorizada que teve acesso a dados pessoais de moradores caracteriza um incidente de dados no âmbito da LGPD.
O condomínio pode ser multado pela ANPD por um incidente de dados?
A ANPD tem competência para aplicar sanções previstas na LGPD, que incluem advertência, multa e publicização da infração, entre outras. A ocorrência de um incidente em si não gera automaticamente sanção — o que é avaliado é se o condomínio adotou medidas adequadas de proteção de dados, se notificou quando obrigado e como tratou o incidente. Um condomínio que responde adequadamente — contendo, avaliando, notificando quando necessário e documentando — demonstra boa-fé e diligência, o que é considerado favoravelmente pela ANPD.
Fontes e referências
- Brasil. Lei 13.709, de 14 de agosto de 2018 (LGPD), art. 48 — Comunicação de incidente de segurança. Planalto.gov.br.
- ANPD — Autoridade Nacional de Proteção de Dados. Regulamento de comunicação de incidente de segurança e guias de orientação. Gov.br/anpd.
- SíndicoNet. LGPD em condomínios: incidentes de dados. SíndicoNet.