Se você é empresário ou gestor, me responda com sinceridade: quando você ouve falar sobre a LGPD (Lei Geral de Proteção de Dados) ou sobre a ANPD (Autoridade Nacional de Proteção de Dados), qual é a primeira coisa que passa pela sua cabeça?
Seja honesto. Para muitos, a resposta é um suspiro discreto acompanhado do pensamento: “Isso é coisa para multinacional, banco ou gigante da tecnologia. Minha empresa é menor, ninguém vai querer nos atacar. Por que eu gastaria tempo e dinheiro com isso agora?”.
É uma reação comum. No dia a dia de quem toca um negócio, existem mil incêndios para apagar: fluxo de caixa, vendas, contratações, fornecedores. Pensar em segurança cibernética e privacidade de dados parece um luxo distante. Até que a realidade bate à porta de forma devastadora.
O caso real que deveria fazer qualquer empresário perder o sono
Nesta última semana, a ANPD instaurou um processo administrativo sancionador (um processo que pode resultar em multas pesadíssimas e suspensão de atividades) contra uma organização que talvez você nunca tenha ouvido falar, mas que gere unidades de saúde no Brasil inteiro: o Instituto Saúde e Cidadania (Isac).
O motivo? Um ataque de ransomware — aquele em que hackers invadem o sistema, criptografam (bloqueiam) tudo e cobram um “resgate” em dinheiro para devolver o acesso. No caso deles, o ataque comprometeu os dados de nada menos que 500 mil pacientes, incluindo informações sensíveis como históricos médicos, exames e receitas de quase 80 mil crianças e mais de 47 mil idosos.
Mas aqui está o “pulo do gato” que todo empresário precisa entender: o problema não foi apenas o ataque hacker em si. O grande problema foi o que veio depois.
De acordo com a fiscalização da ANPD, a entidade falhou em pontos básicos que a lei exige de qualquer um que guarde dados de terceiros:
1) Falta de medidas prévias de segurança: Não bastava ter “um antivírus instalado”. É preciso comprovar que existiam processos administrativos e técnicos robustos para evitar o pior.
2) Silêncio em vez de transparência: Quando o problema aconteceu, a organização não comunicou individualmente e de forma adequada os pacientes afetados. Limitaram-se a colocar um aviso genérico no site — o que a ANPD considerou totalmente insuficiente.
3) Falta de comprovação técnica: Ao ser questionado, o instituto alegou que “não havia risco relevante” porque os invasores só acessaram bancos de dados antigos e contratos encerrados. Mas sabe qual foi o problema? Eles não conseguiram provar isso tecnicamente para a fiscalização.
Resultado: Agora a empresa enfrenta um processo de sanção oficial. As penalidades previstas na LGPD vão desde advertências públicas até multas de 2% do faturamento (limitadas a R$ 50 milhões por infração) e a proibição de tratar dados de clientes — o que, na prática, pode simplesmente obrigar uma empresa a fechar as portas.
“E se fosse com a minha empresa?”
Respire fundo e faça um exercício mental rápido. Imagine que você chega para trabalhar na segunda-feira de manhã, liga o seu computador e se depara com uma tela preta escrita em inglês, dizendo que todos os seus arquivos foram bloqueados e que você precisa pagar um resgate de milhares de dólares em Bitcoin para recuperá-los.
O pânico se instala. Você não consegue ver sua lista de clientes, não acessa seu fluxo de caixa, não sabe quais notas fiscais precisa emitir. Suas operações param.
Agora, some a esse caos o seguinte cenário: duas semanas depois, uma notificação da ANPD chega ao seu e-mail institucional dando um prazo curto para você explicar o que aconteceu. Ela quer saber:
a) Quais medidas você tomava para evitar esse ataque?
b) Onde está o relatório de impacto de proteção de dados que sua empresa deveria ter preenchido?
c) Quem é o Encarregado de Proteção de Dados (DPO) nomeado pela sua empresa?
d) Como você avisou cada um dos seus clientes que o CPF ou e-mail deles pode ter sido vazado?
Se a sua resposta a essas perguntas for o silêncio, a sua empresa estará diante de um abismo financeiro e reputacional.
O maior perigo não é o hacker. É a negligência.
Muitos empresários acreditam que “segurança da informação” é um problema de TI. Não é. É um problema de gestão e sobrevivência do negócio.
Os hackers hoje usam ferramentas automatizadas que varrem a internet inteira procurando qualquer porta aberta. Eles não escolhem o alvo pelo tamanho do faturamento; eles escolhem pela facilidade do acesso. E se a sua empresa não tem o básico de governança de privacidade, você se torna o alvo perfeito.
A lição que o caso do Isac nos deixa é cristalina: a ANPD está de olho e ela está fiscalizando de verdade. Não espere o pior acontecer para descobrir o tamanho do prejuízo.