Vazamento de Dados: e Jurisprudência do STF

O avanço exponencial da tecnologia e a crescente digitalização das relações sociais e econômicas trouxeram consigo um novo paradigma: a hiperconectividade. Nesse cenário, os dados pessoais se tornaram ativos valiosos, impulsionando inovações e modelos de negócios. No entanto, essa mesma hiperconectividade também expôs a vulnerabilidade das informações, tornando o vazamento de dados um dos principais desafios jurídicos contemporâneos. A proteção de dados pessoais, antes um tema incipiente, consolidou-se como um direito fundamental, exigindo uma atuação firme e adaptada do Judiciário, em especial do Supremo Tribunal Federal (STF).

A entrada em vigor da Lei Geral de Proteção de Dados Pessoais (LGPD) – Lei nº 13.709/2018 – representou um marco regulatório fundamental no Brasil, estabelecendo regras claras sobre o tratamento de dados e impondo sanções significativas em caso de descumprimento. A LGPD, somada à Emenda Constitucional nº 115/2022, que elevou a proteção de dados pessoais à categoria de direito fundamental (art. 5º, LXXIX, da Constituição Federal), consolidou um arcabouço jurídico robusto para enfrentar os desafios do mundo digital.

Neste artigo, exploraremos a jurisprudência do STF sobre o vazamento de dados, analisando como a Corte Suprema tem interpretado e aplicado os princípios da LGPD e os direitos fundamentais em face de incidentes de segurança. Abordaremos os principais julgados, os critérios utilizados para a responsabilização civil e administrativa, e as perspectivas para o futuro, oferecendo também dicas práticas para advogados que atuam na área de Direito Digital.

O STF e a Consolidação da Proteção de Dados como Direito Fundamental

A atuação do STF na proteção de dados pessoais não se limita à interpretação da LGPD. A Corte tem desempenhado um papel crucial na construção de uma jurisprudência que reconhece a proteção de dados como um direito fundamental autônomo, intimamente ligado à privacidade, à intimidade e à dignidade da pessoa humana.

Um dos marcos dessa evolução jurisprudencial foi o julgamento da Ação Direta de Inconstitucionalidade (ADI) 6387, em 2020. Nesse caso, o STF suspendeu a eficácia da Medida Provisória 954/2020, que previa o compartilhamento de dados de usuários de telecomunicações com o IBGE para fins de estatística durante a pandemia de COVID-19. O STF, em decisão liminar confirmada pelo plenário, reconheceu que o compartilhamento de dados, mesmo para fins estatísticos, não pode ocorrer de forma indiscriminada e sem o consentimento dos titulares, sob pena de violação dos direitos à privacidade e à proteção de dados pessoais.

A decisão na ADI 6387 estabeleceu um precedente importante, afirmando que a proteção de dados pessoais é um direito fundamental autônomo, que exige medidas de salvaguarda adequadas em qualquer situação, mesmo em contextos de emergência. A Corte destacou a necessidade de observar os princípios da finalidade, da adequação e da necessidade no tratamento de dados, princípios esses que posteriormente foram positivados na LGPD (art. 6º).

Responsabilidade Civil em Caso de Vazamento de Dados

A responsabilidade civil em caso de vazamento de dados é um tema complexo que tem gerado intensos debates nos tribunais. A LGPD estabelece a responsabilidade solidária entre o controlador e o operador de dados, caso ocorra dano patrimonial, moral, individual ou coletivo, em violação à legislação de proteção de dados (art. 42).

A jurisprudência do STF tem se debruçado sobre a natureza dessa responsabilidade, se objetiva ou subjetiva. Embora a LGPD não seja explícita, a tendência jurisprudencial é a de aplicar a responsabilidade objetiva, com base na teoria do risco proveito, especialmente nas relações de consumo (art. 14 do Código de Defesa do Consumidor). Isso significa que, em regra, o agente de tratamento responde independentemente de culpa, bastando a comprovação do dano e do nexo causal com o vazamento de dados.

No entanto, a responsabilidade objetiva não é absoluta. A LGPD prevê hipóteses de exclusão da responsabilidade, como a comprovação de que o agente não realizou o tratamento de dados, de que não houve violação à legislação ou de que o dano é decorrente de culpa exclusiva do titular dos dados ou de terceiro (art. 43).

O Dano Moral em Casos de Vazamento de Dados

Um dos pontos mais controversos na jurisprudência é a caracterização do dano moral em casos de vazamento de dados. A questão central é se o simples vazamento de dados (dano in re ipsa) é suficiente para gerar o dever de indenizar ou se é necessária a comprovação de um dano efetivo, como a utilização fraudulenta dos dados.

O STJ, em julgados recentes (ex:, Rel. Min. Nancy Andrighi, Terceira Turma, julgado em 12/03/2024), tem firmado o entendimento de que o vazamento de dados não gera dano moral presumido (in re ipsa). Para que haja a condenação ao pagamento de indenização por danos morais, é necessário que o titular comprove o efetivo prejuízo sofrido, como a ocorrência de fraudes, a negativação indevida ou a exposição de informações sensíveis que causem abalo psicológico significativo.

O STF ainda não se pronunciou de forma definitiva sobre a matéria em sede de repercussão geral, mas a tendência é que a Corte siga a orientação do STJ, exigindo a comprovação do dano efetivo para a condenação por danos morais em casos de vazamento de dados que não envolvam dados sensíveis. A exceção, contudo, reside no vazamento de dados sensíveis (art. 5º, II, da LGPD), como informações sobre saúde, orientação sexual ou filiação sindical, cuja exposição, por si só, pode gerar dano moral presumido, dada a sua natureza íntima e o potencial de discriminação.

Responsabilidade Administrativa e a Atuação da ANPD

Além da responsabilidade civil, os agentes de tratamento estão sujeitos à responsabilidade administrativa, com a aplicação de sanções pela Autoridade Nacional de Proteção de Dados (ANPD). As sanções previstas na LGPD (art. 52) variam desde advertência até multas de até 2% do faturamento da empresa, limitadas a R$ 50.000.000,00 por infração.

A ANPD tem intensificado sua atuação fiscalizatória e sancionatória, aplicando multas em casos de vazamento de dados e descumprimento das normas da LGPD. A jurisprudência do STF tem respaldado a atuação da ANPD, reconhecendo a sua competência para aplicar as sanções previstas na lei, desde que observados os princípios do devido processo legal, do contraditório e da ampla defesa.

A aplicação de sanções administrativas não exclui a responsabilidade civil e penal dos agentes de tratamento. A LGPD estabelece a independência das instâncias, permitindo que o mesmo fato gerador resulte em sanções nas três esferas.

Dicas Práticas para Advogados

A atuação em casos de vazamento de dados exige um conhecimento aprofundado da legislação, da jurisprudência e das melhores práticas de segurança da informação. A seguir, algumas dicas práticas para advogados que atuam na área:

1. Ação Preventiva: Oriente seus clientes a implementar programas de compliance em proteção de dados, mapeando os fluxos de dados, adotando medidas de segurança técnicas e administrativas (art. 46 da LGPD) e elaborando planos de resposta a incidentes. A prevenção é a melhor estratégia para evitar vazamentos e mitigar riscos legais.
2. Gestão de Incidentes: Em caso de vazamento, auxilie o cliente na gestão da crise, notificando a ANPD e os titulares dos dados, conforme exigido pela LGPD (art. 48). A transparência e a rapidez na comunicação são fundamentais para minimizar os danos e demonstrar boa-fé.
3. Análise Criteriosa do Dano: Em ações indenizatórias, analise cuidadosamente a natureza dos dados vazados (se sensíveis ou não) e a extensão do dano sofrido pelo titular. Reúna provas robustas para comprovar o dano efetivo, caso não se trate de vazamento de dados sensíveis.
4. Defesa do Agente de Tratamento: Na defesa de empresas acusadas de vazamento, explore as excludentes de responsabilidade previstas na LGPD (art. 43), demonstrando que a empresa adotou todas as medidas de segurança razoáveis e que o incidente ocorreu por culpa exclusiva de terceiro (ex: ataque cibernético sofisticado) ou do próprio titular.
5. Acompanhamento Jurisprudencial: Mantenha-se atualizado sobre a jurisprudência do STF, do STJ e dos Tribunais de Justiça, bem como sobre as resoluções e orientações da ANPD. A área de Direito Digital é dinâmica e as decisões judiciais e administrativas estão em constante evolução.

Conclusão

A proteção de dados pessoais consolidou-se como um direito fundamental no Brasil, exigindo uma postura proativa das empresas e uma atuação rigorosa do Judiciário. O STF tem desempenhado um papel fundamental na construção de uma jurisprudência que equilibra o desenvolvimento tecnológico com a proteção da privacidade, reconhecendo a importância da LGPD e a necessidade de responsabilização em casos de vazamento de dados. A exigência de comprovação de dano efetivo para a configuração de dano moral em vazamentos de dados não sensíveis, firmada pelo STJ e com tendência de adoção pelo STF, traz maior segurança jurídica, evitando a banalização do instituto. No entanto, a responsabilidade administrativa e a possibilidade de sanções severas pela ANPD exigem que os agentes de tratamento invistam em programas robustos de compliance e segurança da informação. O advogado, nesse contexto, atua como um parceiro estratégico, orientando as empresas na prevenção e na gestão de incidentes, e defendendo os direitos dos titulares de dados em busca de reparação justa.

Aviso: Este artigo tem caráter informativo e didático. Deve ser verificado e adaptado a cada caso concreto por profissional habilitado. Acesse advogando.ai para mais recursos.