Crimes digitais e vazamento de dados: o que executivos e sócios precisam saber sobre riscos penais

Crimes digitais e vazamento de dados não são sinônimos. Crime digital é a infração praticada por meio de computador, celular, sistema, rede ou serviço online, como invasão de dispositivo, fraude eletrônica, estelionato cometido por meio digital e obtenção indevida de informações. Já o vazamento descreve a exposição, perda, extração ou divulgação não autorizada de dados, que pode decorrer de ataque externo, falha interna ou erro operacional.

A mesma ocorrência pode envolver várias condutas. Um invasor pode obter credenciais, acessar uma base de clientes, alterar dados bancários e usar as informações para realizar transferências fraudulentas. Em outra hipótese, um colaborador pode copiar arquivos corporativos e enviá-los a terceiros, sem que exista invasão externa.

A legislação penal brasileira prevê tipos que podem ser aplicados a essas situações, incluindo fraude eletrônica, invasão de dispositivo informático, furto mediante fraude, apropriação de valores, falsidade documental e crimes contra a honra. A classificação depende dos fatos, da intenção, da forma de acesso e do prejuízo produzido, não apenas do nome dado internamente ao incidente.

A Lei Geral de Proteção de Dados estabelece deveres de segurança e governança, mas a violação da LGPD não gera, por si só, responsabilidade criminal automática. A apuração penal exige identificar uma conduta prevista em lei, possíveis autores, vínculo subjetivo e elementos que demonstrem a ocorrência do fato.

Por isso, uma falha de segurança pode produzir consequências simultâneas nas esferas administrativa, cível, regulatória e penal. A empresa pode ser chamada a explicar seus controles, enquanto diretores e sócios são questionados sobre decisões, alertas recebidos e providências adotadas.

A posição de diretor ou sócio não gera responsabilidade penal automática pelo simples fato de a pessoa ocupar um cargo. Para que exista imputação, a investigação deve relacionar o indivíduo a uma ação ou omissão juridicamente relevante, com base em circunstâncias concretas e não apenas na estrutura hierárquica da empresa.

Ainda assim, a função exercida influencia as perguntas feitas pelas autoridades. Podem ser examinadas decisões sobre contratação de fornecedores, investimentos em segurança, acesso a bases de dados, resposta a alertas, comunicação do incidente e preservação de registros. Atas, e-mails, relatórios de auditoria e fluxos de aprovação podem ajudar a demonstrar quem decidiu, quem executou e quais informações estavam disponíveis em cada momento.

O risco aumenta quando há indícios de benefício pessoal, ocultação deliberada, destruição de provas, fraude contra clientes ou investidores, uso de informações obtidas ilicitamente e continuidade de uma prática após alertas claros. Também merece atenção a criação posterior de documentos para aparentar que controles existiam antes do incidente.

Executivos devem evitar três erros recorrentes: apagar mensagens relacionadas ao evento, orientar funcionários a alinhar versões e prestar declarações sem compreender o escopo da apuração. A preservação de dados não significa manter indiscriminadamente toda informação por tempo indeterminado, mas impedir alterações ou eliminações relevantes e documentar o processo de coleta.

A investigação costuma avançar ainda no inquérito policial. Esperar o oferecimento da denúncia para organizar a resposta pode significar perder registros temporários, imagens de acesso, logs de autenticação e testemunhos que se tornam menos precisos com o passar do tempo. O guia sobre as primeiras 72 horas de uma investigação criminal ajuda a estruturar decisões iniciais sem tratar a fase investigativa como uma formalidade.

A investigação forense digital procura reconstruir eventos a partir de dados eletrônicos, como logs, registros de autenticação, endereços de rede, histórico de alterações, arquivos, e-mails e dispositivos. Seu valor não está apenas em encontrar um possível autor, mas em estabelecer uma sequência verificável de acontecimentos.

Uma resposta a incidentes voltada exclusivamente à continuidade operacional pode priorizar a retomada do sistema e deixar a coleta probatória em segundo plano. Quando existe possibilidade de investigação criminal, a equipe precisa combinar contenção, preservação, documentação e análise, evitando ações irreversíveis que alterem o ambiente original.

A cadeia de custódia merece atenção especial. O Código de Processo Penal disciplina a preservação e o registro do caminho percorrido pelos vestígios, desde o reconhecimento até o armazenamento e a análise. O Código de Processo Penal disponibilizado pelo Planalto é uma referência para compreender essa estrutura, embora cada caso exija avaliação jurídica própria.

Na prática, a defesa deve participar da definição das perguntas investigativas. Em vez de solicitar apenas uma busca genérica por culpados, pode ser mais útil verificar quem tinha permissão efetiva, se o acesso ocorreu dentro do horário habitual, quais alertas foram gerados, se houve alteração de registros e se a atribuição técnica é confiável.

Um exemplo: um funcionário é acusado de exportar uma base de clientes. A perícia identifica o download em seu usuário, mas também descobre que a conta estava conectada em uma máquina compartilhada e que o sistema não exigia autenticação multifator. Esses dados não eliminam automaticamente a possibilidade de autoria, mas mudam a qualidade da análise e podem revelar falhas na hipótese acusatória.

A preservação não deve ser improvisada. O checklist de preservação probatória no inquérito policial pode ser usado para organizar documentos, dispositivos, mensagens e testemunhas antes de qualquer descarte ou limpeza de dados.

A comunicação de crise precisa ser verdadeira, proporcional e baseada em fatos confirmados. Informar que uma investigação está em andamento é diferente de declarar que determinado empregado, fornecedor ou executivo cometeu um crime antes da conclusão da apuração.

Para sócios e diretores, a exposição pode ocorrer em múltiplos ambientes: imprensa, redes profissionais, assembleias, reuniões com investidores e comunicações a clientes. Mensagens impulsivas, discussões em grupos corporativos e comentários públicos podem ser capturados e apresentados fora do contexto original.

A Lei nº 12.965/2014, conhecida como Marco Civil da Internet, também integra o contexto jurídico de registros, privacidade e responsabilidade no ambiente online. Sua aplicação deve ser analisada junto à legislação penal, à LGPD, a contratos e a normas setoriais.

Uma governança adequada mantém um registro de decisões: quem recebeu o alerta, quais informações estavam disponíveis, por que determinado sistema foi isolado e qual foi a base para comunicar ou não um grupo afetado. Esse material pode demonstrar boa-fé e racionalidade, mas não deve ser produzido artificialmente depois do evento.

Canais de comunicação devem ser definidos antes da crise. Para assuntos sensíveis, ferramentas corporativas com controle de acesso e comunicação imediata podem reduzir dispersão de informações, desde que a organização mantenha políticas de retenção e preserve conteúdos relevantes quando houver investigação.