Vazamento de dados pessoais de cliente em razão de ataque hacker a sistema de empresa gera dano moral?

Já publicamos diversos artigos explorando temas referentes à LGPD (Lei Geral de Proteção de Dados Pessoais), como você pode conferir neste link.

Como exemplo, lembramos de artigo sobre o rigor que o Judiciário vem dispensando às ocorrências que envolvem pedido de indenização por danos morais em razão de falha no tratamento de dados pessoais, assim como já explicamos que não ocorre dano moral automaticamente diante do vazamento de dados pessoais.

Nesse artigo abordaremos recente decisão do Juizado Especial Cível de São Paulo[1] que apontou elementos importantes, norteadores de condutas e expectativas tanto para o lado dos consumidores, como para aqueles que tratam dados pessoais.

Vamos a eles:

O caso envolveu um consumidor em potencial (autor da ação de indenização por danos morais) e uma empresa de seguro de vida.

Ainda na fase de apresentação de proposta de contratação do seguro, tendo o autor da ação fornecido uma série de informações e documentos sobre si para a seguradora, tais como seu rendimento, estilo de vida, prontuário médico e formação familiar, entre outros, recebeu e-mail da seguradora com o aviso acerca da ocorrência de incidente de cibersegurança no sistema de propostas para contratação de seguro de vida individual.

A seguradora sofreu um ataque cibernético, provavelmente cometido por um hacker não identificado até então.

Após a ocorrência, conforme documentos juntados pelo autor, a empresa se concentrou em adotar as medidas necessárias para torná-la pública, através de comunicado geral e específico para todos aqueles potenciais clientes abrangidos pelas propostas. Indicou ponto a ponto os dados que estariam fora do ataque e disponibilizou um canal de contato para os atingidos, veiculando ainda uma série de perguntas e respostas sobre o ocorrido.

Em razão disso, buscou o consumidor a obtenção de ressarcimento pelo dano moral suportado.

O que argumentou a seguradora em sua defesa:

• que o JEC seria incompetente para julgar o caso que, a seu ver, envolve questão técnica e de alta complexidade como é um incidente envolvendo o vazamento de dados pessoais;
• que o Código de Defesa do Consumidor (CDC) não seria aplicável, mas apenas a LGPD;
• que adotou postura ativa para rapidamente contornar o incidente e implementar novas medidas de segurança, fazendo-o com base nas premissas da LGPD, tendo alegado que não há sistema 100% seguro contra ataques de hackers; e
• que o dano moral não pode ser hipotético.

O que foi decidido pela juíza:

• que o JEC é competente para julgar o caso, pois este não depende de prova pericial, sendo que a questão relativa ao ataque sofrido pela seguradora restou comprovado;
• que a relação é de consumo, sendo aplicável o CDC e a LGPD;
• que, embora tenha ficado categoricamente demonstrado o vazamento de dados do autor, não se verificou a ocorrência de dano efetivo para a responsabilização do agente controlador dos dados pessoais do consumidor.

Aqui nesse ponto chamamos a atenção para o aspecto determinante para o afastamento do dever de indenizar da seguradora, em que pese tenha sido comprovado o incidente cibernético: não há responsabilidade civil sem o efetivo dano.

Nas palavras da juíza:

“Sendo assim, em que pese as muitas alegações do autor de eventuais danos suportados, tem-se que se tratam de eventos futuros e de mera suposição (danos hipotéticos), não tendo nenhum deles ocorrido efetivamente”.

Além disso:

“Outra não é a conclusão mesmo com a juntada da petição de p. 240/241 e documentos, pois não há como relacionar obrigatoriamente a exposição de dados do autor com a contratação de linhas fraudulentas na operadora Vivo, até porque dados do autor como CPF e outros não constam só no banco de dados da ré, mas de todas as empresas com as quais o autor se relaciona”.

Ainda, ficou evidente que a postura transparente e ativa da seguradora, somada à comprovação da adoção de medidas necessárias para rapidamente contornar o incidente isolado (no histórico de ocorrências da empresa), pesou na análise da julgadora.

O fato é que, vislumbrando também um ambiente de cuidado, atenção e modernização constante, a julgadora se viu amplamente respaldada em ser categórica na solução do impasse envolvendo o reconhecimento ou não da responsabilidade civil.

Para ela, sem informações efetivas sobre o destino dos dados pessoais, mas apenas da ocorrência do seu vazamento, não é possível materializar a ocorrência do dano moral, tendo ficado as afirmações, a seu ver, apenas no campo das hipóteses e presunções do que poderia vir a ocorrer com os dados pessoais do consumidor. Mais um caso prático, portanto, a mostrar que a responsabilidade civil envolvendo ocorrências com a LGPD no campo digital é um assunto delicado, complexo, cujas situações do cotidiano podem apontar particularidades e desdobramentos que merecem o exame detalhado por profissional do Direito apto a apontar o melhor caminho a seguir na defesa dos direitos envolvidos.

[1] Processo nº 1000589-92.2021.8.26.0016, 1ª Vara do Juizado Especial Cível – Vergueiro. Sentença proferida em 05/10/2021, processo arquivado definitivamente em 10/12/2021