Por: Dra. Fernanda Depari Estelles Martins
Os recentes e sucessivos incidentes de segurança da informação no Brasil — como a invasão ao Fundo Garantidor de Créditos (FGC), que expôs nomes, CPFs, e-mails e dados de investimentos de clientes, somada ao vazamento recente na rede hospitalar Albert Einstein — trouxeram à tona uma vulnerabilidade crítica da sociedade digital. Existe uma perigosa banalização cultural resumida na frase: “Todo mundo já tem meu CPF, qual é o problema?”. Sob a perspectiva da Estelles Advogados, a exposição de dados pessoais em ataques cibernéticos maliciosos vai muito além do vazamento acidental de uma lista telefônica; trata-se do sequestro e da comercialização da identidade digital do cidadão. A Lei Geral de Proteção de Dados (LGPD) estabeleceu deveres rigorosos para as instituições que armazenam esses ativos e conferiu aos titulares um conjunto robusto de direitos e ações de reparação.
A recorrência de ataques cibernéticos no país revela um padrão inquietante. Quando uma instituição de saúde de ponta ou um órgão garantidor do sistema financeiro sofrem uma invasão hacker com exfiltração de dados, o risco imediato para a vítima não se limita à recepção de spam ou e-mails indesejados. Em posse de um conjunto de dados cruzados — que inclui CPF, histórico financeiro, registros de saúde, biometria e contatos —, criminosos conseguem clonar identidades, abrir contas bancárias fraudulentas, obter empréstimos e realizar fraudes sofisticadas de engenharia social.
A gravidade do cenário exige esclarecer a estrutura jurídica desenhada pela LGPD. Na relação de proteção de dados, o cidadão é a figura do Titular, enquanto a instituição pública ou privada que coleta, armazena e processa essas informações atua na condição de Controladora. O controlador assume a responsabilidade legal objetiva pela segurança e sigilo das informações que custodia.
A Ilusão do “Apenas um CPF“. O perigo do Perfilamento Criminoso
No ambiente escolar, corporativo ou familiar, é comum observar pessoas instruídas minimizarem o impacto de um vazamento de dados pessoais. Trata-se de uma percepção equivocada sobre o valor das informações na era da Inteligência Artificial.
Um dado isolado como o CPF possui utilidade limitada. Contudo, quando combinado com a data de nascimento, endereço, registros de saúde ou histórico de investimentos obtidos em incidentes sucessivos, cria-se o chamado perfilamento (ou profiling). Com esses elementos integrados, agentes maliciosos conseguem passar com facilidade por mecanismos de validação biométrica e checagens de segurança bancárias. Na prática, o vazamento de dados permite que terceiros mal-intencionados “vivam uma vida paralela” em nome do titular, comprometendo seu patrimônio, sua imagem e seu crédito.
Os Deveres Jurídicos do Controlador perante o Incidente de Segurança
Quando ocorre um ataque cibernético com vazamento de dados, a Lei Geral de Proteção de Dados (Lei nº 13.709/2018) impõe à entidade controladora uma série de obrigações imediatas de transparência e mitigação de danos:
- Comunicação Obrigatória à ANPD e aos Titulares: Conforme o artigo 48 da LGPD, o controlador deve comunicar à Autoridade Nacional de Proteção de Dados (ANPD) e aos titulares afetados a ocorrência de incidente de segurança que possa acarretar risco ou dano relevante.
- Transparência sobre a Extensão do Vazamento: A notificação enviada aos clientes ou usuários não pode ser genérica. O controlador é obrigado a descrever a natureza dos dados pessoais afetados, as medidas de segurança utilizadas, os riscos relacionados ao incidente e as providências adotadas para reverter ou mitigar os prejuízos.
- Dever de Mitigação e Suporte: Cabe ao controlador prestar assistência aos titulares expostos, orientando sobre os riscos de fraudes de engenharia social (como golpes de phishing via ligações ou mensagens em nome da instituição) e adotando contenções técnicas imediatas.
Quais são os Direitos do Titular e quais ações podem ser tomadas?
Frente à confirmação de que seus dados foram comprometidos em um incidente de segurança, o titular de dados possui amparo legal para adotar providências administrativas e judiciais contra o controlador:
- Direito de Confirmação e Acesso aos Dados (Artigo 18 da LGPD): O titular tem o direito de requerer formalmente ao encarregado de dados (DPO) da instituição a confirmação exata de quais informações suas foram acessadas, copiadas ou expostas na invasão.
- Ação de Indenizatória por Danos Morais e Materiais: Caso o vazamento resulte em prejuízos financeiros diretos (como fraudes bancárias efetuadas por terceiros em seu nome) ou em abalo moral decorrente da exposição de dados sensíveis e íntimos, o titular pode ajuizar ação de reparação civil contra o controlador com base nos artigos 42 a 45 da LGPD.
- Inversão do Ônus da Prova: Na esfera judicial, a responsabilidade do controlador é mitigada apenas se este comprovar que não realizou o tratamento, que não houve violação às normas de segurança ou que o dano é de culpa exclusiva do titular ou de terceiro — ônus probatório que recai sobre a instituição invasora e não sobre a vítima.
- Representação perante a ANPD e Órgãos de Defesa do Consumidor: O cidadão pode formular denúncias formais perante a ANPD para a aplicação de sanções administrativas (que vão desde advertências até multas de até 50 milhões de reais por infração) e acionar órgãos como o Procon ou o Ministério Público para a tutela coletiva dos direitos.
A Urgência da Cultura de Proteção de Dados
A sucessão de incidentes de segurança no Brasil demonstra que a governança de dados e a segurança da informação deixaram de ser meros requisitos burocráticos para se tornarem imperativos de sobrevivência reputacional e financeira. O cidadão não deve aceitar o vazamento de seus dados como um evento inevitável da vida moderna, tampouco as instituições podem tratar a privacidade como um item secundário de sua operação.
A conformidade com a LGPD exige auditoria contínua, rígido controle de acessos e planos de resposta a incidentes verdadeiramente transparentes. Na Estelles Advogados, atuamos tanto na consultoria preventiva de compliance em privacidade para empresas quanto na tutela dos direitos de titulares e instituições afetados por violações de dados, garantindo a responsabilização devida e a preservação da segurança jurídica no ambiente digital.
Perguntas e Respostas (Q&A) sobre Vazamento de Dados e Direitos do Titular (LGPD)
1. Como saber se meus dados foram expostos em um vazamento de dados de uma empresa?
A empresa controladora é obrigada por lei (Artigo 48 da LGPD) a notificar individualmente os titulares afetados quando o incidente gerar risco ou dano relevante. Além disso, o cidadão pode exercer o direito de acesso (Artigo 18) enviando um requerimento formal ao Encarregado de Proteção de Dados (DPO) da instituição para solicitar a confirmação exata das informações comprometidas.
2. A empresa que sofreu um ataque hacker é responsável pelos danos causados aos clientes?
Sim. Perante a LGPD e o Código de Defesa do Consumidor, o controlador possui responsabilidade pela segurança dos dados que custódia. O fato de ter sido vítima de um ataque hacker não exime a instituição do dever de indenizar os titulares afetados, a menos que comprove rigorosamente ter adotado todas as medidas de segurança exigidas e a ausência de falhas em seus sistemas.
3. Qual é a diferença entre um vazamento de dados acidental e um vazamento por invasão maliciosa?
No vazamento acidental, uma base de dados fica exposta involuntariamente por falha de configuração interna. Na invasão maliciosa (ataque cibernético), agentes criminosos invadem os sistemas com a intenção deliberada de subtrair informações para uso ilícito, extorsão ou comercialização no mercado negro, elevando substancialmente o risco de fraudes contra os titulares.
4. Posso pedir indenização por danos morais apenas pelo fato de ter meus dados vazados?
A jurisprudência brasileira tem evoluído no sentido de avaliar o risco e a natureza dos dados expostos. Em casos de vazamento de dados sensíveis (dados de saúde, biometria ou histórico financeiro sigiloso), o abalo moral costuma ser presumido ou fundamentado na angústia e no risco severo à privacidade. Quando há prejuízo financeiro comprovado (como golpe bancário decorrente do vazamento), o dano material e moral é plenamente devidos.
5. Quais providências devo tomar imediatamente se receber o comunicado de que meus dados foram vazados?
O titular deve: 1) Alterar imediatamente senhas de acesso a bancos e e-mails; 2) Ativar a autenticação em dois fatores em todas as contas digitais; 3) Monitorar o extrato bancário e o relatório de crédito (como o Registrato do Banco Central); e 4) Redobrar a atenção a ligações, e-mails ou mensagens pelo WhatsApp em nome da instituição, pois criminosos usam os dados vazados para aplicar golpes de engenharia social.
6. O que é a ANPD e qual o papel dela no caso de um vazamento de dados?
A ANPD (Agência Nacional de Proteção de Dados) é a autarquia federal responsável por fiscalizar e aplicar a LGPD no Brasil. Ela recebe as comunicações de incidentes, apura se o controlador cumpriu as normas de segurança e pode aplicar sanções administrativas que variam de advertências até multas de até 2% do faturamento da empresa (limitadas a R$ 50 milhões por infração).
7. O que é a figura do Controlador e do Operador na LGPD?
O Controlador é a empresa ou órgão público a quem competem as decisões referentes ao tratamento de dados pessoais (quem coleta os dados do cliente). O Operador é a pessoa física ou jurídica que realiza o tratamento de dados em nome do controlador (como uma empresa de servidores em nuvem ou de TI contratada). Perante o titular, a responsabilidade primária de atendimento é do Controlador.
8. Se terceiros abrirem uma conta bancária ou fizerem um empréstimo em meu nome com os dados vazados, de quem é a culpa?
A instituição bancária que permitiu a abertura da conta ou concessão de crédito sem a validação rigorosa da identidade responde objetivamente pela fraude (Súmula 479 do STJ). Adicionalmente, a empresa que vazou os dados originais pode ser responsabilizada em regresso ou em conjunto caso fique demonstrado o nexo de causalidade com o incidente de segurança.
9. O que é o perfilamento de dados pessoais e qual seu risco?
Perfilamento é o cruzamento de dados isolados (como CPF, compras, saúde e localização) para traçar o perfil completo de um indivíduo. Na mão de criminosos, essa compilação permite burlar checagens de segurança bancária e criar identidades falsas extremamente convincentes para aplicar golpes no mercado.
10. Como uma empresa pode se proteger contra responsabilidades jurídicas no caso de um vazamento?
A empresa deve implementar um programa robusto de governança em privacidade (Privacy by Design), manter relatórios de impacto à proteção de dados (RIPD), adotar criptografia e rígido controle de acessos aos sistemas, além de manter um plano de resposta a incidentes pré-estruturado e um DPO atuante para agir com rapidez e transparência caso um ataque ocorra.
Estelles Advogados Associados: mais de 35 anos de dedicação à advocacia
Somos uma Sociedade de Advogados fundada no ano de 2000, e inscrita na Ordem dos Advogados do Brasil, Secção de São Paulo sob nº 5.402, que, desde a nossa fundação, nos dedicamos a atender a praticamente todas as áreas do Direito Público e Privado.
Seja na esfera Contenciosa, seja na Preventiva, contando, para tanto, com o auxílio de advogados associados, escritórios correspondentes fora do Estado de São Paulo, estagiários, suporte paralegal e de pessoal administrativo, de quem são exigidos os melhores esforços para atendimento rápido e eficaz de seus clientes.
Somamos mais de 35 anos de formação acadêmica e dedicação à advocacia, sempre praticada de forma personalizada e artesanal, na busca da perfeição no atendimento da clientela com respeito à ética e à qualidade dos serviços jurídicos prestados, adequando-se às características e necessidades de cada um.
Dentre as nossas principais áreas de atuação e especialização (Administrativo, Ambiental, Bancário, Concorrencial, Direito do Consumidor, Contencioso Cível, Contratos, Famílias e Sucessões, Imobiliário, Propriedade Intelectual e Societário), levando em consideração o tema central deste artigo, iremos versar um pouco mais a respeito do Direito Tributário, para maior compreensão das nossas frentes de atuação, especialização e assessoria:
- Consultoria sobre a interpretação e aplicação das normas tributárias federais, estaduais e municipais relacionadas a tributos diretos, indiretos e previdenciários;
- Elaboração de defesas e recursos em processos administrativos, bem como de ações judiciais questionando a exigência de tributos nas esferas municipal, estadual, federal e previdenciária;
- Assessoria e análise sobre diversos aspectos fiscais e contábeis relacionados a operações de aquisição de empresas, fusão, cisão, joint venture e demais reestruturações societárias, incluindo planejamento tributário;
- Consultoria sobre preço de transferência, compensações tributárias e revisão de DIPJ;
- Assessoria e consultoria a entidades do terceiro setor com relação a imunidade tributária e incentivos fiscais;
- Assessoria sobre os aspectos fiscais e administrativos envolvidos nas mais diversas atividades ligadas ao comércio exterior, inclusive quanto à utilização de regimes aduaneiros especiais.