Um formulário de inscrição no site de um clube amador bastou para expor os dados de todos os clubes e federações atendidos por um mesmo fornecedor. É o que relata a AllUnited, empresa holandesa de software de gestão para associações, em comunicado publicado em seu próprio site em 11 de novembro de 2026, assinado por Eveline Mol e atualizado no dia seguinte[i].
O episódio interessa a quem está no Brasil por um motivo simples: aqui, como lá, clubes, associações, escolas e condomínios confiam seus cadastros a plataformas de terceiros. Quando o fornecedor falha, a conta chega a centenas de controladores ao mesmo tempo, cada um com seu prazo, seus titulares e sua responsabilidade.
1 O CASO ALLUNITED
Segundo o comunicado da empresa, um terceiro explorou uma falha de software em 9 de novembro de 2026. Pelo formulário de inscrição de um site de clube, chegou a um servidor da AllUnited e copiou dados do banco. A falha foi descoberta em 10 de novembro e corrigida no mesmo dia; a empresa afirma não ter notícia de uso indevido até aqui.
Foram atingidos três grupos de dados. Dos administradores dos clubes, foram copiados nome, e-mail, telefone e senha criptografada. Dos membros, nome, endereço, data de nascimento, telefone, e-mail, IBAN, demais campos cadastrais, anotações livres e senhas temporárias. Das inscrições feitas pelos sites, nome, e-mail, telefone, data de nascimento e IBAN.
O alcance é amplo: todos os clubes e federações clientes, e com eles membros, ex-membros, pais ou responsáveis de atletas juvenis, voluntários e patrocinadores ainda cadastrados. Ficaram de fora apenas os registros já anonimizados. Não havia números fiscais (BSN) na base, e documentos, fotos e faturas aparentemente não foram levados.
A resposta incluiu correção da falha, invalidação de todas as senhas, exclusão das senhas temporárias, notificação à Autoridade Holandesa de Proteção de Dados (AP), registro policial e desligamento das integrações por API com cinco federações esportivas nacionais.
2 QUEM RESPONDE: CONTROLADOR E OPERADOR
O ataque atingiu o fornecedor, mas os controladores são os clubes. São eles que decidem por que e como tratar os dados dos associados; a AllUnited trata esses dados em nome deles. No vocabulário europeu, ela é processor; no da LGPD, operadora[ii].
A distinção muda o desenho das obrigações. No GDPR, o operador deve avisar o controlador sem demora injustificada[iii], e quem notifica a autoridade e os titulares é o controlador[iv]. A LGPD segue a mesma lógica: a comunicação à ANPD e aos titulares cabe ao controlador[v], enquanto o operador responde solidariamente quando descumpre a lei ou as instruções lícitas recebidas[vi].
Por isso a AllUnited orientou cada clube a notificar a AP e avisar seus membros. A empresa não pode assumir sozinha um dever que a lei atribui a cada controlador, ainda que o incidente tenha nascido na infraestrutura dela.
3 PRAZO CURTO E NOTIFICAÇÃO EM BLOCO
Os clubes holandeses tinham 72 horas para notificar a AP[vii]. Para associações geridas por voluntários, esse prazo é duríssimo. A AllUnited então se ofereceu, em 11 de novembro, para notificar em nome dos clientes que dessem consentimento por escrito e, se quisessem, para avisar também os membros. No dia 12, ainda verificava com a autoridade se uma única notificação poderia valer para todos.
No Brasil, a Resolução CD/ANPD nº 15/2024[viii] fixa três dias úteis, contados do conhecimento pelo controlador de que o incidente afetou dados pessoais, para comunicar a ANPD e os titulares. As informações podem ser complementadas em 20 dias úteis, e os prazos dobram para agentes de pequeno porte. Depois de avisar os titulares, o controlador ainda tem três dias úteis para declarar à ANPD que o fez e por quais meios.
Comparados os dois regimes, o GDPR exige que o operador avise o controlador sem demora injustificada, ao passo que a LGPD e a Res. CD/ANPD 15/2024 não fixam prazo para esse aviso, que por isso precisa constar do contrato. A comunicação à autoridade deve ser feita em 72 horas na Europa e em três dias úteis no Brasil, em dobro para agentes de pequeno porte. Aos titulares, o regime europeu exige comunicação sem demora injustificada quando houver alto risco; o brasileiro, em três dias úteis quando houver risco ou dano relevante. A complementação das informações pode ocorrer por fases no GDPR e em até 20 dias úteis na norma brasileira.
A solução holandesa merece atenção. Um operador que concentra dezenas ou centenas de controladores pode organizar a notificação em bloco, mas só com mandato expresso de cada um. Sem isso, cada controlador continua responsável por cumprir o próprio prazo, e o atraso do fornecedor em avisá-lo não o socorre perante a autoridade.
4 O QUE AGRAVOU O INCIDENTE
Três detalhes do comunicado pesam mais que a própria invasão.
O primeiro são as anotações livres. Os clubes escreviam observações sobre os membros em campos abertos, e essas notas foram copiadas. Campo livre é onde costumam parar informações de saúde, disciplina e conflitos familiares, que nenhum formulário pediria. É a violação do princípio da minimização cobrando seu preço[ix].
O segundo são as senhas temporárias guardadas em formato legível, enquanto as definitivas estavam criptografadas. A própria empresa admitiu o risco ao invalidar todas as senhas: o invasor pode ter aprendido como funciona a criptografia. É o tipo de falha que a LGPD manda evitar com medidas técnicas aptas[x].
O terceiro são os dados de menores e as contas bancárias. A base incluía atletas juvenis e seus responsáveis, além do IBAN dos membros. A empresa lembra que o IBAN sozinho não permite saques, mas, combinado a nome, endereço e vínculo com o clube, alimenta cobranças falsas muito convincentes. Pela regulamentação da ANPD, dados de crianças e adolescentes e dados financeiros pesam na avaliação de risco relevante[xi].
Nenhum desses pontos depende da falha explorada. Todos dependem de decisões anteriores sobre o que guardar e como guardar.
5 O DANO QUE VEM DEPOIS
A própria AllUnited aponta o maior risco: mensagens falsas que parecem legítimas porque trazem os dados verdadeiros da pessoa. Um e-mail que cita o nome do filho, o clube, a categoria e o IBAN dos pais vence qualquer filtro de desconfiança.
O incidente, portanto, não termina com a cópia do banco. Ele continua em cada cobrança de mensalidade forjada e em cada pedido de “confirmação de cadastro” com link. O caso brasileiro dos boletos falsos emitidos em nome de empresas legítimas mostra o mesmo padrão.
Daí a importância do conteúdo do aviso aos titulares. As orientações divulgadas pela empresa são um bom modelo: redefinir a senha da plataforma e trocá-la em qualquer outro serviço onde ela se repita; desconfiar de pedidos inesperados de pagamento ou de login; falar com o clube por um contato já conhecido, nunca pelos links ou telefones da mensagem; acompanhar a conta bancária; e lembrar que o clube nunca pede senha ou código de acesso por link.
6 LIÇÕES PARA CLUBES, ASSOCIAÇÕES E FORNECEDORES NO BRASIL
Ao clube ou à associação, como controlador, cabe exigir no contrato um prazo curto, contado em horas, para que o fornecedor avise sobre incidentes, manter um plano de resposta com modelo de comunicação à ANPD e aos titulares e saber se se enquadra como agente de pequeno porte. Cabe-lhe também proibir ou restringir campos de anotação livre e anonimizar ou eliminar os registros de ex-membros conforme a política de retenção.
Ao fornecedor de software, como operador, cabe nunca armazenar senhas, temporárias ou não, em formato legível, testar os formulários públicos como possíveis portas de entrada e segregar a base de cada cliente. Convém ainda prever em contrato a possibilidade de notificar em nome dos clientes, com mandato prévio, e manter pronta a lista de titulares afetados por cliente.
A ambos cabe ensaiar o incidente: definir quem decide, quem redige, quem envia e em quantas horas.
O ponto da retenção é o mais barato e o mais esquecido. No caso holandês, só escaparam os registros já anonimizados. Cada ex-membro mantido sem necessidade virou um titular a mais para notificar.
7 CONCLUSÃO
O caso AllUnited mostra que, em plataformas compartilhadas, um incidente no operador é um incidente em série para os controladores. A falha técnica foi corrigida em um dia; o que ficou foram as escolhas anteriores sobre o que guardar e por quanto tempo.
Para o controlador brasileiro, a lição é contratual e de governança: três dias úteis não dão tempo de descobrir quem é o fornecedor, o que ele guarda e como avisá-lo. Isso precisa estar resolvido antes. Para o operador, a lição é de engenharia e de transparência: guardar menos, proteger melhor e estar pronto para ajudar cada cliente a cumprir o prazo que é dele.
[i] MOL, Eveline. Beveiligingsincident bij AllUnited. AllUnited, [s. l.], 11 nov. 2026. Atualizado em: 12 nov. 2026. Disponível em: https://www.allunited.nl/artikelen/datalek/. Acesso em: 13 nov. 2026.
[ii] BRASIL. Lei nº 13.709, de 14 de agosto de 2018. Lei Geral de Proteção de Dados Pessoais (LGPD). Diário Oficial da União: seção 1, Brasília, DF, 15 ago. 2018. Art. 5º, VI e VII.
[iii] UNIÃO EUROPEIA. Regulamento (UE) 2016/679 do Parlamento Europeu e do Conselho, de 27 de abril de 2016. Regulamento Geral sobre a Proteção de Dados. Jornal Oficial da União Europeia, Luxemburgo, L 119, p. 1-88, 4 maio 2016. Art. 33, 2.
[iv] Ibid., arts. 33 e 34.
[v] BRASIL, 2018, art. 48.
[vi] Ibid., art. 42, § 1º, I.
[vii] UNIÃO EUROPEIA, 2016, art. 33, 1.
[viii] BRASIL. Autoridade Nacional de Proteção de Dados. Resolução CD/ANPD nº 15, de 24 de abril de 2024. Aprova o Regulamento de Comunicação de Incidente de Segurança. Diário Oficial da União: seção 1, Brasília, DF, ed. 81, p. 114-115, 26 abr. 2024. Disponível em: https://www.in.gov.br/en/web/dou/-/resolucao-cd/anpd-n-15-de-24-de-abril-de-2024-556243024. Acesso em: 13 nov. 2026.
[ix] BRASIL, 2018, art. 6º, III.
[x] Ibid., art. 46.
[xi] BRASIL, 2024, art. 5º.
