Responsabilidade Civil segundo a LGPD

Na última semana, uma decisão judicial chamou a atenção de todos no campo da proteção de dados, onde se discutiu muito sobre a responsabilidade civil da empresa em caso de vazamento de dados pessoais, seja dos seus clientes ou colaboradores internos.

O juiz de Direito Mario Sergio Leite, da 2ª vara Cível de Osasco/SP (Processo 1025226-41.2020.8.26.0405), negou pedido de indenização por dano moral pleiteado por mulher que teve seus dados vazados indevidamente pela Eletropaulo. Para o magistrado, o vazamento de dados, por si só, não enseja o dano moral - é preciso comprovar o dano causado pelo vazamento.[1]

O que é responsabilidade civil?

Para entender melhor o caso, basta olharmos diretamente para lei. Como sabido, a responsabilidade civil pode ser subjetiva, ou seja, quando há necessidade de se provar o nexo causal entre a conduta e a lesão, e a culpabilidade do agente (se houve culpa ou dolo). Também existe a possibilidade da responsabilidade objetiva (essa é a regra nas relações de consumo e em outros casos por exemplo). Nesta haverá a obrigação de reparar o dano independentemente da avaliação de culpa quando sua atividade implicar, por sua natureza, risco para os direitos de outrem.

Após entendermos as definições de responsabilidade civil de acordo com a lei brasileira, ficará mais claro entendermos qual a ideia do legislador com relação a essa mesma responsabilidade, só que na ocasião de haver vazamento de dados pessoais pelo controlador (empresa).

O artigo 42 da LGPD (Lei 13.709/2019) diz que tanto o controlador quanto o operador de dados pessoais, no exercício da atividade de tratamento de dados, têm a obrigação de reparação em caso de dano patrimonial, moral, individual ou coletivo.

Primeiro que a legislação não é clara quanto a responsabilidade civil, o que gera toda essa margem para várias interpretações. Porém, ao nosso entendimento, existem dois casos distintos para análise da responsabilidade destacada no artigo.

Para aplicação das sanções de multa estabelecida na lei, estamos na seara do direito administrativo, e para isso, não tem necessidade de se provar a extensão do tratamento ou do vazamento de dados, basta o próprio vazamento, ou seja, nesse aspecto a responsabilidade do controlador é totalmente objetiva, se houve o vazamento há responsabilidade.

Agora, quando do dever de indenizar o titular dos dados, caímos na responsabilidade subjetiva, onde tem necessariamente que haver um dano patrimonial ou extrapatrimonial, ou seja, violação ao direito fundamental da honra, da intimidade, privacidade e etc., qual também é subjetiva. Isso é o que chamamos de violação ao direito no resultado. Checa-se o final da conduta, o nexo causal. Por isso a importância de uma governança corporativa dentro das empresas, empregando o chamado Plano Emergencial de Vazamento de Dados, pois, sem ele, o prejuízo da empresa pode ser gigante e irreversível.

CDC pode ajudar a definir a responsabilidade na LGPD

Dessa forma, não podemos afirmar que, tanto na esfera administrativa quanto na cível, a LGPD adotou a famosa teoria do risco (adotada nas relações de consumo e trabalhista por exemplo), tendo em vista a dicotomia estabelecida no referido artigo 42.

A violação (vazamento) no tratamento de dados pessoais, gera sim sanções administrativas de multa, sem a necessidade da correlação da extensão quantitativa ou qualitativa. Agora, para a devida indenização para o titular dos dados, sim, terá de se mostrar se houve realmente a violação de um direito, ou um dano material.

A não ser que o vazamento de dados se de em uma relação de consumo, onde haverá a necessidade de combinação de legislações LGPD + CDC, tendo em vista que o Direito do Consumidor é constitucionalmente protegido e, como já pontuado acima, neste caso é expresso do texto consumerista a responsabilidade objetiva (CDC art. 12 e 14).

Referências

[1] Fonte: portal Migalhas. (https://www.migalhas.com.br/quentes/347444/lgpd-vazamento-de-dados-nao-gera-indenizacao-se-dano-nao-for-provado)