Thiago Luís Sombra

Paula Indalecio

Com a crescente digitalização das empresas no cenário provocado pela pandemia da Covid-19, somado à entrada em vigor da Lei Geral de Proteção de Dados Pessoais (LGPD), o número de incidentes com dados pessoais não apenas aumentou como também ganhou mais visibilidade. Incidentes com órgãos da Administração Pública Federal, Tribunal Regional Federal da 1ª Região e Superior Tribunal de Justiça evidenciaram como não há limites e controles capazes de evitar por completo a ação de hackers.
Embora o setor financeiro tenha sido um dos primeiros a disciplinar requisitos e políticas de segurança cibernética (Res. CMN 4658/18 e Circular BACEN 3909/19), o Governo Federal (Decreto nº 10.222/20 – Estratégia Nacional de Segurança Cibernética) e outros setores regulados como o de seguros (Circular Susep nº 619/20) e o de mercado de capitais (IN CVM nº 612/19) somente recentemente deram seus primeiros passos para exigir planos de resposta a incidentes, requisitos de segurança e reportes.
<div id="aprovometro-1be91ffed4508b8ea3e4" role="main"></div>
<script type="text/javascript" src="https://d335luupugsy2.cloudfront.net/js/rdstation-forms/stable/rdstation-forms.min.js"></script> 
<script type="text/javascript"> new RDStationForms('aprovometro-1be91ffed4508b8ea3e4', 'UA-53687336-1').createForm();</script>
Se antes da entrada em vigor da LGPD os controladores dos dados pessoais ainda tinham alguma margem de flexibilidade para gerenciar um incidente, evitar a publicização – a depender do setor regulado de atuação – e decidir sobre a conveniência e oportunidade em notificar autoridades e titulares, esta alternativa não mais existe.
E neste cenário de aumento do número de casos, os desafios ganharam novos contornos. Para além das dificuldades naturais relacionadas à gestão de um incidente de segurança com dados pessoais como a existência de plano de resposta, eventuais danos reputacionais, desvalorização acionária, comprometimento operacional e fraudes, a Lei Geral de Proteção de Dados Pessoais (LGPD) trouxe outro fator relevante: a notificação obrigatória aos titulares e ANPD, quando o incidente acarretar risco ou dano relevante aos titulares.
Este elemento se tornou decisivo para a virada regulatória e a forma de gerir incidentes de segurança.
Embora o Código de Defesa do Consumidor não tivesse disposições específicas sobre incidentes de segurança com dados pessoais e o tema fosse tratado sob a ótica do fato do serviço e do produto (art. 12 do CDC), foi a LGPD que estabeleceu o regime jurídico amplo de temas de segurança cibernética e responsabilidade civil, ainda que com algumas polêmicas.
A primeira das controvérsias da LGPD refere-se ao regime jurídico de responsabilidade civil que, em seus artigos 42 a 45, dispõe que o controlador ou o operador que, em razão do exercício de atividade de tratamento de dados pessoais, causar a outrem dano patrimonial, moral, individual ou coletivo, em violação à legislação de proteção de dados pessoais, é obrigado a repará-lo.
Diante da ainda escassa jurisprudência sobre a natureza da responsabilidade civil prevista pela LGPD em casos de incidentes de segurança, muito se tem questionado se a responsabilidade seria subjetiva ou objetiva.
Por um lado, o artigo 927 do Código Civil estabelece que a responsabilidade será objetiva quando (i) houver previsão legal expressa ou (ii) quando a atividade normalmente desenvolvida pelo autor do dano implicar, por sua natureza, risco para os direitos de outrem.
Por um lado, não há na LGPD previsão de responsabilização independente de culpa. Inclusive, este foi um tema bastante discutido na Comissão Especial da Câmara dos Deputados<a href="#_ftn1" name="_ftnref1">[1]</a>, responsável pela análise dos Projetos de Lei nº 4.060/2012, 5.276/16 e 6.291/16, que deram origem à LGPD.
O Projeto de Lei 5.276/2016, que resultou na redação final da Lei 13.709/2018, previa no artigo 35, inserido no Capítulo V, que tratava sobre “Transferência internacional de dados” que “O cedente e o cessionário respondem, solidária e objetivamente pelo tratamento de dados, independentemente do local onde estes se localizarem, em qualquer hipótese”.
Tal disposição, que consistia na única referência à responsabilidade objetiva, foi suprimida do texto final. Isso significa, portanto, que houve uma opção deliberada do legislador em não adotar o regime de responsabilidade objetiva.
Ademais, a LGPD impõe uma série de deveres aos agentes de tratamento e standards de conduta a serem seguidos para garantir a segurança, sigilo, boas práticas e governança de dados.
Logo, poder-se-ia argumentar que, caso o sistema de responsabilidade civil previsto na LGPD fosse da modalidade objetiva, não haveria necessidade de prescrição exaustiva e detalhada dos deveres, já que a mera atividade de tratamento de dados ensejaria, por si só, a responsabilização (artigos 44 e 46).
Vale acrescentar, ainda, que, o diálogo das fontes estimulado pelo artigo 45 da LGDP em relação ao CDC é mais uma evidência de que não quis o legislador acolher o mesmo regime jurídico de responsabilidade objetiva para ambos os diplomas, caso contrário não faria qualquer sentido a remissão ao regime de responsabilidade do CDC.
Outros temas merecem particular atenção diante da gestão de um incidente de segurança com dados pessoais. O primeiro se refere às hipóteses de notificação e responsabilidade contratual, fruto da negociação das partes.
A LGPD não impõe condições contratuais específicas e, diante deste cenário de liberdade contratual, tem sido comum a imposição de prazos de notificação de 72h, 48h e até 24h em casos de incidente, com a consequente previsão de responsabilidade pelos danos materiais causados, independentemente de qualquer atuação da ANPD.
<blockquote class="jota-article__eye">Esse fenômeno conhecido como private enforcement tem se tornado um dos fatores de maior motivação para as empresas se adaptarem à LGPD.</blockquote>
O segundo tema se refere aos impactos dos incidentes de segurança com dados pessoais para empresas listadas e de capital aberto. Muito se tem questionado sobre o papel da CVM na tentativa de estabelecer requisitos de governança (IN CVM IN CVM nº 612/19 e IN CVM nº 505), tempestiva comunicação ao mercado e até eventual associação aos deveres dos diretores e administradores pela condução de um incidente de segurança, mas o fato é que no Brasil o debate ainda é incipiente se comparado a iniciativas ocorridas no passado com a Securities and Exchange Commission (SEC)<a href="#_ftn2" name="_ftnref2">[2]</a>.
Dentre os cuidados que companhias abertas e listas devem ter o principal deles é o momento exato de divulgar um fato relevante ao mercado e tempestivamente comunicar as autoridades. Este pode ser um fator decisivo em todo o processo de gerenciamento de um incidente de segurança e na preservação dos interesses dos acionistas.
Por fim, um dos maiores desafios dos incidentes de segurança diz respeito ao aspecto criminal e transnacional. Se por um lado devamos ver com reservas o movimento de criminalização desenfreada de toda e qualquer conduta, por outro lado, é inconteste o fato de que o Direito Penal tradicional não está preparado para lidar com toda a sorte de investidas, que não encontram a repressão necessária na legislação vigente.
Como bem afirmou o ministro Rogerio Schietti em palestra ministrada XII Seminário Internacional Ítalo-Ibero-Brasileiro de Estudos Jurídicos, realizado no STJ, em maio de 2017, “existe aqui uma fragilidade legislativa, em virtude da ausência de figuras típicas que porventura se amoldem a determinadas condutas. O princípio da legalidade estrita, um dos pilares do Direito Penal, impede a punição de condutas cometidas em ambiente virtual que não tenham correspondência com figuras tipificadas”.
Não raro os incidentes de segurança têm sido provocados por ataques DDoS e ramsonware, com consequente extorsão para obter o pagamento pela perda da integridade, confidencialidade e disponibilidade dos dados pessoais.
Muito embora o Código Penal considere típica a prática de extorsão, na prática o uso de Virtual Private Network (VPNs), com pedidos de pagamento em bitcoins, somados ao natural anonimato do qual se valem os criminosos dificultam sobremaneira a identificação, rastreamento e localização dos hackers envolvidos, o que resulta na baixa persecução penal do tema.
Para contornar situações desta natureza, algumas empresas optam por implementar políticas de recompensa (bug bounty policy) ou, por outro lado, expressamente vedar por complemento qualquer pagamento que decorra de atividade criminosa contra os interesses da empresa.
Hoje, quando muito, os ataques hackers encontram amparo no art. 154-A do Código Penal, (instituído pela Lei “Carolina Dieckman” – Lei 12.737/12), que é incapaz de coibir e atingir os sofisticados meios de atuação dos hackers, em especial por ainda ser considerado um crime de menor potencial ofensivo sujeito até mesmo a transação penal nos Juizados Especiais Criminais.
Tal dispositivo, por certo, não foi concebido para coibir as nefastas consequências advindas das crescentes investidas em desfavor de empresas e de órgãos da administração pública.
Uma das maiores expectativas para superar o atual cenário é a ratificação da Convenção de Budapeste de 2004, encaminhada pelo presidente da República para ratificação do Poder Legislativo, que contém uma série de medidas voltadas ao combate dos crimes cibernéticos e atualização da legislação em vigor.
Também seria benéfica a aprovação do anteprojeto que trata da chamada “LGPD Penal”, que prevê a inserção do art. 154-C no Código Penal, o qual tipificaria condutas como “transmitir, distribuir, usar de forma compartilhada, transferir, comunicar, difundir dados pessoais ou interconectar bancos de dados pessoais sem autorização legal para obter vantagem indevida ou prejudicar o titular dos dados ou a terceiro a ele relacionados”.
Com o aprimoramento desta frente em conjunto com a LGPD, o Brasil terá um novo patamar de enfrentamento dos incidentes de segurança com dados pessoais.
&nbsp;
<hr />
O episódio 48 do podcast Sem Precedentes faz uma análise sobre a atuação do Supremo Tribunal Federal (STF) em 2020 e mostra o que esperar em 2021. Ouça:
https://youtu.be/-hMj5lwWXEE
<hr />
<a href="#_ftnref1" name="_ftn1">[1]</a> Disponível em: &lt;<a href="about:blank">https://www.jota.info/wp-content/uploads/2018/05/e7f7a9e30ca16d91b84c2caf5a80fb36.pdf</a>&gt;.
<a href="#_ftnref2" name="_ftn2">[2]</a> Cf: &lt;<a href="about:blank">https://www.sec.gov/rules/interp/2018/33-10459.pdf</a> e <a href="about:blank">https://www.sec.gov/spotlight/cybersecurity</a>&gt;.

Plenário do Congresso

https://images.jota.info/wp-content/uploads/2021/09/copy-of-jota-logo-high-cmyk.jpeg

JOTA

Os desafios e alertas da modernização legislativa

Incidentes de segurança com dados pessoais em foco

Os desafios e alertas da modernização legislativa