Enunciado
A rede de farmácias Droga Saúde Eterna S.A. sofreu um ataque cibernético que resultou no vazamento de dados pessoai s e sensíveis de milhares de consumidores. Entre as informações divulgadas estavam nome, CPF, idade, histórico de medicamentos adquiridos, doenças e receitas médicas. A sociedade empresária, ao tomar conhecimento do incidente, comunicou o fato à Agência Na cional de Proteção de Dados (ANPD) e aos titulares afetados, cumprindo o dever previsto na Lei nº 13.709/2018 (LGPD). O consumidor Guilherme, que estava entre os afetados, buscou esclarecimentos junto à farmácia, que lamentou o ocorrido e atribuiu o evento a terceiros, alegando ataque hacker inevitável. Inconformado, Guilherme ajuizou ação de indenização por danos materiais e morais, com fundamento na Lei Geral de Proteção de Dados (LGPD) e no Código de Defesa do Consumidor (CDC). Sobre a hipótese, com base na jurisprudência do Superior Tribunal de Justiça (STJ), na LGPD e no CDC, assinale a afirmativa correta.
Alternativas
- A.A rede de farmácias não responde civilmente, pois o ataque hacker configura fortuito externo, rompendo o nexo causal e afastand o a responsabilidade do controlador de dados.
- B.A responsabilidade civil por vazamento de dados é subjetiva, exigindo a comprovação de culpa ou dolo do fornecedor na guarda das informações pessoais.
- C.A rede de farmácias responde objetivamente pelos da nos, uma vez que o ataque cibernético constitui fortuito interno, inerente ao risco da atividade, e o tratamento de dados sensíveis atrai o dever reforçado de segurança previsto na LGPD e no CDC.
- D.A responsabilidade da rede de farmácias é subsidiária, d evendo o consumidor acionar primeiramente o agente causador direto do dano, no caso, os hackers.
- E.A ocorrência do vazamento e a comunicação à ANPD são suficientes para afastar qualquer responsabilidade civil da sociedade empresária, já que houve o cumpr imento do dever legal de transparência.
Gabarito: alternativa correta destacada.
Comentario
Por que as demais estao erradas:
A) Está errada porque, em regra, nas relações de consumo e no tratamento de dados, o fornecedor/controlador tem dever de segurança, não bastando invocar genericamente ataque de terceiro para afastar a responsabilidade.
B) Está errada porque o CDC adota responsabilidade objetiva do fornecedor por defeito na prestação do serviço, especialmente quando há falha de segurança no tratamento de dados de consumidores.
C) Está errada, segundo o gabarito oficial, embora corresponda ao entendimento usual de que vazamento de dados pode configurar risco inerente à atividade e atrair responsabilidade objetiva quando demonstrados dano e nexo causal.
E) Está errada porque a comunicação à ANPD e aos titulares é dever legal de transparência e mitigação, mas não exclui automaticamente eventual responsabilidade civil pelos danos causados.