Responsabilidade no tratamento de dados pessoais

A LGPD já deixa esse ponto mais rigoroso do que muitas empresas imaginam. O art. 42 estabelece que controlador e operador podem responder por danos decorrentes do tratamento de dados pessoais. Além disso, o art. 39 determina que o operador deve realizar o tratamento conforme as instruções fornecidas pelo controlador.

Na prática regulatória, esse desenho exige mais do que contrato assinado. Quando há falha de governança, ausência de controle ou falta de demonstração das instruções aplicadas ao operador, a exposição deixa de ser apenas técnica e passa a ser jurídica, regulatória e reputacional.

Responsabilização no ambiente digital

A discussão não se limita à LGPD. O Marco Civil da Internet também deve ser considerado, especialmente quando a falha envolve armazenamento, proteção ou tratamento de dados em ambiente digital.

Esse marco normativo exige segurança no armazenamento de dados e pode reforçar a responsabilização em caso de falha de proteção. Ou seja, um incidente provocado por parceiro tecnológico pode criar uma camada adicional de responsabilização civil.

Impactos regulatórios na saúde suplementar

No setor de saúde suplementar, a exposição se torna ainda mais sensível. Operadoras lidam com dados de saúde, rede credenciada, prestadores, beneficiários e processos assistenciais que dependem de continuidade, segurança e qualidade.

Nesse contexto, uma falha envolvendo dados pode ultrapassar a esfera da privacidade. Dependendo do caso, ela pode ser interpretada como risco assistencial indireto, especialmente quando impacta acesso, continuidade, autorização, auditoria, rede ou qualidade da assistência.

Anonimização e risco de reidentificação

A LGPD é objetiva ao tratar dados anonimizados. Eles deixam de ser considerados dados pessoais apenas quando não puderem ser reidentificados por meios razoáveis disponíveis na ocasião do tratamento.

Se houver possibilidade de reversão, cruzamento de bases, inferência ou reidentificação, a proteção jurídica da anonimização perde força. Esse ponto conversa diretamente com o debate internacional sobre bases de dados biomédicos e com o próprio caso do UK Biobank.

Ponto de atenção:

O argumento de que dados anonimizados eliminam automaticamente a responsabilidade não se sustenta quando há risco concreto de reidentificação.

Governança e controle no tratamento de dados

A LGPD exige estrutura de governança, gestão de riscos, política de segurança e registro das operações de tratamento, conforme previsto no art. 37. Isso significa que a empresa precisa demonstrar controle, documentação e coerência operacional.

A Autoridade Nacional de Proteção de Dados também vem reforçando a importância de medidas preventivas, due diligence de terceiros, controle contratual e monitoramento contínuo. Portanto, não basta escolher um fornecedor e guardar o contrato em uma pasta, como se isso magicamente resolvesse a vida adulta corporativa.

Uso de dados após acesso autorizado

O maior risco nem sempre está no vazamento em si. Em muitos casos, o problema mais grave está no uso indevido após acesso legítimo. Esse é o tipo de falha mais difícil de explicar para reguladores, titulares de dados e Judiciário.

Esse risco aparece quando há ausência de trilha de auditoria, permissões excessivas ou inexistência de mecanismos técnicos que limitem o uso das informações.

Esse padrão se aproxima do que o caso do UK Biobank colocou em evidência: o problema não está apenas em proteger a entrada do sistema, mas em controlar o que acontece depois que alguém entra com autorização.

Síntese executiva:

No Brasil, o risco regulatório não está apenas no vazamento, mas na incapacidade de demonstrar governança sobre terceiros — o que transforma um incidente técnico em uma infração regulatória multissetorial, envolvendo ANPD, ANS e Judiciário.

Implicações regulatórias para as organizações

Para empresas que tratam dados sensíveis, especialmente no setor de saúde, a conclusão é direta: compartilhar dados significa compartilhar risco. Anonimizar não elimina automaticamente a responsabilidade. Ter contrato não significa estar protegido. E a falha de um terceiro pode recair sobre quem deveria ter definido, fiscalizado e documentado os controles.

O debate, portanto, não é apenas jurídico. É de governança, operação, tecnologia, auditoria e gestão de riscos. Empresas que não conseguem demonstrar controle sobre seus terceiros passam a depender de uma posição de defesa limitada: a de que acreditavam estar protegidas. Regulador nenhum costuma se comover com isso.