Episódio 16: Vazamento de dados pessoais: o que o cidadão pode exigir e como buscar reparação pela LGPD
O que é um incidente de segurança com dados pessoais
Um incidente acontece sempre que dados pessoais sob a guarda de uma empresa são acessados, divulgados, alterados ou perdidos sem autorização. Isso vai da invasão criminosa de um banco de dados ao envio de uma planilha de clientes ao destinatário errado. O que importa não é a intenção, e sim o fato de a informação escapar ao controle de quem deveria protegê-la.
A Lei Geral de Proteção de Dados, a Lei 13.709 de 2018, considera dado pessoal qualquer informação ligada a uma pessoa identificada ou identificável, como nome, documento, endereço, dados bancários e correio eletrônico. Alguns recebem proteção reforçada e são chamados de dados sensíveis, entre eles os de saúde, origem racial, convicção religiosa e vida sexual. A gravidade do vazamento cresce conforme o tipo de dado exposto e o risco que ele representa.
O dever de comunicar o titular e a autoridade
O artigo 48 da Lei Geral de Proteção de Dados determina que o responsável pelo tratamento comunique à autoridade nacional e ao titular o incidente que possa gerar risco ou dano relevante. Essa comunicação não é cortesia, é obrigação legal, e deve descrever a natureza dos dados afetados, os riscos envolvidos e as medidas adotadas.
Para quem foi atingido, receber esse aviso é o que permite agir a tempo, trocando uma senha comprometida, monitorando movimentações ou alertando o banco. Quando a empresa se cala, apesar do dever de informar, agrava a própria situação. Vale lembrar que a lei chama de controlador quem decide como e por que os dados são tratados, e ele permanece responsável perante o titular mesmo ao contratar terceiros para processar as informações.
O papel da Autoridade Nacional de Proteção de Dados
A Autoridade Nacional de Proteção de Dados é o órgão federal que fiscaliza o cumprimento da lei e zela pela proteção dos dados no país. Ela recebe as comunicações de incidentes, avalia a gravidade e pode exigir ampla divulgação do ocorrido, além de determinar providências para reduzir os efeitos do vazamento.
Quando constata descumprimento, a autoridade pode aplicar sanções que vão da advertência à multa, passando pela publicização da infração e pela suspensão parcial do banco de dados. Essa atuação administrativa é independente da esfera judicial e da reparação devida a cada titular.
Reparação: quando pode caber indenização
Além da fiscalização, o titular pode buscar reparação pelos danos sofridos. Os artigos 42 a 45 da Lei Geral de Proteção de Dados tratam da responsabilidade de quem, ao tratar dados, causa prejuízo a outra pessoa, seja ele patrimonial ou moral. O dano patrimonial é o prejuízo financeiro concreto, como valores subtraídos da conta. Já o dano moral se liga à angústia e à exposição indevida da intimidade, especialmente quando os dados expostos são sensíveis.
Para pleitear a reparação, é importante reunir provas, como a comunicação enviada pela empresa, capturas de tela, protocolos e extratos que liguem o prejuízo ao vazamento. Os caminhos podem se combinar, com reclamação à autoridade, notificação à empresa e, havendo dano, ação para obter a reparação. Como cada situação depende do tipo de dado atingido e das provas, o ideal é buscar uma avaliação individual do seu caso. Este conteúdo tem caráter informativo, conforme o Provimento 205/2021 da OAB, e não representa promessa de resultado.