A propósito da silent cyber coverage

Se por um lado afirma-se que os dados pessoais correspondem, no século 21, ao petróleo de outrora, por outro lado não há dúvida de que com os bônus vêm os ônus, ora representados por demandas de responsabilidade as mais variadas que podem ser deflagradas contra aqueles que os detenham.

Sob a perspectiva das espécies contratuais securitárias que dialogam com as questões acima assinaladas, a primeira a despertar a atenção é o chamado contrato de seguro para riscos cibernéticos — no jargão anglo-saxão, o cyber insurance —, o que se explica com naturalidade considerando que, muitas vezes, os vazamentos de dados, paralisação de funcionamento de servidores, colapso de softwares e hardwares, além de danos reputacionais etc. terão como origem, essencialmente, o ambiente virtual representado pela grande rede.

A primeira visada, como se afirmou, de fato conduz a questão concernente ao tratamento/proteção de dados pessoais ao chamado seguro para riscos cibernéticos, mas um exame um pouco mais aprofundado revela que, na realidade, esses riscos podem repercutir também para outras espécies securitárias.

Pode-se pensar, e.g., nos seguros E&O (erros e omissões — seguro de responsabilidade civil profissional), considerando tomadores cuja atividade fim seja a prestação de serviços de tecnologia. Imagine-se, assim, uma sociedade dedicada ao desenvolvimento de softwares que, uma vez concebidos e entregues a um determinado contratante, causem-lhe severos danos de ordem material. Parece bem nítido que, para essa hipótese, um seguro E&O seria mesmo o mais indicado à tutela dos interesses patrimoniais da referida empresa de tecnologia [2].

Prosseguindo, pode-se pensar nos seguros de responsabilidade civil geral para situações nas quais um determinado risco cibernético venha a causar danos materiais a terceiros. É iterativo aqui o exemplo proveniente de perdas relevantes ocorridas nos Estados Unidos da América, originados no estado do Texas e espraiados por quase toda a costa leste daquele país, quando hackers invadiram os sistemas de tecnologia de uma distribuidora de combustíveis, colapsando-os [3].

A terceira espécie que se deseja ressaltar é a dos seguros D&O — os seguros de responsabilidades concebidos para, entre outros, diretores e membros dos conselhos de administração e fiscal. Não se deseja empregar aqui um tom alarmista, mas o exame realizado em mercados seguradores mais desenvolvidos que o brasileiro revela que a questão atinente aos riscos cibernéticos deixou de ser, apenas, um problema das empresas para passar a ser um problema de suas diretorias e conselhos de administração [4].

Os riscos cibernéticos, na atualidade, segundo estudo elaborado pela OCDE, representam um enorme potencial de perdas que, com efeito, devem ocupar as pautas das diretorias e conselhos de administração. A atualidade e relevância do tema requer que medidas sejam tomadas com o objetivo de implementar sistemas de segurança da informação/dados e, mais do que isso, zelar pelo seu funcionamento adequado ao longo do tempo [5]. Diante do cenário atual e de tudo o que vem sendo ventilado a respeito da matéria, é inegável o dever de cautela a ser diligentemente adotado pelas administrações de empresas, a buscar junto a especialistas (à luz do princípio do rely on others) a consultoria técnica mais adequada para a proteção do interesse social desses riscos cibernéticos e seus impactos. A ausência de diligência nesse contexto pode levar à responsabilização do administrador pelos danos causados.

Podem ser observadas nos Estados Unidos, na Europa, no Reino Unido e na Ásia diversas ações coletivas (class actions) fundamentadas, justamente, em violações aos sistemas de proteção de dados de usuários/consumidores, propostas contra diretores e conselheiros [6]. E não se está aqui a afirmar que os requeridos são, exclusivamente, os DPOs (data protection officers), isto é, os encarregados designados para essa função a teor do disposto no artigo 41 da Lei Geral de Proteção de Dados. As grandes sociedades abertas, comumente, disporão dos CROs — chief risk officers ou, também, dos diretores responsáveis pela tecnologia da informação [7]. Tudo isso, sem contar com a possibilidade de, nas companhas brasileiras, administradores serem chamados a responder por atos de outros administradores, na forma dos parágrafos 1º a 4º do artigo 158 da Lei das SA [8].

O título da presente coluna remete à chamada silent cyber coverage, temática que, na Europa e nos Estados Unidos da América, vem despertando a atenção de seus mercados de seguros e resseguro de uma maneira bem ampla. Sinteticamente, entende-se por silent cyber coverage a constatação segundo a qual um determinado programa de seguros do tomador não afirme, categoricamente, nem pela existência de cobertura para riscos de ordem cibernética, tampouco pela inexistência, ou seja, nota-se, de fato, um silêncio bem preocupante.

A oposição à silent cyber coverage seria a affirmative coverage, isto é, em vez de detectar-se uma ambiguidade, o conteúdo contratual concebido pelas partes primaria pela clareza quanto à efetiva cobertura ou exclusão dos riscos de origem cibernética [9].

Retomando a abordagem relacionada à interseção entre os riscos cibernéticos e a responsabilidade de administradores, a realidade vem revelando uma busca cada vez maior por parte de administradores participantes dessa arena tecnológica por seguros D&O que sejam capazes de lhes oferecer garantias tais como, e.g., antecipação de custos de defesa, danos à reputação/imagem, cobertura para multas impostas pelas autoridades responsáveis e, também, eventuais indenizações a serem pagas a terceiros decorrentes de problemas de ordem cibernética [10].

Sugere-se, assim, um olhar com redobrada atenção aos programas de seguros contratados pelas tomadoras e, de igual sorte, que as seguradoras revisitem os seus programas de resseguro, tudo com o objetivo de evitar a chamada silent cyber coverage e seus efeitos deletérios por ocasião das regulações/liquidações de sinistros.

Concluindo, deseja-se estabelecer um rápido paralelo que o mercado segurador brasileiro observou entre os ramos ambiental e D&O, possivelmente útil àquilo que, com efeito, provavelmente ver-se-á no curto/médio prazo com os ramos cyber e D&O.

Sintetizando temas complexos, o que se justifica pelos limites desta coluna, as tragédias ambientais de Mariana e Brumadinho, ocorridas em Minas Gerais, ocasionaram a perda de valor mobiliário das ações da mineradora responsável pelos sítios respectivos. A segunda catástrofe, em particular, trouxe à tona discussão acalorada a respeito da responsabilidade (ou não) de diretores e membros do conselho de administração da companhia, ao argumento de que poderiam/deveriam ter tomado medidas a fim de evitar o mau maior.

Verificou-se, à época, portanto, demandas típicas da arena dos seguros D&O motivadas por questões de fundo ambientais, ou seja, uma clara convergência entre os dois ramos. Ditas demandas de responsabilidade deveriam ter sido alocadas nos seguros D&O ou nos seguros ambientais — seguro de responsabilidade ambiental ou seguro ambiental típico?

A probabilidade de que inquietações como a acima referida também se apresentem agora com relação aos seguros cyber e D&O é concreta, cabendo aos segurados/tomadores, seguradores e resseguradores, além dos brokers, a serenidade para que tomem a decisões corretas no tocante às coberturas/alocações/exclusões. Deve-se a todo custo evitar a silent cyber coverage, e, consequentemente, todos os desgastes que a mesma, fatalmente, ocasionará.