Seus dados vazaram: o que a LGPD garante e o que dá para exigir

Você descobre por um e-mail estranho que acerta seu nome completo, por uma ligação que sabe o número do seu cartão, ou por uma reportagem dizendo que uma base de dados foi exposta. A pergunta seguinte é o que dá para exigir. Hoje ela tem resposta legal.

A Lei 13.709/2018, a LGPD, organizou o assunto. Ela não resolve tudo, e saber onde ela chega evita frustração.

O vocabulário mínimo

Três termos que aparecem em qualquer discussão da matéria:

Titular é a pessoa a quem os dados se referem. Você.

Controlador é quem decide sobre o tratamento. A empresa que coletou e usa os dados.

Operador é quem trata os dados em nome do controlador, como um fornecedor de tecnologia contratado.

A distinção importa porque define de quem se cobra o quê.

Os direitos do titular

O art. 18 da LGPD lista o que se pode exigir do controlador, mediante requisição:

• confirmação da existência de tratamento.
• acesso aos dados.
• correção de dados incompletos, inexatos ou desatualizados.
• anonimização, bloqueio ou eliminação de dados desnecessários, excessivos ou tratados em desconformidade com a lei.
• portabilidade a outro fornecedor.
• eliminação dos dados tratados com base no consentimento.
• informação sobre com quem os dados foram compartilhados.
• informação sobre a possibilidade de não consentir e as consequências disso.
• revogação do consentimento.

Os prazos: resposta imediata para requisições em formato simplificado, e até quinze dias para a declaração clara e completa sobre origem, critérios e finalidade do tratamento.

Um limite que precisa ser dito com franqueza: o direito de eliminação alcança os dados tratados com base no consentimento. Quando o tratamento se apoia em outra base legal, como cumprimento de obrigação legal, execução de contrato ou exercício de direito em processo, a empresa pode recusar a eliminação com fundamento.

O dever de comunicar o incidente

O art. 48 da LGPD obriga o controlador a comunicar à Autoridade Nacional de Proteção de Dados e ao titular a ocorrência de incidente de segurança que possa acarretar risco ou dano relevante.

A comunicação deve indicar, entre outros elementos:

• a descrição da natureza dos dados afetados.
• as informações sobre os titulares envolvidos.
• as medidas técnicas e de segurança utilizadas para proteção dos dados.
• os riscos relacionados ao incidente.
• as medidas adotadas para reverter ou mitigar os efeitos.

Se a empresa sabe do incidente e não comunica, ela já descumpriu a lei. Isso pesa na avaliação da conduta dela.

Quando há indenização

Aqui a expectativa quase sempre é maior do que os tribunais entregam.

O art. 42 da LGPD prevê que o controlador ou operador que causar dano patrimonial, moral, individual ou coletivo em razão do exercício de atividade de tratamento em violação à legislação é obrigado a repará-lo.

O que os tribunais têm examinado caso a caso:

• Natureza dos dados expostos. Dado sensível, como saúde, biometria, origem racial e convicção religiosa, pesa mais do que nome e e-mail. Dado que permite fraude direta também.
• Uso indevido efetivo. Vazamento seguido de contratação fraudulenta, negativação ou golpe é um cenário. Vazamento sem consequência conhecida é outro.
• Conduta da empresa depois do incidente. Comunicar, ser transparente e conter o problema conta a favor dela. Esconder conta contra.

Vazamento de dado que já era público, sem consequência demonstrada, tem sido tratado por boa parte dos tribunais como insuficiente para gerar dano moral. Saber disso antes evita montar o pedido sobre a parte fraca.

O passo a passo

1. Documente a descoberta. Capturas do e-mail suspeito, do site que expôs os dados, da notificação recebida, da reportagem. Com data.

2. Exerça os direitos do art. 18 por escrito. Envie requisição ao canal do encarregado de dados. A LGPD obriga o controlador a indicar esse canal publicamente. Peça confirmação do tratamento, acesso aos dados, informação sobre compartilhamento e, quando cabível, eliminação. Guarde o protocolo.

3. Monitore o uso. Consulte o CPF em cadastros de inadimplentes, verifique o extrato das contas e acompanhe tentativas de contratação em seu nome.

4. Registre boletim de ocorrência se houver uso indevido.

5. Reclame à ANPD, quando a resposta do controlador não vier ou não resolver. A autoridade recebe petições de titulares após comprovada a reclamação prévia não solucionada.

6. Preserve tudo. Quando vazou, quando você soube, quando reclamou, o que a empresa respondeu. Essa cronologia estrutura o caso.

Para empresas

O outro lado da mesma lei: a LGPD se aplica a praticamente toda atividade de tratamento de dados pessoais, e o porte da empresa influencia o grau de formalização exigido, não a incidência da norma.

O mínimo cobrado numa fiscalização ou numa discussão judicial:

• base legal identificada para cada tratamento realizado.
• política de privacidade que corresponda ao que de fato é feito.
• encarregado indicado e canal de atendimento ao titular funcionando.
• contratos com operadores disciplinando responsabilidades.
• plano de resposta a incidentes, escrito antes de o incidente acontecer.

Política de privacidade copiada de outro site é o problema mais comum e o mais fácil de identificar. Ela descreve tratamentos que a empresa não faz e omite os que ela faz.