Fabrício Polido

Um megavazamento de dados pessoais de 200 milhões de brasileiros foi palco de algumas poucas matérias especializadas e de qualidade nas últimas semanas, partindo da revelação feita pela empresa de segurança digital PSafe que deu conta da lista de 223 milhões de CPFs, dados cadastrais, salários, informações sobre score de crédito de consumidores, dados de imposto de renda, dados vinculados a participantes do Programa Bolsa Família, perfis em redes sociais e fotografias<a href="#_ftn1" name="_ftnref1">[1]</a>.
Tecnicamente até mesmo dados de pessoas mortas apareceram no rol do vazamento. Observado o total absoluto dos titulares e o alcance dos dados concentrados em bases de empresas brasileiras ou entes da administração pública, pode-se realmente considerar o maior incidente envolvendo segurança de dados em nosso país.
Sem entrar no mérito das abstrações e previsões normativas da Lei Geral de Proteção de Dados (LGPD) aguardadas quanto ao caso, parece ser central que as instituições brasileiras se voltem com maior atenção para delimitar se os eventos partiram de um a ataque deliberado de hackers ou se o vazamento resultou de falhas de segurança, diretamente atribuídas a parte controladora dos dados desses titulares.
<a href="https://conteudo.jota.info/poder-contato"><img class="size-medium wp-image-292717 aligncenter" src="https://www.jota.info/wp-content/uploads/2021/01/jota-pro-poder.jpg" alt="" width="688" height="688" /></a>
Inicialmente, acreditou-se que seriam dados tratados pelo serviço Mosaic, da Serasa Experian, mas a empresa veio sistematicamente refutando a alegação. Há também informações ainda muito vagas, como da Ciso Advisor, de que o vazamento em massa estaria associado a bancos de algum ente da Administração Pública, como também circulavam trechos das informações na própria “deep web”<a href="#_ftn2" name="_ftnref2">[2]</a>, que é justamente a camada da internet não alcançada pelos acessos de usuários comuns e com resultados não produzidos pelos motores de buscas tradicionais, como Google, Bing, DuckDuckGo, Yahoo!.
Concretamente, todavia, além do volume, a natureza dos dados vazados e expostos, existem inúmeros riscos associados às práticas que já conhecemos amplamente no Brasil, como fraudes sistemáticas, roubo de identidade e outros delitos cibernéticos online. O episódio também não deixa de abrir oportunidade para discussão dos efeitos de vazamentos em massa para apropriação indevida por sujeitos variados e alcançados pela governança de dados. Destacam-se, nesse bloco, empresas sem comprometimento com direitos de titulares de dados e com as obrigações previstas na LGPD brasileira; empresas que adquiriram versões arranjadas desses dados sem observar as bases de tratamento e procedimentos previstos na LGDP, ou mesmo organizações criminosas que passam a atuar no que eu chamaria de “subdomínio” da atividade econômica em dados.
Até esse ponto, conhecemos algo da história. O fato é que o megavazamento torna-se mais emblemático para demonstrar que o Brasil e suas instituições têm padecido de total desconsideração prática das bases constitucionais e internacionais relativas à proteção de dados e segurança digital. Há sistematicamente uma minimização das consequências advindas de incidentes relacionados a dados, ou da negação sobre a necessidade de robustez de infraestrutura de segurança da informação e reforço dos mecanismos de investigação, prevenção e repressão contra ataques cibernéticos.
<blockquote class="jota-article__eye">Segurança digital, amplamente admitida, é tema ainda distante da agenda dos entes da Administração Pública e da maioria das empresas atuantes no Brasil, que em geral tem partido do estado de ignorância sobre as repercussões legais, sociais, econômicas e culturais da privacidade de dados e malefícios de ataques cibernéticos.</blockquote>
Falta no Brasil, paralelamente à própria corrida contra o tempo trazida pela LGPD, um marco institucional-normativo consistente que estabeleça mecanismos e protocolos relacionados à segurança da informação e respostas a esses ataques, inclusive para induzir adoção de códigos, recomendações e boas práticas por parte de empresas, entes públicos e órgãos da Administração Pública. Uma Estratégia Nacional de Segurança Cibernética com uma visão militarizada, ou copiando experiências estrangeiras, nunca seria suficiente para responder a essas novas demandas, particularmente porque permanece no papel.
De outro lado, e independentemente das definições de responsabilidade no caso do “megavazamento”, suas consequências são inevitáveis para o Brasil e para o desenvolvimento de um regime legal de proteção de dados robusto (especialmente com a entrada parcial em vigor da LGPD e ainda longo caminho de estruturação e início de atividades da Autoridade Nacional de Proteção de Dados ANPD); e, acima de tudo, para as relações internacionais envolvendo dados.
Na esfera nacional, as primeiras medidas sobre esse vazamento em massa devem passar pelo adequado acompanhamento da imprensa e órgãos reguladores, sobretudo para reafirmar a transparência e prestação de contas quanto ao tratamento do caso e conferir-lhe ampla visibilidade para os cidadãos brasileiros. A presidência da ANPD já teria condições, inclusive, de encaminhar as ações emergenciais para acompanhamento e fiscalização do evento do megavazamento. O caso já abre espaço para tornar-se “grande” e desafiador para o campo de proteção de dados e para a Autoridade Nacional tanto por suas competências legais, quanto pela habilidade de entrosamento com autoridades de aplicação da lei.
O Ministério Público, por sua vez, também deve reclamar espaço de atuação nesse caso, mesmo porque a LGPD não afasta a intervenção do órgão diante da repercussão pública, dos interesses públicos e da tutela da ordem jurídica brasileira. Espera-se também que autoridades de defesa do consumidor e organizações da sociedade civil também possam responder à altura daquilo que é a própria expectativa de efetividade máxima dos direitos fundamentais de dados pessoais e das relações civis e comerciais mais elementares.
Internacionalmente o espectro do caso do megavazamento (são mais de 200 milhões de dados!) já deixa várias baixas reputacionais para o Brasil, comprometendo, inclusive, sua posição junto às organizações internacionais e posições negociadoras em acordos comerciais de última geração (“deep trade agréments” – acordos digitais).  Na OCDE e União Europeia, por exemplo, são eventos que já se consolidam como pontos negativos para os procedimentos de avaliação de pares (“peer review”) e habilitação em decisões de adequação como jurisdição a conferir grau adequado de proteção a dados pessoais.
No caso da OCDE, por exemplo, o Brasil pleiteia a condição de membro. Temas relacionados à prática e instituições de privacidade e proteção de dados são tratados por comitês interdisciplinares permanentes, como o Comitê sobre Políticas Econômicas Digitais<a href="#_ftn3" name="_ftnref3">[3]</a>. Nele, a Organização desenvolve as ações relacionadas à segurança digital, e-commerce; proteção da privacidade e de dados pessoais em novas tecnologias; proteção consumidor online; estabilidade e funcionalidade das redes digitais; estratégias de segurança cibernética; e outros.
Em relação à posição junto à União Europeia, o megavazamento se somará ao futuro relatório de avaliação e habilitação do Estado brasileiro para fins de reconhecimento de seu status como país com nível adequado de proteção de dados, e em linha com procedimentos relacionados às decisões de adequação da Comissão Europeia.  Países do Mercosul e vizinhos, como Argentina e Uruguai, por sua trajetória exemplar no campo da proteção de dados, já foram contemplados pelas decisões de adequação<a href="#_ftn4" name="_ftnref4">[4]</a>. As razões são variadas para esses países, tais como as comprovadas pelo histórico exemplar das leis e regulamentos modelos na América Latina, como também engajamento institucional e constitucionalmente consistente desses países quanto à cultura de privacidade - referencial a eixos dos direitos da cidadania.
Certamente a própria ANDP, em seu esperado e desejado trabalho, terá de provocar insistentemente órgãos de cooperação e o Ministério das Relações Exteriores para iniciar o trabalho fundamental em torno da diplomacia estratégica de dados (pragmática, cientificamente orientada e altamente técnica), além de reforçar os elementos para subsidiar uma futura decisão da adequação pela Comissão Europeia ou mesmo encorpar o conjunto de informações que permitam ao Brasil demonstrar a observância de padrões da OCDE.
Especificamente na União Europeia, o procedimento envolve a articulação originada de proposta pela Comissão, opinião consultiva do Conselho Europeu de Proteção de Dados, a aprovação de representantes de Membros da UE e adoção da decisão propriamente considerada<a href="#_ftn5" name="_ftnref5">[5]</a>. A situação brasileira, no momento, não se revela favorável em relação à OCDE ou União Europeia, particularmente pela forte oposição ao nosso país no eixo Europa-Estados Unidos, representado por presidentes como Angela Merkel, Emmanuel Macron e, a partir de agora, Joe Biden. Sempre existirá, contudo, a velha persistência técnica, negociadora e diplomática no Brasil, que permite ao país sair da escuridão e isolamento, assim como reconquistar seu destaque nos foros relacionados à governança das tecnologias.
Quanto às empresas atuantes no Brasil, por enquanto, a lição permanece porque serão forçadas a assegurar que seus planos de adequação à LGPD estejam absolutamente consistentes, não apenas com a letra da lei (ledo engano!), mas orientados pelas práticas dos segmentos da indústria considerada (por exemplo, especialidade, características próprias relacionadas ao fluxo de dados sob tratamento e dos modelo de negócios das empresas, a indicação do encarregado de dados, adoção de boas práticas de privacidade e proteção de dados), além de firme aplicação de protocolos e planos de segurança digital e da informação. Esse é certamente um dos maiores déficits para o segmento empresarial brasileiro que hoje trata massivamente dados pessoais e acredita que bastará um plano padrão ou plano formal de adequação à LGPD para cumprir a Lei, quando os efeitos e resultados aplicativos desses planos serão postos a teste.
Parceiros comerciais em outros países, como na Europa, China e Estados Unidos já há tempos controlam tecnicamente as condições de segurança e cumprimento de obrigações relacionadas à privacidade de dados, e atualmente impõem rotinas de auditoria e controle cruzado de informações de segurança digital e tecnologias de informação utilizadas pelas contrapartes brasileiras.
Seria muito ingênuo acreditar que esse megavazamento de dados de brasileiros nada afetaria a situação operacional de empresas no Brasil. Muito pelo contrário. O vazamento culmina em significativos impasses em termos de confiança tecnológica nas relações contratuais comerciais, de investimentos e de inovação, e certamente deve forçar associações e organizações nas diferentes indústrias de se fazer representar em pleitos de fortalecimento das práticas institucionais em torno de proteção de dados e segurança digital. Também é um incentivo para que promovam alternativas sustentáveis e consistentes de autorregulação, com códigos, boas práticas e arranjos colaborativos para troca de experiências nas áreas.
Para os entes públicos, também valeria a lição já repetida, quando não concorrente à maratona contra tempo para as ações de adequação às obrigações da LGPD. Ela reclama, invariavelmente, maior aprofundamento dos indicadores globais de inovação no setor público e fortalecimento de infraestrutura de segurança digital e proteção de dados. Discutir seriamente as estratégias relacionadas às melhores práticas, treinamentos, e desenvolvimento de tecnologias de sistemas contra ataques cibernéticos, vazamentos e demais incidentes de segurança já faz parte do passado.  O momento presente pede comprometimento institucional e constitucional, tanto em função de uma nova Lei que deve ser aplicada pelas autoridades brasileiras, como uma obrigação geral de disseminar e promover a cultura de privacidade que esteja diretamente associada aos direitos da cidadania e tributária das relações internacionais por parte do Estado brasileiro.
<hr />
O episódio 48 do podcast Sem Precedentes faz uma análise sobre a atuação do Supremo Tribunal Federal (STF) em 2020 e mostra o que esperar em 2021. Ouça:
https://youtu.be/-hMj5lwWXEE
<hr />
<a href="#_ftnref1" name="_ftn1">[1]</a> Disponível em: <a href="https://olhardigital.com.br/2021/01/28/seguranca/fotos-e-salarios-tambem-foram-expostos-no-maior-vazamento-de-dados-do-pais/#:~:text=A%20descoberta%20foi%20feita%20pela,data%20de%20nascimento%20e%20g%C3%AAnero.&amp;text=Segundo%20Marco%20DeMello%2C%20presidente%20da,ele%20teve%20acesso%2C%20%C3%A9%20assustador">https://olhardigital.com.br/2021/01/28/seguranca/fotos-e-salarios-tambem-foram-expostos-no-maior-vazamento-de-dados-do-pais/#:~:text=A%20descoberta%20foi%20feita%20pela,data%20de%20nascimento%20e%20g%C3%AAnero.&amp;text=Segundo%20Marco%20DeMello%2C%20presidente%20da,ele%20teve%20acesso%2C%20%C3%A9%20assustador</a>.
<a href="#_ftnref2" name="_ftn2">[2]</a> Disponível em: <a href="https://www.cisoadvisor.com.br/registros-de-223-milhoes-de-brasileiros-e-40-milhoes-de-empresas-a-venda/">https://www.cisoadvisor.com.br/registros-de-223-milhoes-de-brasileiros-e-40-milhoes-de-empresas-a-venda/</a>
<a href="#_ftnref3" name="_ftn3">[3]</a> Disponível em: <a href="http://www.oecd.org/digital/">http://www.oecd.org/digital/</a>Data governance, privacy and digital security
<a href="#_ftnref4" name="_ftn4">[4]</a> Cf., por exemplo, &lt;<a href="https://eur-lex.europa.eu/legal-content/PT/TXT/HTML/?uri=CELEX:32003D0490&amp;from=EN">https://eur-lex.europa.eu/legal-content/PT/TXT/HTML/?uri=CELEX:32003D0490&amp;from=EN</a>&gt;
&nbsp;
<a href="#_ftnref5" name="_ftn5">[5]</a> Disponível em: <a href="https://ec.europa.eu/info/law/law-topic/data-protection/international-dimension-data-protection/adequacy-decisions_pt">https://ec.europa.eu/info/law/law-topic/data-protection/international-dimension-data-protection/adequacy-decisions_pt</a>

hacker-2300772

https://images.jota.info/wp-content/uploads/2021/09/copy-of-jota-logo-high-cmyk.jpeg

JOTA

Riscos, responsabilidades e os desafios globais para a “cultura da privacidade”

O que o recente vazamento em massa de dados pessoais revela para o Brasil?

Riscos, responsabilidades e os desafios globais para a “cultura da privacidade”