Doutor Gilmar Stelo, advogado e fundador do Stelo Advogados, tem acompanhado uma decisão recente do Superior Tribunal de Justiça que reforça um entendimento cada vez mais consolidado no Judiciário brasileiro: empresas podem ser responsabilizadas civilmente por vazamento de dados pessoais, mesmo quando o incidente decorre de um ataque hacker, afastando a defesa comum de que a ação criminosa de um terceiro exime a companhia de qualquer responsabilidade sobre o ocorrido.
Diante da frequência alarmante com que ataques cibernéticos atingem empresas de todos os portes no Brasil, entender exatamente como funciona essa responsabilização e o que reduz de forma concreta a exposição jurídica de uma companhia diante de um incidente de segurança tornou-se conhecimento essencial para qualquer negócio que trate dados pessoais em sua operação cotidiana, o que hoje inclui praticamente todas as empresas, independentemente do setor em que atuam.
Por que o ataque hacker não isenta a empresa de responder civilmente?
No julgamento que consolidou esse entendimento, o Superior Tribunal de Justiça classificou o ataque cibernético como fortuito interno, reforçando o dever de segurança que recai sobre a empresa na condição de agente de tratamento de dados pessoais. A companhia envolvida no caso alegava que o vazamento havia sido causado exclusivamente por ação de terceiro, um invasor externo, e que, portanto, não poderia ser responsabilizada pelo ocorrido, argumento que o tribunal rejeitou de forma expressa.
Esse entendimento ganha ainda mais relevância diante dos números que caracterizam o cenário atual de ameaças cibernéticas, retrata Gilmar Stelo. Estudos do setor mostram que ataques cibernéticos ocorrem em escala constante no Brasil, com empresas se tornando vítimas de ransomware em intervalos extremamente curtos, e boa parte das pequenas empresas atingidas por ataques graves não sobrevive mais do que alguns meses depois do incidente, quando não possuem preparo técnico e jurídico adequado para lidar com a situação.
Dano moral presumido: um detalhe técnico que muda o resultado de qualquer ação
Uma decisão complementar do próprio Superior Tribunal de Justiça reconheceu que o vazamento de dados sensíveis pode configurar dano moral presumido, também chamado de dano moral in re ipsa, independentemente de comprovação de prejuízo direto, sempre que a empresa não conseguir demonstrar que adotou medidas adequadas de proteção. Entre os critérios que os tribunais costumam avaliar para quantificar essa indenização estão a amplitude do vazamento, a natureza dos dados expostos, a conduta da empresa após o incidente, eventual reincidência e a comprovação de uso efetivo das informações vazadas por terceiros.
Conforme evidencia o Doutor Gilmar Stelo, especialista na área jurídica, contencioso e administrativa, essa mudança de entendimento inverte, na prática, o ônus probatório, que normalmente favorece quem está sendo processado. Em vez de a vítima precisar comprovar prejuízo concreto decorrente do vazamento, passa a ser a própria empresa que precisa demonstrar, documentalmente, que adotou medidas técnicas e administrativas adequadas de proteção, o que reforça a importância de manter registros claros de toda a estrutura de segurança da informação implementada.
A dupla frente de exposição: ação judicial individual e fiscalização da ANPD
A responsabilização por incidentes de segurança da informação no Brasil opera em duas vias que costumam avançar simultaneamente. A via judicial, impulsionada frequentemente por ações coletivas movidas em nome de consumidores afetados, e a via administrativa, conduzida diretamente pela Autoridade Nacional de Proteção de Dados, que pode aplicar sanções que chegam a dois por cento do faturamento da empresa por infração, independentemente de eventual condenação em ações judiciais individuais movidas pelos titulares dos dados vazados.
Nenhuma empresa está genuinamente imune a ataques cibernéticos diante da sofisticação crescente dessas ameaças, expõe o Dr. Gilmar Stelo. Contudo, organizações que adotam boas práticas de segurança da informação e mantêm uma postura transparente após um eventual incidente têm chances significativamente maiores de mitigar sua responsabilidade jurídica perante ambas as frentes de exposição. Isso reforça por que a prevenção proativa sempre vale mais do que qualquer estratégia reativa adotada após o ocorrido.
Como reduzir a exposição antes que um incidente aconteça?
A prevenção mais eficaz combina a existência de um plano estruturado de resposta a incidentes, medidas técnicas documentadas de segurança, como criptografia, controle de acessos e registro de logs, e treinamento contínuo de colaboradores contra técnicas de engenharia social, já que falhas humanas continuam figurando entre as principais causas de vazamentos de dados registrados no país. A contratação de seguro cibernético, calibrado ao porte e ao perfil de risco da empresa, também tem se consolidado como camada complementar de proteção financeira diante desse tipo de incidente.
Conforme observa o Doutor Gilmar Stelo, o Stelo Advogados Associados tem auxiliado empresas tanto na estruturação preventiva dessa documentação de segurança quanto na resposta jurídica a incidentes já em curso, integrando a estratégia legal à resposta técnica conduzida pelas equipes de tecnologia da informação e segurança cibernética, entendendo que a velocidade e a qualidade dessa resposta conjunta costumam determinar boa parte do resultado final de qualquer disputa relacionada ao incidente.
A jurisprudência brasileira caminha claramente para responsabilizar empresas que não conseguem comprovar medidas adequadas de segurança, independentemente de o ataque ter partido de um terceiro criminoso. Empresas que tratam a proteção de dados como responsabilidade jurídica contínua, e não apenas como questão técnica isolada da área de tecnologia, tendem a atravessar um eventual incidente de segurança com exposição muito menor do que aquelas que só passam a se preocupar com o tema depois que o vazamento já aconteceu.
