TRIBUNAL DE JUSTIÇA DE SÃO PAULO ENTENDE QUE DANO MORAL NÃO SE PRESUME QUANDO DA OCORRÊNCIA DE INCIDENTE DE SEGURANÇA EM EMPRESA QUE AGIU DE ACORDO COM A LGPD

Escrito por Guilherme Melo de Morais

A Eletropaulo Metropolitana Eletricidade de São Paulo S.A. (“Eletropaulo”), concessionária de distribuição de energia elétrica, em decorrência de um incidente de segurança ocorrido em novembro de 2020, expôs os dados pessoais (nome, CPF, e-mail, telefone fixo e residencial, endereço residencial etc.) de aproximadamente 4% (quatro por cento) da sua base de clientes (“Clientes”).

Em decorrência de tal vazamento, Clientes da Eletropaulo alegaram que passaram a receber inúmeras ligações e mensagens indevidas oferecendo produtos e serviços dos mais diversos, o que caracterizaria a violação de intimidade destes com ofensa a honra.

Com base nesta situação, alguns Clientes ajuizaram ações judiciais solicitando indenização por danos morais, com base na Lei Geral de Proteção de Dados (“LGPD”) e no Código de Defesa do Consumidor (“CDC”), sustentando que a Eletropaulo possuía responsabilidade objetiva pela reparação dos danos.

Em sede de 1ª instância, o tema restou controverso, com a publicação de decisões que concederam os pedidos realizados pelos Clientes da Eletropaulo, bem como decisões que negaram pedidos de mesma natureza, de modo que, em quase todos os casos, as decisões foram objeto de recurso.

O Tribunal de Justiça de São Paulo – TJSP, quando da análise destes recursos, afastou a responsabilidade da Eletropaulo de indenizar, concluindo que, ainda que a responsabilidade da Eletropaulo seja objetiva, na forma do disposto do artigo 14 do CDC, o caso em análise não poderia ser considerado como situação em que o dano moral se presume “in re ipsa”, fazendo-se necessário a demonstração efetiva da ocorrência para justificar o direito à reparação.

A principal fundamentação para a mencionada conclusão foi o fato de que a Eletropaulo tomou todas as medidas cabíveis quando da ocorrência do incidente, tendo comunicado aos titulares dos dados e a Autoridade Nacional de Proteção de Dados, bem como agiu de forma a mitigar todos os eventuais danos que os titulares pudessem vir a sofrer, atuando nos termos da LGPD e conforme as melhores práticas de proteção de dados.

O TJSP, portanto, corroborou o disposto no §1 do art. 52 da LGPD, ao determinar que deverão ser observadas a: (i) boa-fé, (ii) grau do dano; (iii) cooperação; (iv) adoção de procedimentos capazes de minimizar o dano; (v) adoção de políticas de boas práticas e governança; e (vi) pronta adoção de medidas corretivas; para a aplicação de sanções administrativas.

Cada vez se mostra mais necessário que as empresa se adequem à LGPD como forma de garantir mitigação de eventuais penalidades aplicáveis.

A Equipe de Negócios Digitais, Tecnologia e Proteção de Dados do PLC Advogados coloca-se à disposição para esclarecimentos e providências que se fizerem necessários relativos ao tema tratado neste informativo.