Vazamento de Dados: Quanto Tempo é Aceitável Esperar para Notificar os Afetados?

## Um vazamento, três meses de silêncio Em abril de 2026, hackers acessaram a caixa principal de e-mails da clínica **GO2 Health**, em Brisbane, na Austrália. O acesso indevido só foi confirmado publicamente quase **três meses depois**, quando os pacientes finalmente receberam a notificação sobre a exposição de seus dados. O atraso gerou críticas imediatas de especialistas em segurança e privacidade, que apontam o caso como um exemplo do que **não** fazer diante de um incidente envolvendo dados sensíveis — especialmente dados de saúde, uma das categorias mais protegidas por regulamentações no mundo todo. ## Por que a velocidade da notificação importa tanto quanto a detecção Historicamente, a resposta a incidentes de segurança se concentrava quase que exclusivamente no aspecto técnico: identificar a falha, conter o ataque, remediar a vulnerabilidade. Mas a experiência tem mostrado que essa é apenas metade do trabalho. A outra metade — muitas vezes negligenciada — é a **comunicação**. Quando uma empresa demora para informar clientes, pacientes ou usuários sobre uma violação de dados, ela: - **Amplia o risco regulatório**, já que diversas legislações (como a LGPD no Brasil e regulamentos equivalentes em outros países) estabelecem prazos específicos para notificação, com penalidades para o descumprimento; - **Aumenta a exposição das vítimas**, que perdem tempo precioso para tomar medidas de proteção, como trocar senhas ou monitorar possíveis fraudes; - **Compromete a reputação da marca**, já que o atraso costuma ser interpretado como falta de transparência ou até como tentativa de ocultar o problema; - **Gera passivo jurídico**, abrindo espaço para ações coletivas e processos individuais. ## O dilema real das empresas Na prática, muitas organizações atrasam a notificação não por má-fé, mas por incerteza: falta de um plano de resposta a incidentes bem definido, dificuldade em dimensionar o real impacto do vazamento, ou simples desconhecimento de que o vazamento ocorreu até que seja tarde demais. É exatamente aí que entra a importância de uma estrutura de segurança contínua e não reativa. Monitoramento constante de superfície de ataque, varreduras regulares de vulnerabilidades e visibilidade sobre exposições públicas de dados reduzem drasticamente o tempo entre a ocorrência de um incidente e sua detecção — o que, por consequência, encurta também o tempo até a notificação adequada. ## O que isso significa para o seu negócio Se a sua empresa não tem hoje um processo claro de resposta a incidentes — que defina prazos, responsáveis e canais de comunicação em caso de vazamento — o momento de criar esse processo é **antes** de um incidente acontecer, não depois. Um diagnóstico de segurança recorrente ajuda a identificar exposições antes que se tornem manchetes, e prepara a organização para responder com rapidez e transparência caso o pior aconteça. **Quanto tempo sua empresa pode esperar para comunicar um vazamento de dados?** Se a resposta não for imediata e clara, talvez seja hora de revisar o seu plano de resposta a incidentes.