Ataque de hacker isenta a empresa de indenizar pelo vazamento?
"Fomos vítimas de um ataque hacker sofisticado" é a resposta padrão que muita empresa envia quando o titular cobra explicações sobre um vazamento. Ela soa como se encerrasse o assunto, mas juridicamente não encerra: a existência de um ataque externo não afasta, por si só, a responsabilidade do controlador.
O art. 43 da LGPD e as hipóteses de exclusão
O art. 43 da Lei 13.709/2018 lista as hipóteses em que o agente de tratamento não é responsabilizado: quando prova que não realizou o tratamento atribuído a ele, que não houve violação à legislação de proteção de dados, ou que o dano decorre de culpa exclusiva do titular ou de terceiro. Um ataque de hacker só se enquadra nessa última hipótese se for verdadeiramente imprevisível e inevitável, o chamado fortuito externo.
O que transforma o ataque em fortuito interno
Se a empresa não adotou as medidas de segurança técnicas e administrativas exigidas pelo art. 46 da LGPD — como criptografia, controle de acesso e atualização de sistemas —, o ataque deixa de ser considerado fortuito externo e passa a ser tratado como fortuito interno, que não exclui a responsabilidade. Nesse caso, o ataque apenas explorou uma falha que já existia por negligência do controlador.
De quem é o ônus de provar a segurança adotada
Cabe à empresa, e não ao titular, demonstrar quais medidas de segurança mantinha antes do incidente. Diante da alegação de ataque hacker, é legítimo exigir que a empresa detalhe as medidas adotadas, e não apenas repita a frase genérica de que foi vítima de criminosos. A ausência de detalhamento técnico reforça o argumento de falha na segurança.
O art. 6º, VIII, do Código de Defesa do Consumidor, quando a relação é de consumo, permite que o juiz inverta esse ônus em favor do titular, transferindo à empresa o dever de comprovar as medidas técnicas que tinha em vigor no momento do ataque, em vez de deixar essa prova, difícil de produzir, a cargo do consumidor.
Um exemplo de como essa defesa é avaliada na prática
Imagine uma empresa que sofreu invasão e alega ataque hacker sofisticado, mas o vazamento revela senhas armazenadas sem qualquer criptografia. Esse detalhe técnico, por si só, tende a esvaziar o argumento de fortuito externo, porque a ausência de criptografia é uma falha básica de segurança que a própria LGPD espera que o controlador evite.
Perguntas frequentes
A empresa também é vítima do ataque, isso pesa a favor dela?
Ser vítima do ataque não afasta automaticamente a responsabilidade perante o titular. O que importa juridicamente é se a empresa mantinha as medidas de segurança adequadas ao tipo de dado que tratava, não apenas o fato de ter sofrido a invasão.
Proveniência
Conteúdo informativo; não substitui a análise individual de um advogado sobre o seu caso.
Conteúdos relacionados
Links internos
Conteúdo informativo. Não substitui a análise individual de um advogado ou da Defensoria Pública sobre o seu caso.