Vazaram dados como nome, filiação, CPF, endereço, e-mail, telefone e, o detalhe que muda tudo, o valor exato da fatura de energia de cada um. A empresa comunicou a Agência Nacional de Proteção de Dados(ANPD), a ANEEL – Agência Nacional de Energia Elétrica e a polícia, bloqueou o acesso e mandou um aviso individual para os afetados orientando que ficassem atentos a possíveis golpes.
Repare nessa última parte, porque é nela que mora o ponto que quase ninguém discute.
➙ Quando a empresa avisa o cliente para “ficar atento”, ela está, na prática, transferindo para a vítima a tarefa de administrar um risco que nasceu dentro da operação dela. E esse risco não é abstrato!
Com nome, telefone e o valor certo da conta de luz, um golpista liga citando a sua fatura exata, emite um boleto idêntico ao da concessionária e oferece um Pix com desconto que parece perfeitamente real. Ninguém cai nesse golpe por ser desatento. Cai porque a abordagem é precisa, e a precisão pode vir do dado que vazou.
O que me interessa aqui é o que vem depois do incidente. A partir do aviso, cada um desses 135 mil clientes passa a gastar tempo e atenção conferindo se o boleto é verdadeiro, se a ligação é real, se o Pix vai para o CNPJ certo.
Esse esforço tem nome no direito do consumidor, chama-se desvio produtivo, e os tribunais já vêm tratando isso como dano concreto. Ou seja, o vazamento se prolonga na rotina de quem precisa viver em estado de alerta por causa de uma falha que não foi sua.
E é aí que esse caso conversa com o que venho escrevendo sobre comportamento e integração organizacional. A engenharia social não invade o sistema, ela conversa com a pessoa. Explora a pressa, o medo de ficar sem luz, a confiança na marca. Por isso treinar o usuário é indispensável, mas a conversa não pode parar nele.
Jogar toda a responsabilidade no comportamento do cliente final é cômodo para a empresa e, do ponto de vista jurídico, é frágil, porque a obrigação de guardar o dado com segurança é de quem coletou o dado, não de quem o entregou para receber um serviço.
A lição que tiro do caso Cemig é que segurança da informação não se resolve com um comunicado depois do vazamento, e tampouco terceirizando a vigilância para a vítima. Ela se constrói antes, na forma como a empresa integra sua áreas, treina suas pessoas e trata o dado do cliente como algo que está sob a sua guarda, não sob a atenção dele.
É uma honesta reflexão, portanto, se quando a empresa pede que o cliente “fique atento”, ela está oferecendo uma orientação a mais, ou está transferindo para ele um risco que deveria ter sido contido antes de existir.
Por Flavia Presgrave, Sócia de Martorelli Advogados
