Vazamento de informações na empresa: como descobrir a origem

O sinal: a informação apareceu onde não deveria

O vazamento costuma ser percebido por acaso. O concorrente apresenta uma proposta com o preço exato da sua, um cliente comenta um lançamento que ainda não saiu, uma planilha interna circula num grupo de mensagens. A sensação é de traição, e a vontade é sair perguntando. Esse é o primeiro erro.

Antes de procurar culpado, responda a três perguntas por escrito:

1. O que exatamente vazou? Documento inteiro, um número, uma lista, uma decisão dita em reunião.
2. Quando a informação existia? Data de criação do arquivo ou da reunião e data em que apareceu fora.
3. Quem tinha acesso naquele intervalo? Pessoas, sistemas, parceiros, prestadores e até a gráfica ou o fornecedor de TI.

Essa lista inicial costuma ser maior do que parece. Ela inclui gente de fora, como consultor, contador e cliente que recebeu a proposta. Vazamento não é sinônimo de funcionário desleal.

Primeiro descarte golpe e escuta no ambiente

Uma parte dos vazamentos não tem um traidor por trás. A informação pode ter saído por e-mail falso que pediu senha, por ligação de alguém fingindo ser do suporte ou por conversa captada no próprio ambiente.

Se o que vazou foi dito numa sala, a varredura vem antes de qualquer acusação. O profissional procura aparelhos de gravação e transmissão no ambiente da própria empresa. Veja varredura em escritório e sala de reunião e, para golpes contra a equipe, engenharia social contra empresas.

Atenção: se a varredura encontrar um aparelho, não mexa nele. Escuta ambiental sem autorização judicial é crime pelo art. 10 da Lei 9.296/1996. Fotografe, anote data e hora e registre boletim de ocorrência na Polícia Civil do estado.

Registros próprios: o que a empresa pode olhar

A investigação interna começa nos sistemas que são da empresa. Servidor de arquivos, e-mail corporativo, impressoras, controle de acesso ao prédio e plataformas internas costumam guardar registros de quem abriu, baixou, enviou ou imprimiu o quê.

1. Preserve antes de olhar. Peça à TI cópia dos registros do período, com data e hora, sem apagar nada.
2. Cruze com a lista de acesso. Quem abriu o arquivo entre a criação e o aparecimento lá fora.
3. Procure o fora do padrão. Download em volume, envio para endereço pessoal, impressão em horário incomum.
4. Confira as saídas recentes. Quem deixou a empresa no período e o que acessou nos últimos dias.
5. Registre a cadeia. Quem extraiu cada registro, quando e como, para que o material possa ser usado depois.

O limite está entre o que é da empresa e o que é da pessoa. O uso do e-mail corporativo e dos equipamentos fornecidos depende da política interna conhecida pelos empregados e da orientação jurídica. Conta pessoal, celular particular e redes privadas do funcionário ficam fora. Entrar nelas sem autorização é invasão de dispositivo informático, art. 154-A do Código Penal, com reclusão de 1 a 4 anos e multa.

Uma técnica útil para o futuro é o documento marcado: versões de um mesmo material interno com pequenas diferenças, uma para cada grupo de destinatários. Se o conteúdo aparecer fora de novo, a versão indica o grupo de origem. A medida mexe só em documento da empresa e deve ser combinada com o jurídico.

Quando avisar a ANPD

Nem todo vazamento é assunto da Autoridade Nacional de Proteção de Dados. Tabela de preço, estratégia de vendas e projeto de produto são segredo comercial. Já cadastro de clientes, dados de funcionários e informações de pacientes são dados pessoais, sob a Lei Geral de Proteção de Dados, Lei 13.709/2018.

A orientação da ANPD sobre comunicado de incidente diz que a comunicação é obrigatória quando o incidente é confirmado, envolve dados pessoais e pode causar risco ou dano relevante aos titulares. A Resolução CD/ANPD nº 15/2024 fixa prazo de três dias úteis para comunicar a autoridade e os titulares, ressalvado prazo de legislação específica. Se faltar informação, cabe comunicação preliminar, complementada depois.

Na prática, a investigação da origem e a comunicação correm em paralelo. O encarregado de dados e o jurídico cuidam do aviso. A investigação não pode atrasar o prazo.

O que a lei diz sobre quem vazou

O art. 195 da Lei 9.279/1996, a Lei de Propriedade Industrial, trata como crime de concorrência desleal quem divulga, explora ou usa, sem autorização, conhecimento ou informação confidencial a que teve acesso por relação contratual ou empregatícia, mesmo depois do fim do contrato (inciso XI). O inciso XII alcança quem usa informação obtida por meio ilícito ou mediante fraude. A pena é de detenção de 3 meses a 1 ano, ou multa.

Ficam de fora do conceito as informações de conhecimento público ou evidentes para um técnico no assunto. Por isso, a empresa precisa mostrar que a informação era de fato confidencial e tratada como tal.

Nesses crimes, o art. 199 da mesma lei diz que só se procede mediante queixa, salvo o crime do art. 191. A empresa age por meio de advogado. Pelo art. 103 do Código Penal, o prazo para exercer o direito de queixa é de 6 meses, contados do dia em que o ofendido sabe quem é o autor. Demorar para investigar pode custar o caminho criminal.

Na esfera trabalhista, o art. 482 da CLT lista a violação de segredo da empresa, alínea g, entre as hipóteses de justa causa. Ela pede prova firme. Quando a informação foi parar num concorrente que passou a atender seus clientes, veja concorrência desleal e desvio de clientes.

Onde o detetive entra

A Lei 13.432/2017 define o detetive como quem coleta dados de natureza não criminal, com meios permitidos, para esclarecer assunto de interesse privado do contratante (art. 2º). No vazamento, o trabalho é defensivo e de campo.

• Varredura. Procura de aparelhos de gravação nas salas, carros e linhas da própria empresa.
• Campo. Observação, em local público, de encontros entre o suspeito e pessoas ligadas ao concorrente.
• Fonte aberta. Empresas abertas em nome do suspeito ou de parentes próximos em juntas comerciais, processos públicos, perfis profissionais.
• Relatório circunstanciado. Procedimentos adotados, conclusão, data e assinatura, como manda o art. 9º.

Nos filmes, a espionagem se resolve com um aparelho bem escondido. Na vida real, não: grampo é crime do art. 10 da Lei 9.296/1996, com reclusão de 2 a 4 anos e multa, e a prova obtida assim é inadmissível (Constituição, art. 5º, LVI). O detetive não acessa celular, e-mail pessoal nem conversas de ninguém. A parte defensiva do trabalho está detalhada em contrainteligência e varredura.

Quanto custa investigar um vazamento

Não existe tabela oficial, e a lei exige que honorários e forma de pagamento estejam no contrato (art. 8º, VI). Plataformas de orçamento do setor indicam de R$ 6.000 a R$ 18.000 para investigação empresarial, e agências citam de R$ 10.000 a R$ 30.000 em um a dois meses. A análise digital em fonte aberta aparece de R$ 300 a R$ 1.500. Valores consultados em novembro de 2026.

Uma investigação que começa com a lista de acesso pronta e os registros preservados costuma ser mais curta. A varredura é orçada à parte, conforme o número de salas e veículos. O detalhamento por caso tem outra resposta, sobre o preço da investigação empresarial.

Erros comuns diante de um vazamento

• Acusar antes de descartar golpe e escuta. A origem pode nem ser uma pessoa da equipe.
• Mexer nos registros antes de copiar. O dado alterado perde valor como prova.
• Entrar no celular ou na conta pessoal do suspeito. É crime e contamina o caso.
• Esquecer a ANPD quando há dado pessoal. O prazo de três dias úteis corre junto com a investigação.
• Deixar passar o prazo de queixa. São 6 meses a partir de quando se sabe quem é o autor.
• Não revisar acessos depois. Sem mudança, o vazamento volta pelo mesmo caminho.

Para a prevenção, veja como proteger segredos da empresa.

O que o detetive não pode fazer

O detetive não pode interceptar comunicações, promover escuta ambiental, entrar em celular, e-mail ou computador alheio, se passar por funcionário para copiar arquivos nem participar diretamente de diligência policial. Também não pode aceitar serviço que configure ou contribua para infração penal (art. 10 da Lei 13.432/2017). A lista completa está em o que o detetive pode e não pode fazer, e o panorama da profissão está no guia do detetive particular.

Veja o guia completo de investigação empresarial para os demais casos.

Este conteúdo é informativo e não substitui a orientação de um advogado. Em risco imediato, ligue 190.

Em outros Mundos

Golpes por e-mail estão em phishing: o que é e como se proteger, e sinais de invasão no aparelho em como saber se o celular foi hackeado. Outras dúvidas sobre investigação têm resposta no Mundo Detetive Particular, e a resposta para outros temas está na home do MundoBlá.