A empresa pode ser responsabilizada por crimes ou falhas de segurança digital?

A transformação digital trouxe ganhos importantes para as empresas. Processos antes realizados manualmente passaram a ser automatizados, documentos migraram para sistemas eletrônicos, equipes começaram a trabalhar de forma remota e dados de clientes, empregados e fornecedores passaram a circular diariamente por plataformas digitais.

Essa evolução, entretanto, também criou novos riscos.

Um ataque cibernético pode paralisar a operação de uma empresa, impedir o acesso a arquivos, expor dados pessoais, comprometer informações estratégicas, gerar prejuízos financeiros e afetar diretamente a confiança de clientes e parceiros. Dependendo da gravidade do caso, o episódio pode resultar em ações judiciais, investigações policiais, fiscalizações administrativas, multas, pedidos de indenização e responsabilização pessoal de administradores ou empregados.

Por essa razão, a responsabilidade da empresa por crime cibernético não deve ser analisada apenas como uma questão técnica, restrita ao setor de tecnologia da informação. Trata-se de um tema jurídico mais amplo, que envolve responsabilidade civil, proteção de dados, direito do consumidor, deveres dos administradores, governança corporativa, gestão de riscos e, em determinadas situações, Direito Penal.

A pergunta mais adequada, portanto, não é apenas se a empresa foi vítima de um ataque. Também é necessário saber se ela adotou medidas razoáveis para prevenir o incidente, se possuía controles de segurança compatíveis com sua atividade e se reagiu de maneira adequada depois de identificar o problema.

A empresa responde criminalmente por crimes cometidos no ambiente digital?

No Brasil, a responsabilização criminal da pessoa jurídica não é uma regra geral.

A Constituição Federal admite expressamente a responsabilidade penal das pessoas jurídicas em matéria ambiental, conforme o art. 225, § 3º. Essa previsão foi regulamentada pela Lei nº 9.605/1998, que trata dos crimes e infrações ambientais.

Em relação aos crimes cibernéticos, contudo, não existe atualmente uma autorização genérica para que toda empresa seja processada criminalmente apenas porque um delito foi praticado por meio de seus sistemas, equipamentos ou estruturas.

O princípio da legalidade, previsto no art. 5º, inciso XXXIX, da Constituição Federal e no art. 1º do Código Penal, estabelece que não há crime sem lei anterior que o defina, nem pena sem prévia cominação legal. Isso significa que a responsabilização penal da pessoa jurídica depende de previsão legislativa expressa.

Assim, crimes como invasão de dispositivo informático, fraude eletrônica, falsificação de documentos digitais, apropriação de credenciais, extorsão mediante sequestro de dados, divulgação indevida de informações ou utilização fraudulenta de sistemas são, em regra, imputados às pessoas físicas envolvidas.

Isso não significa, porém, que a empresa esteja protegida de qualquer consequência.

Uma organização pode ter sido utilizada como instrumento para a prática do crime. Pode também ter obtido vantagem econômica com a conduta, falhado em seus controles internos ou permitido que administradores, empregados ou prestadores utilizassem sua estrutura para realizar atividades ilícitas.

Nessas hipóteses, embora a responsabilização criminal direta da pessoa jurídica seja limitada, os administradores e demais pessoas envolvidas podem ser investigados e processados.

O art. 29 do Código Penal determina que quem concorre para a prática de um crime responde na medida de sua culpabilidade. A participação pode ocorrer por ação direta, por determinação, por auxílio ou mesmo por uma omissão juridicamente relevante.

O art. 13, § 2º, do Código Penal prevê que a omissão pode ser penalmente relevante quando a pessoa tinha o dever e a possibilidade concreta de agir para evitar o resultado.

Isso pode ocorrer quando possuía obrigação legal de cuidado, proteção ou vigilância, quando assumiu a responsabilidade de impedir determinado resultado ou quando criou anteriormente o risco de sua ocorrência.

No ambiente empresarial, essa análise exige cautela. O simples fato de alguém ser sócio, diretor ou administrador não permite sua condenação automática. A responsabilidade penal é pessoal e depende da individualização da conduta.

É necessário demonstrar o que aquela pessoa efetivamente fez, quais informações possuía, se tinha poder para tomar decisões e se, mesmo diante de um risco concreto, decidiu agir ou permanecer omissa.

Por outro lado, um administrador que recebe alertas sucessivos sobre vulnerabilidades graves, tem competência para determinar a correção e conscientemente nada faz poderá ser chamado a responder, dependendo das circunstâncias e do tipo penal investigado.

A jurisprudência do Superior Tribunal de Justiça é firme no sentido de que a posição ocupada dentro da estrutura societária, isoladamente, não autoriza a imputação criminal. É indispensável demonstrar a relação entre a conduta do administrador e o fato investigado, afastando-se qualquer forma de responsabilidade penal objetiva.

Uma falha de segurança pode gerar dever de indenizar?

Na esfera civil, a situação é diferente.

A responsabilidade da empresa por falhas de segurança digital é consideravelmente mais ampla do que sua eventual responsabilidade criminal.

Os arts. 186 e 187 do Código Civil consideram ilícita a conduta daquele que, por ação ou omissão, negligência, imprudência ou abuso de direito, causa dano a outra pessoa. Já o art. 927 estabelece o dever de reparar o prejuízo.

A empresa também pode responder por atos praticados por seus empregados e prepostos no exercício do trabalho ou em razão dele, nos termos dos arts. 932, inciso III, e 933 do Código Civil.

Imagine-se, por exemplo, que um empregado utilize indevidamente o acesso a um sistema interno para consultar, copiar ou compartilhar dados de clientes. Ainda que a direção da empresa não tenha autorizado essa conduta, poderá existir responsabilidade empresarial, especialmente se os controles de acesso eram insuficientes ou se não havia qualquer fiscalização sobre a utilização das informações.

Nas relações de consumo, o risco é ainda maior.

O art. 14 do Código de Defesa do Consumidor estabelece que o fornecedor responde, independentemente de culpa, pelos danos causados por defeitos na prestação de seus serviços. Também existe defeito quando o serviço não oferece a segurança que o consumidor legitimamente espera.

Nesse regime, não basta a empresa afirmar que não desejava o resultado ou que também foi vítima da ação de criminosos. Será necessário verificar se o serviço apresentava falhas, se o ataque estava inserido no risco da atividade e se a empresa adotava medidas de segurança razoáveis.

A responsabilidade poderá ser afastada quando ficar demonstrado que o defeito não existiu ou que o dano decorreu exclusivamente da conduta do consumidor ou de terceiro, conforme o art. 14, § 3º, do CDC.

Todavia, a simples participação de um terceiro criminoso não rompe automaticamente o nexo causal.

Se o ataque foi facilitado por sistemas desatualizados, senhas frágeis, ausência de autenticação adicional, acessos sem controle, falta de treinamento ou vulnerabilidades conhecidas, a empresa poderá ser responsabilizada pelos danos.

Isso não significa que toda invasão resulte obrigatoriamente em condenação.

Nenhuma estrutura tecnológica é absolutamente invulnerável. O Direito não exige segurança perfeita. Exige que as medidas adotadas sejam adequadas à atividade exercida, ao volume de dados tratados, à natureza das informações armazenadas e aos riscos concretamente envolvidos.

Uma pequena empresa que trata dados cadastrais básicos não será avaliada exatamente pelos mesmos parâmetros de uma instituição financeira, hospital, operadora de telecomunicações ou plataforma que administra milhões de informações pessoais.

O dever de cuidado deve ser proporcional ao risco.

O que a LGPD exige das empresas?

Quando o incidente cibernético envolve dados pessoais, a Lei Geral de Proteção de Dados passa a ocupar posição central.

O art. 46 da Lei nº 13.709/2018 determina que controladores e operadores adotem medidas técnicas e administrativas capazes de proteger os dados pessoais contra acessos não autorizados e contra situações acidentais ou ilícitas de destruição, perda, alteração, comunicação ou divulgação.

Esse dever não surge apenas depois da ocorrência de um vazamento.

A própria LGPD determina que a segurança seja considerada desde a concepção do produto ou serviço até a execução das atividades de tratamento. Trata-se da lógica conhecida como proteção de dados desde a concepção, frequentemente denominada privacy by design.

Em termos práticos, a empresa não deve pensar em segurança apenas quando um problema ocorre. A proteção precisa estar incorporada ao desenvolvimento de sistemas, à contratação de fornecedores, à criação de novos serviços e à definição de procedimentos internos.

Os arts. 42 a 45 da LGPD também disciplinam a responsabilidade pelos danos decorrentes do tratamento irregular de dados.

O controlador ou operador que, em razão do exercício de atividade de tratamento, causar dano patrimonial, moral, individual ou coletivo em violação à legislação de proteção de dados poderá ser obrigado a repará-lo.

O art. 44 considera irregular o tratamento que não oferece a segurança que o titular legitimamente pode esperar. Essa avaliação leva em consideração o modo como os dados são tratados, os riscos razoavelmente esperados, os resultados envolvidos e as técnicas disponíveis no momento em que o tratamento foi realizado.

Em muitos casos, a análise jurídica não será feita exclusivamente com base na LGPD. A própria lei, em seu art. 45, preserva a aplicação das normas de proteção do consumidor.

Assim, um incidente pode ser analisado simultaneamente à luz da LGPD, do Código de

Defesa do Consumidor e do Código Civil.

Todo vazamento precisa ser comunicado à ANPD?

Nem todo incidente exige comunicação à Autoridade Nacional de Proteção de Dados.

A comunicação se torna necessária quando o evento puder acarretar risco ou dano relevante aos titulares, conforme o art. 48 da LGPD e a regulamentação da ANPD.

A Resolução CD/ANPD nº 15/2024 estabelece que o controlador deve comunicar o incidente à Autoridade e aos titulares afetados, em regra, no prazo de três dias úteis, ressalvada a existência de prazo específico em legislação setorial.

Essa avaliação não pode ser realizada de maneira superficial.

A empresa deve analisar a natureza das informações expostas, a quantidade de pessoas atingidas, a possibilidade de utilização fraudulenta dos dados, o risco de discriminação, roubo de identidade, fraude financeira, prejuízo moral ou dano à reputação.

Também é importante verificar se os dados estavam protegidos por criptografia, se o acesso foi efetivamente confirmado, se houve extração das informações e quais medidas foram adotadas para limitar os impactos.

Uma resposta atrasada ou mal conduzida pode ampliar o problema.

Além da falha de segurança, a empresa poderá ser questionada pela demora na contenção, pela comunicação incompleta, pela ausência de preservação de provas ou pela tentativa de ocultar a dimensão do incidente.

O art. 52 da LGPD prevê sanções administrativas que incluem advertência, multa, publicização da infração, bloqueio ou eliminação de dados, suspensão de bancos de dados e até proibição parcial ou total do exercício de atividades relacionadas ao tratamento de informações pessoais.

A multa pode alcançar 2% do faturamento da pessoa jurídica, do grupo ou conglomerado no Brasil, limitada a R$ 50 milhões por infração.

Um vazamento sempre gera dano moral?

A ocorrência de um vazamento não gera, necessariamente, o mesmo efeito jurídico em todos os casos.

A natureza dos dados atingidos e as consequências da exposição são fatores relevantes para definir se existe dano moral indenizável.

No julgamento do AREsp nº 2.130.619/SP, o Superior Tribunal de Justiça entendeu que o vazamento de dados pessoais comuns, como nome, endereço, data de nascimento e documentos de identificação, não gera automaticamente dano moral. Na situação examinada, o Tribunal considerou necessária a comprovação de prejuízo efetivo decorrente do vazamento.

Em outro julgamento, envolvendo o REsp nº 2.121.904/SP, o STJ reconheceu a responsabilidade objetiva de uma seguradora e a existência de dano moral presumido em razão do vazamento de dados pessoais sensíveis relacionados à saúde e à contratação de seguro de vida.

Os precedentes não são contraditórios. Eles demonstram que o tratamento jurídico depende das particularidades de cada caso.

A exposição de um endereço eletrônico ou número de telefone não possui, necessariamente, o mesmo peso jurídico da divulgação de informações médicas, dados biométricos, orientação sexual, convicção religiosa ou origem racial.

Também devem ser analisadas a extensão da exposição, a possibilidade de fraude, o número de titulares atingidos, a forma como a empresa respondeu ao problema e os prejuízos concretamente suportados.

Os administradores podem responder pessoalmente?

A segurança da informação deixou de ser responsabilidade exclusiva do setor de tecnologia.

Os administradores possuem deveres legais de diligência, supervisão e cuidado na condução da atividade empresarial.

Nas sociedades limitadas, o art. 1.011 do Código Civil estabelece que o administrador deve atuar com o cuidado e a diligência que todo homem ativo e probo costuma empregar na administração dos próprios negócios. O art. 1.016 prevê sua responsabilidade perante a sociedade e terceiros pelos prejuízos causados por culpa no exercício das funções.

Nas sociedades anônimas, os arts. 153, 154 e 158 da Lei nº 6.404/1976 disciplinam os deveres de diligência, lealdade e atuação voltada aos fins da companhia, além da responsabilidade por prejuízos causados com culpa, dolo ou violação da lei e do estatuto.

Esses deveres também alcançam a governança digital.

Um administrador não precisa dominar programação ou segurança de redes. Precisa, contudo, garantir que os riscos tecnológicos relevantes sejam identificados, avaliados e tratados por pessoas qualificadas.

A responsabilização pessoal pode ser discutida quando a gestão ignora deliberadamente alertas técnicos, recusa investimentos mínimos, deixa de corrigir falhas críticas ou mantém sistemas sabidamente inseguros.

Também pode haver questionamentos quando a empresa contrata fornecedores sem qualquer avaliação, não define responsabilidades internas ou deixa de criar um procedimento para resposta a incidentes.

Novamente, não existe responsabilidade automática.

É necessário avaliar as atribuições do administrador, o grau de conhecimento que possuía, as decisões que tomou, os documentos disponíveis e as possibilidades reais de atuação.

Por isso, reuniões, relatórios, auditorias, pareceres técnicos e registros de deliberações são importantes. Eles demonstram que o tema foi levado à administração e que as decisões foram tomadas de forma informada e justificada.

Compliance digital não é apenas uma política escrita

Muitas empresas já possuem códigos de ética e programas de integridade voltados à prevenção de corrupção, fraudes contábeis e conflitos de interesse.

Essas medidas são importantes, mas já não são suficientes.

Um programa de compliance digital deve incluir proteção de dados, segurança da informação, gestão de terceiros, utilização de inteligência artificial, preservação de evidências, continuidade das atividades e resposta a incidentes.

O primeiro passo é conhecer a própria operação.

A empresa precisa saber quais dados coleta, onde eles ficam armazenados, quem pode acessá-los, quais sistemas são indispensáveis e quais fornecedores participam do tratamento das informações.

Sem esse mapeamento, não existe gestão efetiva de riscos.

Depois disso, devem ser estabelecidos controles compatíveis com a realidade da organização. Entre eles estão a limitação de acessos, a autenticação em múltiplos fatores, a atualização de sistemas, a gestão de senhas, a realização de cópias de segurança, o registro de atividades, a revisão de contratos e o treinamento periódico dos colaboradores.

A empresa também precisa definir quem fará o quê quando um incidente ocorrer.

Em uma crise cibernética, tecnologia, jurídico, diretoria, comunicação, recursos humanos e proteção de dados precisam atuar de maneira coordenada. A ausência de um plano costuma gerar atrasos, informações contraditórias e decisões precipitadas.

O cyber compliance não impede todos os ataques. Nenhum programa oferece garantia absoluta.

Sua função é reduzir a probabilidade de ocorrência, limitar os danos e permitir que a empresa demonstre que agiu com diligência.

Essa comprovação é particularmente importante em ações judiciais, fiscalizações da ANPD, processos administrativos e investigações.

Políticas que existem apenas no papel possuem pouco valor. É necessário demonstrar que foram implementadas, divulgadas, fiscalizadas e periodicamente atualizadas.

O que fazer quando o incidente já aconteceu?

Ao identificar um incidente, a empresa precisa agir de forma rápida, mas organizada.

A prioridade inicial deve ser conter o problema sem destruir provas.

É necessário identificar os sistemas afetados, preservar registros, verificar se houve acesso ou extração de dados, avaliar o impacto sobre a operação e documentar todas as medidas adotadas.

Também deve ser analisada a necessidade de comunicação à ANPD, aos titulares, às seguradoras, aos parceiros comerciais e às autoridades públicas.

A investigação interna precisa diferenciar fatos confirmados de hipóteses técnicas. Divulgar informações precipitadas pode aumentar o risco jurídico e prejudicar a apuração.

A empresa também deve revisar os contratos mantidos com prestadores de tecnologia, operadores de dados e fornecedores. Muitas vezes, o incidente decorre de falha em serviço terceirizado, o que pode gerar direito de regresso, responsabilização contratual ou necessidade de preservação imediata de provas.

A atuação jurídica deve começar desde os primeiros momentos.

O advogado poderá orientar a preservação de evidências, a contratação de perícia técnica, a comunicação com autoridades, a avaliação da responsabilidade de terceiros e a estratégia de defesa.

Quando a assessoria jurídica é procurada apenas depois que todas as decisões foram tomadas, parte dos erros já pode ser irreversível.

Prevenção jurídica e segurança digital precisam caminhar juntas

A segurança da informação não é apenas uma questão tecnológica.

Ela está diretamente relacionada à continuidade dos negócios, à proteção do patrimônio, à reputação da empresa e à confiança dos clientes.

Uma organização pode possuir sistemas modernos e ainda assim estar juridicamente exposta se não houver contratos adequados, definição de responsabilidades, políticas internas, treinamentos e documentação das decisões.

Da mesma forma, um programa jurídico sem controles técnicos mínimos será insuficiente para demonstrar diligência.

Por isso, tecnologia, governança e Direito devem caminhar de forma integrada.

Empresas que estruturam previamente sua governança digital possuem melhores condições de prevenir incidentes, responder a crises e defender-se em processos judiciais ou administrativos.

A prevenção costuma ser menos onerosa do que a administração de um vazamento, de uma paralisação operacional ou de uma investigação envolvendo dados de milhares de pessoas.

Conclusão

A empresa pode, sim, ser responsabilizada por falhas de segurança digital e pelas consequências de incidentes cibernéticos.

A responsabilidade penal direta da pessoa jurídica ainda é limitada às situações expressamente previstas em lei. Entretanto, administradores, empregados e terceiros podem responder criminalmente quando houver participação, auxílio, determinação ou omissão juridicamente relevante.

Nas esferas civil, consumerista, societária e administrativa, a exposição é mais ampla.

O ponto central não é apenas descobrir quem realizou o ataque. É necessário verificar se a empresa adotava medidas razoáveis de prevenção, se possuía controles compatíveis com sua atividade, se cumpriu os deveres previstos na LGPD e se reagiu adequadamente depois do incidente.

A segurança digital deixou de ser uma preocupação exclusiva das grandes corporações. Pequenas e médias empresas também armazenam dados pessoais, realizam pagamentos eletrônicos, utilizam serviços em nuvem e dependem de sistemas para funcionar.

Por isso, compliance digital, segurança da informação e governança digital devem fazer parte da estratégia empresarial.

Mais do que evitar multas, essas medidas protegem a continuidade da atividade, reduzem prejuízos e fortalecem a capacidade de defesa da empresa quando um incidente ocorre.

Autora: Isadora Halmenschlager Gorreis

Dartagnan & Stein Sociedade de Advogados

WhatsApp: (51) 99727-1715

Site: www.dartagnanestein.com.br

O Escritório Dartagnan & Stein Sociedade de Advogados atua de forma estratégica em demandas cíveis, empresariais, patrimoniais, imobiliárias, bancárias, tributárias, trabalhistas patronais, sucessórias, familiares e de proteção de dados, com atendimento técnico e possibilidade de atuação em nível nacional nos casos compatíveis com tramitação digital e análise documental.