Divulgação indevida de dados pessoais e dano moral

A era digital, marcada pelos avanços na tecnologia da computação e comunicação, trouxe desafios relacionados à privacidade e à segurança de dados. Com um novo cenário caracterizado por dispositivos conectados, que coletam e armazenam inúmeras informações, a preocupação com a proteção de informações pessoais passou a ser um tema exponencial e central, impulsionado pelos casos frequentes de vazamento e divulgação indevida de dados. 

A privacidade da informação diz respeito à proteção de dados coletados e armazenados por entidades, e a garantia dessa proteção é fundamental para evitar e prevenir roubos, fraudes e acesso não autorizado. 

Neste artigo, entenda mais sobre o tema.

O que é a Proteção Indevida de Dados Pessoais? 

Juridicamente, a divulgação indevida de dados caracteriza-se como uma violação dos direitos de personalidade e privacidade do titular dos dados. Segundo a LGPD, é parte de um incidente de segurança que leva à destruição, perda, alteração, comunicação ou acesso não autorizado, de forma ilícita ou acidental, a dados pessoais. 

Na prática, refere-se a qualquer ação ou omissão que gere o acesso ou conhecimento de dados pessoais por terceiros não autorizados, fora das finalidades legítimas para as quais foram coletados, como:

• Vazamento de dados
• Compartilhamento sem consentimento
• Exposição em redes sociais
• Negligência de funcionários

Quais Dados são Protegidos pela LGPD? 

A LGPD protege todos os dados pertencentes a um indivíduo, em formato físico ou digital. 

Dado Pessoal Comum

Qualquer informação que possa identificar ou tornar identificável uma pessoa natural. Exemplos incluem: 

• Nome completo
• CPF, RG, CNH
• Endereço residencial ou comercial
• E-mail e número de telefone
• Dados bancários
• Endereço IP

Dado Pessoal Sensível

Dados que exigem proteção adicional devido ao potencial de discriminação que seu uso indevido pode causar. Incluem: 

• Origem racial ou étnica
• Convicção religiosa ou opinião política
• Filiação a sindicato ou organização religiosa, filosófica ou política
• Dados referentes à saúde ou vida sexual
• Dados genéticos ou biométricos (como digitais ou reconhecimento facial) 

Dado Anonimizado

Dados referentes a um titular que não pode ser identificado, considerando o uso de meios técnicos razoáveis e disponíveis na ocasião do tratamento. Se o processo de anonimização for reversível ou puder ser desfeito com facilidade, a LGPD continua sendo aplicada. 

A Lei Geral de Proteção de Dados (LGPD) é indispensável, tendo em vista que estabelece regras claras e obrigatórias para a coleta, tratamento e armazenamento de dados no Brasil, assegurando os direitos de liberdade, privacidade e o livre desenvolvimento da personalidade do indivíduo. 

Base Legal: o que diz a LGPD sobre a divulgação indevida de dados?

O tratamento de dados deve seguir princípios rigorosos, como: finalidade, adequação, necessidade, livre acesso e segurança. Isto é, o tratamento deve ter propósitos legítimos, específicos e informados ao titular e ser compatível com as finalidades informadas.

Apenas os dados estritamente necessários para a finalidade devem ser coletados, garantindo ao titular a consulta facilitada sobre a forma e duração do tratamento.

Devem ser utilizadas medidas técnicas e administrativas capazes de proteger os dados de acessos não autorizados e de incidentes. 

Requisitos para Tratamento

O tratamento e a divulgação de dados só é lícito se for amparado por uma das dez bases legais previstas na lei, sendo a principal delas o consentimento do titular. O consentimento deve ser livre, informado e inequívoco. 

Hipóteses em que o Compartilhamento é Proibido

O compartilhamento é proibido sempre que não houver uma base legal que o sustente, ou quando violar os princípios da lei. É considerado violação, por exemplo: 

• Compartilhar dados para fins diversos dos informados ao titular sem um novo consentimento.
• Divulgar dados sensíveis sem o consentimento específico (salvo exceções legais, como obrigação legal ou proteção da vida).
• Qualquer divulgação acidental ou intencional resultante de falhas de segurança por parte do controlador ou operador dos dados, que deve comunicar o incidente à Autoridade Nacional de Proteção de Dados (ANPD) e ao titular. 

Vazamento de Dados e Divulgação não Autorizada: qual a diferença? 

Saber distinguir os termos é crucial para o entendimento das nuances da LGPD. Ainda que representem incidentes de segurança, a intenção do agente e a responsabilidade civil variam a depender da questão. 

O vazamento acidental de dados trata de uma falha técnica, um erro humano ou negligência que expõe os dados sem a real intenção de divulgá-los a terceiros não autorizados. O foco jurídico é a análise da falha de segurança e a negligência do controlador. 

Já a divulgação intencional é uma ação deliberada e consciente de compartilhar, vender ou expor dados sem base legal ou consentimento. O foco jurídico, neste caso, é a análise da má-fé e o dano direto causado pelo agente. 

A Responsabilidade Civil pela Divulgação Indevida

A responsabilidade civil na LGPD é um elemento chave para a proteção dos titulares de dados, garantindo que os danos sejam reparados.

Responsabilidade do Agente que Divulgou (Operador ou Funcionário)

O indivíduo (funcionário, prestador de serviço, hacker) que efetivamente realiza a ação de divulgação pode ser responsabilizado pessoalmente na esfera civil e penal, arcando com as consequências de seu ato intencional ou negligente. A empresa pode mover uma ação de regresso contra o funcionário se provar que a ação foi isolada e contrária às normas internas.

Responsabilidade da Empresa (Controlador de Dados)

A LGPD adota a responsabilidade civil objetiva do controlador (a empresa ou organização que coleta os dados). Isso significa que a vítima (o titular dos dados) não precisa provar a culpa ou a negligência da empresa para pedir indenização. Basta provar o dano sofrido e o nexo causal (que o dano ocorreu devido ao tratamento indevido dos dados pela empresa).

A empresa só se exime de responsabilidade se provar:

- Que não realizou o tratamento de dados que lhe é atribuído

- Que, embora tenha realizado o tratamento, não houve violação da legislação de proteção de dados

- Que a culpa exclusiva é do titular dos dados ou de terceiro (como um ataque hacker extremamente sofisticado que superou todas as medidas de segurança razoáveis)

Culpa, Dolo e Negligência

Estes termos jurídicos definem o grau de envolvimento do agente no incidente:

Culpa (latu sensu): Termo geral que abrange:

Negligência: Descumprimento de um dever de cuidado.

Imprudência: Ação precipitada e sem cautela.

Imperícia: Falta de conhecimento técnico.

Dolo: A intenção consciente e deliberada de praticar a ação ou de assumir o risco de produzir o resultado ilícito.

Na prática da LGPD, a responsabilidade objetiva da empresa mitiga a necessidade de a vítima provar qualquer um desses elementos por parte da empresa, facilitando a busca por reparação de danos morais e materiais.

Jurisprudência Relevante sobre o Tema

O Superior Tribunal de Justiça (STJ) ainda está consolidando a sua jurisprudência sobre o vazamento de dados. Porém, uma tendência importante é a de que a simples divulgação indevida de informações pessoais gera dano moral passível de indenização. 

A violação da privacidade, por si só, é considerada um dano, independentemente de os dados terem sido usados ou não em golpes. 

Dados Sensíveis

O dano moral tende a ser majorado quando a divulgação envolve dados pessoais sensíveis, uma vez que a exposição quebra um grau mais elevado de privacidade, podendo gerar consequências mais graves. 

Saúde, Religião, Origem Racial, Vida Sexual

A LGPD estabelece um regime de proteção mais rigoroso para dados sensíveis. A sua divulgação indevida tem um potencial de dano maior, pois pode levar a:

Discriminação: Preconceito racial, religioso, ou em processos seletivos de emprego.

Estigma Social: Exposição de condições de saúde (como doenças crônicas ou ISTs) ou orientação sexual.

Violência Psicológica: Em casos envolvendo vida sexual ou convicção religiosa.

Divulgação de Dados em Redes Sociais: riscos e implicações

Atualmente, a facilidade de compartilhamento nas redes sociais aumenta consideravelmente os riscos e as consequências da divulgação indevida de dados. 

Prints, Fotos, Conversas Privadas

A divulgação não autorizada de "prints" de conversas privadas (WhatsApp, DMs), fotos pessoais ou vídeos íntimos é um ato ilícito grave. O conteúdo dessas conversas é protegido pelo sigilo das comunicações, e sua exposição viola a intimidade e a honra do indivíduo.

Divulgação em Massa

A característica viral das redes sociais pode transformar uma divulgação indevida em um problema de proporções gigantescas em poucas horas, multiplicando o dano moral. A rapidez com que o conteúdo se espalha torna a remoção extremamente difícil e aumenta a responsabilidade do divulgador original.

Responsabilidade do Divulgador e das Plataformas

O indivíduo que publica o conteúdo indevido é o principal responsável civil e criminalmente pelo ato. 

O Marco Civil da Internet determina que os provedores de aplicação não são automaticamente responsáveis pelo conteúdo gerado por terceiros. Entretanto, caso notificados judicialmente para a remoção de um conteúdo específico e não o fizerem prontamente, tornam-se solidariamente responsáveis pelos danos causados.

Se a divulgação for feita por um órgão público é fundamentada pelo artigo 37, parágrafo 6º da Constituição Federal, que estabelece a responsabilidade objetiva. Isso significa que o cidadão lesado não precisa provar dolo ou culpa do servidor público; basta demonstrar o dano e o nexo causal entre a ação do órgão e o prejuízo sofrido para ter direito à indenização. 

Como Provar a Divulgação Indevida de Dados?

A prova do incidente é um fator fundamental para buscar a reparação. Capturas de tela de publicações online, URLs de páginas que contenham os dados e o depoimento de testemunhas que acessaram a informação são provas iniciais e válidas. 

A ata notarial  também configura uma prova robusta e com fé pública, difícil de ser contestada judicialmente.

Em casos de vazamentos complexos, pode ser necessário contratar especialistas em forense digital para rastrear digitalmente a origem do vazamento ou a rota que os dados percorreram.

Direitos da Vítima: quais são? 

- Direito à indenização

- Direito à exclusão dos dados

- Direito ao retratamento e correção

- Direito de petição à empresa e à ANPD

Dados Divulgados sem Autorização: como proceder? 

Inicialmente, é fundamental reunir as provas e documentar toda a divulgação, com prints, ata notarial e links. Após isso, envie um e-mail ou carta com aviso de recebimento para o Encarregado de Dados (DPO) da empresa/órgão, solicitando a exclusão dos dados e informações sobre o incidente. Utilize modelos de notificação disponíveis online, como no portal Dados Legais.

Caso a empresa não responda ou a resposta seja insatisfatória, registre uma reclamação formal junto à ANDP. 

Caso o dano seja evidente, procure um advogado especializado em Direito Digital para ingressar com uma ação judicial buscando a remoção imediata do conteúdo e a indenização cabível.

Conclusão

A proteção de dados é um direito fundamental na era digital, essencial para garantir a dignidade e a autonomia dos indivíduos. A legislação brasileira, com a LGPD e o Marco Civil da Internet, fornece as ferramentas necessárias para proteger a privacidade dos cidadãos.

A divulgação indevida de dados consiste em um ato ilícito que gera o dever de indenizar. O entendimento dos tribunais, embora em evolução, reconhece o dano moral como uma consequência direta da violação da intimidade e privacidade.

A melhor defesa é a prevenção. Tanto indivíduos quanto empresas e órgãos públicos devem investir em educação digital, segurança da informação e conformidade legal para mitigar os riscos e construir um ambiente digital mais seguro e confiável.