LGPD e incidente com dados pessoais: por que precisamos de uma lei para nos proteger?

*Por Karina Gutierrez

arquivo pessoal

Na era digital, os dados talvez possam ser considerados um dos artigos mais valiosos. Basta pensar que quanto maior o volume de dados “controlados” por um indivíduo ou empresa, maior será o poder exercido em uma economia baseada em dados. Não é à toa que os vazamentos de dados decorrentes de incidentes de segurança e de usos ilegais dessas informações na deep web (o submundo da internet) têm se tornado cada vez mais frequentes, especialmente no Brasil. 

Um estudo recente do Massachusets Institute of Tecnology (MIT) aponta que os vazamentos de dados aumentaram 493% no Brasil. Em número de incidentes relevantes, o país saltou de 3, em 2018, para 16 em 2019, de acordo com a pesquisa. 

Esses dados contemplam os dois megavazamentos noticiados no início de 2021. No primeiro, divulgado em janeiro e considerado o maior da história do país, dados de 223 milhões de cidadãos, incluindo falecidos, foram expostos. Em fevereiro, no segundo mega vazamento anunciado no ano, 103 milhões de dados de celulares foram vazados. Um fato alarmante é que as informações ficaram expostas durante meses ou anos, e não é possível saber quantas vezes foram compartilhadas e vendidas. Esses são exemplos factíveis do que são os incidentes com dados pessoais.

Conforme a definição do artigo 46º da Lei Geral de Proteção de Dados (LGPD) ou Lei nº 13.709/2018, incidentes de dados pessoais podem ser entendidos como qualquer acesso não autorizado a tais informações, circunstâncias acidentais ou ilegais, que conduzam a sua destruição, perda, alteração, comunicação, ou ainda qualquer forma de processamento desses mesmos dados de maneira inadequada ou ilegal.

Em relação aos dados do primeiro megavazamento, sabe-se que a base continha desde dados básicos (nome, CPF, e-mail e endereço) até fotos de rosto, informações de Imposto de Renda, dependentes familiares e poder aquisitivo de cada pessoa. Além disso, esses dados faziam parte de esquemas de venda de informações na deep web e uso para fins criminosos.

Só para se ter uma ideia, com acesso a essas informações, os criminosos podem realizar uma série de ações fraudulentas, como golpes bancários, saques indevidos, financiamento ou operação de compra e venda em nome do titular dos dados, inscrição em programas sociais, entre outros. Outra prática comum é o envio de e-mails ou mensagens em que o golpista se passa por instituições bancárias, na tentativa de obter vantagens financeiras, ou mesmo para envio de cobranças falsas, como boletos de serviços de telefonia ou de tributos, como IPTU e IPVA.

Apenas esses fatos já seriam suficientes para justificar a necessidade de uma lei que garanta a proteção dos dados de qualquer pessoa. Todavia, é importante destacar ainda que todo cidadão tem direito a ter seus dados protegidos, com base na Constituição Federal de 1988. Além disso, o Marco Civil da Internet de 2014, reconhece tal direito. Cabe então à LGPD regulamentar a proteção e a privacidade, tornando possível o exercício da lei.
Vale frisar que o que a LGPD busca não é criar um obstáculo na coleta de dados por parte da empresa para com o seu cliente. A intenção, e tudo indica que vai funcionar bem na prática, é estabelecer critérios para o tratamento dos dados coletados. O que antes funcionava de maneira “desgovernada” passou a ter, desde agosto de 2020, uma lei que exige transparência na relação empresa x cliente. Ou seja, antes de fornecer os seus dados, o cliente tem o direito previsto por lei de saber para qual finalidade eles serão utilizados, inclusive podendo revogar a permissão de uso dessas informações a qualquer momento.

E por falar em fornecimento de dados, creio que também é importante tratar de uma das principais dúvidas de quem utiliza a internet ou tem conhecimento de que diversas empresas possuem seus dados: como saber se suas informações pessoais estão seguras?

Podemos partir do princípio de que é dever das organizações que armazenam os dados proporcionar tecnologias seguras de proteção, utilizar processo de anonimização e outras técnicas, como a criptografia. Diversas empresas já estão se adaptando à legislação. Por exemplo, durante sua navegação na internet, vários sites apresentam logo de início as mensagens de utilização de cookies de navegação, alocando a política de privacidade na tela inicial. Mas, a melhor maneira de se prevenir continua sendo a precaução. Assim, é interessante elencar algumas medidas preventivas que podem tornar os dados pessoais menos vulneráveis a vazamentos e uso indevido. 

- Não fornecer informações a pessoa ou empresa que as solicita em situações que não apresente segurança e que não ofereça algum tipo de garantia quanto a não utilização delas para além da finalidade visada.

- Utilizar senhas de bloqueio para aparelhos celulares, seja reconhecimento facial, biométrico, PIN, padrão etc.

- Procurar conhecer e fazer uso de recursos que permitam apagar os dados remotamente em caso de perda, furto ou roubo de equipamentos.

- Desconfiar de e-mails e mensagens recebidas, mesmo as que contenham dados pessoais, pois não significam que sejam legitimas. Neste tipo de contato, é importante verificar atentamente o endereço do remetente. É um endereço conhecido? Não tem caractere estranho? E o que pede o e-mail, para instalar algo ou acessar um site? Se o contato não for conhecido ou esperado, a melhor ação é enviar para a lixeira e marcar como spam.

- Em ligações telefônicas, desconfie se o funcionário pedir informações sensíveis (senhas, número de cartão de crédito e código de segurança). Uma alternativa é pedir o protocolo da ligação e depois retornar o contato com a empresa (por um número oficial), informando o protocolo para retomar o atendimento.

*Karina Gutierrez é advogada e sócia na Bosquê Advocacia