O megavazamento de dados ocorrido no Brasil em 2021, que expôs informações pessoais de cerca de 220 milhões de brasileiros, entre vivos e falecidos, passou a ser analisado também pela Justiça da Inglaterra. No início de janeiro, uma ação coletiva foi apresentada em tribunais ingleses contra o grupo Serasa Experian, apontado pelo Ministério Público Federal (MPF) como possível responsável pelo vazamento de dados sensíveis.

No Brasil, ainda não há comprovação técnica definitiva sobre a origem da violação. Apesar disso, em dezembro de 2023, a Procuradoria tornou-se coautora de uma ação civil pública que tramita na 22ª Vara Cível Federal de São Paulo, na qual pede que a Serasa pague indenizações pelo episódio.

Em nota ao Estadão, a empresa informou que não foi citada na ação ajuizada no Reino Unido e reiterou que “não houve qualquer invasão aos seus sistemas”, nem indícios de que o vazamento tenha se originado de suas bases de dados.

AÇÃO NO REINO UNIDO

Segundo Andrew Short, sócio do escritório Mishcon de Reya, responsável pela condução do processo, as ações no Brasil e na Inglaterra não são concorrentes.

“A demanda na Inglaterra é proposta por demandantes individuais que não ajuizaram ações no Brasil”, afirmou o advogado.

Short explica que a ação foi protocolada no Reino Unido porque a Serasa integra o grupo econômico Experian, cuja sede e principais atividades estão localizadas na Inglaterra.

“Como a ação é direcionada contra as sociedades controladoras da Serasa, integrantes do Grupo Experian, o ajuizamento ocorreu em seu foro de domicílio. Além disso, o sistema jurídico inglês permite que grupos de indivíduos proponham demandas de forma conjunta por meio de ações coletivas”, explicou.

Até o momento, mais de 25 mil pessoas já manifestaram interesse em participar do processo. Qualquer pessoa maior de 18 anos cujos dados pessoais tenham sido expostos em 2021 pode aderir à ação.

Durante o cadastro, será necessário responder a perguntas objetivas para verificação de elegibilidade e apresentar documentos de identificação.

“Essas exigências decorrem de rigorosas normas de compliance aplicáveis aos escritórios de advocacia ingleses, destinadas à adequada identificação dos clientes”, afirmou Short.

DADOS EXPOSTOS

À época do vazamento, mais de 30 tipos de informações passaram a circular na internet e chegaram a ser comercializadas em fóruns da chamada deep web.

Entre os dados expostos estavam:

• números de CPF

• nomes completos

• endereços

• informações salariais

• dados sobre benefícios sociais

• telefones

• informações do Imposto de Renda

• perfis de consumidores

Também houve divulgação de dados empresariais, embora a ação protocolada na Inglaterra tenha como foco exclusivo pessoas físicas.

Quando o supervazamento veio a público, a Ordem dos Advogados do Brasil (OAB) solicitou que a Autoridade Nacional de Proteção de Dados (ANPD) investigasse o episódio.

“O ocorrido submete praticamente toda a população brasileira a um cenário de grave risco pessoal e irreparável violação à privacidade”, afirmou a entidade em ofício encaminhado em 2021.

PROVAS E ARGUMENTOS

Segundo Andrew Short, há indícios de que os dados vazados apresentem características compatíveis com produtos comercializados pelo grupo Serasa Experian.

“É de conhecimento público que os conjuntos de dados vazados incluem informações como pontuações de crédito e perfis categorizados, características típicas da forma como o grupo utiliza e comercializa dados de cidadãos brasileiros”, afirmou.

O advogado destacou ainda que a escolha pelo modelo de ação coletiva se deu por razões de eficiência processual e redução de custos.

“Cada pessoa que se cadastra passa a integrar o grupo de demandantes e faz jus a eventual indenização, após a dedução dos custos jurídicos”, explicou.

O valor de uma possível indenização, segundo ele, ainda não pode ser estimado, pois dependerá das decisões do Judiciário inglês.

PRÓXIMOS PASSOS

De acordo com as regras processuais locais, a próxima etapa será a citação formal das rés, para que apresentem suas respostas à Justiça.

“Como o processo é recente, ainda não é possível prever quando haverá uma decisão. Caso as rés optem por um acordo, o desfecho poderá ocorrer de forma mais rápida”, afirmou Short.

COM A PALAVRA, A SERASA

A Serasa Experian informa que não foi citada na ação judicial referida. A empresa reitera que não houve qualquer invasão aos seus sistemas, nem evidência de que o suposto vazamento de dados tenha tido origem em suas bases. Essa conclusão, segundo a empresa, foi confirmada por análises técnicas e por laudo de instituto pericial independente entregue às autoridades.

A companhia afirma ainda que repudia a propagação de informações enganosas, com promessas falsas de indenizações ou compensações financeiras, e reforça seu compromisso com a proteção de dados, a legalidade de suas práticas e a segurança das informações sob sua guarda.