O contexto: o que mudou com a LGPD?
A Lei Geral de Proteção de Dados (Lei n.º 13.709/2018, a LGPD) entrou em vigor em setembro de 2020 e mudou bastante a forma como dados pessoais são coletados, armazenados, tratados e compartilhados no Brasil. Inspirada no modelo europeu (GDPR), a LGPD criou direitos concretos para os titulares dos dados e obrigações claras para as empresas e organizações que os utilizam.
Uma das consequências mais diretas é a possibilidade de responsabilização civil das empresas quando dados pessoais são expostos, vazados ou utilizados de forma irregular, e com isso o direito do titular lesado a ser indenizado pelos danos sofridos.
A LGPD não protege apenas dados "sensíveis" como informações de saúde ou biometria. Qualquer dado pessoal (nome, e-mail, CPF, endereço, localização, hábitos de consumo) está sob a proteção da lei, e seu vazamento indevido pode gerar responsabilidade civil para quem o detinha.
O que configura um vazamento de dados?
Um incidente de segurança com dados pessoais, o que a LGPD chama de "violação de segurança", pode ocorrer de várias formas:
- Acesso não autorizado: invasão de sistemas por hackers que obtêm e expõem dados de clientes ou usuários;
- Compartilhamento indevido: empresa que passa seus dados para terceiros sem base legal ou sem sua autorização;
- Exposição acidental: banco de dados deixado acessível publicamente por falha técnica;
- Uso além da finalidade: dados coletados para um propósito específico utilizados para fins diferentes, sem o consentimento do titular;
- Retenção irregular: manutenção de dados após o prazo necessário ou após o pedido de exclusão pelo titular.
Quais são os seus direitos como titular?
A LGPD garante ao titular dos dados um conjunto de direitos que podem ser exercidos diretamente perante as empresas:
- Confirmação da existência de tratamento dos seus dados;
- Acesso aos dados que a empresa possui sobre você;
- Correção de dados incompletos, inexatos ou desatualizados;
- Anonimização, bloqueio ou eliminação dos dados tratados em desconformidade com a lei;
- Portabilidade dos dados para outro fornecedor;
- Eliminação dos dados pessoais tratados com base no seu consentimento;
- Informação sobre compartilhamentos realizados;
- Revogação do consentimento dado anteriormente;
- Peticionar à ANPD (Autoridade Nacional de Proteção de Dados).
Quando cabe indenização?
Não é qualquer exposição de dado que automaticamente gera o direito à indenização. Para que o direito à reparação se configure, é necessário analisar a existência de:
- Conduta ilícita: a empresa violou algum dever previsto na LGPD, seja por não adotar medidas adequadas de segurança, por tratar dados sem base legal, por compartilhá-los sem autorização, etc.;
- Dano: o titular sofreu algum prejuízo, financeiro, moral, de reputação, de privacidade, etc.;
- Nexo causal: o dano sofrido decorre da conduta ilícita da empresa.
A LGPD adota o sistema de responsabilidade civil subjetiva como regra, mas admite a inversão do ônus da prova em determinadas hipóteses. Na prática, tribunais têm reconhecido o dano moral em situações como: CPF exposto em vazamentos massivos, dados financeiros utilizados por terceiros para abrir contas fraudulentas, informações médicas ou íntimas tornadas públicas sem autorização, entre outras.
Em 2021, o Brasil teve um dos maiores vazamentos de dados da história: mais de 220 milhões de registros com dados pessoais de brasileiros, incluindo informações do INSS e da Receita Federal, foram expostos. Casos assim mostram por que é importante conhecer seus direitos e saber como agir.
Como provar o dano e comprovar o vazamento?
A prova do vazamento pode ser desafiadora, especialmente quando a empresa não comunica o incidente. Algumas formas de reunir evidências:
- Prints de telas com mensagens, cobranças indevidas ou tentativas de fraude após o incidente;
- Boletins de ocorrência registrados em decorrência do uso indevido dos seus dados;
- Notificações recebidas da própria empresa comunicando o incidente;
- Reportagens e comunicados da ANPD sobre vazamentos específicos;
- Relatórios de serviços especializados que monitoram exposição de dados (como Have I Been Pwned);
- Comunicação com a empresa solicitando informações sobre o tratamento dos seus dados (e a eventual recusa ou omissão dela).
O advogado especialista em Direito Digital pode auxiliar na construção da cadeia probatória necessária para sustentar a ação, orientar sobre os meios de prova admissíveis e representar o titular tanto na esfera administrativa (perante a ANPD) quanto na judicial.
O papel da ANPD
A Autoridade Nacional de Proteção de Dados (ANPD) é o órgão federal responsável por fiscalizar o cumprimento da LGPD, aplicar sanções administrativas às empresas infratoras e orientar a sociedade sobre proteção de dados. As sanções que a ANPD pode aplicar incluem advertência, multa de até R$ 50 milhões por infração, publicização da infração, bloqueio ou eliminação de dados, e suspensão parcial do funcionamento do banco de dados.
Importante: as sanções da ANPD têm natureza administrativa. A reparação civil pelos danos sofridos individualmente deve ser pleiteada na Justiça, de forma independente.
Como agir se seus dados foram vazados
Se você identificou ou suspeita que seus dados foram expostos indevidamente:
- Documente tudo: prints, e-mails, notificações recebidas;
- Notifique a empresa por escrito, solicitando esclarecimentos sobre o incidente;
- Registre boletim de ocorrência se houver suspeita de uso fraudulento dos seus dados;
- Considere acionar a ANPD com uma reclamação formal;
- Consulte um advogado especializado em Direito Digital para avaliar a viabilidade de uma ação indenizatória e orientar sobre os próximos passos.