A Caixa Econômica Federal recorreu da decisão da 1ª Vara Cível Federal de São Paulo que determinou o pagamento de indenização de R$ 15 mil a cerca de 3,7 milhões de beneficiários do programa Auxílio Brasil por causa de um vazamento de dados pessoais em 2022.

A determinação é do juiz Marco Aurelio de Mello Castrianni em ação proposta pelo Instituto de Defesa da Proteção de Dados Pessoais, Compliance e Segurança da Informação. A ação recebeu parecer favorável do Ministério Público Federal (MPF)

A Caixa informou que não identificou, em análise preliminar, vazamento de dados sob sua guarda. O banco ressaltou que possui infraestrutura adequada à manutenção da integridade de sua base de dados e da segurança dos sistemas do Cadastro Único, garantindo o cumprimento da LGPD (Lei Geral de Proteção de Dados). A Caixa diz ainda que "segue apurando a situação e, caso se constate eventual irregularidade, adotará as medidas cabíveis, com as devidas responsabilizações".

Além da Caixa e da União, também são réus a Autoridade Nacional de Proteção de Dados (ANPD) e a Dataprev, empresa de tecnologia do governo federal. A ANPD informou, por meio de nota, que "caberá recurso sobre essa decisão e que a ANPD poderá se manifestar e avaliar quais as providências serão tomadas, só quando formalmente notificada. A Dataprev ainda não se pronunciou.

Dados vazados

O vazamento incluía informações de endereço, número de celular, data de nascimento, valor do benefício recebido, NIS (Número de Identificação Social) e informações sobre os cadastros dos beneficiários no SUS (Sistema Único de Saúde), como o CadSUS.

Na ação, o Instituto argumentou que os dados eram foram divulgados ilegalmente a correspondentes bancários, que usaram as informações para oferecer empréstimos e outros produtos financeiros.

Além da indenização, a 1ª Vara Cível Federal de São Paulo determinou que os réus paguem R$ 40 milhões por danos morais coletivos. O valor deve ser revertido ao Fundo de Defesa dos Direitos Difusos.

As empresas e órgãos públicos também devem comunicar formalmente aos titulares dos dados a ocorrência do vazamento, além de explicar as medidas adotadas para mitigar as consequências e os planos para solucionar eventuais riscos.

A decisão judicial estabeleceu ainda a revisão dos sistemas de armazenamento de dados, o desenvolvimento de mecanismos de segurança e controle preventivo.