Questão FC602000
A rede de farmácias Droga Saúde Eterna S.A. sofreu um ataque cibernético que resultou no vazamento de dados pessoais e sensíveis de milhares de consumidores. Entre as informações d
Lei nº 13.709/2018 - Lei Geral de Proteção de Dados Pessoais (LGPD)
FGV · 2025
A rede de farmácias Droga Saúde Eterna S.A. sofreu um ataque cibernético que resultou no vazamento de dados pessoais e sensíveis de milhares de consumidores.
Entre as informações divulgadas estavam nome, CPF, idade, histórico de medicamentos adquiridos, doenças e receitas médicas. A sociedade empresária, ao tomar conhecimento do incidente, comunicou o fato à Agência Nacional de Proteção de Dados (ANPD) e aos titulares afetados, cumprindo o dever previsto na Lei nº 13.709/2018 (LGPD).
O consumidor Guilherme, que estava entre os afetados, buscou esclarecimentos junto à farmácia, que lamentou o ocorrido e atribuiu o evento a terceiros, alegando ataque hacker inevitável. Inconformado, Guilherme ajuizou ação de indenização por danos materiais e morais, com fundamento na Lei Geral de Proteção de Dados (LGPD) e no Código de Defesa do Consumidor (CDC).
Sobre a hipótese, com base na jurisprudência do Superior Tribunal de Justiça (STJ), na LGPD e no CDC, assinale a afirmativa correta.
- A rede de farmácias não responde civilmente, pois o ataque hacker configura fortuito externo, rompendo o nexo causal e afastando a responsabilidade do controlador de dados.
- A responsabilidade civil por vazamento de dados é subjetiva, exigindo a comprovação de culpa ou dolo do fornecedor na guarda das informações pessoais.
- A rede de farmácias responde objetivamente pelos danos, uma vez que o ataque cibernético constitui fortuito interno, inerente ao risco da atividade, e o tratamento de dados sensíveis atrai o dever reforçado de segurança previsto na LGPD e no CDC.
- A responsabilidade da rede de farmácias é subsidiária, devendo o consumidor acionar primeiramente o agente causador direto do dano, no caso, os hackers.
- A ocorrência do vazamento e a comunicação à ANPD são suficientes para afastar qualquer responsabilidade civil da sociedade empresária, já que houve o cumprimento do dever legal de transparência.
Mostrar resposta e comentário
Gabarito
Certo
Comentário do professor
A alternativa está correta porque a rede de farmácias responde de forma objetiva pelos danos decorrentes do vazamento. O tratamento de informações sobre saúde configura dados pessoais sensíveis, exigindo proteção reforçada.
O ataque hacker é considerado fortuito interno quando a segurança do sistema é pressuposto da atividade empresarial. Nessa hipótese a responsabilidade não se afasta simplesmente pela ocorrência do ataque.
A LGPD e o CDC impõem ao fornecedor o dever reforçado de segurança (arts. 42, 43, 44 e 45 LGPD; art. 14 CDC). A falha na proteção gera obrigação de reparar, independentemente de culpa.
O STJ reconhece que o vazamento de dados sensíveis autoriza a reparação por dano moral in re ipsa, dispensando prova do prejuízo concreto. Caberá ao controlador demonstrar prova em contrário se alegar excludente prevista na lei.
Conteúdo do catálogo FC Concursos · Atualizado em