Vazamento de dados pessoais: mais do que vigiar e punir

São estarrecedoras as notícias de vazamentos de dados de brasileiros [1]. Ainda mais preocupante é o fato de os controladores apontados como prováveis fontes dos vazamentos não apenas terem deixado de comunicar o fato (na forma prevista no artigo 48 da Lei nº 13.709/2018, a Lei Geral de Proteção de Dados Pessoais — LGPD), mas continuarem a negar a sua ocorrência.

Notadamente, na sociedade de risco a indenidade é um valor inalcançável. Como revela a recente experiência do Superior Tribunal de Justiça, mesmo sistemas que contam com investimentos expressivos estão sujeitos a ataques cibernéticos [4]. Se por um lado a técnica de naming and shaming [5] pode servir com o incentivo aos investimentos na prevenção de danos [6], há uma segunda e perigosa face nessa mesma moeda: a que inibe a comunicação do fato lesivo dado o receio de redução do prestígio da empresa ou de imposição de graves sanções administrativas. Essa omissão dolosa do controlador que sofreu um incidente de segurança é a mais perigosa para o cidadão porque agrava o problema, obstando que as providências adequadas para conter os prejuízos do vazamento sejam adotadas tempestivamente. A passagem do tempo é, nesse caso, nefasta.

Para orientar os controladores de dados na decisão de como lidar com violações de dados e quais fatores a serem considerados durante a avaliação de risco, o Conselho Europeu de Proteção de Dados consolidou uma nova cartilha (Guidelines 01/2021), que está sujeita a consulta pública até o próximo dia 2 de março [7] e atua de forma complementar às Guidelines WP250, vigentes desde outubro de 2017 [8]. Lamentavelmente, os exemplos dos últimos vazamentos de dados de brasileiros equiparam-se aos casos mais graves (e de risco mais elevado aos cidadãos) exemplificados nas Guidelines europeias.

Embora seja de responsabilidade dos controladores estabelecer medidas adequadas para poder para prevenir, reagir e resolver uma violação de dados pessoais, há algumas diligências práticas que devem ser tomadas em todos os casos, tais como: a) informações relativas a todos os eventos relacionados à segurança devem ser direcionadas para um responsável, pessoa ou pessoas com a tarefa de tratar de incidentes, verificar a ocorrência de uma violação e avaliar os riscos; b) o risco para os indivíduos como resultado de uma violação deve então ser avaliado (probabilidade de não haver risco, há risco ou alto risco); c) notificação à Autoridade Nacional e comunicação da violação aos indivíduos afetados; e d) ao mesmo tempo, o controlador deve agir para conter e recuperar os dados pessoais violados.

Após ser informado de um possível incidente de segurança, o controlador pode empreender um curto período de a fim de estabelecer se ocorreu ou não uma violação de fato. Espera-se que a investigação inicial comece o mais rapidamente possível e estabeleça com um grau razoável de certeza se ocorreu uma violação, e as possíveis consequências para os indivíduos. Uma investigação detalhada deve ocorrer em seguida. Enquanto o artigo 48 da LGPD é omisso em relação ao que se considera prazo razoável para comunicação do episódio de vazamento à Autoridade Nacional (determinando apenas que a comunicação seja realizada "em prazo razoável", a ser definido pela ANPD), a GDPR [9] limita esse intervalo a 72 horas desde o conhecimento do fato (GDPR, artigo 33).

É preciso estabelecer diretrizes claras para que os sistemas utilizados para o tratamento de dados pessoais sejam estruturados em consonância com os padrões de boas práticas e de governança (como prevê o artigo 49 da LGPD). No Brasil, a ABNT NBR ISO/IEC 27002:2013 orienta as práticas de gestão e normas de segurança da informação para as organizações, incluindo a seleção, a implementação e o gerenciamento de controles, levando em consideração os ambientes de risco da segurança da informação da organização [10]. A norma serve como diretriz das medidas mínimas necessárias para a prevenção de danos, mas ainda carecemos de regulamentação quanto às primeiras providências a serem implementadas diante de incidentes de segurança.

É imperioso comunicar à população, de maneira clara e ampla, quais os riscos envolvidos no vazamento de dados e quais cautelas devem ser, doravante, adotadas. Ainda que se reconheça que apagar as informações indevidamente disponibilizadas na dark web é missão quase impossível, a repreensão à comercialização do acesso a bancos de dados ilicitamente estruturados pode ser um primeiro passo para a efetiva proteção de dados pessoais. Os cidadãos têm, igualmente, o direito à informação acerca das providências implementadas pelas autoridades competentes para a prevenção e a reparação de danos.

Os procedimentos administrativos e judiciais adotados em face de episódios de vazamento de dados devem ser revestidos de uma natureza estrutural. As decisões estruturais [11] "são decisões que se orientam para uma perspectiva futura, tendo em conta a mais perfeita resolução da controvérsia como um todo" e são presentes em situações que "exigem respostas difusas, com várias imposições ou medidas que se imponham gradativamente" e buscam evitar que "a decisão judicial se converta em problema maior do que o litígio que foi examinado" [12].

A tutela coletiva pode ser significativamente aprimorada por meio de decisões estruturais ou convenções coletivas que estabeleçam, além do dever de reparação de danos, obrigações futuras e progressivas, exigindo-se dos envolvidos a apresentação de planos de ação adequados para assegurar a efetiva prevenção de novas ocorrências. O processo estrutural [13] (administrativo ou judicial) orienta-se para o futuro, ao invés de focar na lide que o ensejou, tem cabimento quando a complexidade da demanda exige uma visão mais ampla do contexto no qual está inserida, quando invoca a implementação de uma reforma global para prevenir novos litígios e danos, quando não se satisfaz adequadamente apenas com o arbitramento de uma indenização ou sanção administrativa. A repressão ao compartilhamento indevido de dados pessoais [14] exige uma atuação integrada das autoridades públicas e de todos os agentes do mercado, única maneira de mapear as falhas a serem corrigidas.

Que não se admita o surgimento, em pleno século 21, de uma nova forma de execuções em praças públicas, mas que o direito do cidadão à efetiva proteção de seus dados pessoais não seja menosprezado diante das dificuldades práticas da tutela. A constituição de uma sociedade livre, justa e solidária pressupõe que os agentes envolvidos ou atingidos por episódios de vazamentos de dados pessoais não se escondam sob o manto da incerteza, da insegurança ou da impunidade, mas assumam o protagonismo na busca por soluções céleres e eficazes reverter ou mitigar os efeitos do incidente de vazamento de dados. Mais do que vigiar e punir os culpados, é preciso, em primeiro lugar, proteger aqueles que foram afetados.