Fraudes envolvendo clientes, consumidores e usuários fazem parte da realidade de muitas empresas. Uso indevido de credenciais, invasão de contas, alteração de dados cadastrais, contratação em nome de terceiros e transações não reconhecidas são apenas alguns exemplos.
Mas existe uma pergunta que nem sempre é feita quando uma fraude é identificada:
Essa fraude também pode representar um incidente de segurança envolvendo dados pessoais?
A resposta depende das circunstâncias do caso. E fazer essa análise é importante porque um evento inicialmente tratado apenas pelas áreas de fraude, segurança ou atendimento ao cliente pode também gerar consequências relacionadas à Lei Geral de Proteção de Dados (LGPD) e às normas da Autoridade Nacional de Proteção de Dados (ANPD).
Quando uma fraude pode ser um incidente de segurança?
Imagine que um fraudador consiga acessar indevidamente a conta de um cliente. Após o acesso, ele consulta informações pessoais, altera dados cadastrais e realiza determinada operação em nome do titular.
Nesse cenário, a empresa pode estar diante de mais do que uma fraude.
O acesso não autorizado aos dados pode representar comprometimento de sua confidencialidade. A alteração indevida das informações, por sua vez, pode comprometer sua integridade.
Esses elementos são relevantes para avaliar se o evento também deve ser tratado como um incidente de segurança envolvendo dados pessoais.
Por isso, a investigação não deveria se limitar à pergunta:
“Houve fraude?”
É necessário avançar:
Como a fraude aconteceu e quais dados pessoais foram envolvidos?
Fraude e incidente de segurança não devem ser analisados isoladamente
Nem toda ocorrência envolvendo fraude terá necessariamente as mesmas consequências sob a ótica da proteção de dados. O ponto central é compreender a dinâmica do evento.
Entre as questões que podem fazer parte dessa investigação estão:
- Como o fraudador conseguiu realizar a operação?
- Houve acesso não autorizado a sistemas ou contas?
- Credenciais de acesso foram comprometidas?
- Quais dados pessoais foram visualizados, utilizados ou alterados?
- Houve comprometimento da confidencialidade, integridade ou disponibilidade dos dados?
- Quantos titulares podem ter sido afetados?
- O mesmo método pode ter sido utilizado contra outros clientes?
- O evento pode gerar risco ou dano relevante aos titulares?
Essas respostas são importantes para determinar a natureza do evento e quais medidas técnicas, operacionais e jurídicas precisam ser adotadas.
O problema de tratar a fraude apenas como uma perda financeira
Em algumas organizações, uma denúncia de fraude percorre um caminho relativamente previsível: atendimento ao cliente, área antifraude, segurança ou departamento financeiro.
O problema surge quando o evento é encerrado assim que a operação é bloqueada ou o prejuízo financeiro é solucionado.
A fraude pode ter sido contida, mas uma questão permanece:
Houve comprometimento de dados pessoais?
Se essa pergunta não for feita, a organização corre o risco de deixar de identificar um incidente de segurança e, consequentemente, de realizar as avaliações exigidas pela legislação de proteção de dados.
É por isso que as áreas de Prevenção a Fraudes, Segurança da Informação, Privacidade, Jurídico, Compliance e Atendimento precisam trabalhar de maneira coordenada.
Identificamos um incidente. É obrigatório comunicar à ANPD?
A identificação de um incidente envolvendo dados pessoais não significa, automaticamente, que todo evento deva ser comunicado à ANPD.
A LGPD estabelece, em seu artigo 48, a comunicação à Autoridade Nacional e ao titular quando o incidente de segurança puder acarretar risco ou dano relevante aos titulares.
A regulamentação da ANPD sobre comunicação de incidentes de segurança estabelece critérios e procedimentos que precisam ser considerados nessa avaliação.
Por isso, a organização deve analisar o evento de maneira estruturada, considerando aspectos como a natureza dos dados envolvidos, as possíveis consequências para os titulares, a extensão do incidente e as medidas adotadas para sua contenção.
Em outras palavras: antes de decidir se comunica ou não, a empresa precisa investigar, classificar e documentar adequadamente o ocorrido.
Sua empresa está preparada para identificar quando uma fraude também envolve proteção de dados?
Uma boa gestão de incidentes não começa no momento de preencher uma comunicação à ANPD.
Ela começa muito antes.
Começa com processos internos capazes de identificar eventos relevantes, preservar evidências, envolver as áreas responsáveis, avaliar riscos, documentar decisões e responder de maneira rápida e coordenada.
E isso inclui estabelecer procedimentos para que uma ocorrência inicialmente classificada como fraude também seja analisada sob a perspectiva da privacidade e da proteção de dados pessoais, quando houver elementos que indiquem essa possibilidade.
Fraude pode ser o primeiro sinal de um problema maior.
Se sua empresa identificou uma fraude envolvendo clientes, usuários ou dados pessoais e existem dúvidas sobre a caracterização de um incidente de segurança, a CLR Advocacia pode auxiliar na análise jurídica do evento, avaliação dos riscos, definição das medidas de resposta e verificação de eventual necessidade de comunicação à ANPD e aos titulares.
Não espere a dúvida sobre um incidente se transformar em um problema maior.
Entre em contato com a CLR Advocacia e converse com nossa equipe sobre a gestão jurídica de incidentes de segurança e proteção de dados pessoais.
