Com a crescente digitalização de informações, muitas empresas compartilham dados com fornecedores, operadores de tecnologia e parceiros comerciais.
Mas surge a dúvida: se o vazamento ocorrer por meio de terceiro, a empresa ainda pode ser responsabilizada?
A resposta é: pode sim, dependendo do papel que exerça no tratamento dos dados e das medidas de segurança adotadas.
O que é vazamento indireto?
É quando os dados pessoais são expostos não diretamente pela empresa principal, mas por:
• Empresa terceirizada;
• Prestador de serviço de TI;
• Plataforma contratada;
• Operador de armazenamento em nuvem;
• Parceiro comercial que recebeu os dados.
A empresa controladora pode responder?
Pode.
Quando a empresa define:
• A finalidade do tratamento;
• Quais dados serão coletados;
• Como serão utilizados;
• Com quem serão compartilhados;
ela pode ser considerada controladora e ter responsabilidade sobre o ciclo completo do tratamento.
O compartilhamento afasta a responsabilidade?
Não automaticamente.
É necessário que a empresa:
• Escolha fornecedores idôneos;
• Formalize contratos com cláusulas de proteção de dados;
• Exija medidas de segurança adequadas;
• Fiscalize o cumprimento das obrigações.
A ausência de cautela pode gerar responsabilização.
Quando pode haver indenização?
Se o vazamento causar prejuízo, pode-se discutir:
• Danos materiais;
• Danos morais;
• Exposição indevida de informações sensíveis;
• Uso fraudulento de dados.
A responsabilização dependerá da comprovação do dano e do nexo com a falha de segurança.
E se o vazamento foi exclusivamente do terceiro?
Mesmo nesses casos, pode haver responsabilidade solidária ou subsidiária, especialmente se houver falha na escolha ou fiscalização do parceiro.
A análise será feita conforme o grau de controle e participação no tratamento dos dados.
Atenção
O fato de o vazamento ocorrer por meio de terceiro não isenta automaticamente a empresa que coleta ou utiliza os dados.
A responsabilidade dependerá do papel exercido, das medidas de segurança adotadas e da demonstração de eventual falha no dever de proteção das informações.