A recente decisão unânime de um tribunal superior no Brasil consolidou o entendimento de que empresas não estão isentas de responsabilidade em casos de vazamento de dados pessoais, mesmo que sejam considerados não sensíveis, quando esses incidentes decorrem de ataques cibernéticos.

O caso em questão envolveu uma concessionária de energia elétrica cujo sistema foi invadido, resultando na exposição de dados pessoais de clientes. A discussão jurídica girava em torno de dois aspectos cruciais: a aplicação do artigo 19, inciso II, da Lei Geral de Proteção de Dados (LGPD), que trata das obrigações do agente de tratamento, e a possível aplicação do artigo 43, inciso III, da mesma lei, que prevê hipóteses de exclusão de responsabilidade.

Responsabilidade e segurança no tratamento de dados

Na análise do caso, o tribunal reforçou que as empresas que atuam como agentes de tratamento têm o dever legal de adotar medidas robustas de segurança para proteger os dados pessoais sob sua gestão. A decisão destacou que, com a Emenda Constitucional 115/22, os direitos à proteção de dados ganharam status constitucional, elevando ainda mais a exigência de conformidade com a LGPD.

Os sistemas corporativos, de acordo com os fundamentos apresentados, devem estar em total alinhamento com os requisitos de segurança, princípios gerais e boas práticas estabelecidos pela legislação vigente. A adequação às normas de proteção de dados é vista como uma forma indispensável de demonstrar o comprometimento das empresas com a segurança da informação.

Compliance como pilar essencial

A conformidade com a LGPD foi ressaltada como essencial para garantir a eficácia dos programas de proteção adotados pelas organizações. A decisão apontou que, no caso analisado, o tratamento de dados foi considerado insuficiente, uma vez que a empresa não forneceu um nível de proteção adequado às expectativas legítimas dos titulares, de acordo com as circunstâncias específicas do incidente.

Dessa forma, o tribunal manteve a responsabilidade da empresa, negando provimento ao recurso. A decisão reforça a importância de um planejamento rigoroso e de investimentos em governança de dados para prevenir e mitigar riscos relacionados à segurança da informação.

Essa interpretação da LGPD reafirma o papel das empresas na proteção de dados e alerta para a necessidade de constante atualização em relação às normas e boas práticas, especialmente em um cenário onde as ameaças cibernéticas são cada vez mais sofisticadas.