As Obrigações Imediatas Após o Incidente
Descoberto um incidente de segurança que possa acarretar risco ou dano relevante aos titulares de dados, a empresa tem o dever legal de comunicar o ocorrido à autoridade nacional de proteção de dados e aos titulares afetados em prazo razoável, informando a natureza dos dados comprometidos, as medidas técnicas e de segurança adotadas para proteção, os riscos relacionados ao incidente e as providências que estão sendo tomadas para reverter ou mitigar os efeitos do prejuízo.
Antes mesmo da comunicação externa, a empresa deve agir internamente com rapidez: identificar a extensão real do vazamento, quais sistemas e dados foram afetados, conter a vulnerabilidade que permitiu o incidente, e documentar detalhadamente toda a investigação e as medidas tomadas, documentação que se tornará essencial para demonstrar diligência caso a empresa seja questionada depois, seja pela autoridade competente, seja judicialmente pelos titulares afetados.
O Que Determina o Tamanho da Responsabilidade
A responsabilidade da empresa diante de um incidente de segurança não nasce automaticamente do fato de ter sofrido um ataque, mas da análise de como ela se preparou previamente e como reagiu depois: empresas que adotavam medidas técnicas e administrativas de segurança compatíveis com os riscos do seu negócio, que tinham políticas de proteção de dados implementadas e que comunicaram o incidente de forma transparente e tempestiva tendem a ter tratamento mais brando do que empresas que negligenciaram a segurança da informação ou tentaram esconder o problema.
A natureza dos dados vazados também pesa muito: vazamento de dados sensíveis, financeiros, de saúde, de crianças e adolescentes, tende a ser tratado com rigor maior do que vazamento de dados cadastrais simples. Empresas que demonstram ter agido com diligência antes do incidente, e com transparência depois dele, constroem a melhor defesa possível diante de eventuais questionamentos de titulares afetados ou da autoridade competente.
Como Se Preparar Para Reduzir o Risco no Futuro
A prevenção é sempre mais barata que a reparação: políticas de segurança da informação atualizadas, controle de acesso a dados sensíveis restrito a quem realmente precisa deles, criptografia adequada, treinamento de funcionários sobre riscos de engenharia social, e um plano de resposta a incidentes já desenhado antes que ele seja necessário, com fluxo claro de quem comunica o quê e em qual prazo, evitam a paralisia e os erros que costumam acontecer quando a empresa é pega de surpresa.
A designação de um encarregado pelo tratamento de dados, responsável por atuar como canal de comunicação entre a empresa, os titulares e a autoridade competente, é exigida das empresas conforme o volume e a natureza dos dados tratados, e ter essa estrutura funcionando antes de um incidente acontecer é o que separa uma resposta organizada de um caos institucional no momento em que menos se pode errar. Empresas que tratam a proteção de dados como parte da governança do negócio, e não como formalidade a ser cumprida apenas no papel, chegam a um eventual incidente muito mais preparadas.
Fale Agora com um Advogado
Se a sua empresa sofreu um incidente de segurança envolvendo dados pessoais, ou quer se preparar adequadamente para reduzir os riscos legais dessa possibilidade, um advogado pode orientar as obrigações de comunicação, a documentação necessária e as medidas de conformidade adequadas ao seu negócio. Clique no botão abaixo e fale agora com um advogado empresarial.