Segurança digital também é responsabilidade jurídica

Durante muito tempo, segurança digital foi tratada pelas empresas como um assunto essencialmente técnico, restrito aos departamentos de Tecnologia da Informação. Cabia à equipe de TI instalar antivírus, administrar senhas, manter servidores, realizar backups e impedir invasões. Essa compreensão tornou-se insuficiente. Hoje, um incidente cibernético pode interromper uma operação, expor dados pessoais, revelar informações estratégicas, comprometer segredos comerciais, impedir o cumprimento de contratos e produzir prejuízos para clientes, fornecedores e terceiros. A pergunta que surge depois de um ataque, portanto, não é apenas “como o sistema foi invadido?”, mas também “a empresa adotou as medidas que juridicamente deveria ter adotado?”. É justamente nesse ponto que segurança da informação deixa de ser apenas uma questão tecnológica e passa a integrar o campo da responsabilidade jurídica e da governança corporativa.

A Lei Geral de Proteção de Dados tornou essa relação particularmente evidente. O artigo 46 da Lei nº 13.709/2018 determina que os agentes de tratamento adotem medidas técnicas e administrativas aptas a proteger dados pessoais contra acessos não autorizados e contra situações acidentais ou ilícitas de destruição, perda, alteração, comunicação ou tratamento inadequado. A própria lei determina que essas medidas sejam consideradas desde a concepção do produto ou serviço até sua execução. Mais importante ainda, o artigo 44 estabelece que o tratamento será considerado irregular, entre outras hipóteses, quando não fornecer a segurança que o titular legitimamente pode esperar, e prevê responsabilidade por danos quando a violação da segurança decorrer da ausência das medidas previstas pela legislação. Segurança, portanto, não aparece na LGPD como recomendação facultativa de tecnologia. É uma obrigação jurídica.[1]

Isso não significa que toda invasão de sistema gere automaticamente responsabilidade da empresa. Nenhuma organização séria pode prometer risco cibernético zero. Mesmo estruturas sofisticadas podem sofrer ataques. A análise jurídica precisa ser mais cuidadosa: quais dados estavam envolvidos? Qual era a previsibilidade do risco? Que controles existiam? A empresa mantinha políticas adequadas de acesso? Havia autenticação compatível com a criticidade das informações? Os sistemas eram atualizados? Existiam backups segregados e testados? Os fornecedores de tecnologia eram avaliados? Os colaboradores recebiam treinamento? Havia plano de resposta a incidentes? E, depois da ocorrência, a organização agiu com diligência para conter o problema, preservar evidências, avaliar os impactos e cumprir suas obrigações legais? Em eventual fiscalização ou processo judicial, a discussão tende a se deslocar do simples fato de ter ocorrido um ataque para a diligência demonstrável da organização antes, durante e depois dele.

Quando o incidente tecnológico se transforma em problema jurídico

A invasão de um sistema pode desencadear diferentes regimes de responsabilidade simultaneamente. Se houver dados pessoais, incide a LGPD. Se o incidente atingir consumidores, também podem ser relevantes as regras do Código de Defesa do Consumidor. Se provocar descumprimento contratual, entram em discussão as obrigações assumidas perante clientes e parceiros. Se houver companhia aberta ou atividade regulada, outras normas e deveres específicos podem ser aplicáveis. Dependendo da ocorrência, ainda podem existir repercussões trabalhistas, societárias, concorrenciais e até criminais. Um ransomware que paralise uma indústria, por exemplo, não representa apenas a indisponibilidade temporária de computadores. Pode impedir entregas, interromper produção, comprometer informações de empregados e clientes e gerar inadimplemento de contratos. O mesmo evento tecnológico produz várias consequências jurídicas.

A resposta ao incidente também passou a ser regulada com maior precisão. A Resolução CD/ANPD nº 15/2024 aprovou o Regulamento de Comunicação de Incidente de Segurança e estabeleceu critérios para os casos em que o controlador deve comunicar a ocorrência à Autoridade Nacional de Proteção de Dados e aos titulares. A obrigação alcança incidentes confirmados envolvendo dados pessoais que possam acarretar risco ou dano relevante, especialmente quando estão em jogo dados sensíveis, informações financeiras, credenciais de autenticação, dados protegidos por sigilo, informações de crianças e adolescentes ou tratamentos realizados em larga escala. O regulamento também exige a manutenção do registro dos incidentes envolvendo dados pessoais por pelo menos cinco anos.[2]

Há um aspecto particularmente importante para administradores: descobrir um incidente e simplesmente “resolver internamente” pode não ser juridicamente suficiente. O primeiro movimento deve ser conter tecnicamente o ataque, mas paralelamente é necessário avaliar as obrigações regulatórias, contratuais e legais decorrentes dele. Comunicação precipitada e sem informações adequadas pode criar problemas; omissão ou atraso indevido também. Por isso, uma resposta madura exige atuação coordenada entre tecnologia, jurídico, encarregado de dados, compliance, comunicação, alta administração e, conforme a gravidade, especialistas externos em investigação forense e segurança cibernética.

Um caso recente mostra como essa discussão deixou de ser teórica. Em julho de 2026, a ANPD anunciou a instauração de processo administrativo sancionador contra o Instituto Saúde e Cidadania (Isac), após um ataque cibernético ocorrido em 2025 que teria exposto dados pessoais sensíveis de aproximadamente 500 mil pacientes de unidades públicas de saúde. Segundo a Autoridade, a investigação envolve possíveis falhas nas medidas de proteção dos dados e na comunicação às pessoas afetadas. A instauração do processo não equivale a condenação definitiva, mas o episódio é ilustrativo: a fiscalização não se limita a perguntar quem realizou o ataque. Ela examina também como a organização protegia os dados sob sua responsabilidade e como respondeu ao incidente.[3]

Essa mudança de perspectiva é fundamental. Uma empresa pode ser vítima de criminosos e, ao mesmo tempo, ter sua própria conduta examinada juridicamente. Ser vítima de um ataque não elimina, por si só, os deveres anteriores de prevenção e os deveres posteriores de resposta.

A responsabilidade não pode ser terceirizada junto com a tecnologia

Outro ponto crítico está nos fornecedores. Poucas empresas administram hoje toda sua infraestrutura digital internamente. Dados e operações passam por serviços de nuvem, softwares de gestão, plataformas de pagamento, sistemas de recursos humanos, empresas de marketing, prestadores de suporte, escritórios terceirizados e inúmeros outros agentes. Essa cadeia amplia a eficiência operacional, mas também amplia a superfície jurídica de risco.

É comum encontrar contratos de tecnologia extremamente detalhados sobre preço, licença e funcionalidades e surpreendentemente superficiais em matéria de segurança. Quem responde por um incidente? Em quanto tempo o fornecedor precisa comunicar a contratante? Quais padrões mínimos de segurança deve observar? Pode subcontratar terceiros? Onde os dados serão armazenados? Como funciona o controle de acesso? Existem logs? Qual é a política de backup? Como ocorrerá a devolução ou eliminação dos dados no encerramento do contrato? Existe obrigação de cooperação em uma investigação? Há seguro cibernético? Existem limites de responsabilidade incompatíveis com o risco efetivamente assumido?

Essas perguntas são jurídicas tanto quanto tecnológicas. A LGPD diferencia as funções de controlador e operador e estabelece responsabilidades que não desaparecem simplesmente porque determinada atividade foi terceirizada. Uma empresa que entrega milhões de registros de clientes a um fornecedor sem realizar uma avaliação minimamente adequada de segurança pode descobrir, depois de um incidente, que economizou na contratação e multiplicou sua exposição jurídica.

O mesmo raciocínio vale para operações societárias. Segurança cibernética deveria integrar processos de due diligence em fusões, aquisições e investimentos. Comprar uma empresa significa também adquirir sua infraestrutura, seus contratos tecnológicos, seus bancos de dados e, potencialmente, vulnerabilidades ainda não identificadas. Um passivo digital pode não aparecer no balanço contábil, mas pode estar escondido em sistemas desatualizados, bases mantidas sem fundamento jurídico, credenciais mal administradas ou incidentes que nunca foram corretamente investigados.

A atuação da ANPD demonstra, ainda, que o ambiente regulatório está amadurecendo. Em junho de 2026, a Autoridade anunciou processo administrativo sancionador contra a Claro por indícios de irregularidades no compartilhamento de dados pessoais com a Serasa e, em julho, informou que avaliaria medidas sancionatórias contra empresas e órgãos que não atenderam adequadamente solicitações relacionadas à indicação de encarregados e à disponibilização de canais para titulares.[4] São situações diferentes de um ataque cibernético, mas revelam a mesma tendência: proteção de dados e governança digital estão deixando de ser obrigações meramente formais para se tornarem objeto efetivo de fiscalização.

Para a administração da empresa, isso muda o nível da discussão. O conselho, os sócios e os executivos não precisam dominar detalhes de configuração de firewall, criptografia ou arquitetura de rede. Precisam, entretanto, assegurar que riscos cibernéticos relevantes sejam identificados, que existam recursos proporcionais para enfrentá-los, que responsabilidades estejam definidas e que mecanismos de supervisão funcionem. Em estruturas maiores, o tema deveria aparecer periodicamente nos órgãos de governança, acompanhado de indicadores de incidentes, vulnerabilidades críticas, testes de recuperação, riscos de fornecedores, treinamentos e planos de continuidade.

Há também um problema documental frequentemente ignorado. Em matéria de responsabilidade, não basta afirmar que a empresa se preocupava com segurança. É preciso conseguir demonstrá-lo. Políticas internas, registros de treinamento, relatórios de auditoria, avaliações de fornecedores, testes de backup, controles de acesso, registros de incidentes, planos de resposta e atas de reuniões podem se tornar elementos relevantes para comprovar que a organização adotava medidas compatíveis com os riscos existentes. Governança é, em grande medida, capacidade de demonstrar como as decisões foram tomadas.

A Inteligência Artificial tornou essa discussão ainda mais urgente. Colaboradores podem inserir contratos, dados de clientes, informações financeiras, estratégias comerciais ou documentos internos em ferramentas externas sem compreender como esses dados serão processados ou armazenados. O risco não está somente em um hacker que invade a rede. Pode estar no funcionário que copia uma base de dados para uma ferramenta não autorizada, no executivo que utiliza a mesma senha em diferentes serviços ou no fornecedor que mantém credenciais de acesso depois do encerramento do contrato. Segurança digital é um sistema de responsabilidades humanas, contratuais e tecnológicas.

A empresa que pretende reduzir sua exposição precisa abandonar a ideia de que um bom antivírus resolve o problema. Segurança jurídica digital exige inventário dos dados e ativos críticos, classificação das informações, controles de acesso, gestão de identidades, políticas de retenção, contratos adequados com terceiros, treinamento permanente, procedimentos para desligamento de funcionários, plano de continuidade, resposta a incidentes e uma estrutura clara para tomada de decisões em situações de crise. Não existe modelo único: as medidas precisam ser proporcionais à natureza da atividade, ao volume e à sensibilidade das informações e aos riscos concretos da operação.

O ponto central é que transformação digital e responsabilidade jurídica avançam juntas. Quanto mais uma organização depende de dados, sistemas, plataformas e automação para funcionar, maior é a necessidade de incorporar segurança cibernética à sua governança. O departamento jurídico não substitui os profissionais de tecnologia, assim como a tecnologia não substitui a análise jurídica. As duas áreas precisam atuar antes do incidente, e não apenas depois dele.

Durante muitos anos, empresas perguntavam quanto custaria investir em segurança digital. A pergunta juridicamente mais adequada hoje é outra: quanto pode custar não investir?

Quando um ataque paralisa a operação, compromete dados, rompe contratos e alcança clientes, a vulnerabilidade deixa de pertencer ao servidor. Ela passa a pertencer à empresa. E, nesse momento, segurança digital deixa definitivamente de ser apenas responsabilidade da TI.

Passa a ser responsabilidade jurídica, empresarial e de governança.

Notas e fontes

1. BRASIL. Lei nº 13.709/2018 — Lei Geral de Proteção de Dados Pessoais (LGPD), especialmente arts. 42 a 49, relativos à responsabilidade, segurança, boas práticas e comunicação de incidentes. Presidência da República.

2. AUTORIDADE NACIONAL DE PROTEÇÃO DE DADOS. Resolução CD/ANPD nº 15, de 24 de abril de 2024. Regulamento de Comunicação de Incidente de Segurança. O regulamento disciplina avaliação, comunicação e registro de incidentes envolvendo dados pessoais.

3. AUTORIDADE NACIONAL DE PROTEÇÃO DE DADOS. “ANPD instaura processo de sanção contra OS por falha na proteção de dados de 500 mil pacientes”. Publicado em 8 jul. 2026. O procedimento refere-se ao Instituto Saúde e Cidadania (Isac) e ainda constitui processo de apuração, não devendo ser interpretado como condenação definitiva.

4. AUTORIDADE NACIONAL DE PROTEÇÃO DE DADOS. Comunicados de fiscalização publicados em junho e julho de 2026 relativos, respectivamente, ao compartilhamento de dados envolvendo Claro e Serasa e ao monitoramento de obrigações relacionadas aos encarregados e canais de comunicação com titulares.

5. BRASIL. Lei nº 8.078/1990 — Código de Defesa do Consumidor. Aplicável, conforme o caso concreto, às consequências de falhas de segurança ocorridas no âmbito das relações de consumo.

6. AUTORIDADE NACIONAL DE PROTEÇÃO DE DADOS. Regulamento de Comunicação de Incidente de Segurança e orientações oficiais sobre comunicação de incidentes. A ANPD esclarece que nem todo incidente de segurança da informação é necessariamente comunicável: devem ser avaliados, entre outros elementos, o envolvimento de dados pessoais e a possibilidade de risco ou dano relevante aos titulares.