REsp 2.147.374-SP

Um agente de tratamento de dados pode ser responsabilizado pelas obrigações do artigo 19, II, da LGPD, mesmo que o vazamento de dados pessoais não sensíveis ocorra devido a um ataque hacker. A controvérsia jurídica consiste em definir se o vazamento de dados pessoais não sensíveis do titular, decorrente de atividade alegadamente ilícita (ataque hacker), é passível de imputar ao agente de tratamento de dados as obrigações previstas no art. 19, II, da Lei Geral de Proteção de Dados Pessoais (LGPD), ou se o fato de tal vazamento ter decorrido de atividade ilícita seria uma excludente de responsabilidade, prevista no art. 43, III (culpa exclusiva de terceiro). É importante recapitular que, ao inscrever a proteção e o tratamento de dados pessoais no rol dos direitos e garantias fundamentais da Constituição Federal (art. 5º, LXXIX), a Emenda Constitucional n. 115/2022 inaugurou um novo capítulo no ordenamento jurídico brasileiro no que tange aos direitos de personalidade, à liberdade e à autodeterminação informativa. Nesse sentido, as empresas que se enquadram na categoria dos agentes de tratamento têm a obrigação legal de tomar todas as medidas de segurança esperadas pelo titular dos dados para que suas informações sejam protegidas, e seus sistemas utilizados para o tratamento de dados pessoais devem estar estruturados de forma a atender aos requisitos de segurança, aos padrões de boas práticas e de governança e aos princípios gerais previstos na LGPD e às demais normas regulamentares. Ademais, compliance de dados é o esforço de conformidade e de aplicação da LGPD nas atividades das empresas que lidam com tratamento de dados. Referido instrumento assume importância central ao induzir não apenas à obediência ao direito, mas também à comprovação da efetividade dos programas de conformidade. Logo, o tratamento de dados pessoais configura-se como irregular quando deixa de fornecer a segurança que o titular dele poderia esperar ("expectativa de legítima proteção"), consideradas as circunstâncias relevantes, entre as quais as técnicas de tratamento de dados pessoais disponíveis à época em que foi for realizado (art. 44, III, da LGPD). No caso de a empresa de tratamento não provar que determinado vazamento dos dados tenha ocorrido exclusivamente em razão de incidente de segurança (ataque hacker), é impossível aplicar em seu favor a excludente de responsabilidade do art. 43, III, da LGPD. Assim, é correta a conclusão de concretizar os direitos do titular dos dados ao condenar a empresa responsável pelo tratamento de dados na obrigação de apresentar informação das entidades públicas e privadas com as quais realizou o uso compartilhado dos dados da recorrida (art. 18, VII, da LGPD) e a fornecer declaração completa que indique a origem dos dados, a inexistência de registro, os critérios utilizados e a finalidade do tratamento, bem como a cópia exata de todos os dados referentes ao titular constantes em seus bancos de dados (art. 19, II, da LGPD). Um agente de tratamento de dados pode ser responsabilizado pelas obrigações do art. 19, II, da LGPD , mesmo que o vazamento de dados pessoais não sensíveis ocorra em razão de ataque hacker . Essa decisão do Superior Tribunal de Justiça trata de um tema extremamente atual e cada vez mais cobrado em concursos: proteção de dados pessoais, responsabilidade digital e do dever de segurança da informação. Segue o contexto da decisão: Uma empresa alegou que não deveria ser responsabilizada pelo vazamento de dados pessoais porque o incidente teria sido causado por um ataque cibernético. O debate central foi saber se o ataque hacker afastaria automaticamente a responsabilidade do agente de tratamento. Diante disso, segue um breve contexto dos pontos importantes que permeiam a decisão. Quem é o agente de tratamento? Segundo a LGPD, é quem: coleta dados; armazena; compartilha; utiliza informações pessoais. Exemplos comuns: bancos, hospitais, empresas de tecnologia, escolas, plataformas digitais, dentre outros. Quem exerce essa atividade assume o dever legal de proteger os dados . Ataque hacker afasta a responsabilidade? Não automaticamente. O STJ, por sua vez, reforçou que o tratamento de dados envolve um risco inerente à atividade . Portanto, espera-se que a empresa adote medidas como sistemas de segurança, controle de acesso, proteção contra invasões ou monitoramento tecnológico. Se ocorre um vazamento, é necessário analisar: a empresa adotou medidas adequadas? o sistema era seguro? houve negligência? Sem essa demonstração, a responsabilidade permanece. O dever previsto no art. 19 da LGPD O artigo 19 da LGPD garante ao titular dos dados o direito de obter informações claras sobre o tratamento de suas informações. Após um incidente, o agente deve: agir com transparência; fornecer informações; reduzir os danos; adotar providências. Não basta, portanto, alegar que também foi vítima do hacker. Diante do exposto, a Corte adotou uma lógica muito importante: quem se beneficia do uso dos dados também deve suportar os riscos da atividade. Permitir que o ataque hacker afastasse automaticamente a responsabilidade poderia: enfraquecer a proteção de dados; reduzir o incentivo à segurança digital; aumentar a vulnerabilidade dos titulares.

Tese Jurídica Oficial

Decisões relacionadas

REsp 2.233.988-SP

CC 215.970-PR

Edição 140 - PROCESSO ADMINISTRATIVO DISCIPLINAR - III - Tese 3

Edição 140 - PROCESSO ADMINISTRATIVO DISCIPLINAR - III - Tese 6

Edição 140 - PROCESSO ADMINISTRATIVO DISCIPLINAR - III - Tese 5

Edição 140 - PROCESSO ADMINISTRATIVO DISCIPLINAR - III - Tese 1