Em 2018, antes da vigência da LGPD, o MPDFT atuou em dois vazamentos de dados: o da Netshoes, com cerca de 2 milhões de contas, e o do Banco Inter, com quase 20 mil correntistas. Os casos terminaram em acordos de R$ 500 mil e R$ 1,5 milhão.
Dois vazamentos de dados de 2018 mostraram que empresas brasileiras podiam ser responsabilizadas por incidentes mesmo antes da vigência da LGPD. No caso da Netshoes, cerca de 2 milhões de contas tiveram dados expostos, e a empresa fechou com o Ministério Público do Distrito Federal e Territórios (MPDFT) um termo de ajustamento de conduta de R$ 500 mil. No caso do Banco Inter, quase 20 mil correntistas foram afetados, e o banco aceitou pagar R$ 1,5 milhão em acordo anunciado em dezembro de 2018. Os dois casos foram conduzidos pelo MPDFT antes de a LGPD entrar em vigor.
O que aconteceu no caso Netshoes?
Segundo o Baguete, o vazamento atingiu 1.999.704 contas. Os dados expostos incluíam nome, CPF, e-mail, data de nascimento e histórico de compras; cartões de crédito e senhas não foram divulgados.
Em janeiro de 2018, o MPDFT recomendou que a empresa avisasse todos os clientes afetados, o que foi feito em março. Em fevereiro de 2019, a Netshoes assinou um termo de ajustamento de conduta proposto pela unidade especializada em proteção de dados do MPDFT (Espec), comprometendo-se a pagar R$ 500 mil ao Fundo de Defesa de Direitos Difusos. A investigação ficaria suspensa até o pagamento integral.
O que aconteceu no caso Banco Inter?
De acordo com o Olhar Digital, o MPDFT entrou com ação em julho de 2018 e concluiu em agosto que havia ocorrido vazamento. O banco havia negado o incidente, alegando tentativa de extorsão e afirmando que seus sistemas não tinham sido comprometidos.
O acordo, noticiado em 19 de dezembro de 2018, previa o pagamento de R$ 1,5 milhão, cerca de 15% dos R$ 10 milhões pedidos inicialmente pelo MPDFT.
| Item | Netshoes | Banco Inter |
|---|---|---|
| Pessoas afetadas | 1.999.704 contas | 19.961 correntistas, sendo 13.207 com dados sensíveis, além de 4.840 clientes de outros bancos |
| Dados expostos | Nome, CPF, e-mail, data de nascimento, histórico de compras | Números de conta, senhas, endereços, CPF e telefones |
| Atuação do MPDFT | Recomendação em janeiro de 2018 e TAC em fevereiro de 2019 | Ação em julho de 2018 e acordo em dezembro de 2018 |
| Valor | R$ 500 mil | R$ 1,5 milhão |
| Destino | Fundo de Defesa de Direitos Difusos | R$ 1 milhão a órgãos de combate a crimes cibernéticos e o restante a entidades filantrópicas |
No caso do Inter, R$ 1 milhão deveria ser destinado, até 31 de julho de 2019, a órgãos públicos de combate ao crime cibernético para compra de equipamentos e software, escolhidos pelo MPDFT.
Por que os casos importaram antes da LGPD?
A LGPD foi sancionada em agosto de 2018 e só passaria a valer anos depois. Ainda assim, os dois casos mostraram que vazamentos já podiam gerar ações, acordos e obrigações de comunicação aos clientes. Eles também deram visibilidade a pontos que a LGPD trataria de forma sistemática:
- a comunicação aos titulares afetados;
- a proteção de dados de identificação, como CPF;
- a responsabilidade da empresa mesmo quando ela nega ter sido invadida;
- o custo financeiro e de reputação de um incidente.
Que lições ficaram para empresas e fornecedores?
Os dois episódios envolveram empresas digitais com grandes bases de clientes. Para quem contrata sistemas, aplicativos ou hospedagem, as lições práticas incluem:
- Exigir controles de acesso e criptografia para dados de clientes.
- Saber quais registros permitem investigar um incidente.
- Ter um plano de resposta que defina quem comunica o quê e quando.
- Prever em contrato as responsabilidades do fornecedor em caso de incidente.
O que isso significa hoje?
Os acordos de 2018 são uma referência de que incidentes de dados geram consequências concretas, mesmo sem a LGPD em vigor. Ao contratar uma software house ou um provedor de infraestrutura, pergunte como ele protege dados pessoais, se faz testes de segurança e como agiria em um vazamento. A Citeo reúne empresas de cibersegurança para comparação.
Fontes
Compare nota, avaliações verificadas e score, e fale direto com a empresa pela Citeo.
Perguntas frequentes
Quantos clientes da Netshoes foram afetados?
Segundo o Baguete, 1.999.704 contas tiveram dados expostos, incluindo nome, CPF, e-mail, data de nascimento e histórico de compras. Cartões e senhas não foram divulgados.
Quanto o Banco Inter pagou pelo vazamento?
O Banco Inter fechou acordo de R$ 1,5 milhão com o MPDFT, anunciado em dezembro de 2018. O Ministério Público havia pedido inicialmente R$ 10 milhões.
A LGPD foi aplicada nesses casos?
Não. A LGPD foi sancionada em agosto de 2018, mas ainda não estava em vigor quando os casos foram conduzidos e encerrados.