Direitos das vítimas de ciberataques: obrigações de notificação, indenização e seguro.

Por Tom Meevis, advogado em Law & More

Os ciberataques, como ransomware, phishing, ataques DDoS e intrusões em computadores, raramente afetam apenas a organização atacada. As vítimas de ciberataques também incluem clientes, funcionários, pacientes, fornecedores e outros parceiros da cadeia de suprimentos que podem sofrer perdas, e sua situação jurídica varia de grupo para grupo. Portanto, qualquer pessoa que busque estabelecer, após um ataque, quais obrigações se aplicam e quais reivindicações existem, deve primeiro determinar exatamente quem foi afetado e quais danos ocorreram.

Este artigo aborda, por sua vez, quem se qualifica como vítima, quando uma violação de dados deve ser notificada, em que condições existe o direito à indenização, quais partes podem ser responsabilizadas, qual o papel do direito penal, o que uma apólice de seguro cibernético normalmente cobre e quais medidas devem ser tomadas imediatamente após um ataque.

Quem são as vítimas de ataques cibernéticos?

Em um ataque cibernético, é possível distinguir três grupos.

• A própria organização afetada enfrenta períodos de inatividade do sistema, perda de faturamento, custos de recuperação, custos de investigação forense e danos à reputação.
• Pessoas físicas cujos dados pessoais foram expostos, como clientes, funcionários e pacientes, podem sofrer perdas financeiras, bem como danos imateriais decorrentes da perda de controle sobre seus dados, incerteza ou receio de fraude de identidade.
• Terceiros afetados por meio de uma relação contratual ou na cadeia de suprimentos, por exemplo, porque dependem de um fornecedor cujos sistemas apresentaram problemas.

Essa classificação é juridicamente relevante. A base de qualquer reclamação e a parte contra quem ela pode ser apresentada dependem da posição da vítima. Uma organização afetada geralmente responsabilizará seu fornecedor de TI nos termos do contrato, enquanto um titular de dados pode se basear diretamente na responsabilidade autônoma prevista no RGPD.

Quando é necessário notificar uma violação de dados?

Quando dados pessoais são afetados por um ciberataque, é necessário avaliar se houve uma violação de dados pessoais e se a notificação é obrigatória. O Artigo 33 do RGPD exige que uma violação seja notificada à autoridade de controlo sem demora injustificada e, sempre que possível, no prazo de setenta e duas horas, a menos que seja improvável que a violação resulte num risco para os direitos e liberdades das pessoas singulares.

Além disso, o Artigo 34 do RGPD pode exigir que a organização informe os titulares dos dados diretamente. Essa obrigação surge quando a violação for suscetível de resultar num elevado risco para os seus direitos e liberdades. A comunicação pode ser dispensada quando medidas técnicas adequadas, como a encriptação, estiverem em vigor, quando medidas subsequentes garantirem que o elevado risco deixará de existir, ou quando a comunicação individual implicar um esforço desproporcionado; neste último caso, basta uma comunicação pública.

Para o titular dos dados, essa comunicação é mais do que uma formalidade. Ela permite que ele tome suas próprias medidas, por exemplo, alterando senhas ou monitorando transações suspeitas, e, na prática, costuma ser o ponto de partida para qualquer pedido de indenização.

Uma organização deve, portanto, estabelecer não apenas que um ataque ocorreu, mas também quais dados foram afetados, se os dados foram de fato exfiltrados e quais os riscos decorrentes disso. Uma investigação forense independente é frequentemente indispensável para esse fim.

Isso se aplica ainda mais quando o ataque ocorre em um processador de dados, e não na própria organização. No processo sumário entre a Blauw Research e a Nebu (Tribunal Distrital de Roterdã, 6 de abril de 2023, ECLI:NL:RBROT:2023:2931), o juiz responsável pela tutela provisória decidiu que, de acordo com o contrato de processamento de dados firmado entre as partes, o controlador tinha direito a mais informações sobre o ataque, suas consequências e as medidas tomadas do que as inicialmente fornecidas. O processador de dados também foi obrigado a realizar uma investigação forense independente e a apresentar relatórios periódicos. A sentença demonstra que um contrato de processamento de dados bem redigido é, na prática, o instrumento mais importante para a obtenção de informações em tempo hábil após um incidente, precisamente porque o controlador de dados precisa dessas informações para cumprir suas próprias obrigações de notificação.

Quando surge o direito à indenização?

Os titulares dos dados podem exigir indenização do controlador ou do processador nos termos do Artigo 82 do RGPD. Um ciberataque, contudo, não gera automaticamente direito a indenização. É necessário comprová-lo.

• que o RGPD foi infringido;
• que o dano foi efetivamente sofrido; e
• que existe uma relação causal entre essa infração e esse dano.

Os danos materiais podem consistir em perdas financeiras, custos de recuperação ou prejuízos causados ​​por fraude de identidade. Quanto aos danos imateriais, o Tribunal de Justiça da União Europeia decidiu no caso Österreichische Post (TJUE, 4 de maio de 2023, C-300/21) que não existe um limiar mínimo de gravidade, mas que uma violação do RGPD por si só não é suficiente para uma indemnização.

De particular relevância para violações de dados após um ciberataque é o caso Natsionalna agentsia za prihodite (TJUE, 14 de dezembro de 2023, C-340/21). Nesse caso, o Tribunal decidiu que o receio de uma possível utilização indevida futura de dados pessoais divulgados pode, por si só, constituir um dano imaterial. O titular dos dados deve, contudo, fundamentar concretamente esse receio e as suas consequências; simplesmente indicar que os dados foram divulgados não é suficiente. Na mesma sentença, o Tribunal confirmou que cabe ao responsável pelo tratamento provar que as medidas de segurança adotadas foram adequadas e que um ataque por terceiros não o exime, por si só, da responsabilidade.

A responsabilidade nos termos do RGPD coexiste com as bases do direito civil de violação de contrato e responsabilidade extracontratual. De acordo com o artigo 6:162(1) do Código Civil neerlandês, a parte que comete um ato ilícito imputável deve indemnizar os danos causados. Aplica-se o requisito da relatividade do artigo 6:163: a norma infringida deve servir para proteger contra o tipo de dano sofrido pela parte lesada.

É importante destacar que o Artigo 82 do RGPD coexiste com essas bases. Portanto, o titular dos dados não é obrigado a fundamentar sua reclamação exclusivamente em quebra de contrato ou ato ilícito, podendo recorrer diretamente à base de responsabilidade autônoma prevista no RGPD. Para a organização afetada, essa combinação de bases significa que diversas partes podem apresentar reclamações simultaneamente após um ataque.

Quem pode ser responsabilizado?

A organização afetada pode ser responsabilizada caso não cumpra suas obrigações contratuais ou não tenha adotado medidas de segurança suficientes. Um provedor ou processador de serviços de TI também pode ser responsabilizado. O que se pode esperar desse provedor de serviços é determinado, antes de tudo, pelo contrato.

Em uma relação de processamento de dados, o contrato de processamento desempenha um papel central. O Artigo 28 do RGPD exige que o controlador e o processador celebrem tal contrato, que regula, entre outras coisas, as medidas de segurança e o tratamento de violações de dados. Quando o ataque resulta de segurança inadequada por parte do processador, o controlador pode responsabilizá-lo, nos termos desse contrato, pelas perdas daí resultantes.

Isso fica evidente no caso do ciberataque à prefeitura de Hof van Twente (Tribunal Distrital de Overijssel, 10 de maio de 2023, ECLI:NL:RBOVE:2023:1731). As partes haviam concordado com o monitoramento funcional, e não com o monitoramento de segurança. O tribunal decidiu que o dever de diligência de um administrador de TI não se estende a ponto de o monitoramento de segurança ser parte tácita de uma atribuição de monitoramento funcional, e rejeitou a reivindicação da prefeitura. O tribunal também considerou que a própria prefeitura havia tomado decisões que aumentaram o risco, incluindo sua política de senhas e a abertura de uma porta RDP.

A imagem espelhada é o caso O'Cliance (Tribunal Distrital de Amsterdam, 14 de novembro de 2018, ECLI:NL:RBAMS:2018:10124). Nesse caso, o fornecedor havia instalado uma infraestrutura de TI completa e assumido sua gestão. Após um ataque de ransomware no qual os backups também foram criptografados, o tribunal decidiu que o fornecimento de um pacote tão completo implicava um dever de cuidado abrangente e que medidas simples haviam sido omitidas. A responsabilidade, contudo, não foi atribuída integralmente: devido à culpa concorrente do cliente, dois terços dos danos permaneceram sob a responsabilidade do fornecedor.

A importância que a comprovação de segurança adequada pode ter é ilustrada pelo caso da conta de e-mail de uma concessionária de veículos que foi hackeada. Na sentença interlocutória de 5 de novembro de 2024 (Tribunal de Apelação de Arnhem-Leeuwarden, ECLI:NL:GHARL:2024:6812), a concessionária teve a oportunidade de comprovar que sua conta de e-mail estava devidamente protegida nos termos do RGPD (Regulamento Geral de Proteção de Dados), após um hacker ter utilizado essa conta para enviar uma instrução de pagamento falsa a um comprador. Na sentença subsequente de 22 de julho de 2025 (ECLI:NL:GHARL:2025:4556), o tribunal considerou que essa comprovação não havia sido apresentada, restando ainda às partes abordar a questão da culpa concorrente do comprador. Ambas as sentenças, portanto, dizem respeito ao mesmo processo.

O ponto em comum é que os acordos contratuais, os riscos do processamento, as medidas efetivamente tomadas, os avisos dados por ambas as partes e a própria conduta da parte lesada são relevantes. Além da responsabilidade civil, a Autoridade Holandesa de Proteção de Dados pode impor multas administrativas de até 20 milhões de euros ou 4% do faturamento anual mundial, o que for maior. Essas multas são independentes de os titulares dos dados terem sofrido danos.

O caminho do direito penal

Um ciberataque também pode constituir um crime, como a invasão de computadores, a inacessibilidade de dados ou a apropriação indevida de dados não públicos. O artigo 138ab(1) do Código Penal neerlandês tipifica como crime o acesso intencional e ilícito a um sistema automatizado.

As vítimas podem denunciar o crime à polícia, que possui equipes especializadas em crimes cibernéticos. Quando um suspeito é processado, a vítima pode participar do processo criminal como parte lesada e reivindicar indenização. Essa via evita processos cíveis separados, mas o resultado depende da detecção, do processo e das provas, o que, no caso de criminosos que operam internacionalmente, frequentemente não produz resultados. Para as organizações, a denúncia também costuma ser uma necessidade prática, pois seguradoras e parceiros da cadeia de suprimentos a solicitam.

O que o seguro cibernético cobre?

Uma apólice de seguro cibernético pode oferecer cobertura para, entre outras coisas:

• Resposta a incidentes e investigação forense;
• restauração de sistemas e dados;
• Perdas decorrentes da interrupção das atividades comerciais e da perda de faturamento;
• comunicação de crise;
• responsabilidade perante terceiros;
• custas judiciais; e
• Em alguns casos, multas, indenizações ou resgate, na medida em que forem seguráveis ​​pela legislação aplicável.

A cobertura exata depende da apólice. Preste atenção às exclusões, condições de segurança, prazos de notificação, franquias e requisitos para a contratação de peritos. O artigo 7:957(1) do Código Civil holandês também obriga o segurado a tomar medidas razoáveis ​​para prevenir ou limitar as perdas. Caso essa obrigação de salvamento não seja cumprida, a seguradora poderá reduzir o valor da indenização.

Portanto, a seguradora cibernética deve ser informada o mais rápido possível. Contratar especialistas externos ou pagar um resgate sem o consentimento da seguradora pode afetar a cobertura.

O que você deve fazer imediatamente após um ataque cibernético?

• Registre o incidente e todas as ações relevantes com cuidado.
• Isolar os sistemas afetados sem perder evidências.
• Contrate um perito forense.
• Avalie se houve alguma violação de dados que deva ser notificada.
• Avalie se os titulares dos dados devem ser informados.
• Denuncie o crime à polícia.
• Informe o incidente à sua seguradora cibernética.
• Preserve registros, backups, e-mails e outros dados relevantes.
• Mapeie os danos e as partes potencialmente responsáveis.
• Informe os clientes, funcionários e parceiros da cadeia de suprimentos de forma cuidadosa e em tempo hábil.

Um ciberataque, portanto, não é meramente um incidente técnico. É também uma questão de proteção de dados, direito civil, direito penal e direito securitário. Uma resposta rápida e bem documentada não só limita os danos, como é decisiva para as notificações, a cobertura do seguro e a sua posição probatória em qualquer processo judicial.

No fechamento

Os direitos e obrigações decorrentes de um ciberataque abrangem diversas áreas do direito, e o desfecho de um caso depende muito dos fatos específicos, do conteúdo do contrato e da qualidade dos registros. A jurisprudência analisada demonstra que tanto o fornecedor quanto o cliente são julgados por sua própria conduta, e que prazos como o de notificação em 72 horas deixam pouca margem para atrasos.

Law & More Auxiliamos organizações e titulares de dados no tratamento jurídico de incidentes cibernéticos: desde a avaliação das obrigações de notificação e revisão de contratos de processamento de dados até o estabelecimento de responsabilidades, questões de seguro e recuperação de perdas. Você está lidando com um ataque cibernético ou uma violação de dados, ou gostaria que seus contratos fossem revisados ​​antecipadamente por nossa equipe em relação a esses riscos? Lei de TI equipe? Por favor, sinta-se à vontade para Contacto Law & More Para uma conversa sem compromisso sobre a sua situação.

Perguntas frequentes

Abaixo, respondemos às perguntas mais frequentes sobre este assunto.

Quem são as vítimas de um ataque cibernético?

Existem três níveis. Primeiro, a própria organização afetada, que arca com o tempo de inatividade do sistema, a perda de faturamento, os custos de recuperação, o custo da investigação forense e os danos à reputação. Segundo, os titulares dos dados, as pessoas físicas cujos dados pessoais foram expostos, como clientes, funcionários e pacientes. Terceiro, terceiros que sofrem perdas por meio de um relacionamento contratual ou na cadeia de suprimentos, por exemplo, porque dependem de um fornecedor que deixou de funcionar. Essa classificação determina com base em que fundamentos uma parte pode apresentar uma reclamação e contra quem.

Em que prazo devo notificar uma violação de dados?

O artigo 33 do RGPD exige a notificação à autoridade de controlo sem demora injustificada e, sempre que possível, no prazo de setenta e duas horas após ter conhecimento da violação. Esta obrigação não se aplica quando for pouco provável que a violação resulte num risco para os direitos e liberdades das pessoas singulares. Essa avaliação requer uma análise da natureza da violação, das categorias de dados afetados e das possíveis consequências.

Quando devo informar os próprios titulares dos dados?

Nos termos do Artigo 34 do RGPD, a comunicação pode ser dispensada quando a violação de dados for suscetível de resultar num elevado risco para os direitos e liberdades dos titulares dos dados. A comunicação pode ser omitida se estiverem em vigor medidas técnicas adequadas, como a encriptação, se medidas subsequentes garantirem que o elevado risco deixará de existir ou se a comunicação individual implicar um esforço desproporcionado. Neste último caso, basta uma comunicação pública.

Posso obter informações de um fornecedor que foi hackeado?

Sim, quando um contrato de processamento de dados assim o prevê. No processo sumário entre a Blauw Research e a Nebu (Tribunal Distrital de Roterdão, 6 de abril de 2023, ECLI:NL:RBROT:2023:2931), o juiz provisório decidiu que, nos termos do contrato de processamento de dados, o responsável pelo tratamento tinha direito a mais informações sobre o ataque, as suas consequências e as medidas tomadas do que as que lhe foram fornecidas, e ordenou ao responsável pelo tratamento que realizasse uma investigação forense independente e que apresentasse relatórios periódicos. Essas informações são necessárias para o cumprimento das suas próprias obrigações de notificação.

Como titular dos dados, tenho direito automático a indenização após uma violação de dados?

Não. O Artigo 82 do RGPD (Regulamento Geral sobre a Proteção de Dados) prevê uma base jurídica autónoma, mas é necessário comprovar que houve violação do RGPD, que o dano efetivamente ocorreu e que existe um nexo de causalidade entre a violação e o dano. O ónus da prova recai sobre o requerente.

O medo de fraude de identidade se qualifica como dano imaterial?

Pode ser. No caso Natsionalna agentsia za prihodite (TJUE, 14 de dezembro de 2023, C-340/21), o Tribunal de Justiça da União Europeia considerou que o receio de uma possível utilização indevida futura de dados pessoais divulgados pode, por si só, constituir um dano imaterial. O titular dos dados deve, contudo, fundamentar concretamente esse receio e as suas consequências. O caso Österreichische Post (TJUE, 4 de maio de 2023, C-300/21) acrescenta que não existe um limiar mínimo de gravidade, mas que uma infração ao RGPD, por si só, não é suficiente.

Quem tem que provar que as medidas de segurança eram adequadas?

O controlador. No processo C-340/21, o Tribunal de Justiça confirmou que cabe ao controlador demonstrar que as medidas de segurança adotadas foram adequadas e que um ataque por terceiros não o exime, por si só, de responsabilidade. Nos Países Baixos, esse entendimento se manifestou no caso do e-mail hackeado de uma concessionária de veículos, em que o Tribunal de Apelação de Arnhem-Leeuwarden primeiro concedeu à concessionária a oportunidade de apresentar essa comprovação (ECLI:NL:GHARL:2024:6812) e, posteriormente, decidiu que ela não havia sido apresentada (ECLI:NL:GHARL:2025:4556).

Meu fornecedor de TI é responsável se não detectar um ataque?

Isso depende do que foi acordado. No caso do ciberataque ao município de Hof van Twente (Tribunal Distrital de Overijssel, 10 de maio de 2023, ECLI:NL:RBOVE:2023:1731), as partes haviam concordado com o monitoramento funcional, e não com o monitoramento de segurança. O tribunal decidiu que o dever de cuidado de um administrador de TI não se estende a ponto de o monitoramento de segurança ser uma parte tácita dele, e rejeitou a ação. Quando um pacote completo mais amplo é fornecido, o dever de cuidado pode, em vez disso, ser muito mais abrangente, como no caso O'Cliance (Tribunal Distrital de Amsterdam, 14 de novembro de 2018, ECLI:NL:RBAMS:2018:10124), onde o fornecedor foi considerado responsável por dois terços da perda.

Minha própria conduta pode reduzir a indenização?

Sim. A culpa concorrente desempenha um papel recorrente nesses casos. No caso O'Cliance, um terço do prejuízo permaneceu na conta do cliente, e no caso da conta de e-mail invadida, as partes foram obrigadas a reconhecer a culpa concorrente do comprador. Sua própria política de senhas, portas deixadas abertas ou avisos ignorados podem, portanto, influenciar diretamente o resultado.

Que multas pode impor a autoridade de proteção de dados?

Em caso de infrações ao RGPD, a autoridade de supervisão pode impor multas administrativas de até 20 milhões de euros ou 4% do volume de negócios anual mundial, consoante o que for mais elevado. Estas multas são independentes do facto de os titulares dos dados terem efetivamente sofrido danos e, por conseguinte, representam um risco distinto da responsabilidade civil.

Posso denunciar o crime e reclamar o meu prejuízo através do processo criminal?

Sim. O artigo 138ab(1) do Código Penal holandês tipifica como crime o acesso intencional e ilegal a um sistema automatizado. Você pode denunciar o crime à polícia e, caso um suspeito seja processado, participar do processo criminal como parte lesada para reivindicar indenização. O resultado depende da detecção, do processo e das provas, o que, no caso de criminosos que atuam internacionalmente, frequentemente não leva a nada.

O que o seguro cibernético normalmente cobre?

Geralmente, a cobertura inclui resposta a incidentes e investigação forense, restauração de sistemas e dados, perdas por interrupção de negócios e faturamento perdido, comunicação em situações de crise, responsabilidade perante terceiros e custos legais, e, em alguns casos, multas, indenizações ou resgates, na medida em que forem seguráveis ​​pela legislação aplicável. Fique atento às exclusões, condições de segurança, prazos de notificação e franquias, e revise a apólice antes que um incidente ocorra.

Posso perder a cobertura por agir incorretamente após um ataque?

Isso é possível. O artigo 7:957(1) do Código Civil holandês obriga o segurado a tomar medidas razoáveis ​​para prevenir ou limitar as perdas; caso essa obrigação de salvamento não seja cumprida, a seguradora poderá reduzir o valor da indenização. A contratação de especialistas externos ou o pagamento de resgate sem o consentimento da seguradora também podem afetar a cobertura. Informe sua seguradora o mais rápido possível.

Que medidas devo tomar imediatamente após um ataque cibernético?

Registre o incidente e todas as ações tomadas, isole os sistemas afetados sem perder evidências e contrate um especialista forense. Em seguida, avalie se houve uma violação de dados que deva ser notificada e se os titulares dos dados precisam ser informados. Denuncie a ocorrência, notifique sua seguradora cibernética, preserve registros, backups e correspondências, mapeie os danos e as partes potencialmente responsáveis ​​e informe clientes, funcionários e parceiros da cadeia de suprimentos com cuidado e em tempo hábil.