O Superior Tribunal de Justiça decidiu que empresas que atuam como agentes de tratamento de dados são responsáveis por garantir a segurança das informações pessoais sob sua custódia, mesmo em casos de supostos ataques cibernéticos. O julgamento decorreu do Recurso Especial n. 2.147.374/SP, relatado pelo Ministro Ricardo Villas Bôas Cueva, no qual a Terceira Turma analisou a aplicabilidade da Lei Geral de Proteção de Dados (LGPD) em situações de vazamento de dados não sensíveis.

A decisão reforça a necessidade de adoção de medidas de segurança e compliance por parte das empresas, destacando que a mera alegação de ataque hacker não exime automaticamente a responsabilidade da organização. No caso julgado, a empresa recorrente não conseguiu comprovar que o incidente de segurança ocorreu exclusivamente por ação de terceiros (ataque hacker), o que impediu a aplicação da excludente de responsabilidade prevista no art. 43, III, da LGPD.

O Tribunal enfatizou que a proteção de dados pessoais é um direito fundamental garantido pela Constituição Federal, conforme estabelecido pela Emenda Constitucional n.º 115/2022. Dessa forma, a empresa deveria ter adotado todas as medidas técnicas e administrativas necessárias para evitar o vazamento, garantindo a “expectativa de legítima proteção” dos titulares, conforme prevê o art. 44, III, da LGPD.

Diante disso, o STJ manteve a decisão do Tribunal de Justiça de São Paulo (TJSP), condenando a empresa a fornecer informações detalhadas ao titular dos dados, incluindo a origem das informações, registros de compartilhamento com terceiros e uma cópia completa de todos os dados armazenados sobre ele. Essa obrigação decorre do art. 18, VII, e do art. 19, II, da LGPD, que garantem aos titulares maior transparência e controle sobre suas informações pessoais.

O julgamento reforça a necessidade de um robusto programa de conformidade à LGPD, com boas práticas de governança e segurança da informação, para evitar sanções e responsabilizações futuras. Por isso, empresas que lidam com dados pessoais devem estar preparadas para atender às exigências legais e garantir a proteção adequada das informações, sob risco de sofrer consequências jurídicas e reputacionais.

O JCM Advogados Associados permanece atento a todas as novidades e decisões para mantê-los sempre atualizados e permanecemos à disposição para solucionar suas dúvidas sobre o tema.

Fonte: REsp n. 2.147.374/SP, relator Ministro Ricardo Villas Bôas Cueva, Terceira Turma, julgado em 3/12/2024, DJEN de 6/12/2024