"Os agentes de tratamento não serão responsabilizados quando provarem que o dano é decorrente de culpa de terceiro".
A questão central que merece ser endereçada é até que ponto o custodiante das informações, na figura prevista pela LGPD como o controlador dos dados, é responsável por danos advindos de ataques de ransomware?
Em especial, nos casos em que a organização tenha tomado medidas prévias para proteger seu ambiente tecnológico, com a implementação de ferramentas e processos de segurança da informação, é possível punir o controlador por atos criminosos praticados por terceiros?
Basta ver que nem mesmo as melhores defesas estão imunes a falhas ou podem garantir que ataques sofisticados sejam efetivamente impedidos, como comprova o ataque bem-sucedido perpetrado este ano contra a FireEye, uma das mais renomadas consultorias de segurança cibernética do mundo.
Até mesmo um carro blindado cede a um tiro de bazuca ou a vários tiros disparados exatamente no mesmo lugar. Quando o criminoso ainda possui o suporte de outras nações, como parece ser o caso de diversos grupos que realizam ataques de ransomware, nem mesmo o Iron Dome seria suficiente.
Responsabilizar o agente de tratamento pelo incidente de segurança causado por um ataque de ransomware nessas circunstâncias criaria um precedente perigoso, inclusive para o próprio Estado, que é alvo constante desse tipo de ato criminoso.
Afinal, se não há defesa perfeita, nem como garantir proteção total contra eventuais ataques, culpar o motorista do carro em razão da blindagem não ter sido capaz de deter o tiro de bazuca pode ser temerário.