Entrevista com Ana Paula de Moraes especialista em Direito Digital
No ano passado, os CPFs de 223 milhões de pessoas vivas e falecidas vazaram, causando grande preocupação sobre o uso deles para golpes e crimes. Agora em 2021, veio à tona mais um vazamento de proporções gigantescas. Dessa vez, os registros de mais de 100 milhões de contas de celulares também vazaram expondo, inclusive, dados de agentes públicos. A cada dia surgem mais notícias sobre dados sendo comercializados, o que indica o quão vulnerável é a privacidade dos brasileiros em geral. Neste cenário, como é possível garantir a eficiência da Lei Geral de Proteção de Dados (LGPG), que foi sancionada com o objetivo de aumentar a privacidade de dados pessoais e o poder das entidades reguladoras para fiscalizar as organizações? Para entender a lei e como ela se relaciona com esses megavazamentos, o TI Safe News entrevistou Ana Paula de Moraes, advogada especialista em Direito Digital e sócia-fundadora da Moraes Advocacia. Confira:
TI Safe News – Qual é o potencial danoso do vazamento de dados?
Ana Paula de Moraes – A ocorrência de um vazamento de dados pode ocasionar uma grande crise econômica uma vez que afeta a reputação da companhia vazada frente ao mercado; aos clientes que perdem a confiança, já que empresa não garantiu a segurança jurídica das informações e ele pode, inclusive, entrar com pedido de indenização e frente aos investidores. Quando um vazamento de dados ocorre as informações sigilosas são publicizadas gerando prejuízo ao titular do dado. Na maior parte das vezes, o incidente ocorre porque os invasores encontram brechas na segurança digital. Uma vez de posse dessas informações, os criminosos cibernéticos podem utilizá-las com objetivo de expor as falhas. Neste sentido, mais do que nunca, as empresas precisam estar com os seus ambientes tecnológicos muito bem preparados e adequados aos termos da lei.
TI Safe News – Os vazamentos recentes não tiram a força e credibilidade da LGPD?
Ana Paula de Moraes – Em que pese os recentes incidentes digitais ocorridos, cujas magnitudes têm por consequência a lesão do direito da pessoa física, tendo em vista a quantidade de dados pessoais expostos gerando aos cidadãos riscos das mais diferentes modalidades, que vão desde uma fraude de identidade, de crédito podendo chegar a crimes de roubo e sequestro; eu não entendo que a LGPG perca força ou tenha a sua credibilidade afetada. Em minha avaliação, ainda que os vazamentos de dados sejam cada vez mais frequentes no Brasil, gerando grande repercussão nas empresas, devemos entender que o país evoluiu na medida em que passou a contar com uma legislação específica, que trata da proteção de dados pessoais, sensíveis dos cidadãos brasileiros. Também já traz em seu arcabouço a existência de uma instituição como a Autoridade Nacional de Proteção de Dados (ANPD) que já se encontra, inclusive, estruturada e tem a obrigação de zelar pela aplicação da LGDP. A ANPD possui atribuições relacionadas à proteção de dados pessoais e da privacidade e, sobretudo, deve fiscalizar e auditar entidades que tratam dados para apurar eventuais infrações.
Além disso, não podemos esquecer que o Brasil ainda conta com outros órgãos de defesa de direitos dos consumidores que podem atuar em casos como o do megavazamento, a exemplo do Ministério Público do Distrito Federal e Territórios, que através da Unidade Especial de Proteção de Dados e Inteligência Artificial (ESPEC), podem atuar em conjunto com a ANPD, apoiando na investigação de qualquer incidente. No caso dos megavazamentos, a ANPD já tomou as medidas cabíveis para apurar os respectivos incidentes.
TI Safe News – Como a LGPD atua no vazamento de dados?
Ana Paula de Moraes – Considerando que a LGPD é um grande guarda-chuva regulatório, em que estão descrito todos os deveres e direitos das organizações privadas, instituições públicas e dos cidadãos quando se trata da proteção de dados pessoais e sensíveis, a respectiva legislação determina em seu artigo 46 que os agentes de tratamento (Controlador e Operador) devem acolher todas as medidas necessárias de segurança, não só técnicas mas também administrativas que visam a proteção dos dados pessoais de acessos não autorizados, ou seja, proteger contra um ataque hacker que venha a insurgir no vazamento de dados pessoais e, ainda, de eventuais circunstâncias sejam estas acidentais ou ilícitas que por consequência causem a destruição, perda, alteração, comunicação ou qualquer forma de tratamento inadequado ou ilícito.
Desta forma, em caso de ocorrência de um incidente de vazamento de dados ou circunstância acidental ou ilícita o Controlador deve de forma imediata comunicar para autoridade nacional e ao titular do dado a ocorrência de incidente de segurança que possa acarretar risco ou dano relevante aos titulares.
Neste sentido, o operador do dado responde solidariamente com o controlador (CNPJ) em caso de vazamento. Entretanto a responsabilidade solidária deixa de ser aplicada nos casos em que ele descumpra ordens e determinações claras do controlador, o qual toma as decisões acerca do tratamento.
Assim sendo, a LGPD determina que além de terem que ressarcir o titular do dado pelos danos a ele causado em virtude do vazamento ocorrido, também respondem de forma administrativa cuja punição será aplicada pela Autoridade Nacional de Proteção de Dados.
TI Safe News – De acordo com a LGPD, se a companhia for vítima de um vazamento de dados é ela quem será responsável?
Ana Paula de Moraes – De acordo com as regras da LGPD, que passou a vigorar em 2020, as quais todas as empresas públicas e privadas do mundo online ou offline estão submetidas, ocorrendo um vazamento de dados, independentemente da proporção do vazamento, a responsabilidade é total da empresa que armazena os dados. Isso porque, de acordo com a legislação, cabe a cada empresa pública ou privada realizar todas as mitigações de riscos que visam proteger seus sistemas contra ataques cibernéticos. A LGPD também determina que qualquer empresa que venha a descumprir a legislação poderá sofrer penalidades administrativas, incluindo multas diárias limitadas a R$50 milhões de reais podendo chegar até 2% do seu faturamento anual. Essas multas, no entanto, somente poderão ser aplicadas a partir de agosto de 2021. A empresa somente não será responsabilizada por um vazamento de dados se conseguir comprovar nos termos da própria legislação que: não realizou ou realiza o tratamento de dados pessoais; que ainda que tenha feito o tratamento de dados pessoais, de sua parte não houve violação à legislação de proteção de dados; que o dano existente é culpa exclusiva do titular dos dados ou de terceiros.
Como a LGPD exige que todas as empresas garantam a segurança dos dados e das informações pessoais dos cidadãos faz-se necessário que elas invistam em sistemas de segurança cibernética.
Para saber como proteger os dados da sua empresa acesse.
