O nexo causal nos vazamentos de dados e a topografia do dano moral: uma releitura a partir de Maria Celina Bodin de Moraes

O nexo causal nos vazamentos de dados e a topografia do dano moral: uma releitura a partir de Maria Celina Bodin de Moraes

Há algo de incômodo na forma como a jurisprudência brasileira tem tratado a responsabilidade civil decorrente de vazamentos de dados pessoais. Decisões que negam qualquer reparação sob o argumento de que o titular não comprovou prejuízo concreto, reduzindo o dano moral à categoria do mero aborrecimento. Decisões que condenam o controlador ao pagamento de indenizações simbólicas ainda que diante de incidentes massivos, como se a multiplicação dos titulares atingidos diluísse, e não agravasse, a gravidade do ilícito. Em ambos os polos, percebe-se uma dificuldade estrutural: a teoria clássica do nexo causal, construída para acidentes singulares com vítimas individualizáveis e prejuízos materialmente verificáveis, não responde adequadamente ao fenômeno dos vazamentos, em que o dano se distribui no tempo, no espaço e entre múltiplos agentes potencialmente concorrentes.

A questão que pretendo enfrentar é precisamente esta: como reconstruir a categoria do nexo causal, e a partir dela a configuração do dano moral, quando o evento danoso consiste no comprometimento da confidencialidade de bases de dados? A resposta exige enfrentar duas frentes simultaneamente. A primeira é dogmática, relativa à imputação. A segunda é axiológica, relativa àquilo que efetivamente se lesa quando dados pessoais são expostos. É nesta segunda frente que o diálogo com Maria Celina Bodin de Moraes se torna indispensável.

A doutrina de Bodin de Moraes sobre o dano moral, especialmente como formulada em sua obra sobre danos à pessoa humana, parte de uma reconstrução do instituto a partir da cláusula geral de tutela da pessoa, ancorada no princípio da dignidade humana enquanto síntese dos valores constitucionais fundamentais. O dano moral, nesta leitura, não é uma categoria residual destinada a abrigar prejuízos não patrimoniais quaisquer, mas a forma técnica pela qual o ordenamento reconhece a lesão a um dos substratos materiais da dignidade, que a autora desdobra nos corolários da igualdade, da integridade psicofísica, da liberdade e da solidariedade. Esta arquitetura conceitual é decisiva para o enfrentamento do dano informacional, porque desloca a discussão do plano da prova do prejuízo concreto para o plano da identificação do interesse existencial lesado.

Quando ocorre um vazamento de dados, o que efetivamente se compromete? A resposta convencional, e a meu ver insatisfatória, costuma apontar para o risco de utilização fraudulenta dos dados expostos, transformando o dano em algo eventual, futuro e probabilístico. Esta resposta opera uma redução patrimonialista do fenômeno, pois condiciona a reparação a uma materialização ulterior que pode jamais ocorrer, e que, se ocorrer, será atribuível a terceiros estelionatários cuja identificação raramente é possível. O resultado prático desta concepção é a impunidade sistêmica dos controladores negligentes, porque o ônus probatório recai sobre o titular em uma cadeia causal que ele jamais terá condições de reconstruir.

A leitura bodiniana permite romper este impasse. Se a dignidade se concretiza, entre outros eixos, no respeito à integridade psicofísica e na garantia da liberdade, e se a proteção de dados pessoais constitui projeção contemporânea destes substratos, o vazamento em si, independentemente de qualquer utilização posterior, já configura lesão ao bem juridicamente tutelado. O que se viola não é a expectativa de não vir a ser fraudado, mas a posição existencial de controle sobre a própria narrativa informacional, posição que integra o núcleo da personalidade tal como hoje a compreendemos.

A reformulação proposta exige, contudo, mais do que a redefinição do interesse lesado. Exige também repensar o nexo causal. A doutrina tradicional, ancorada na causalidade adequada ou na causalidade direta e imediata, opera bem em estruturas binárias, nas quais um ato identificável de um sujeito identificável produz um resultado identificável em uma vítima identificável. Os vazamentos de dados subvertem cada um destes pressupostos. O ato pode ser uma omissão prolongada em adotar medidas de segurança razoáveis. O sujeito pode ser uma cadeia de controladores e operadores ligados por contratos de tratamento. O resultado pode ser difuso, manifestando-se em microlesões à liberdade decisória do titular ao longo do tempo. E a vítima é frequentemente uma coletividade de titulares cuja unidade só se constitui retrospectivamente, após a descoberta do incidente.

Diante desta complexidade, sustento que o nexo causal nos vazamentos deve ser compreendido como categoria axiologicamente orientada, não como dado empírico a ser reconstruído pela prova pericial. Trata-se de identificar, no curso dos eventos, qual conduta deveria, segundo o padrão de diligência exigível, ter sido adotada para evitar o resultado, e de imputar o resultado a quem se afastou deste padrão. Esta operação aproxima a responsabilidade civil informacional da lógica da imputação objetiva, e dialoga com o que Bodin de Moraes constrói ao tratar do dano moral como categoria que reclama um juízo de merecimento. O nexo, aqui, não se descobre, ele se constrói normativamente.

Esta construção tem implicações concretas. A inadmissibilidade da excludente fundada em fato exclusivo de terceiro, quando este terceiro é precisamente o agente cuja ação maliciosa o controlador deveria ter previsto e mitigado, é a mais imediata delas. Sustentar que o ataque cibernético rompe o nexo causal equivale a sustentar que o assalto a um banco mal protegido rompe o nexo entre a negligência do banco e o prejuízo dos correntistas, raciocínio que a jurisprudência consumerista há muito superou. Há ainda a questão do operador: sua responsabilidade não se constrói por derivação do controlador, mas por contribuição autônoma à cadeia de tratamento, com nexo próprio entre sua conduta e o resultado lesivo.

A partir destes pressupostos, proponho uma topografia do dano moral nos incidentes de tratamento irregular, organizada em camadas que se sobrepõem e que devem ser apreciadas conjuntamente pelo intérprete. A primeira, que designo dano de exposição, configura-se no instante mesmo do vazamento, consistente na perda do controle sobre a informação pessoal e na quebra da legítima expectativa de confidencialidade. Este dano é in re ipsa no sentido próprio do termo, pois decorre do próprio fato lesivo e dispensa demonstração ulterior. Aqui, a contribuição bodiniana é clara: lesa-se a dignidade na sua dimensão de autodeterminação, e a reparação cumpre função simultaneamente compensatória e pedagógica.

A segunda camada, que denomino dano de vulnerabilização, refere-se ao estado de exposição permanente em que o titular passa a viver após o vazamento, sujeito a ataques posteriores cuja origem ele jamais conseguirá reconstruir. Trata-se de dano que se prolonga no tempo, e cuja apreciação demanda do juiz uma valoração da extensão temporal da lesão, não para condicioná-la a eventos futuros, mas para dimensioná-la na proporção da projeção existencial do prejuízo. A leitura de Bodin de Moraes sobre a integridade psicofísica como substrato da dignidade é particularmente útil aqui, porque permite reconhecer que a permanência em estado de alerta, a necessidade de monitorar transações, a desconfiança em relação a comunicações eletrônicas, todas estas consequências configuram lesão à integridade do titular, ainda que não se materializem em sintomas clínicos.

A terceira camada, que chamo de dano de instrumentalização, configura-se quando os dados vazados efetivamente são utilizados para fins ilícitos contra o titular, transformando-o em meio para a realização de interesses alheios. Esta camada não é eventual em relação às anteriores no sentido de só existir quando elas falham, mas constitui agravamento autônomo merecedor de quantificação específica. O que se viola aqui é a dimensão kantiana da dignidade que Bodin de Moraes recupera com particular rigor, segundo a qual a pessoa não pode ser tratada como mero meio.

Resta enfrentar a questão das excludentes. A Lei Geral de Proteção de Dados, em seu artigo 43, prevê hipóteses que afastam a responsabilidade do agente de tratamento. Tem-se observado, contudo, uma tentativa recorrente de ampliação destas excludentes para abrigar situações que delas não se aproximam. Sustenta-se, por exemplo, que o ataque cibernético configuraria fortuito externo, equiparável a fenômenos da natureza. Esta equiparação é dogmaticamente equivocada, porque desconsidera que a possibilidade de ataques integra o próprio risco profissional da atividade de tratamento de dados, sendo previsível em alto grau e mitigável por medidas técnicas e organizacionais cuja exigibilidade decorre do princípio da segurança consagrado na própria lei.

A excludente fundada na inexistência de tratamento também tem sido manejada de forma elástica, particularmente para afastar a responsabilidade quando o vazamento se dá em ambiente de terceiro contratado. Esta tentativa esbarra na arquitetura da responsabilidade solidária entre controlador e operador, que decorre da própria natureza funcional da relação. O controlador que terceiriza tratamento sem auditar a segurança do operador não se exime, apenas distribui o ônus interno da reparação.

A reconstrução proposta permite formular três critérios interpretativos. O primeiro é o da imputação normativamente orientada: o nexo causal nos vazamentos deve ser estabelecido a partir da identificação da conduta esperada, não da reconstrução factual da cadeia de eventos. O segundo é o da estratificação do dano: a reparação deve considerar conjuntamente as camadas de exposição, vulnerabilização e instrumentalização, dimensionando cada uma a partir do interesse existencial específico lesado. O terceiro é o da interpretação restritiva das excludentes informacionais: as hipóteses de exoneração devem ser lidas em conformidade com a função do sistema de responsabilidade, que é a tutela efetiva da pessoa em sua dimensão informacional.

O diálogo com Maria Celina Bodin de Moraes, neste percurso, não foi de mera citação. Sua construção do dano moral como lesão à dignidade nos seus substratos materiais foi tensionada para responder a um fenômeno que ela própria não tratou diretamente, mas para o qual sua arquitetura conceitual oferece o instrumental adequado. O que se propõe é a extensão funcional de sua doutrina para o campo informacional, reconhecendo que a dignidade contemporânea comporta uma dimensão de controle narrativo sobre os próprios dados, e que a violação desta dimensão configura dano moral em sentido técnico, merecedor de tutela reparatória autônoma, não condicionada à comprovação de prejuízos materializados em eventos futuros.