Segurança de dados e proteção aos direitos do consumidor

A Lei 13.709/2018 transformou definitivamente os dados pessoais em um ativo de alto valor jurídico e econômico nas operações comerciais. Antes dela, o Código de Defesa do Consumidor (Lei 8.078/1990) já regulava cadastros e o direito à informação, enquanto o Marco Civil da Internet (Lei 12.965/2014) fixava regras de guarda de registros. Contudo, nenhum dos diplomas anteriores exigia finalidade declarada, base legal nomeada e avaliação rigorosa de impacto regulatório. A segurança de dados e proteção aos direitos do consumidor passaram a compartilhar um vocabulário técnico comum: controlador, operador, titular, encarregado e incidente. Empresas que fornecem produtos ou serviços acumulam obrigações duplas, respondendo simultaneamente perante o CDC e a LGPD. Na prática, um simples formulário de cadastro exige justificativas precisas sobre a base legal utilizada, o tempo de retenção das informações e o compartilhamento com terceiros parceiros ou fornecedores. Com o-crescimento-do-mercado-digital-de, a exigência por salvaguardas robustas para os usuários tornou-se uma prioridade jurídica incontestável.

O marco legal não proíbe o tratamento de dados pessoais, mas impõe a obrigação estrita de justificar cada operação comercial realizada no dia a dia. O artigo 7º da legislação prevê dez bases legais distintas, enquanto o artigo 11 estabelece restrições severas para dados sensíveis relacionados à saúde, biometria e convicções religiosas. Escolher a base adequada define os limites operacionais do negócio sem depender de autorizações excessivas que possam comprometer a agilidade corporativa. O consentimento, embora popular, é a alternativa mais frágil por precisar ser revogável a qualquer momento pelo usuário. Execução de contratos e legítimo interesse sustentam grande parte das atividades cotidianas, desde que devidamente documentadas em relatórios internos de impacto. No contexto da segurança de dados e proteção aos direitos do consumidor, a minimização da coleta e a definição clara de prazos de descarte evitam passivos jurídicos expressivos em auditorias regulatórias recentes.

Diante de um incidente confirmado de segurança, a contagem de prazos regulatórios inicia-se imediatamente conforme as diretrizes estritas da autoridade competente.

• 1. Conter o vazamento — revogar credenciais comprometidas, isolar servidores vulneráveis e registrar logs detalhados para auditoria forense posterior.
• 2. Medir o risco — avaliar a exposição de dados sensíveis ou financeiros e quantificar o número exato de titulares atingidos pela falha operacional.
• 3. Comunicar — notificar a agência reguladora e alertar os consumidores afetados com recomendações claras de segurança preventiva e mitigação de danos.
• 4. Documentar — arquivar o histórico completo de decisões, o parecer técnico do encarregado e as medidas corretivas adotadas pela empresa.
• 5. Corrigir — atualizar controles tecnológicos, revisar políticas internas de acesso e treinar equipes operacionais para evitar reincidências.

A omissão na comunicação agrava penalidades severas, pois demonstra má-fé institucional perante os órgãos fiscalizadores do mercado.

Aceitar um banner de cookies não encerra a discussão jurídica. A LGPD exige que o consentimento seja específico para cada finalidade: marketing, perfilamento e compartilhamento com terceiros pedem autorizações separadas. O artigo 8º coloca no controlador o ônus de provar que a manifestação foi livre e informada — e a revogação deve ser tão fácil quanto o aceite. Para crianças e adolescentes menores de 12 anos, o artigo 14 impõe consentimento específico de um dos pais ou responsável, sempre no melhor interesse do menor. Jogos, escolas e aplicativos infantis são o terreno onde esse ponto costuma falhar. Marketing por legítimo interesse é possível, mas depende de teste documentado que pese a expectativa do titular contra o interesse comercial. E o CDC reforça: cadastro negativo deve ser comunicado por escrito, com direito a correção em até cinco dias úteis (artigo 43, §2º). Nenhuma base legal autoriza coleta sem finalidade: dado guardado para uso futuro é passivo, não ativo.

A Lei 13.709/2018 prevê nove sanções no artigo 52. As mais visíveis são advertência, multa de até 2% do faturamento no Brasil no último exercício — limitada a R$ 50 milhões por infração — e publicização da falha. Também constam bloqueio dos dados, eliminação e suspensão parcial do funcionamento do banco de dados. A ANPD aplicou a primeira multa em 2023, a uma empresa de teleatendimento. O regulamento de dosimetria, publicado em 2024, definiu critérios: gravidade do dano, boa-fé, vantagem obtida, porte econômico, reincidência e cooperação. Para microempresas e startups, a Resolução CD/ANPD nº 2/2022 criou rito simplificado, com prazos em dobro e exigência de plano de adequação antes de qualquer punição pecuniária. Multa, porém, é o pior indicador. Custo maior costuma vir de ações individuais e coletivas no Judiciário, inversão do ônus da prova e danos morais por exposição. Além disso, contratos com clientes corporativos passaram a incluir cláusulas de auditoria e notificação.

O artigo 18 da LGPD lista o que o titular pode exigir: confirmação de tratamento, acesso, correção, anonimização, bloqueio, eliminação, portabilidade, informação sobre compartilhamento e revisão de decisões automatizadas. O artigo 19 fixa prazo de 15 dias para confirmação e acesso. O CDC, no artigo 43, §2º, já garantia correção de cadastro em cinco dias úteis. Na prática, o gargalo é o canal. Quem responde e-mail genérico sem protocolo perde prazo e produz prova contra si. O encarregado deve registrar cada pedido com data, resposta e fundamento legal da negativa. A segurança de dados e proteção aos direitos do consumidor também aparece no Judiciário: vazamento com CPF e endereço expostos costuma gerar indenização por dano moral, e a inversão do ônus da prova favorece o consumidor quando a informação técnica é inacessível a ele. Documentar controles é a defesa mais barata. Resposta fora do prazo, sem justificativa, é falha objetiva de atendimento.