Vazamento na empresa integrada ao aplicativo: contra quem o titular reclama

A regra que impede o empurra-empurra

O dever de reparar está no art. 42 da LGPD: o controlador ou o operador que, em razão do exercício de atividade de tratamento de dados pessoais, causar a outrem dano patrimonial, moral, individual ou coletivo, em violação à legislação de proteção de dados pessoais, é obrigado a repará-lo.

O §1º detalha como isso assegura reparação efetiva. Pelo inciso I, o operador responde solidariamente pelos danos quando descumprir as obrigações da legislação de proteção de dados ou quando não tiver seguido as instruções lícitas do controlador, equiparando-se ao controlador nessa hipótese. Pelo inciso II, os controladores diretamente envolvidos no tratamento do qual decorreram os danos respondem solidariamente.

Na prática, o titular escolhe contra quem dirigir a pretensão. A distribuição interna de culpa é problema das empresas entre si.

Identificar o papel de cada empresa muda a estratégia

Antes de decidir contra quem reclamar, vale entender a arquitetura. O aplicativo que decide quais dados coleta, para qual finalidade e por quanto tempo é controlador. A empresa contratada que processa pagamentos seguindo instruções costuma ser operadora daquele fluxo — mas pode ser controladora de tratamentos próprios, como prevenção a fraude com base própria.

Uma mesma empresa pode ocupar papéis diferentes em fluxos diferentes, e essa é a origem de boa parte da confusão em comunicados de incidente.

Peça ao aplicativo a informação prevista no art. 18, VII — as entidades públicas e privadas com as quais houve uso compartilhado. A resposta desenha o mapa e, quando negada, já se torna um segundo descumprimento a relatar.

O que o titular precisa reunir

O núcleo da prova é a ligação entre você, o aplicativo e o dado exposto. Guarde os comprovantes de uso do serviço no período; o comunicado de incidente e a data em que foi recebido; o teor exato do que vazou, conforme informado; as mensagens ou fraudes recebidas depois; e o pedido de informação de compartilhamento com a resposta obtida.

Se a empresa parceira publicou comunicado próprio, guarde os dois: divergências entre as versões costumam ser reveladoras sobre quem sabia o quê e quando.

O art. 42, §2º permite a inversão do ônus da prova em favor do titular quando a alegação for verossímil, houver hipossuficiência para produzir prova ou a produção lhe for excessivamente onerosa — o que é comum quando a falha ocorreu em sistema ao qual você nunca teve acesso.

As defesas que costumam aparecer

A primeira é a do art. 43, I: a empresa alega que não realizou aquele tratamento. Funciona quando ela realmente não recebeu o dado vazado, e não funciona quando o compartilhamento está documentado na própria política de privacidade.

A segunda é a do art. 43, II: houve tratamento, mas sem violação à legislação de proteção de dados, porque as medidas de segurança do art. 46 estavam implementadas. Aqui a discussão vira técnica, e o que decide é a evidência de controles adequados ao risco.

A terceira é a do art. 43, III: culpa exclusiva do titular ou de terceiro. Ataque criminoso não é, por si, culpa exclusiva de terceiro — se houvesse essa equivalência, todo vazamento estaria excluído.

Exemplo: um marketplace integra um serviço de antifraude que sofre acesso indevido e expõe documentos de identidade dos compradores. O marketplace decidiu enviar aqueles documentos e definiu a finalidade; ele responde perante o titular e depois discute regresso, com o direito assegurado pelo art. 42, §4º, contra o parceiro, na medida da participação de cada um no evento danoso.

Caminhos concretos e o que esperar de cada um

O primeiro movimento é o pedido formal ao aplicativo, pelo canal do encarregado, exigindo a descrição do incidente, a lista de compartilhamentos e as providências adotadas. Sem resposta útil no prazo, cabem a petição à autoridade nacional, prevista no art. 18, §1º, e a reclamação nos organismos de defesa do consumidor, autorizada pelo §8º.

A ação judicial individual faz sentido quando há dano demonstrável — fraude concretizada, uso indevido do documento, prejuízo financeiro. Já quando o único efeito foi o susto do comunicado, a chance de êxito diminui, e vale medir custo e tempo antes de ajuizar.

Como a discussão envolve identificar papéis, reunir prova técnica e decidir contra quem litigar, é o tipo de análise que se faz com advogado a partir dos comunicados e comprovantes que você já tem, com tudo enviado por meio digital.