Com o intenso fluxo de informações das redes típico do nosso contexto tecnológico, o vazamento de dados pessoais é um incidente, infelizmente, cada vez mais comum.

Para citar um exemplo recente: ao final de 2021, uma falha de segurança do Ministério da Saúde resultou na exposição de dados de, aproximadamente, 243 milhões de brasileiros cadastrados no Sistema Único de Saúde (SUS).

Até mesmo pessoas falecidas tiveram dados expostos. CPF, nome completo, endereço e telefone foram algumas das informações comprometidas na ocasião. Você pode conferir mais detalhes sobre o ocorrido nesta matéria do site G1.

Pensando neste cenário, preparamos o presente artigo, por onde vamos:

• Explicar o que é um vazamento de dados pessoais;
• Apresentar dicas práticas para a prevenção e o combate aos seus efeitos;
• Apontar, brevemente, o que diz a Lei Geral de Proteção de Dados (LGPD) sobre o tema. (Parte 2)

Tenha uma boa leitura!

O que é vazamento de dados pessoais?

O vazamento de dados pessoais é um incidente de segurança que pode ser considerado como “uma violação da segurança que provoque, de modo acidental ou ilícito, a destruição, a perda, a alteração, a divulgação ou o acesso, não autorizados, a dados pessoais transmitidos, conservados ou sujeitos a qualquer outro tipo de tratamento”.

A definição acima foi retirada do Regulamento Geral sobre a Proteção de Dados (RGPD), um importante marco regulatório europeu, em seu art. 4º, item 12. De forma mais precisa, a norma citada conceitua a violação de dados pessoais, mas aproxima-se bastante da noção de vazamento.

Na LGPD, apesar da vasta gama de definições apresentadas em seu art. 5º, não há nele definição do conceito de incidente de segurança ou de vazamento de dados pessoais.

Dicas práticas para titulares: como lidar com o vazamento de dados pessoais?

Agora, vamos dedicar o presente tópico para auxiliar os titulares de dados na prevenção contra o vazamento de dados pessoais, além de orientar as suas ações depois de eventuais incidentes.

As dicas aqui apresentadas têm como referência esta cartilha, produzida pelo Centro de Estudos, Resposta e Tratamento de Incidentes de Segurança no Brasil (Cert.br) em parceria com a Autoridade Nacional de Proteção de Dados (ANPD). 

Quais são os principais riscos do vazamento de dados pessoais?

De início, é preciso compreender quais são os principais riscos relacionados ao vazamento de dados pessoais.

1. Invasão de privacidade

É possível que os dados pessoais vazados sejam expostos na Internet para outras pessoas, ou utilizados para obter ainda mais dados.

Se uma senha for exposta, por exemplo, ela pode ser utilizada para invadir seu perfil em redes sociais. É possível, assim, acessar suas mensagens, fotos e outras informações privadas — que podem inclusive se tratar de dados pessoais sensíveis.

2. Contração de dívidas

Pessoas em posse de seus dados pessoais também podem utilizá-los para:

• Criar contas bancárias;
• Criar cartões de crédito;
• Invadir as contas bancárias existentes;
• Realizar transações indevidas em seu nome.

3. Extorsão

Outra prática muito comum associada ao vazamento de dados pessoais é a extorsão. Em posse de suas informações, o violador de dados ameaça expô-las caso não seja feito uma transferência em dinheiro, ou algum outro tipo de contraprestação.

4. Furto de identidade e golpes

Se conseguir informações o suficiente, a pessoa que obteve acesso indevido aos seus dados pode se passar por você e aplicar golpes a terceiros. Vamos dar um exemplo típico de como isso costuma acontecer.

Suponha que o violador dos dados consiga sua foto de perfil no WhatsApp e acesso à sua lista de contatos. Ele pode se passar por você, enviando mensagens a familiares e amigos dizendo que trocou de número e que precisa urgentemente de dinheiro, em função de alguma falsa emergência.

Dicas para prevenção contra o vazamento de dados

Agora que você já conhece alguns dos riscos inerentes ao vazamento de dados pessoais, vamos apresentar uma lista de 16 dicas para evitar que ele aconteça.

Para facilitar a visualização, vamos apresentá-las em quatro seções:

• Sites;
• Aplicativos;
• Senhas;
• Equipamentos.

Sites

1. Evite compartilhar informações desnecessárias ao preencher formulários e cadastros em sites;
2. Limite a quantidade de coleta de dados por cookies nos sites que você acessar;
3. Limpe frequentemente o seu histórico de navegação;
4. Utilize conexões seguras à rede;
5. Não clique, indiscriminadamente, nos links que receber por mensagem. Certifique-se de que o link é seguro antes de clicar;

Aplicativos

1. Limite as permissões dos aplicativos de seu celular — nas configurações do aparelho, você pode definir quais deles podem acessar a câmera, microfone, contatos e localização. Autorize apenas o que for necessário.
2. Apague os aplicativos que você não utilize mais, e procure sempre atualizar os demais. As atualizações costumam otimizar sua segurança.

Senhas

1. Utilize senhas fortes, que combinem números, letras e outros símbolos;
2. Evite senhas óbvias, como data de nascimento por exemplo;
3. Não repita as senhas;
4. Habilite a verificação em duas etapas, se possível;
5. Habilite notificações de logins em sua conta, se possível.

Equipamentos

1. Mantenha atualizado o sistema operacional de seus equipamentos, como celular e computador;
2. Monitore os programas que estão em execução nos seus equipamentos, e desconfie daqueles que você não conhecer;
3. Evite armazenar, na nuvem, arquivos que você considere confidenciais, como documentos e fotos; e
4. Utilize, sempre que possível, criptografia para proteger os dados armazenados em seus dispositivos.

Continua no próximo artigo

O post Vazamento de dados pessoais: dicas para se prevenir e combater seus efeitos – Parte 1 apareceu primeiro em Maria Cecília.

Acho que meus dados foram vazados! E agora?

Mesmo tomando todos os cuidados necessários para evitar o vazamento de dados pessoais, é possível que ele venha a acontecer.

Se você desconfiar que seus dados foram expostos, a primeira coisa a ser feita é informar-se. Fique antenado às notícias sobre o assunto e procure pesquisar:

• Quais dados foram expostos na ocasião;
• Quais medidas de mitigação serão tomadas pela organização envolvida;
• Quais medidas estão sendo indicadas para que os titulares tomem; e
• A data do vazamento.

Atenção! Hoje em dia, existem sites que se aproveitam dos vários casos de vazamento de dados para executar práticas fraudulentas.

Vamos dar um exemplo. Imagine uma página com as seguintes palavras:

“Quer descobrir se seus dados pessoais foram vazados? Preencha este formulário e nós descobrimos por você!”

A pretexto de te auxiliar, estes sites acabam coletando mais informações e aumentando seu problema. Por isso, desconfie desse tipo de página; procure sempre fazer contato direto com a organização envolvida no vazamento, que é o agente de tratamento responsável pelos seus dados.

Se houver, de forma comprovada, um vazamento de seus dados pessoais, a ANPD orienta os titulares a buscar informações junto ao controlador dos dados. Clicando aqui, você tem acesso a mais orientações sobre esta solicitação.

Caso a solicitação não seja atendida, ou se não se saber qual organização é o controlador responsável, é possível fazer uma denúncia no site da ANPD, informando:

• Quais foram os dados vazados;
• Quando se teve ciência do vazamento;
• Se acredita que seus dados pessoais foram indevidamente usados em alguma ação criminosa (como estelionato, fraude ou comércio ilegal de dados pessoais); e
• Quais evidências possui para corroborar essa hipótese.

LGPD e o vazamento de dados pessoais

Apesar de não definir o vazamento de dados pessoais, a LGPD dedica alguns artigos para falar sobre práticas de segurança e notificação de incidentes — mais especificamente, trata-se do artigo 46 ao artigo 49.

Podemos encontrá-los no Capítulo VII (“Da Segurança e das Boas Práticas”), Seção I (Da Segurança e do Sigilo de Dados) da lei em comento. Vamos fazer alguns breves apontamentos sobre estes artigos, mas recomendamos sua leitura completa para uma melhor compreensão.

A LGPD estabelece algumas obrigações legais para garantir a segurança dos dados pessoais e impedir seu vazamento. Confira-as a seguir.

Deveres dos agentes de tratamento

De acordo com o art. 46, caput da LGPD, os agentes de tratamento devem adotar uma série de medidas aptas a proteger os dados pessoais de acessos não autorizados e situações acidentais ou ilícitas de:

• Destruição;
• Perda;
• Alteração;
• Comunicação; e
• Ou qualquer forma de tratamento inadequado ou ilícito.

Trata-se de medidas de segurança, técnicas e administrativas, que deverão ser observadas desde a fase da concepção do produto ou serviço até sua execução, segundo o art. 46, §2º. Importante ressaltar que este parágrafo está relacionado ao princípio da prevenção, previsto no art. 6, VIII.

Estes agentes são obrigados a garantir a segurança da informação prevista pela LGPD por ocasião do tratamento de dados, assim como qualquer outra pessoa que intervenha em uma de suas fases. Esta obrigação está prevista no art. 47 da lei e continua mesmo após o término do tratamento.

A ANPD confeccionou, em outubro de 2021, um Guia Orientativo de Segurança da Informação para Agentes de Tratamento de Pequeno Porte, que você pode acessar clicando aqui.

Deveres dos controladores

Eventuais incidentes de segurança que possam acarretar risco ou dano relevante aos titulares devem ser informados pelos controladores à ANPD, nos termos do art. 48, caput da LGPD.

Nos termos do art. 48, §1º, esta comunicação deve mencionar, no mínimo:

1. a descrição da natureza dos dados pessoais afetados;
2. as informações sobre os titulares envolvidos;
3. a indicação das medidas técnicas e de segurança utilizadas para a proteção dos dados, observados os segredos comercial e industrial;
4. os riscos relacionados ao incidente;
5. os motivos da demora, no caso de a comunicação não ter sido imediata; e
6. as medidas que foram ou que serão adotadas para reverter ou mitigar os efeitos do prejuízo.

A comunicação dos incidentes de segurança ocorre via formulário eletrônico, conforme os procedimentos detalhados nesta página do site da ANPD.

Quero aprofundar meus estudos! Por onde posso começar?

Vamos indicar agora, algumas referências adicionais para continuar se informando sobre o vazamento de dados pessoais. Bons estudos! 😉

Para ler

• “O que é, afinal, um vazamento de dados?”, artigo escrito por José Luiz de Moura Faleiros Júnior, disponível no site jurídico Migalhas de Peso;
• “Vazamento massivo de dados — O que fazer?”, cartilha da Coordenadoria Estadual de Combate aos Crimes Cibernéticos (Coeciber) e do Gabinete de Segurança e Inteligência (GSI), organizada pelo Ministério Público de Minas Gerais;
• “Cartilha de Segurança para Internet. Fascículo. Vazamento de Dados“, produzido por Cert.br, Nic.br e CGI, com contribuição da ANPD.
• “Segurança da informação para Agentes de Tratamento de Pequeno Porte“, produzido pela ANPD.

Para assistir

• “Entenda o risco do vazamento de dados pessoais” vídeo da CNN Brasil Business, disponível no YouTube;
• “Seu smartphone está vazando suas informações” (Your smartphone is leaking your information) vídeo de Bram Bonné, disponível em inglês na plataforma TED;
• “A intolerável negligência da privacidade”, vídeo de Frederico Pacheco, disponível na plataforma TED

Para escutar

• “Nossos dados estão sendo vazados. E agora?”, podcast da Folha Café da Manhã, disponível no Spotify;
• “A epidemia de vazamento de dados e as dicas contra os golpes”, podcast do jornal O Globo;

O post Vazamento de dados pessoais: dicas para se prevenir e combater seus efeitos – Parte 2 apareceu primeiro em Maria Cecília.