Vazamento de Dados por Funcionário: Responsabilidade da Empresa Perante a LGPD
Funcionário que leva dados de clientes ao sair da empresa expõe a companhia à LGPD. Veja quando a empresa responde e como reduzir esse risco.
Um cenário cada vez mais comum: um funcionário leva consigo, ao sair da empresa, uma planilha com dados de clientes, ou encaminha essas informações para um e-mail pessoal antes de pedir demissão. A empresa, mesmo sem ter agido de má-fé, pode responder por esse vazamento perante a Lei Geral de Proteção de Dados.
Por que a empresa responde por ato de funcionário
A LGPD trata a empresa como controladora dos dados pessoais que ela coleta e trata, e essa condição de controladora traz responsabilidade sobre a segurança desses dados independentemente de quem, dentro da estrutura da empresa, tenha causado o vazamento. Isso significa que a falha de um funcionário isolado pode gerar responsabilidade da pessoa jurídica como um todo.
O que caracteriza a falha de segurança nesses casos
Se a empresa não tinha controles mínimos de acesso a dados sensíveis, como restrição por cargo, monitoramento de exportação de arquivos ou política clara sobre uso de dados de clientes, essa ausência de medida de segurança tende a ser interpretada como parte da causa do incidente, não apenas conduta isolada do funcionário.
Medidas que reduzem esse risco
- Restringir o acesso a dados de clientes conforme a real necessidade de cada função dentro da empresa.
- Registrar contratualmente, no termo de confidencialidade do funcionário, a responsabilidade sobre dados pessoais tratados.
- Monitorar movimentações incomuns de exportação de dados em sistemas internos, sempre respeitando a legislação trabalhista.
- Ter um protocolo interno claro de desligamento, revogando acessos no exato momento da saída do colaborador.
O que fazer quando o vazamento já aconteceu
Identificado o vazamento, a empresa precisa avaliar rapidamente a extensão do incidente, contendo o acesso indevido e documentando tudo o que for apurado. Dependendo do risco aos titulares dos dados, pode haver obrigação de comunicar a Autoridade Nacional de Proteção de Dados e os próprios titulares afetados, dentro de prazo razoável após a ciência do incidente.
O funcionário que vaza dados comete uma falha pessoal. A empresa que não tinha controle sobre isso comete uma falha estrutural, e é essa segunda falha que a LGPD cobra.
Rodrigo Kfouri Laurindo é advogado e sócio fundador da Farah & Laurindo Sociedade de Advogados, mediador e árbitro. Atua nacionalmente em compliance e proteção de dados empresariais.
Perguntas frequentes
A empresa responde se um funcionário vazar dados de clientes por conta própria?
Em regra sim, já que a empresa é controladora dos dados e responde pela ausência de medidas de segurança adequadas, independentemente de quem causou o vazamento.
O que fazer imediatamente após identificar um vazamento de dados?
Conter o acesso indevido, documentar o incidente e avaliar rapidamente se há obrigação de comunicar a ANPD e os titulares afetados.
Termo de confidencialidade reduz o risco desse tipo de vazamento?
Ajuda a formalizar a responsabilidade do funcionário, mas não substitui controles técnicos de acesso e monitoramento adequados.
Revogar acessos no desligamento do funcionário é obrigatório?
É uma medida de segurança essencial e fortemente recomendada, reduzindo de forma direta o risco de vazamento por ex-funcionário.
Rodrigo Kfouri Laurindo
Advogado, sócio da Farah & Laurindo Sociedade de Advogados, com atuação em direito tributário, empresarial e patrimonial. Mediador e árbitro certificado.
Farah & Laurindo Sociedade de Advogados