Seguro cyber: o que pode cobrir em ataques e vazamentos
Seguro cyber não é um pacote uniforme nem substitui controles de segurança. A apólice pode reunir coberturas para gastos da própria empresa, responsabilidade perante terceiros e serviços de resposta a incidentes, cada qual com limites, franquias, gatilhos e exclusões. Ataque hacker, ransomware e vazamento de dados descrevem situações amplas; a indenização depende do evento definido no contrato e do prejuízo comprovado. Antes de contratar ou acionar o seguro, a empresa deve mapear sistemas, dados pessoais, fornecedores críticos, tempo tolerável de paralisação e obrigações regulatórias. Essa leitura evita comparar apenas o capital total e ignorar sublimites decisivos.
Separe danos próprios de responsabilidade civil
Coberturas de primeira parte podem incluir investigação forense, contenção, restauração de dados, interrupção de negócios, comunicação a titulares, monitoramento e gestão de crise, conforme a redação contratual. Já a responsabilidade civil pode alcançar custos de defesa e indenizações por danos reclamados por terceiros. Nem toda apólice oferece todos esses blocos.
A Susep classifica Riscos Cibernéticos dentro do grupo de responsabilidade, regulado pela Circular 637/2021, mas o nome do ramo não define sozinho o alcance comprado. Leia condições gerais, especiais, endossos e proposta. Compare limites por cobertura, franquias, carências e serviços prestados diretamente com despesas sujeitas a reembolso.
Relacione o seguro às obrigações da LGPD
A LGPD exige medidas técnicas e administrativas aptas a proteger dados pessoais desde a concepção até a execução do serviço. Também atribui ao controlador a comunicação de incidente capaz de acarretar risco ou dano relevante. A Resolução CD/ANPD 15/2024 regulamenta essa comunicação e a página oficial da ANPD informa, nas hipóteses abrangidas, prazo de três dias úteis.
A seguradora ou o prestador de resposta pode auxiliar na investigação e na comunicação, se contratado, mas não substitui a decisão jurídica do controlador nem transfere suas obrigações. Preserve a avaliação de risco, a cronologia e os fundamentos para comunicar ou não comunicar.
Acione a resposta antes de discutir o reembolso
Diante de incidente ativo, priorize contenção segura, continuidade essencial e preservação de evidências. Use o telefone ou canal emergencial da apólice, registre horário e protocolo e peça autorização para fornecedores quando possível. Não desligue sistemas, formate equipamentos ou negocie com atacante sem coordenar a equipe técnica, pois medidas precipitadas podem ampliar o dano ou destruir vestígios.
Documente indicadores, sistemas afetados, contas comprometidas, cópias de segurança, decisões e despesas. Se a urgência impedir autorização prévia, registre a razão e mantenha a seguradora informada. O contrato pode exigir consentimento para consultores, acordos e gastos; a segurança imediata não elimina a necessidade de justificar escolhas.
Ransomware exige cautela adicional
Cobertura rotulada como extorsão cibernética pode prever especialistas em negociação, investigação e eventual pagamento, mas não garante que todo resgate seja lícito, recomendável ou indenizável. Consentimento da seguradora, sanções, origem do beneficiário, autoridades envolvidas e condições da apólice podem alterar a resposta. Pagar também não assegura recuperação dos dados nem silêncio do criminoso.
Verifique se o seguro cobre restauração por backups, paralisação, investigação e crise independentemente do resgate. Preserve prova da indisponibilidade e do período de interrupção. Decisões devem reunir segurança da informação, administração, jurídico e especialistas indicados, sem transformar uma cláusula financeira em estratégia automática.
Teste exclusões, declarações e dependências
Apólices podem excluir fatos conhecidos antes da vigência, falhas deliberadamente omitidas, guerra, infraestrutura externa, danos físicos, obrigações apenas contratuais ou condutas específicas. A redação varia e deve ser lida junto aos endossos. Questionários sobre autenticação multifator, backups, atualizações e treinamento integram a avaliação do risco; respostas imprecisas podem gerar controvérsia.
Mapeie provedores de nuvem, processadores de pagamento e fornecedores de software. Confirme se falha de terceiro, interrupção contingente e cadeia de suprimentos estão cobertas e sob qual sublimite. Identifique território, jurisdição, dados mantidos no exterior e eventual diferença entre ambiente operacional e tecnologia da informação.
Confira o gatilho temporal e todos os limites
Responsabilidade cibernética pode funcionar por reclamação apresentada durante a vigência, com data retroativa e prazo complementar, enquanto coberturas próprias podem usar a descoberta ou ocorrência do incidente. Um ataque iniciado meses antes pode ser descoberto depois; as definições de incidente, reclamação e conhecimento são essenciais. Avise circunstâncias potencialmente cobertas sem aguardar a ação judicial quando o contrato assim exigir.
Não compare propostas apenas pelo limite agregado. Liste sublimites para forense, interrupção, extorsão, multas quando juridicamente seguráveis, notificação e fornecedores. Confira franquia em valor ou horas, período de espera, método de calcular lucro cessante e consumo do limite por custos de defesa.
Monte um dossiê e conteste com precisão
Guarde apólice, proposta, questionário de risco, inventário de ativos, relatórios técnicos, logs preservados, notas fiscais, prova de pagamento, comunicações e cálculo da interrupção. Separe evento, causa, cobertura acionada, despesa e prejuízo. Dados pessoais e segredos empresariais devem circular por canal seguro, com acesso restrito.
Se houver negativa, peça cláusula, fatos apurados e memória de cálculo. Diferencie exclusão, atraso no aviso, fornecedor não autorizado, falta de nexo e esgotamento de sublimite. Ouvidoria e Susep podem tratar de conduta supervisória, mas não substituem perícia ou decisão sobre crédito. Assessoria jurídica e técnica pode avaliar a LGPD, a Lei 15.040 e o regime contratual aplicável, sem promessa de resultado.
Perguntas frequentes
O seguro cyber paga automaticamente multa da LGPD?
Não. A cobertura depende da cláusula, do tipo de sanção, da possibilidade jurídica de seguro e dos limites ou exclusões. Custos de defesa, resposta e indenização a terceiros também precisam ser examinados separadamente.
Avisar a seguradora substitui comunicar a ANPD?
Não. O controlador deve avaliar a obrigação prevista na LGPD e na Resolução CD/ANPD 15/2024. A seguradora pode apoiar o procedimento, mas um protocolo de sinistro não equivale à comunicação regulatória.
Proveniência
Conteúdo informativo; não substitui a análise individual de um advogado sobre o seu caso.
Onde buscar este serviço
O caminho descrito nesta página é público e não depende de contratação particular. Estes são os canais oficiais de atendimento:
- Defensoria Pública do seu estado ou da União, para orientação e representação jurídica gratuitas a quem não pode pagar advogado.
- Procon do seu município ou estado e a plataforma federal consumidor.gov.br, ambos gratuitos e sem necessidade de advogado.
Conteúdos relacionados
Links internos
Conteúdo informativo. Não substitui a análise individual de um advogado ou da Defensoria Pública sobre o seu caso.