Mirielle Carvalho

Por unanimidade, a 3ª Turma do Superior Tribunal de Justiça (<a href="https://www.jota.info/tudo-sobre/stj">STJ</a>) decidiu que a Enel, antiga Eletropaulo, mesmo diante de um ataque hacker, tem responsabilidade de prestar informações a um cliente vítima de vazamento de dados não sensíveis.
A empresa deve elencar todas as entidades públicas e privadas com as quais compartilhou dados, fornecendo declaração completa que indique sua origem, a inexistência de registro, os critérios utilizados e a finalidade do tratamento, assim como a cópia exata de todos os dados referentes ao titular constantes em seus bancos de dados, conforme o art. 19, II, da LGPD.
O caso foi julgado no <a href="https://processo.stj.jus.br/processo/pesquisa/?tipoPesquisa=tipoPesquisaNumeroRegistro&amp;termo=202202209228&amp;totalRegistrosPorPagina=40&amp;aplicacao=processos.ea">REsp 2.147.374</a>, no qual os ministros acompanharam integralmente o voto do relator, ministro <a href="https://www.jota.info/tudo-sobre/ricardo-villas-boas-cueva">Ricardo Villas Bôas Cueva</a>, que entendeu independentemente do vazamento ter se originado por uma atividade ilícita, era obrigação da Enel proteger os dados não sensíveis dos consumidores.
<h3><a href="https://www.jota.info/produtos/poder?utm_source=cta-site&amp;utm_medium=site&amp;utm_campaign=campanha_poder_q2&amp;utm_id=cta_texto_poder_q2_2023&amp;utm_term=cta_texto_poder&amp;utm_term=cta_texto_poder_meio_materias">Conheça o JOTA PRO Poder, uma plataforma de monitoramento político e regulatório que oferece mais transparência e previsibilidade para empresas</a></h3>
No julgamento do recurso, a controvérsia analisada pelo colegiado estava em definir se o vazamento de dados não sensíveis do titular, decorrentes de atividade alegadamente ilícita, é passível de atribuir ao agente de tratamento de dados as obrigações previstas no art. 19, II, da Lei Geral de Proteção de Dados (<a href="https://www.jota.info/tudo-sobre/LGPD">LGPD</a>); ou se o fato de o vazamento ter decorrido de atividade ilícita seria uma excludente de responsabilidade, prevista no art. 43, III, da mesma norma.
O art. 19, II, da LGPD dispõe que "a confirmação de existência ou o acesso a dados pessoais serão providenciados, mediante requisição do titular: por meio de declaração clara e completa, que indique a origem dos dados, a inexistência de registro, os critérios utilizados e a finalidade do tratamento, observados os segredos comercial e industrial, fornecida no prazo de até 15 (quinze) dias, contado da data do requerimento do titular".
Já o art. 43, III, da mesma norma estabelece que "os agentes de tratamento só não serão responsabilizados quando provarem que o dano é decorrente de culpa exclusiva do titular dos dados ou de terceiro".
Em primeiro grau, o pedido de indenização foi julgado improcedente, sob o argumento de que a mulher não apresentou nos autos provas concretas que demonstrassem que, a partir da violação de seus dados pessoais, houve a ocorrência de danos morais. 
Em segunda instância, o Tribunal de Justiça do Estado São Paulo (<a href="https://www.jota.info/tudo-sobre/tjsp">TJSP</a>) não concedeu a indenização, mas condenou a Enel a apresentar a informação das entidades públicas e privadas com as quais realizou o uso compartilhado dos dados, fornecendo declaração completa que indique sua origem, a inexistência de registro, os critérios utilizados e a finalidade do tratamento, assim como a cópia exata de todos os dados referentes ao titular constantes em seus bancos de dados. Após a decisão do TJSP, a Enel interpôs recurso ao STJ, alegando que ficou comprovado nos autos que o vazamento de dados ocorreu em virtude de atividade ilícita de terceiros, o que excluiria a responsabilização prevista no artigo 43 da <a href="https://www.jota.info/tudo-sobre/LGPD">LGPD</a>.
<h3><a href="https://conteudo.jota.info/marketing-lp-newsletter-ultimas-noticias">Assine gratuitamente a newsletter Últimas Notícias do JOTA e receba as principais notícias jurídicas e políticas do dia no seu email</a></h3>
Em seu voto, o ministro  <a href="https://www.jota.info/tudo-sobre/ricardo-villas-boas-cueva">Ricardo Villas Bôas Cueva </a>considerou que, ao inscrever a proteção de dados no rol dos direitos de garantia fundamentais da Constituição, a <a href="https://www.planalto.gov.br/ccivil_03/constituicao/Emendas/Emc/emc115.htm#:~:text=EMENDA%20CONSTITUCIONAL%20N%C2%BA%20115%2C%20DE,e%20tratamento%20de%20dados%20pessoais.">Emenda Constitucional 115/2022</a> inaugurou um novo capítulo no ordenamento brasileiro, no que tange aos direitos de personalidade, liberdade e autodeterminação informação.
Por isso, segundo o ministro, a Enel, por se enquadrar na categoria dos agentes de tratamento, tinha a obrigação legal de tomar todas as medidas de segurança esperadas pelo titular, para que as suas informações fossem protegidas.
Desse modo, conforme fundamentou Villas Bôas Cueva, os sistemas utilizados pela Enel para tratamento de dados pessoais deveriam estar estruturados de forma a atender aos requisitos de segurança, aos padrões de boas práticas de governança, seus princípios gerados previstos na LGPD e as demais normas regulamentares.
"Compliance de dados é o esforço de conformidade de aplicação da LGPD nas atividades das empresas que dão um tratamento de dados. Esse instrumento assume a importância central ao induzir não apenas a obediência ao direito, mas também a comprovação da efetividade dos programas de conformidade", assinalou Villas Bôas Cueva.
Por essa razão, o ministro considerou que o tratamento dos dados pessoais por parte da Enel configurou-se como irregular, quando deixou de fornecer a segurança que o titular dele poderia esperar. O entendimento de Villas Bôas Cueva foi acompanhado pelos ministros <a href="https://www.jota.info/tudo-sobre/humberto-martins">Humberto Martins</a>, <a href="https://www.jota.info/tudo-sobre/moura-ribeiro">Moura Ribeiro</a> e <a href="https://www.jota.info/tudo-sobre/nancy-andrighi">Nancy Andrighi</a>.
Procurada, a Enel Distribuição São Paulo afirmou que não comenta ações judiciais em andamento.

vazamento de dados

https://images.jota.info/wp-content/uploads/2021/09/copy-of-jota-logo-high-cmyk.jpeg

JOTA

Para ministros, era obrigação da empresa tomar medidas de segurança para que as informações fossem protegidas

Enel deve prestar informações a cliente sobre vazamento de dados não sensíveis, decide STJ

Para ministros, era obrigação da empresa tomar medidas de segurança para que as informações fossem protegidas