La récente décision de la Cour supérieure de justice (STJ) dans l'affaire n° 2 147 374 a mis en lumière un débat fondamental pour le paysage juridique et commercial brésilien : la responsabilité des entreprises en matière de protection des données personnelles. L'affaire concernait Enel , reconnue responsable de la fuite de données personnelles non sensibles d'un consommateur, bien qu'elle ait affirmé que l'incident résultait d'une cyberattaque.
La Cour supérieure de justice (STJ) a conclu que l'entreprise n'avait pas pris les mesures adéquates pour protéger ses informations, réaffirmant ainsi que la sécurité des données n'est pas une option, mais une obligation légale inaliénable. Autrement dit, même en cas d'événements extérieurs, comme les cyberattaques, la décision souligne qu'il incombe aux entreprises de prouver qu'elles ont déployé tous les efforts raisonnables pour prévenir de tels incidents.
Cette interprétation élargit le champ d’application de la loi générale sur la protection des données (LGPD) et place les entreprises dans un scénario de plus grande responsabilité juridique. Ne pas démontrer l'adoption de pratiques de sécurité robustes peut entraîner non seulement des sanctions financières, mais également des dommages irréparables à la réputation de la marque.
Avec l'adoption de la modification constitutionnelle n° 115/2022 , la protection des données a été élevée au rang de droit fondamental au Brésil, au même titre que la liberté et le droit à la vie privée. Autrement dit, cette évolution consacre la protection des données personnelles comme un élément essentiel de la dignité humaine et témoigne de l'engagement de l'État en faveur de la sécurité numérique.
L’affaire Enel a donc illustré cette évolution en considérant la sécurité des données comme partie intégrante des activités commerciales. La Cour a souligné que les incidents de sécurité, tels que les violations de données, sont directement liés au cœur de métier de l’entreprise. Selon la Cour supérieure de justice (STJ), ils représentent des risques inhérents aux pratiques commerciales, exigeant une gestion rigoureuse et attentive.
De plus, cette décision crée un précédent important en stipulant que les entreprises doivent démontrer non seulement une conformité formelle, mais aussi une gestion proactive des risques. Cela implique d'investir dans l'infrastructure technologique, d'adopter des politiques internes rigoureuses et de réaliser des audits fréquents.
Sous cet aspect, la doctrine s’est exprimée comme suit :
« La nouvelle loi, suivant la réglementation européenne, introduit toutefois un changement profond en matière de responsabilité. (...) En bref, elle exige des entreprises une attitude consciente, rigoureuse et proactive quant à l'utilisation des données personnelles. Ainsi, dès août 2020, date d'entrée en vigueur de la LGPD, toute entreprise traitant des données personnelles devra non seulement se conformer à la loi, mais aussi prouver sa conformité. Il appartiendra aux entreprises, et non plus à l'administration publique, d'identifier leurs propres risques et de choisir et appliquer les mesures appropriées pour les atténuer. » (Maria Celina Bodin de Moraes et João Quinelato de Queiroz, « Autodétermination informative et responsabilité proactive », Cadernos Adenauer XX (2019) n° 3, p. 113).
La négligence en matière de protection des données peut générer une série de conséquences néfastes pour les entreprises. Parmi les principaux risques figurent :
Le cas Enel illustre clairement comment l’absence d’une politique de sécurité efficace peut exposer l’organisation à de graves conséquences. Le STJ a précisé que les entreprises doivent être prêtes à démontrer, à tout moment, que leurs pratiques sont conformes aux principes de la LGPD, tels que la prévention, la transparence et la sécurité.
Répondre aux exigences de la LGPD ne consiste pas seulement à éviter les sanctions, mais aussi à protéger les intérêts de toutes les parties impliquées. Pour y parvenir, il est essentiel d’intégrer la protection des données dans toutes les opérations commerciales, en adoptant une approche large et stratégique. Les actions clés comprennent :
Ainsi, en plus d’éviter des sanctions et des poursuites, le respect de la LGPD peut devenir un atout stratégique pour les entreprises.
Les entreprises qui traitent les données de manière transparente et s’engagent en faveur de la sécurité renforcent la confiance des consommateurs et des partenaires. Cette position crée un différenciateur concurrentiel dans un marché de plus en plus numérique et interconnecté. Lorsqu’elles agissent de manière éthique et responsable dans l’utilisation des données, les entreprises deviennent des références dans le secteur, attirent des clients et construisent des partenariats fondés sur de solides pratiques de gouvernance.
La décision du STJ dans l'affaire Enel a donc marqué l'interprétation de la LGPD et alerté le marché. Négliger la protection des données compromet non seulement le respect de la loi, mais aussi la confiance des consommateurs, des employés et des investisseurs. Dans le scénario actuel des entreprises, les entreprises doivent agir conformément à la LGPD pour garantir la pérennité de leur activité.
Si votre entreprise n'est pas encore prête à relever les défis imposés par la LGPD, contactez-nous.
Publié par:
© 2024 Vanzin & Penteado Advogados Associados.
