O iFood confirmou o vazamento de dados de aproximadamente 1,2 milhão de clientes (2% da sua base), expondo nomes e CPFs. O caso reacendeu um debate jurídico crucial sobre a LGPD (Lei Geral de Proteção de Dados). ⚖️ A empresa optou por não fazer uma comunicação formal na época do incidente (dezembro de 2025), amparada no argumento de que o evento não acarretou “risco ou dano relevante aos titulares”, conforme critérios da ANPD (Autoridade Nacional de Proteção de Dados). O que diz a lei na prática? De acordo com o artigo 48 da LGPD, o controlador deve comunicar à autoridade e aos titulares a ocorrência de incidente de segurança que possa acarretar risco ou dano relevante. A grande questão jurídica gira em torno do conceito de “risco relevante”: a exposição de CPF e nome completo, isoladamente, é suficiente para gerar esse dever de informação? Enquanto a ANPD analisa os critérios de gravidade, o episódio serve de alerta para que empresas revisem seus Planos de Resposta a Incidentes e s...