Netshoes paga R$ 500 mil em danos morais após vazamento de dados

A Netshoes fechou um acordo extrajudicial com o MPDFT (Ministério Público do Distrito Federal e Territórios) para evitar uma ação coletiva. A empresa vai pagar R$ 500 mil como indenização pelos danos morais causados por vazamentos de dados em 2017 e 2018. Além disso, ela terá que reforçar a segurança da loja online.

• Hackers vazam 2,2 bilhões de logins e senhas na internet; veja se você foi afetado
• Vale expõe documentos internos no Google que mostram como lidar com acidentes

Para recapitular: no final de 2017 e início de 2018, foram vazadas duas listas de credenciais da Netshoes com informações sobre 1.999.704 clientes. Entre os dados expostos, estão nome completo, e-mail, CPF, data de nascimento e produtos comprados. Senhas e números de cartões de crédito não foram comprometidos.

Segundo o MPDFT, este foi “um dos maiores incidentes de segurança registrados no Brasil”. Inicialmente, a empresa entrou em contato com alguns clientes, mas através de um e-mail genérico sobre segurança. Após pressão do MP, ela resolveu ligar para os quase 2 milhões de pessoas afetadas.

Isso não foi o bastante para evitar a ameaça de uma ação civil pública. No entanto, a Netshoes colaborou em diversos aspectos durante a investigação do caso, inclusive fornecendo dados pessoais comprometidos aos quais o MP não tinha acesso. Por isso, as duas partes chegaram a um acordo na forma de um TAC (Termo de Ajustamento de Conduta).

Netshoes vai pagar indenização e reforçar segurança

A Netshoes vai pagar R$ 500 mil “a título de indenização pelos danos morais coletivos de caráter nacional”. Esse valor será quitado em cinco parcelas mensais de R$ 100 mil, a serem depositadas no FDD (Fundo de Defesa de Direitos Difusos).

Além disso, a empresa deverá implementar medidas adicionais ao seu Programa de Proteção de Dados, incluindo atualizar suas políticas de segurança cibernética e se adequar à Lei Geral de Proteção dos Dados Pessoais (que começa a valer em 2020). Ela também deverá realizar campanhas de conscientização para ensinar aos clientes como proteger seus dados pessoais.

O MP avisa que, se a Netshoes descumprir qualquer uma dessas medidas, ela ficará sujeita a uma ação coletiva no valor de R$ 10 milhões, mais um processo por danos patrimoniais de R$ 85 milhões — ou cinco reais por cada dado presente no vazamento.

O acordo foi assinado em 16 de janeiro de 2019 por Marcio Kumruian, cofundador e CEO da Netshoes; e por Frederico Meinberg Ceroy, promotor do MPDFT e coordenador da Espec (Unidade Especial de Proteção de Dados e Inteligência Artificial).

Procurada pelo Tecnoblog, a Netshoes enviou o seguinte posicionamento:

Em consonância com os princípios de transparência e melhores práticas, a Netshoes reafirma que chegou a um acordo em 3 de outubro de 2018 (fato divulgado ao mercado na época) para assinatura de um Termo de Ajustamento de Conduta com o Ministério Público Estadual do Distrito Federal e Territórios, em conjunto com o Ministério Público Estadual do Distrito Federal e Territórios em relação ao incidente de dados divulgado no início de 2018.

O valor estipulado é de R$ 500 mil. A Procuradoria do Estado do Distrito Federal do Brasil encerrará o procedimento administrativo para esse incidente. A empresa afirma, ainda, que continuará a tomar todas as medidas de segurança necessárias para proteger os dados do cliente contra acesso não autorizado e/ou divulgação, uma vez que a segurança e a confiabilidade de sua infraestrutura de TI são essenciais para as suas operações.

Com informações: MPDFT. Atualizado às 12h57 com resposta da Netshoes.