Guia: Vazamento de Dados

A era digital transformou a forma como interagimos, trabalhamos e consumimos, gerando um volume sem precedentes de dados pessoais. Com essa hiperconexão, a segurança da informação tornou-se um pilar fundamental para empresas e instituições, e o vazamento de dados, um dos maiores desafios jurídicos contemporâneos. A Lei Geral de Proteção de Dados Pessoais (LGPD) - Lei nº 13.709/2018 - estabeleceu um marco regulatório rigoroso para o tratamento de dados no Brasil, impondo obrigações e sanções que demandam atenção redobrada de profissionais do direito.

Neste guia, exploraremos as nuances do vazamento de dados sob a ótica da LGPD e da legislação correlata, analisando a fundamentação legal, a jurisprudência recente e oferecendo dicas práticas para advogados que atuam na defesa de vítimas ou na assessoria de empresas.

O que é um Vazamento de Dados?

O vazamento de dados, ou incidente de segurança, ocorre quando dados pessoais são acessados, alterados, destruídos ou divulgados de forma não autorizada. A LGPD, em seu artigo 46, exige que os agentes de tratamento adotem medidas de segurança, técnicas e administrativas aptas a proteger os dados pessoais de acessos não autorizados e de situações acidentais ou ilícitas de destruição, perda, alteração, comunicação ou qualquer forma de tratamento inadequado ou ilícito.

É crucial compreender que o vazamento não se limita a ataques cibernéticos complexos. Um simples erro humano, como o envio de um e-mail com dados confidenciais para o destinatário errado, ou o descarte inadequado de documentos físicos, também configura um incidente de segurança.

Fundamentação Legal e a Responsabilidade Civil

A responsabilidade civil em casos de vazamento de dados é um tema central na aplicação da LGPD. O artigo 42 da lei estabelece que o controlador ou o operador que, em razão do exercício de atividade de tratamento de dados pessoais, causar a outrem dano patrimonial, moral, individual ou coletivo, em violação à legislação de proteção de dados pessoais, é obrigado a repará-lo.

A doutrina e a jurisprudência majoritárias inclinam-se para a responsabilidade objetiva do controlador, baseada na teoria do risco da atividade, conforme o artigo 927, parágrafo único, do Código Civil. Isso significa que a vítima não precisa provar a culpa do agente de tratamento, bastando demonstrar o dano e o nexo causal entre o vazamento e o prejuízo sofrido.

No entanto, o artigo 43 da LGPD prevê excludentes de responsabilidade, isentando os agentes de tratamento quando provarem. I - que não realizaram o tratamento de dados pessoais que lhes é atribuído; II - que, embora tenham realizado o tratamento de dados pessoais que lhes é atribuído, não houve violação à legislação de proteção de dados; ou III - que o dano é decorrente de culpa exclusiva do titular dos dados ou de terceiro.

O Dano Moral em Casos de Vazamento

A caracterização do dano moral em vazamentos de dados tem sido objeto de intenso debate nos tribunais. A jurisprudência do Superior Tribunal de Justiça (STJ) consolidou o entendimento de que o vazamento de dados pessoais não gera dano moral in re ipsa (presumido).

Em julgamentos recentes, como o (julgado em 2023), o STJ reafirmou que a mera exposição de dados, sem a comprovação de um prejuízo efetivo à vítima – como a utilização fraudulenta das informações para contratação de empréstimos, abertura de contas ou outras fraudes – não é suficiente para ensejar indenização por danos morais. A corte exige a demonstração de que o vazamento causou transtornos que ultrapassem o mero aborrecimento, afetando direitos da personalidade, como a honra, a imagem ou a privacidade.

O Papel da Autoridade Nacional de Proteção de Dados (ANPD)

A ANPD é o órgão responsável por zelar pela proteção de dados pessoais e por fiscalizar o cumprimento da LGPD. Em caso de incidente de segurança que possa acarretar risco ou dano relevante aos titulares, o controlador deve comunicar a ocorrência à ANPD e aos titulares dos dados, em prazo razoável, conforme o artigo 48 da lei.

A ANPD possui a prerrogativa de aplicar sanções administrativas aos agentes de tratamento infratores, que variam desde advertências até multas que podem chegar a 2% do faturamento da empresa, limitadas a R$ 50 milhões por infração. A atuação da ANPD tem se tornado cada vez mais rigorosa, com a publicação de guias orientativos e a aplicação de penalidades, o que reforça a importância da conformidade (compliance) com a LGPD.

Jurisprudência Relevante

A jurisprudência sobre vazamento de dados no Brasil está em constante evolução. Além do posicionamento do STJ sobre a necessidade de comprovação do dano moral, os Tribunais de Justiça estaduais têm proferido decisões importantes.

O Tribunal de Justiça de São Paulo (TJSP), por exemplo, tem analisado casos de vazamento de dados bancários e de saúde, aplicando o Código de Defesa do Consumidor (CDC) em conjunto com a LGPD, reconhecendo a responsabilidade objetiva das instituições e a vulnerabilidade do titular dos dados.

É fundamental que o advogado acompanhe de perto as decisões dos tribunais superiores e estaduais para fundamentar adequadamente suas peças processuais.

Dicas Práticas para Advogados

A atuação em casos de vazamento de dados exige conhecimento técnico e estratégico. Abaixo, listamos algumas dicas práticas.

Para Advogados de Vítimas:

• Coleta de Provas: Oriente o cliente a preservar todas as evidências do vazamento, como e-mails, mensagens, prints de tela e registros de atividades suspeitas (ex: tentativas de login não autorizadas).
• Demonstração do Dano: Concentre-se em comprovar o dano efetivo sofrido pela vítima, buscando elementos que demonstrem a utilização indevida dos dados ou a violação de direitos da personalidade.
• Aplicação Conjunta de Leis: Utilize a LGPD em conjunto com o CDC (se houver relação de consumo) e o Código Civil para fortalecer a argumentação.

Para Advogados de Empresas:

• Compliance Preventivo: Auxilie a empresa na implementação de um programa de governança em privacidade, mapeando os dados, elaborando políticas de segurança e treinando colaboradores.
• Plano de Resposta a Incidentes: Desenvolva um plano detalhado para lidar com vazamentos, definindo responsabilidades, procedimentos de contenção, investigação e comunicação à ANPD e aos titulares.
• Mitigação de Danos: Em caso de vazamento, atue rapidamente para conter a violação, investigar as causas e adotar medidas para minimizar os impactos aos titulares e à imagem da empresa.
• Defesa Estratégica: Na esfera judicial, explore as excludentes de responsabilidade previstas no artigo 43 da LGPD e a jurisprudência do STJ sobre a necessidade de comprovação do dano moral.

Conclusão

O vazamento de dados é um problema complexo que exige uma abordagem jurídica multidisciplinar, envolvendo o Direito Digital, o Direito Civil, o Direito do Consumidor e o Direito Administrativo. A LGPD estabeleceu um novo paradigma para a proteção de dados no Brasil, e a atuação proativa e atualizada dos advogados é essencial para garantir a defesa dos direitos dos titulares e a conformidade das empresas. Acompanhar a evolução legislativa e jurisprudencial é o caminho seguro para o sucesso na advocacia digital.

Aviso: Este artigo tem caráter informativo e didático. Deve ser verificado e adaptado a cada caso concreto por profissional habilitado. Acesse advogando.ai para mais recursos.