Se vazou informação de usuário do site ou do aplicativo, corrija na hora, avise o usuário e o órgão, e, se houve ataque, registre ocorrência na polícia

Se a informação do usuário vazou ou pode ter vazado, você corrige na hora e avisa o órgão competente e o usuário afetado. Esconder e não comunicar: primeiro vem ordem de corrigir; se não corrigir, multa de até 1000000 yuan; no caso grave, multa de até 50000000 yuan. Se o usuário teve prejuízo e você não prova que não teve culpa, indeniza. Quem fez a proteção, seguiu o plano e comunicou a tempo pode, conforme o caso, ter a punição atenuada ou nem ser responsabilizado.

Custo

Não custa dinheiro. É preciso escrever antes um plano do que fazer quando acontecer: quem decide, qual furo se tapa primeiro, como fica o texto que avisa o usuário. O difícil é que, na hora, o impulso é esconder e não deixar o usuário saber.

Benefício

O texto da Lei de Proteção de Informações Pessoais diz: «ocorrido ou podendo ocorrer vazamento, alteração ou perda de informação pessoal, quem trata a informação pessoal deve tomar logo medida de correção e avisar o órgão que cumpre o dever de proteger a informação pessoal e a pessoa». O aviso escreve três coisas: que tipo de informação vazou, a causa e o dano possível; que correção você fez e o que o próprio usuário pode fazer para reduzir o dano; o seu contato. Se a sua correção de fato evita o dano, pode deixar de avisar o usuário. Mas, se o órgão competente achar que pode haver dano, tem o direito de exigir que você avise. O Regulamento de gestão da segurança de dados de rede diz que o aviso pode ser «por telefone, mensagem, ferramenta de comunicação instantânea, correio eletrônico ou anúncio». Se, ao tratar, aparecer pista de crime, comunique ao órgão de segurança pública e ao órgão de segurança do Estado. Quem não cumpre esses deveres: ordem de corrigir, advertência e confisco do ganho ilícito; o aplicativo ilegal pode ser obrigado a suspender ou encerrar o serviço. Recusa em corrigir: multa de até 1000000 yuan, e a pessoa diretamente responsável leva multa de 10000 a 100000 yuan. No caso grave: multa de até 50000000 yuan ou de até 5% do faturamento do ano anterior, e o responsável leva multa de 100000 a 1000000 yuan. No civil, se o usuário sofreu dano por isso e você «não pode provar que não teve culpa, deve responder por indenização e outra responsabilidade por ato ilícito». Vazamento grande ainda se comunica no prazo. As medidas da Administração do Ciberespaço da China definem que vazar informação pessoal de 1000000 de pessoas ou mais conta como «incidente de segurança de rede de porte relativamente grande». Nesse tipo de incidente, site e aplicativo comuns comunicam o órgão de ciberespaço da província, «no mais tardar em 4 horas»; um dos canais é a linha 12387. Em 30 dias depois de encerrado o tratamento, ainda se entrega um relatório de resumo. Comunicar tarde, omitir, mentir ou esconder, quando isso causa consequência grave de dano, agrava a punição. No sentido inverso, quem já tomou proteção razoável e necessária, tratou conforme o plano e comunicou a tempo, «pode, conforme o caso, ter tratamento mais leve ou nem ser responsabilizado» (em todo o país; as medidas de comunicação valem a partir de novembro (11) de 2025).

Notas

Site pequeno que vaza algumas centenas ou alguns milhares de pessoas também corrige e avisa conforme a Lei de Proteção de Informações Pessoais; só não chega ao limiar do comunicado de 4 horas. Ao avisar o usuário, escreva o que dá para fazer de forma concreta: qual senha trocar, e cuidado com telefone de quem se passa por atendimento. O registro fica por 6 meses, para na hora do problema dar para ver de onde vazou; veja a seção 11, item 16 (guardar o registro como pede a proteção por níveis). Como o próprio usuário se protege depois do vazamento, veja a seção 14.

Fontes · 4

1. 全国人大常委会 (2021). 个人信息保护法（第五十七、六十六、六十九条）. spp.gov.cn/spp/fl/202108/t20210820_527244.shtml
2. 全国人大常委会 (2025). 网络安全法（2025 年修正，2026 年 1 月 1 日施行，第二十七、四十四、七十一条；2016 年文本为第二十五、四十二条）. cac.gov.cn/2025-12/29/c_1768735112911946.htm
3. 国务院 (2024). 网络数据安全管理条例（国务院令第 790 号，第十一条）. gov.cn/gongbao/2024/issue_11646/202410/conten…
4. 国家互联网信息办公室 (2025). 国家网络安全事件报告管理办法（第四、八、九、十、十一条，附件《网络安全事件分级指南》）. cac.gov.cn/2025-09/15/c_1759583017717009.htm