Fonte: Marcelo Crespo, coordenador do curso de Direito da ESPM e especialista em Direito Digital
O incidente envolvendo o Fundo Garantidor de Créditos (FGC) abre espaço para discutir os limites da responsabilidade das organizações em casos de acesso não autorizado a dados pessoais. Segundo Marcelo Crespo, coordenador do curso de Direito da ESPM e especialista em Direito Digital, o episódio permite analisar três questões que nem sempre são tratadas de forma distinta: a ocorrência de um incidente de segurança, a eventual violação da Lei Geral de Proteção de Dados (LGPD) e a existência de responsabilidade civil e dever de indenização.
“Embora estejam relacionadas, essas três situações não são automaticamente equivalentes. O simples fato de terceiros terem acessado informações pessoais não significa, por si só, que a organização tenha descumprido a LGPD ou que exista obrigação imediata de indenizar os titulares dos dados”, diz Crespo. “A legislação não estabelece uma obrigação de risco zero, mas exige que as empresas adotem medidas técnicas e administrativas adequadas para proteger as informações, considerando a natureza dos dados tratados e os riscos envolvidos.”
O caso permite discutir quais critérios devem ser considerados na avaliação da conduta de uma organização diante de um incidente de segurança. Entre eles estão a adequação dos controles de acesso, a existência de mecanismos capazes de monitorar e identificar atividades suspeitas, o tempo em que o acesso não autorizado permaneceu possível, a agilidade na contenção do incidente e a adoção de medidas para evitar o uso indevido das informações por terceiros. Nesse contexto, a resposta da organização após identificar o problema também se torna um elemento central da análise, especialmente à luz da Resolução CD/ANPD nº 15/2024, que estabelece critérios para avaliar se um incidente pode representar risco ou dano relevante aos titulares. A norma considera, entre outros fatores, o envolvimento de dados financeiros, informações de autenticação, dados protegidos por sigilo e tratamentos realizados em larga escala, explica o especialista.
No episódio do FGC, há ainda uma preocupação adicional. A possibilidade de cruzamento de informações pessoais e financeiras. Dados como nome, CPF, e-mail e data de nascimento, quando associados a informações sobre investimentos, pagamentos de garantias, instituições financeiras e tributos, podem oferecer aos criminosos elementos suficientes para construir abordagens fraudulentas mais convincentes, simular atendimentos institucionais e induzir vítimas a fornecer códigos, realizar pagamentos ou instalar aplicativos maliciosos.
Crespo destaca que a ausência de prejuízo financeiro identificado não é suficiente para afastar a existência de risco jurídico, uma vez que o modelo regulatório brasileiro tem caráter preventivo. Nesse contexto, as organizações devem demonstrar não apenas que adotaram medidas para evitar incidentes, mas também que estavam preparadas para identificá-los, contê-los e mitigar seus impactos.