Responsabilidade penal da diretoria por falhas de segurança cibernética
Veja como sócios, diretores e conselheiros devem avaliar deveres, decisões, provas e medidas preventivas após uma falha de segurança cibernética.
Acessar conteúdos jurídicos sobre investigações empresariais
Neste artigo8 seções
- O que significa responsabilidade penal da diretoria por falhas de segurança cibernética?
- Quando um diretor ou conselheiro pode ser responsabilizado por um vazamento?
- Quais práticas de governança demonstram diligência na prevenção de crimes digitais?
- Como preservar provas e coordenar uma investigação forense sem comprometer a defesa?
- Por que a fase investigativa é decisiva para sócios e conselhos?
- Quais crimes costumam aparecer após um incidente cibernético?
- Como sócios e conselhos devem documentar decisões sem criar novos riscos?
- Erros frequentes e próximos passos para reduzir a exposição pessoal
O que significa responsabilidade penal da diretoria por falhas de segurança cibernética?
A responsabilidade penal da diretoria por falhas de segurança cibernética não surge automaticamente porque uma empresa sofreu invasão, vazamento de dados ou fraude eletrônica. Para que exista imputação individual, a investigação precisa relacionar uma conduta concreta do administrador ao resultado ou ao risco penalmente relevante, considerando seus poderes, deveres, conhecimento e possibilidade real de agir.
Uma empresa pode responder a procedimentos administrativos, cíveis e regulatórios sem que todos os seus diretores sejam criminalmente responsabilizados. A Lei Geral de Proteção de Dados Pessoais, em seu texto oficial, prevê sanções administrativas para infrações à proteção de dados, mas a aplicação dessas medidas não substitui a análise individual exigida no Direito Penal.
O ponto central é o vínculo entre omissão, decisão e resultado. Um diretor que recebeu alertas reiterados, aprovou a redução de controles essenciais e ignorou um risco conhecido pode ser analisado de maneira diferente daquele que não tinha competência sobre a infraestrutura, adotou providências razoáveis e foi informado apenas depois do incidente.
A investigação também pode examinar a existência de fraude interna, venda indevida de informações, acesso não autorizado, extorsão digital, falsidade documental ou ocultação de fatos relevantes. Em cada hipótese, a pergunta não é apenas “houve um ataque?”, mas “quem fez o quê, quando, com qual conhecimento e dentro de qual estrutura de decisão?”.
Esse recorte individual é essencial para evitar dois erros opostos: presumir que a diretoria sempre será responsabilizada ou tratar o incidente como um problema exclusivamente operacional. A resposta adequada exige integração entre segurança da informação, governança, auditoria, investigação forense e defesa criminal.
Quando um diretor ou conselheiro pode ser responsabilizado por um vazamento?
A posição hierárquica, por si só, não prova autoria ou participação. Em regra, a análise penal considera a descrição legal do crime, a existência de dolo ou culpa quando admitida, o nexo causal e a contribuição efetiva de cada pessoa, conforme a estrutura de responsabilidades prevista no Código Penal, especialmente em seus dispositivos sobre relação de causalidade e concurso de pessoas, disponíveis no texto oficial do Código Penal.
O risco aumenta quando há uma combinação de elementos: alertas formais ignorados, orçamento essencial retirado sem avaliação, ausência prolongada de controles básicos, decisões tomadas para ocultar o incidente ou instruções para apagar registros. Ainda assim, cada elemento precisa ser comprovado e interpretado dentro do contexto da empresa, do setor e das atribuições do administrador.
Conselheiros enfrentam uma análise própria. Seu dever não é executar a operação diária, mas supervisionar, questionar informações relevantes e acompanhar riscos materiais dentro das competências definidas pela lei, pelo estatuto e pelos regimentos internos. Ata genérica, aprovação automática ou falta de registro sobre um risco conhecido podem gerar questionamentos, sobretudo quando o conselho recebeu relatórios claros e não solicitou esclarecimentos.
Considere uma fintech que identifica tentativas repetidas de acesso a contas, recebe recomendação para reforçar autenticação e decide postergar a medida sem registrar justificativa. Se ocorrer fraude posterior, a investigação poderá examinar os alertas, os responsáveis pela decisão, a disponibilidade de alternativas e o impacto da postergação. O resultado não é automático, mas a documentação será determinante.
Outro exemplo envolve um grupo industrial que terceiriza o armazenamento de dados. A contratação de fornecedor não elimina necessariamente o dever de supervisão, especialmente se a diretoria conhecia falhas graves, não avaliou cláusulas de segurança ou não estabeleceu procedimento de resposta. A atribuição penal dependerá da conduta individual e das provas disponíveis, não apenas do organograma.
Para compreender como decisões empresariais podem ser examinadas em investigações, consulte também o conteúdo sobre riscos penais em contratos, atas e decisões societárias. O registro de uma decisão não serve para criar uma aparência de diligência, mas para demonstrar como o risco foi identificado, debatido e tratado.
Quais práticas de governança demonstram diligência na prevenção de crimes digitais?
- ✓Definir responsabilidades por segurança cibernética em políticas internas, matrizes de alçada e regimentos. A clareza ajuda a distinguir quem aprova orçamento, quem opera controles, quem comunica incidentes e quem supervisiona riscos.
- ✓Manter inventário atualizado de sistemas, dados e fornecedores críticos. Sem saber quais informações existem, onde estão armazenadas e quem pode acessá-las, a empresa não consegue priorizar proteção ou explicar suas decisões após um incidente.
- ✓Registrar avaliações periódicas de risco, testes de vulnerabilidade, correções aplicadas e exceções aprovadas. A documentação deve indicar a data, o responsável, a justificativa e o prazo de revisão, evitando registros genéricos feitos apenas depois do problema.
- ✓Adotar controles proporcionais ao setor e à exposição da empresa, como autenticação multifator, gestão de privilégios, cópias de segurança, segregação de ambientes, monitoramento de acessos e atualização de sistemas. A lista precisa ser adaptada ao risco, não tratada como formulário universal.
- ✓Treinar administradores e equipes para reconhecer fraude eletrônica, engenharia social, uso indevido de credenciais e pedidos urgentes de transferência. Exercícios simulados podem revelar falhas de comunicação que relatórios formais não capturam.
- ✓Estabelecer um plano de resposta com critérios de acionamento, preservação de registros, comunicação interna e avaliação jurídica. O objetivo é reduzir decisões improvisadas e impedir que a reação destrua evidências ou crie versões contraditórias.
- ✓Levar riscos cibernéticos relevantes ao conselho com linguagem compreensível, indicadores comparáveis e pendências claramente identificadas. Um relatório que apresenta apenas percentuais de conformidade pode esconder vulnerabilidades decisivas.
- ✓Revisar contratos com provedores de tecnologia, incluindo deveres de colaboração, retenção de registros, comunicação de incidentes e acesso a evidências. A relação contratual deve ser coordenada com as obrigações regulatórias e com a estratégia de investigação.
Como preservar provas e coordenar uma investigação forense sem comprometer a defesa?
- 1
Forme um núcleo restrito de resposta
Defina quem poderá acessar informações do incidente, incluindo segurança, tecnologia, executivos responsáveis e assessoria jurídica. Evite grupos amplos em aplicativos de mensagens e estabeleça um canal controlado para decisões urgentes.
- 2
Separe contenção de alteração indevida
Conter uma invasão pode exigir bloquear contas, isolar máquinas ou revogar credenciais. Antes de reiniciar equipamentos, apagar arquivos ou reinstalar sistemas, avalie como preservar a imagem original e os registros necessários à perícia.
- 3
Preserve registros com cadeia de custódia
Guarde logs, e-mails, mensagens corporativas, imagens, documentos, registros de acesso, chamados e contratos relevantes. Registre quem coletou cada item, em qual data, por qual método e onde o material foi armazenado.
- 4
Delimite a investigação forense
O laudo deve responder perguntas concretas: vetor de entrada, período de acesso, dados atingidos, contas utilizadas, alterações realizadas e medidas adotadas. Uma coleta sem escopo pode produzir grande volume de dados, mas pouca utilidade probatória.
- 5
Faça entrevistas com planejamento
Colaboradores devem ser ouvidos em ordem e ambiente adequados, sem indução de respostas ou combinação de versões. A empresa deve preservar o direito de não autoincriminação das pessoas investigadas e evitar transformar uma entrevista interna em interrogatório improvisado.
- 6
Coordene as frentes jurídica, regulatória e operacional
Uma comunicação para clientes, autoridade reguladora ou parceiro comercial pode gerar consequências distintas de um relato dirigido à polícia. Antes de enviar documentos ou prestar esclarecimentos, avalie o impacto probatório, contratual, regulatório e penal.
Por que a fase investigativa é decisiva para sócios e conselhos?
O inquérito policial não é apenas uma formalidade anterior ao processo. É nessa etapa que podem ser requisitados registros, realizadas buscas, tomadas declarações, produzidos laudos e construídas hipóteses sobre autoria e materialidade. Uma narrativa inicial mal compreendida pode influenciar diligências posteriores e aumentar a exposição pessoal de administradores.
A defesa deve mapear o que já existe, o que pode ser produzido e o que precisa ser preservado imediatamente. Isso inclui atas, relatórios de auditoria, chamados de segurança, pareceres de fornecedores, aprovações de orçamento, alertas recebidos e registros que demonstrem as providências adotadas antes e depois do incidente.
Apresentar documentos sem estratégia pode ser tão arriscado quanto não apresentar nada. Um arquivo isolado, sem contexto, pode parecer uma admissão de conhecimento prévio; uma mensagem informal pode ser interpretada fora da sequência; uma ata produzida após o vazamento pode levantar dúvidas sobre sua autenticidade ou finalidade.
A preservação probatória no inquérito policial deve ser planejada considerando autenticidade, integridade, pertinência e possibilidade de contraditório. Cópias simples e capturas de tela podem ter utilidade inicial, mas não substituem avaliação sobre metadados, origem, completude e método de coleta.
Também é necessário definir quem falará em nome da companhia e quem prestará esclarecimentos em caráter pessoal. Sócio, diretor e conselheiro podem ter interesses convergentes em alguns pontos e conflitantes em outros, especialmente quando uma decisão coletiva pode ser atribuída de maneira diferente a cada participante.
Um protocolo de comunicação segura ajuda a reduzir vazamentos secundários. Em situações urgentes, o uso controlado do WhatsApp Business pode organizar contatos e encaminhamentos, desde que a empresa estabeleça regras de acesso, identificação dos participantes, retenção de mensagens relevantes e transferência posterior das informações para ambiente apropriado.
Quais crimes costumam aparecer após um incidente cibernético?
O mesmo incidente pode gerar hipóteses penais diferentes, dependendo do que ocorreu e de quem praticou cada ato. Invasão de dispositivo informático, furto mediante fraude, estelionato eletrônico, apropriação de valores, extorsão, falsidade ideológica, violação de sigilo e crimes contra a honra estão entre as possibilidades que podem ser examinadas, sem que a simples ocorrência de um vazamento prove qualquer delas.
Em uma fraude envolvendo PIX, por exemplo, a análise pode abranger o acesso às credenciais, a engenharia social, a criação de beneficiários, a autorização da transação e a eventual participação de empregado ou terceiro. Os registros bancários, de autenticação, de atendimento e de dispositivos podem ajudar a reconstruir a sequência dos fatos.
No vazamento de dados de saúde, a investigação pode avaliar quem acessou os sistemas, se havia autorização, quais dados foram copiados e se houve compartilhamento indevido. A natureza sensível da informação aumenta a necessidade de resposta organizada, mas não autoriza concluir, sem prova, que um administrador participou do acesso ou da divulgação.
A ocultação posterior também pode mudar o enquadramento do caso. Destruir registros, orientar empregados a apagar mensagens ou alterar relatórios para reduzir a aparência do incidente pode gerar suspeitas autônomas e prejudicar a credibilidade da empresa perante autoridades, clientes e parceiros.
A orientação oficial da Autoridade Nacional de Proteção de Dados sobre segurança da informação apresenta medidas e referências úteis para estruturar controles, embora a adoção de um guia não funcione como imunidade penal. O valor probatório está na adequação das medidas ao risco e na demonstração de que foram efetivamente aplicadas e revisadas.
Para uma visão complementar sobre providências iniciais, o checklist para diretores após suspeita de fraude eletrônica ou vazamento pode ser usado como ponto de partida operacional. Este guia, porém, concentra-se na atribuição individual, na governança e na preparação da defesa desde a investigação.
Como sócios e conselhos devem documentar decisões sem criar novos riscos?
A documentação deve mostrar o processo decisório real. Uma boa ata registra o risco apresentado, as informações disponíveis, as perguntas formuladas, as alternativas consideradas, os responsáveis pela execução e o prazo para revisão. Frases genéricas como “a diretoria tomou todas as providências” têm pouca força quando não vêm acompanhadas de evidências verificáveis.
O conselho deve solicitar indicadores que permitam acompanhar evolução, não apenas fotografias pontuais. Exemplos úteis incluem tempo médio de correção de vulnerabilidades críticas, percentual de contas com autenticação multifator, cobertura de cópias de segurança testadas, incidentes por fornecedor e pendências vencidas.
Quando uma medida não puder ser implementada imediatamente, a ata pode registrar a razão objetiva, o risco residual, a alternativa temporária e a data de reavaliação. Adiar uma correção não é automaticamente ilícito, mas adiar sem análise, sem controle compensatório e sem supervisão pode dificultar a demonstração de diligência.
A comunicação externa merece separação cuidadosa entre fatos confirmados, hipóteses e providências em andamento. Mensagens precipitadas em redes sociais ou no LinkedIn podem afetar a reputação executiva e entrar no conjunto de elementos analisados em uma investigação, como explicado no guia sobre reputação executiva no LinkedIn durante investigação.
Na prática, a empresa deve manter uma linha do tempo única, com versões controladas e indicação da fonte de cada informação. Essa linha do tempo auxilia o conselho, a equipe de resposta, peritos e advogados a trabalharem sobre os mesmos fatos, reduzindo contradições entre relatórios internos, comunicados e depoimentos.
A Cicotti atua na avaliação preventiva e contenciosa de riscos penais empresariais, inclusive na organização da resposta jurídica em investigações envolvendo dados, fraude eletrônica e decisões de administradores. A análise é individualizada, com atenção à preservação da liberdade, do patrimônio e da reputação, sem antecipar conclusões sobre responsabilidade.
Erros frequentes e próximos passos para reduzir a exposição pessoal
- ✓Esperar o oferecimento da denúncia para procurar orientação. Muitas decisões relevantes ocorrem no inquérito, quando ainda é possível preservar provas defensivas, acompanhar diligências e contestar interpretações incompletas.
- ✓Tratar a segurança cibernética como assunto exclusivo da equipe de tecnologia. A diretoria e o conselho não precisam operar ferramentas, mas devem compreender riscos materiais, exigir informações adequadas e acompanhar a execução das medidas aprovadas.
- ✓Misturar defesa da empresa com defesa individual. A companhia pode ter interesse em colaborar, enquanto um administrador precisa preservar garantias pessoais e avaliar cuidadosamente qualquer declaração ou entrega de documento.
- ✓Apagar conversas para “organizar” o ambiente interno. A eliminação de mensagens, registros ou arquivos após a ciência de uma investigação pode comprometer a apuração e criar uma suspeita adicional.
- ✓Produzir atas retroativas ou reconstruir decisões sem indicar a data real. A correção documental deve preservar a cronologia, identificar complementações posteriores e evitar qualquer aparência de alteração da história.
- ✓Contratar perícia sem escopo, preservação ou independência suficientes. Antes da coleta, defina perguntas, sistemas envolvidos, metodologia, cadeia de custódia e forma de apresentação dos achados.
- ✓Usar um único comunicado para todos os públicos. Empregados, clientes, reguladores, instituições financeiras e autoridades têm necessidades e consequências jurídicas diferentes.
- ✓Nas primeiras horas, preservar credenciais, logs e equipamentos relevantes, formar um grupo restrito, registrar decisões e buscar orientação jurídica antes de prestar esclarecimentos pessoais. O conteúdo sobre as primeiras 72 horas de uma investigação criminal aprofunda essa organização inicial.
Perguntas Frequentes
Um diretor pode responder criminalmente apenas porque houve vazamento de dados na empresa?▼
Não. O vazamento, isoladamente, não demonstra que o diretor praticou um crime ou contribuiu para ele. A investigação precisa examinar sua competência, conhecimento, decisões, omissões relevantes e eventual vínculo causal com o fato. Também é necessário distinguir sanções administrativas e reparações cíveis de responsabilidade penal individual.
A falta de investimento em segurança cibernética gera crime automaticamente?▼
A falta de investimento não configura crime de forma automática. O risco penal pode aumentar quando há dever específico de agir, conhecimento de uma ameaça concreta, capacidade de intervenção e omissão relevante, especialmente se acompanhada de fraude, ocultação ou outra conduta prevista em lei. A avaliação depende das circunstâncias, do setor, do porte da empresa e das provas.
Quais documentos demonstram diligência da diretoria após um incidente digital?▼
Podem ser relevantes atas, relatórios de risco, aprovações de orçamento, registros de treinamento, contratos com fornecedores, testes de segurança, planos de resposta, chamados, logs e evidências de correções. O conjunto deve preservar a cronologia e indicar quem decidiu, com base em quais informações e em qual prazo. Documentos criados depois do incidente podem ajudar, mas não devem alterar ou ocultar a sequência real dos fatos.
Como preservar provas digitais para uma investigação criminal empresarial?▼
Primeiro, identifique sistemas, dispositivos, contas e documentos potencialmente relevantes. Depois, limite alterações, preserve cópias forenses quando cabível e registre coleta, integridade, responsáveis e local de armazenamento. A metodologia deve ser definida com apoio de profissionais habilitados, porque desligar equipamentos, reinstalar sistemas ou apagar arquivos pode destruir informações importantes.
O conselho de administração pode ser responsabilizado por uma falha de segurança?▼
Pode ser questionado quando existirem elementos que indiquem omissão relevante dentro de suas atribuições, conhecimento de risco material e ausência injustificada de supervisão ou providência. O conselho não assume automaticamente a operação de tecnologia nem responde por todo evento ocorrido na companhia. Atas, relatórios recebidos, perguntas feitas e acompanhamento das pendências ajudam a individualizar sua atuação.
Quais crimes podem estar relacionados a fraude eletrônica e vazamento de dados?▼
Dependendo dos fatos, podem ser avaliados crimes como invasão de dispositivo informático, estelionato eletrônico, furto mediante fraude, extorsão, falsidade, violação de sigilo e divulgação indevida de informações. O enquadramento depende da conduta, da intenção, do resultado e da participação de cada pessoa. Um incidente também pode envolver exclusivamente medidas administrativas ou cíveis, sem crime praticado por administradores.
É recomendável prestar esclarecimentos pessoais logo após um incidente cibernético?▼
A decisão deve ser tomada depois de compreender o objeto da apuração, os documentos existentes e a posição jurídica de cada pessoa. Declarações improvisadas podem misturar fatos confirmados com suposições, criar contradições ou revelar informações sem contexto. Sócios, diretores e conselheiros devem avaliar individualmente seus direitos e deveres antes de falar com autoridades ou terceiros.
A contratação de um fornecedor de tecnologia afasta a responsabilidade da diretoria?▼
Não necessariamente. A terceirização pode distribuir tarefas operacionais, mas não elimina automaticamente deveres de seleção, supervisão e resposta, conforme o contrato e as circunstâncias. A análise deve considerar o que a diretoria sabia, quais controles foram exigidos, como o fornecedor foi monitorado e quais providências foram tomadas diante de alertas.