Empresa é responsável por dados vazados de clientes após ataque “hacker”, decidiu o STJ.

Em decisão proferida recentemente pela 3ª Turma do Superior Tribunal de Justiça (STJ), a Corte reforçou a responsabilidade das empresas pela segurança de dados pessoais de seus clientes, mesmo quando o vazamento decorre de ataques cibernéticos.

No caso que deu origem ao REsp 2.147.374, os dados de clientes de uma grande empresa de distribuição de energia elétrica foram vazados após um ataque “hacker”.

A discussão girou em torno da seguinte questão: o ataque cibernético é uma causa excludente de responsabilidade da empresa, nos termos do artigo 43, III, da Lei Geral de Proteção de Dados – LGPD (Lei nº   13.709/2018), ou as companhias continuam responsáveis pelo vazamento de dados não sensíveis de seus clientes, mesmo diante de ato ilícito de terceiro?  

A 3ª Turma do STJ entendeu, de forma unânime, que a empresa tem obrigação de garantir a segurança das informações de seus clientes, independentemente do que tenha causado o seu vazamento. 

Para o relator do processo, ministro Ricardo Villas Bôas Cueva, as empresas, agentes de tratamento de dados, são obrigadas a adotar rodas as medidas de segurança cabíveis para assegurar a integridade das informações pessoais dos clientes.

Para tanto, o ministro relator reforçou a importância do chamado “compliance” de dados a ser adotados pelas empresas, medida fundamental para demonstrar a sua adequação aos programas de proteção e segurança, como a observância dos princípios gerais previstos na LGPD e boas práticas de governança.

De acordo com o STJ, a empresa omissa na tomada de providências nesse sentido, trata de forma irregular os dados de seus clientes, devendo ser responsabilizada por não garantir a segurança esperada pelos titulares dos dados. 

A recente decisão do STJ ressalta a crescente relevância da proteção de dados pessoais no cenário jurídico e empresarial brasileiro, reforçando a importância de as organizações revisarem e fortalecerem suas práticas de governança e “compliance digital”.

Negligenciar a segurança dos dados dos clientes pode gerar não apenas prejuízos financeiros, mas também comprometer a confiança dos clientes e expor as empresas a severas sanções legais. 

Nesse contexto, é crucial que as empresas implementem medidas robustas para mitigar riscos, adequando-se integralmente às exigências da LGPD.

Os advogados do escritório Alves Benedito estão à disposição para fornecer assessoria e prestar esclarecimentos adicionais sobre o assunto.