Empregado acessou e repassou dados de clientes sem autorização

O enquadramento penal depende de como o acesso ocorreu

Não existe um único crime aplicável, e a escolha depende dos fatos.

Se o acesso se deu por invasão do dispositivo ou do sistema, sem autorização, incide o art. 154-A do Código Penal, que pune invadir dispositivo informático de uso alheio com o fim de obter, adulterar ou destruir dados ou informações sem autorização expressa ou tácita, com reclusão de um a quatro anos e multa. O § 2º aumenta a pena de um terço a dois terços se da invasão resulta prejuízo econômico, e o § 3º agrava quando resulta obtenção de conteúdo de comunicações privadas ou de segredos.

Se o empregado tinha acesso legítimo e o problema é a divulgação, a análise se desloca. O art. 153 do Código Penal pune divulgar alguém, sem justa causa, conteúdo de documento particular ou de correspondência confidencial de que é destinatário ou detentor, quando a divulgação possa produzir dano a outrem.

Há ainda a hipótese de subtração de coisa móvel, quando o objeto é um dispositivo ou uma mídia, e a de crimes contra a concorrência, quando a conduta se enquadra na proteção de segredos de indústria e comércio.

A definição correta importa porque afeta o prazo, a necessidade de representação e a estratégia.

A exigência de representação e o prazo

Nos crimes do art. 154-A, o art. 154-B do Código Penal determina que somente se procede mediante representação, salvo quando o crime é cometido contra a administração pública direta ou indireta ou contra empresas concessionárias de serviços públicos.

Empresa privada precisa, portanto, representar formalmente. E o art. 103 do Código Penal fixa que o ofendido decai do direito de queixa ou de representação se não o exerce dentro do prazo de seis meses, contado do dia em que veio a saber quem é o autor do crime.

Esse prazo é o que se perde com mais frequência, porque a empresa costuma priorizar a apuração interna e a negociação com o ex-empregado. Seis meses passam rápido quando há investigação interna, tentativa de acordo e discussão trabalhista em curso.

A recomendação prática é simples: registre a representação cedo, com o que já se sabe, e complemente depois. Representar não impede acordo posterior.

A preservação da prova, que é o que decide

Casos assim se ganham ou se perdem na evidência técnica.

• preserve logs de acesso, exportação, impressão e envio de e-mails do período, com fuso horário identificado;
• registre o momento e o modo da descoberta;
• gere imagem forense do equipamento corporativo antes de reformatá-lo para outro empregado, porque a formatação é o erro mais comum;
• documente as permissões que o empregado tinha e quando foram concedidas e revogadas;
• reúna os relatos de clientes que receberam contato do concorrente, com datas;
• mantenha registro de quem acessou o material preservado, na lógica de cadeia de custódia do art. 158-A do Código de Processo Penal.

O terceiro item merece política interna própria: equipamentos de desligados deveriam ser imobilizados por período mínimo antes de reaproveitados.

As outras frentes e os riscos de errar a ordem

Na esfera de proteção de dados, a Lei nº 13.709, de 2018, impõe ao controlador o dever de comunicar à autoridade nacional e ao titular a ocorrência de incidente de segurança que possa acarretar risco ou dano relevante. Vazamento de base de clientes por empregado é incidente, e a empresa é controladora — o que significa que ela também está exposta, e não apenas lesada.

Na esfera trabalhista, a apuração deve respeitar limites de monitoramento e de privacidade, sob pena de a prova ser questionada e de a própria empresa responder.

Na esfera cível, há a discussão sobre reparação e sobre concorrência desleal, inclusive contra a empresa que recebeu os dados.

O erro mais caro é conduzir a apuração interna de forma invasiva e sem critério, produzindo prova frágil e criando responsabilidade nova.

Quando o vazamento envolve base de clientes, exposição regulatória e possível responsabilização de concorrente, a sequência entre preservação técnica, representação criminal, comunicação regulatória e medidas cíveis precisa ser planejada antes de qualquer movimento — e um advogado particular consegue estruturá-la remotamente, recebendo logs e documentos por canal digital seguro.