Vazamento de Dados: Passo a Passo

O avanço tecnológico e a crescente digitalização das relações sociais e comerciais trouxeram consigo um desafio significativo: a proteção de dados pessoais. O vazamento de dados, seja por falhas de segurança, ataques cibernéticos ou negligência, tornou-se uma preocupação constante para empresas, instituições e indivíduos. No Brasil, a Lei Geral de Proteção de Dados Pessoais (LGPD - Lei nº 13.709/2018), que entrou em vigor em 2020, estabeleceu diretrizes claras para o tratamento de dados pessoais, impondo obrigações e sanções em caso de descumprimento. Este artigo, voltado para advogados e profissionais do Direito, tem como objetivo apresentar um passo a passo detalhado sobre como agir em caso de vazamento de dados, abordando desde a identificação do incidente até as medidas legais cabíveis.

1. O Que É um Incidente de Segurança?

A LGPD define incidente de segurança como qualquer evento adverso que resulte na perda, alteração, acesso não autorizado ou divulgação indevida de dados pessoais. É importante destacar que nem todo incidente de segurança configura um vazamento de dados, mas todo vazamento de dados é um incidente de segurança. A lei exige que os agentes de tratamento (controladores e operadores) adotem medidas técnicas e administrativas para proteger os dados pessoais de acessos não autorizados e de situações acidentais ou ilícitas de destruição, perda, alteração, comunicação ou difusão.

1.1. A Importância da Resposta Rápida

A resposta rápida a um incidente de segurança é fundamental para minimizar os danos aos titulares dos dados e para demonstrar diligência por parte do agente de tratamento. A LGPD, em seu artigo 48, estabelece que o controlador deve comunicar à Autoridade Nacional de Proteção de Dados (ANPD) e ao titular a ocorrência de incidente de segurança que possa acarretar risco ou dano relevante aos titulares. A comunicação deve ser feita em prazo razoável, conforme definido pela ANPD.

2. Passo a Passo em Caso de Vazamento de Dados

A seguir, apresentamos um passo a passo para orientar a atuação de advogados e profissionais do Direito em caso de vazamento de dados.

2.1. Identificação e Avaliação do Incidente

O primeiro passo é identificar a ocorrência do incidente de segurança e avaliar a sua gravidade. É necessário determinar quais dados foram comprometidos, a quantidade de titulares afetados, a natureza dos dados (se são dados sensíveis, por exemplo) e os possíveis riscos e danos aos titulares. Essa avaliação inicial é crucial para definir as próximas etapas e as medidas a serem adotadas.

2.2. Contenção e Mitigação

Uma vez identificado o incidente, é fundamental agir rapidamente para contê-lo e mitigar os seus efeitos. Isso pode envolver o isolamento dos sistemas afetados, a alteração de senhas, a suspensão de serviços, entre outras medidas técnicas. O objetivo é evitar que o vazamento se expanda e que novos dados sejam comprometidos.

2.3. Comunicação à ANPD e aos Titulares

A LGPD exige que o controlador comunique à ANPD e aos titulares a ocorrência de incidente de segurança que possa acarretar risco ou dano relevante aos titulares. A comunicação deve conter, no mínimo, as seguintes informações:

• A descrição da natureza dos dados pessoais afetados;
• As informações sobre os titulares envolvidos;
• A indicação das medidas técnicas e de segurança utilizadas para a proteção dos dados;
• Os riscos relacionados ao incidente;
• Os motivos da demora, caso a comunicação não tenha sido imediata;
• As medidas que foram ou que serão adotadas para reverter ou mitigar os efeitos do prejuízo.

A ANPD, por meio de sua Resolução CD/ANPD nº 15/2024, estabeleceu que a comunicação à Autoridade deve ser feita no prazo de três dias úteis, contados do conhecimento do incidente pelo controlador. A comunicação aos titulares também deve ser feita em prazo razoável, de forma clara e acessível.

2.4. Investigação e Análise

Após a contenção do incidente e a comunicação à ANPD e aos titulares, é necessário realizar uma investigação aprofundada para determinar as causas do vazamento, a extensão dos danos e as responsabilidades envolvidas. Essa investigação pode envolver a análise de logs de sistema, a contratação de especialistas em segurança da informação, entre outras medidas.

2.5. Adoção de Medidas Corretivas

Com base nos resultados da investigação, o agente de tratamento deve adotar as medidas corretivas necessárias para evitar que novos incidentes ocorram. Isso pode envolver a revisão de políticas de segurança, a implementação de novas tecnologias de proteção, o treinamento de funcionários, entre outras ações.

3. Fundamentação Legal e Jurisprudência

A LGPD é a principal norma que rege a proteção de dados pessoais no Brasil. Além das obrigações de comunicação de incidentes de segurança (art. 48), a lei estabelece os princípios que devem nortear o tratamento de dados (art. 6º), os direitos dos titulares (arts. 17 a 22) e as sanções administrativas em caso de descumprimento (arts. 52 a 54).

A jurisprudência sobre o tema ainda está em desenvolvimento, mas já existem decisões importantes dos tribunais superiores. O Superior Tribunal de Justiça (STJ), por exemplo, já reconheceu que o vazamento de dados pessoais, por si só, não gera dano moral in re ipsa (presumido), sendo necessário que o titular comprove o efetivo prejuízo sofrido. No entanto, em casos de vazamento de dados sensíveis, a jurisprudência tem se inclinado para o reconhecimento do dano moral presumido, dada a maior potencialidade de dano a esses dados.

O Supremo Tribunal Federal (STF), por sua vez, já se manifestou sobre a importância da proteção de dados pessoais como direito fundamental, reconhecendo a sua proteção constitucional. Em julgamento recente, o STF reafirmou a competência da ANPD para fiscalizar e aplicar sanções em caso de descumprimento da LGPD.

4. Dicas Práticas para Advogados

• Atuação Preventiva: A melhor forma de lidar com um vazamento de dados é evitá-lo. Advogados devem orientar seus clientes a adotar medidas preventivas, como a implementação de programas de compliance em privacidade e proteção de dados, a realização de auditorias de segurança, a elaboração de políticas de privacidade claras e a capacitação de funcionários.
• Plano de Resposta a Incidentes: É fundamental que as empresas tenham um plano de resposta a incidentes de segurança, detalhando os procedimentos a serem adotados em caso de vazamento de dados, as responsabilidades de cada setor e os canais de comunicação a serem utilizados.
• Acompanhamento da Legislação e Jurisprudência: O Direito Digital é uma área em constante evolução. Advogados devem acompanhar as atualizações legislativas e as decisões dos tribunais para garantir a melhor defesa dos interesses de seus clientes.
• Assessoria Especializada: Em casos complexos, pode ser necessário contar com a assessoria de especialistas em segurança da informação e peritos forenses para auxiliar na investigação do incidente e na adoção de medidas corretivas.

5. Legislação Atualizada (até 2026)

Além da LGPD, outras normas relevantes para a proteção de dados pessoais e o combate a incidentes de segurança incluem:

• Marco Civil da Internet (Lei nº 12.965/2014): Estabelece princípios, garantias, direitos e deveres para o uso da internet no Brasil, incluindo a proteção da privacidade e dos dados pessoais.
• Código de Defesa do Consumidor (Lei nº 8.078/1990): Aplica-se às relações de consumo em que há tratamento de dados pessoais, garantindo aos consumidores o direito à informação clara e adequada sobre o uso de seus dados.
• Resoluções da ANPD: A ANPD tem emitido diversas resoluções para regulamentar a LGPD, como a Resolução CD/ANPD nº 1/2021, que aprova o Regulamento do Processo de Fiscalização e do Processo Administrativo Sancionador, e a Resolução CD/ANPD nº 15/2024, que dispõe sobre a comunicação de incidentes de segurança.

Conclusão

O vazamento de dados é um desafio complexo que exige uma atuação rápida, coordenada e pautada na legislação aplicável. A LGPD estabeleceu um marco legal importante para a proteção de dados no Brasil, impondo obrigações e sanções para garantir a segurança das informações. A atuação de advogados e profissionais do Direito é fundamental para orientar as empresas e instituições na prevenção de incidentes de segurança e na adoção das medidas cabíveis em caso de vazamento, assegurando a proteção dos direitos dos titulares e mitigando os riscos legais e reputacionais.

Aviso: Este artigo tem caráter informativo e didático. Deve ser verificado e adaptado a cada caso concreto por profissional habilitado. Acesse advogando.ai para mais recursos.