Flávia Lubieska Kischelewski
Apesar do curto histórico de vigência da Lei 13.709/2018 (Lei Geral de Proteção de Dados Pessoais ou LGPD), que entrou em vigor em agosto de 2020, o Superior Tribunal de Justiça (STJ) vem se pronunciando sobre sua aplicação. Curiosamente dois casos de maior relevância envolveram a mesma concessionária de energia: Enel.
Em março de 2023, a Segunda Turma da Corte decidiu que o titular de dados pessoais vazados deveria comprovar o dano efetivo ao buscar indenização. Para o Ministro Francisco Falcão, “o vazamento de dados pessoais, a despeito de se tratar de falha indesejável no tratamento de dados de pessoa natural por pessoa jurídica, não tem o condão, por si só, de gerar dano moral indenizável. Ou seja, o dano moral não é presumido, sendo necessário que o titular dos dados comprove eventual dano decorrente da exposição dessas informações. Diferente seria se, de fato, estivéssemos diante de vazamento de dados sensíveis, que dizem respeito à intimidade da pessoa natural”.
Passados mais de 1,5 ano, em dezembro de 2024, um novo entendimento surge em termos de responsabilidade empresarial. A Terceira Turma do STJ, julgou que a Enel tem responsabilidade pelo vazamento de dados pessoais de uma consumidora por um ataque hacker. Nos termos do acórdão, “a empresa recorrente se enquadra na categoria dos agentes de tratamento, caberia a ela tomar todas as medidas de segurança esperadas pelo titular para que suas informações fossem protegidas, entre as quais a utilização das técnicas de tratamento de dados pessoais disponíveis à época em que foi realizado. Em acréscimo, os sistemas utilizados para o tratamento de dados pessoais da recorrente deveriam estar estruturados de forma a atender aos requisitos de segurança, aos padrões de boas práticas e de governança e aos princípios gerais previstos na LGPD e às demais normas regulamentares (art. 49)”.
Na origem, o Tribunal de Justiça de São Paulo havia afastado a indenização por danos morais e reconhecido a ocorrência de vazamento dos dados pessoais não sensíveis da autora. Esse aspecto não foi objeto de reanálise pelo STJ, que destacou que o tratamento de dados pessoais se configurou como irregular quando deixou de fornecer a segurança que o titular dele poderia esperar (“expectativa de legítima proteção”), consideradas as circunstâncias relevantes, entre as quais as técnicas de tratamento de dados pessoais disponíveis à época em que foi realizado (art. 44, III, da LGPD). Assim, “o agente de tratamento responderá pelas violações da segurança dos dados”.
Esses não são os únicos casos relacionados à LGPD apreciados pelo STJ nos últimos anos, mas merecem destaque no que concerne a prestação de serviços ao consumidor. Mesmo que ainda não se tenha um firme posicionamento, no STJ, favorável à concessão de indenização por danos extrapatrimonais, esta recente decisão abre caminho para tanto.
O reconhecimento da responsabilidade objetiva e da ausência da prática das medidas técnicas esperadas pelo cliente da empresa em relação à proteção de seus dados pessoais deverá, em algum momento, acarretar o dever de reparação empresarial, assevera a advogada Flávia Lubieska N. Kischelewski. Devem, nesse sentido, agir preventivamente os agentes de tratamento de dados, principalmente os controladores.
