Carlos Roberto Buriti

Os megavazamentos de dados pessoais vêm aumentando geometricamente ao redor do planeta. Em 2018, da base de dados de apenas duas empresas, identificou-se o vazamento de dados pessoais de 679 milhões de indivíduos: 339 milhões da rede Marriott Hotéis e 340 milhões da empresa Exactis. Segundo análise da Atlas VPN, nos três primeiros trimestres de 2020 os dados expostos atingiram um recorde de 36,1 bilhões. Só nos EUA mais de 300 milhões de indivíduos foram afetados por vazamentos de dados em 2020.<a href="#_edn1" name="_ednref1">[i]</a>
Os episódios ocorridos recentemente no Brasil - envolvendo dados de 220 milhões de pessoas, supostamente vazados do sistema da Serasa Experian, e de 100 milhões de pessoas, vazados das companhias telefônicas - são o reflexo dessa tendência mundial. 
<a href="https://conteudo.jota.info/poder-contato"><img class="size-medium wp-image-292717 aligncenter" src="https://www.jota.info/wp-content/uploads/2021/01/jota-pro-poder.jpg" alt="" width="688" height="688" /></a>O Rapport d’information nº 82 de 22/10/2019, do Senado Francês (<a href="http://www.senat.fr" target="_blank" rel="noopener noreferrer">www.senat.fr</a>), aponta que os objetivos principais dos ataques cibernéticos são: a) espionagem; b) cibercrime; c) desestabilização (divulgação de notícias falsas pelas redes sociais); e, d) sabotagem (com vistas a paralisar as atividades de uma entidade).
Os vazamentos de dados possuem relação mais próxima com a espionagem e com o cibercrime.  A espionagem é a atividade que busca obter, clandestinamente, acesso a informações sigilosas ou sensíveis de governos ou de instituições, com a finalidade de afetar as estratégias de governo e a competividade econômica. Atento a isso, Jean-Claude Juncker, ex-presidente da Comissão Europeia, afirmou que os ataques cibernéticos são mais perigosos para a estabilidade das democracias e das economias do que fuzis e tanques.<a href="#_edn2" name="_ednref2">[ii]</a> Os cibercrimes lesam o patrimônio, a fé pública e a liberdade individual. Podem configurar estelionato (art. 171 do CP), falsa identidade (art. 307 do CP), divulgação de segredo (art. 153 do CP), entre outros crimes.
As entidades detentoras dos dados vazados também sofrem sérios prejuízos. Além das sanções administrativas a que estarão sujeitas a partir de 01/08/2021 (art. 52, 53 e 54, c/c inciso I-A do art. 65 da LGPD), respondem civilmente pela falha que possibilitou o vazamento. As indenizações podem ser vultosas. A empresa Equifax, por exemplo, por conta do vazamento de dados de 147 milhões de cidadãos americanos, celebrou um acordo judicial pelo qual se comprometeu a indenizar os titulares dos dados em até US$ 425 milhões e investir US$ 1 bilhão em segurança de dados.<a href="#_edn3" name="_ednref3">[iii]</a>
<blockquote class="jota-article__eye">É forçoso reconhecer que o aumento exponencial de vazamentos de dados nos últimos anos sugere a fragilidade dos procedimentos de segurança da informação e a ineficiência das normas jurídicas que têm por objeto a tutela de dados pessoais.</blockquote>
Em que pese o lugar de destaque que o direito à proteção de dados pessoais tem alcançado, notadamente no seu reconhecimento como um direito fundamental em diversas Constituições democráticas, o fato é que os vazamentos de dados vêm aumentando. Assim, ao passo que se deve reconhecer o elevado avanço na legislação no que diz respeito à autodeterminação informacional na coleta e no tratamento de dados pessoais, há que se considerar que a mesma eficácia não se observa quanto à prevenção de vazamentos de dados.
A legislação penal também não contribui. No âmbito do direito penal brasileiro, as sanções são brandas e não desestimulam a conduta criminosa. O crime de invasão de dispositivo informático é previsto no artigo 154-A do Código Penal com pena de reclusão, de seis meses a 2 anos, e multa, para a hipótese de resultado mais grave (parágrafo 3º, art. 154-A).
Essa ineficiência das leis penais na prevenção dos crimes cibernéticos já chamou a atenção do Congresso Nacional. Existem cinco projetos de lei que buscam majorar as penas desses crimes: PL n. 3.330/2020; PL n. 4.554/2020; PL n. 5.276/2020, PL 5.278/2020 e PL 5.441/2020. Entretanto, nenhum deles trata especificamente do problema envolvendo vazamento de dados pessoais em grandes proporções. Não há tipificação penal específica para tal conduta. Tampouco há o estabelecimento de pena mais grave para essa hipótese, em que pese o indiscutível maior resultado lesivo decorrente do megavazamento de dados pessoais.
Por outro lado, os peritos em cibersegurança apontam o erro humano como a principal causa das violações de dados.<a href="#_edn4" name="_ednref4">[iv]</a> Portanto, a solução do problema não está apenas na sua regulamentação jurídica e na implementação de poderosos sistemas de segurança. Além dessas providências, é preciso uma mudança no comportamento humano. O individuo deve ser conscientizado dos riscos do mundo digital (v.g. clicar em um link de um e-mail desconhecido pode contribuir para a ação dos cibercriminosos). Por isso, as organizações devem investir na sensibilização contínua de seu pessoal sobre segurança da informação, implantando uma cultura de proteção de dados.
Outro ponto importante a ser considerado é que quanto maior o volume de dados pessoais, mais relevante o seu valor econômico e maior o interesse dos cibercriminosos. Nesse diapasão, para Seref Can Ozkaya, especialista em segurança cibernética, o principal fator no vazamento de dados é que as organizações mantêm grande quantidade de informações pessoais, ainda que não precisem de todas elas.<a href="#_edn5" name="_ednref5">[v]</a>
Diante dessa perspectiva, é preciso reconhecer que o meio mais eficaz de se impedir megavazamentos é evitar, sempre que possível, a construção de gigantescos bancos de dados. E isso só é possível a partir da consideração de que a concentração volumosa de dados deve ser a ultima ratio em matéria de tratamento de dados pessoais, uma vez que representa elevado risco a direitos e liberdades fundamentais de milhões de indivíduos.
No Brasil, infelizmente, há uma busca pela concentração de dados, especialmente em órgãos federais, como é o caso do Cadastro Base do Cidadão (Decreto 10.046/2019), do Sistema Nacional de Informações Territoriais (Sinter – Decreto n. 8.764/2016), e do Sistema Nacional de Informações do Registro Civil (Sirc – Decreto n. 9.929/2019).
Antes de optar pelo tratamento centralizado, entidades públicas e privadas devem aferir se os benefícios esperados superam os riscos. Devem considerar os riscos à sua imagem e os custos que poderão suportar com eventuais sanções administrativas e indenizações decorrentes de eventual megavazamento de dados pessoais. As entidades públicas devem ponderar se o interesse público pretendido com a concentração dos dados é proporcional, adequado e necessário em face dos riscos aos diretos fundamentais de milhões de cidadãos.
O direito precisa estar alinhado aos fenômenos sociais e aos novos desafios decorrentes dos avanços da tecnologia. Os megavazamentos de dados representam uma nova e crescente ameaça às instituições, aos Estados e aos direitos e liberdades individuais.  É preciso revisitar a legislação protetiva dos dados pessoais, inclusive penal, para traçar disciplina específica com vistas a garantir a efetiva segurança no tratamento concentrado de grandes volumes de dados pessoais. Aliado a isso, convém implementar no seio social a cultura de proteção de dados. Sem isso, diretos e liberdades fundamentais de milhões de indivíduos continuarão em risco.
<hr />
O episódio 50 do podcast Sem Precedentes faz uma análise da decisão tomada pelo Supremo Tribunal Federal nesta semana e que pode acelerar a aplicação de vacinas contra a Covid-19. Ouça:
https://www.youtube.com/watch?v=b9z7dDRHnrg
<hr />
<a href="#_ednref1" name="_edn1">[i]</a> Confira em: &lt;<a href="https://ico.org.uk/about-the-ico/news-and-events/news-and-blogs/2020/10/ico-fines-marriott-international-inc-184million-for-failing-to-keep-customers-personal-data-secure/" target="_blank" rel="noopener noreferrer">https://ico.org.uk/about-the-ico/news-and-events/news-and-blogs/2020/10/ico-fines-marriott-international-inc-184million-for-failing-to-keep-customers-personal-data-secure/</a>&gt;; &lt;<a href="https://www.wired.com/story/exactis-database-leak-340-million-records/" target="_blank" rel="noopener noreferrer">https://www.wired.com/story/exactis-database-leak-340-million-records/</a>&gt;; &lt;<a href="https://atlasvpn.com/blog/data-leaks-surge-by-1-453-in-5-years-to-a-record-36-billion-cases-in-2020-alone" target="_blank" rel="noopener noreferrer">https://atlasvpn.com/blog/data-leaks-surge-by-1-453-in-5-years-to-a-record-36-billion-cases-in-2020-alone</a>&gt;; e, &lt;<a href="https://atlasvpn.com/blog/over-300-million-individuals-affected-by-the-us-data-leaks-in-2020" target="_blank" rel="noopener noreferrer">https://atlasvpn.com/blog/over-300-million-individuals-affected-by-the-us-data-leaks-in-2020</a>&gt;.
<a href="#_ednref2" name="_edn2">[ii]</a>Confira em:&lt; https://www.taurillon.org/face-a-la-cyberguerre-froide-une-europe-de-la-cyberdefense-en-construction&gt;.
<a href="#_ednref3" name="_edn3">[iii]</a> Confira em: &lt; <a href="https://www.ftc.gov/enforcement/cases-proceedings/refunds/equifax-data-breach-settlement/" target="_blank" rel="noopener noreferrer">https://www.ftc.gov/enforcement/cases-proceedings/refunds/equifax-data-breach-settlement\</a>&gt;; e em: https://www.equifaxbreachsettlement.com/admin/services/connectedapps.cms.extensions/1.0.0.0/927686a8-4491-4976-bc7b-83cccaa34de0_1033_EFX_Final_Approval_Order_(1.13.2020).pdf
<a href="#_ednref4" name="_edn4">[iv]</a> Confira em: <a href="https://www2.cso.com.au/article/667214/human-factor-cyber-security/" target="_blank" rel="noopener noreferrer">https://www2.cso.com.au/article/667214/human-factor-cyber-security/</a>; em: <a href="https://www.enisa.europa.eu/publications/cybersecurity-culture-guidelines-behavioural-aspects-of-cybersecurity" target="_blank" rel="noopener noreferrer">https://www.enisa.europa.eu/publications/cybersecurity-culture-guidelines-behavioural-aspects-of-cybersecurity</a>; e em: https://www.enisa.europa.eu/publications/sectoral-thematic-threat-analysis
<a href="#_ednref5" name="_edn5">[v]</a> Confira matéria publicada no Observatório Internacional de Cibersegurança. Disponível em:https://observatoire-fic.com/les-consequences-de-la-fuite-de-donnees-perte-de-reputation-de-la-marque-et-impacts-financiers-by-seref-can-ozkaya/

ben-sweet-2LowviVHZ-E-unsplash

https://images.jota.info/wp-content/uploads/2021/09/copy-of-jota-logo-high-cmyk.jpeg

JOTA

Meio mais eficaz de impedir megavazamentos é evitar criação de gigantescos bancos de dados

A ineficiência do Direito na prevenção de vazamentos de dados pessoais

Vazamento de dados pessoais: meio mais eficaz de impedir megavazamentos é evitar criação de gigantescos bancos de dados