Erro da polícia de Londres expõe e-mails de vítimas de Al-Fayed

Um erro aparentemente simples no envio de um e-mail colocou novamente a proteção de dados pessoais no centro do debate jurídico no Reino Unido. A Polícia Metropolitana de Londres pediu desculpas após expor os endereços de e-mail de pessoas que denunciaram supostos abusos sexuais cometidos pelo falecido empresário Mohamed Al-Fayed, antigo proprietário da Harrods. A falha ocorreu quando a polícia enviou uma atualização sobre a investigação para um grupo de destinatários e, por erro, deixou visíveis os endereços de e-mail das pessoas que integravam a lista.

Imagem/reprodução: Google

Segundo informações divulgadas pela imprensa britânica, aproximadamente 143 vítimas foram afetadas. A polícia afirmou que identificou rapidamente o problema, entrou em contato diretamente com as pessoas atingidas e encaminhou o incidente ao Information Commissioner’s Office (ICO), autoridade britânica responsável pela fiscalização da proteção de dados.

Embora o episódio esteja relacionado a uma investigação policial e não diretamente à indústria da moda, ele possui uma conexão importante com o Fashion Law: a proteção jurídica de uma empresa de moda também envolve a maneira como ela coleta, utiliza, armazena, compartilha e protege dados pessoais. E o caso demonstra algo especialmente importante: uma violação de dados não necessariamente acontece por causa de um sofisticado ataque cibernético. Ela também pode decorrer de uma falha humana e de processos internos inadequados.

O que aconteceu?

A Polícia Metropolitana encaminhou uma atualização mensal para pessoas relacionadas à investigação sobre as denúncias contra Al-Fayed. O problema ocorreu porque os endereços de e-mail dos destinatários ficaram visíveis para os demais integrantes da lista, em vez de serem ocultados.

A exposição permitiu que cada destinatário tivesse acesso aos endereços eletrônicos de outras pessoas que também estavam recebendo aquela comunicação.

A polícia reconheceu a falha como resultado de erro humano, pediu desculpas e afirmou que estava revisando seus procedimentos para evitar que uma situação semelhante acontecesse novamente. As pessoas afetadas foram comunicadas diretamente após a identificação do incidente.

O caso foi encaminhado ao ICO, o órgão independente britânico responsável por fiscalizar o cumprimento das normas de proteção de dados. E aqui está um ponto jurídico importante: não é necessário que um hacker invada um sistema para existir uma violação de dados pessoais. O próprio ICO explica que uma personal data breach pode envolver divulgação acidental ou acesso não autorizado a dados pessoais. A autoridade cita expressamente como exemplo situações em que uma organização envia um e-mail para vários destinatários sem utilizar um método adequado de envio e, com isso, torna visíveis endereços privados.

Por que a exposição dos e-mails pode ser tão grave?

À primeira vista, alguém poderia pensar que um endereço de e-mail é apenas uma informação de contato e, portanto, teria pouca relevância jurídica. Mas a proteção de dados não depende exclusivamente da natureza isolada de determinada informação. E o contexto em que o dado é utilizado também importa.

O ICO explica que informações aparentemente comuns podem se tornar sensíveis quando sua divulgação permite inferir algo privado sobre determinada pessoa. A autoridade dá, inclusive, o exemplo de uma lista de e-mails cuja própria composição pode revelar que os destinatários utilizam determinado serviço ou estão vinculados a determinada situação. É exatamente essa lógica que torna o caso envolvendo as vítimas de Al-Fayed especialmente delicado.

O endereço eletrônico, isoladamente, pode parecer apenas um dado de contato. Porém, quando ele aparece em uma comunicação destinada a pessoas que denunciaram supostos abusos sexuais, sua exposição pode permitir que terceiros estabeleçam uma associação entre aquela pessoa e a investigação. Ou seja, o contexto transforma a natureza do risco.

O ICO reconhece que, em determinadas situações, até mesmo a revelação de quem integra uma lista de destinatários pode expor informações confidenciais sobre essas pessoas. Por isso, a autoridade recomenda que organizações avaliem o risco antes de simplesmente depender do uso do campo BCC para comunicações em massa.

O que o UK GDPR tem a ver com isso?

O Reino Unido possui um regime próprio de proteção de dados baseado, entre outras normas, no UK GDPR e no Data Protection Act 2018. O UK GDPR estabelece regras para o tratamento de dados pessoais e impõe obrigações relacionadas à segurança dessas informações. Além disso, determinadas categorias de dados recebem proteção reforçada. Entre elas estão informações relacionadas à saúde, origem racial ou étnica, religião, orientação sexual e vida sexual.

É importante fazer uma distinção técnica: o simples endereço de e-mail não se transforma automaticamente em “dado de categoria especial”. Entretanto, informações aparentemente comuns podem permitir inferências sobre aspectos sensíveis da vida de uma pessoa, dependendo do contexto. O próprio ICO reconhece que dados podem adquirir maior sensibilidade quando sua divulgação permite inferências sobre informações privadas. Por isso, uma organização precisa avaliar não apenas qual dado possui, mas também o que a exposição daquele dado permite que terceiros descubram sobre a pessoa.

Outro ensinamento importante do caso é que a existência de uma violação não depende necessariamente de intenção. O erro da Polícia Metropolitana foi descrito como “erro humano”. Ainda assim, isso não elimina a necessidade de avaliar o incidente sob a perspectiva da proteção de dados. O ICO afirma que uma violação pode decorrer de uma divulgação acidental de informações pessoais. A organização deve registrar o incidente, avaliar seus riscos, adotar medidas para conter o problema e verificar se existe obrigação de comunicação à autoridade ou aos titulares afetados.

Esse aspecto é extremamente relevante para empresas de todos os portes.

Não basta contratar um sistema de armazenamento seguro se os próprios colaboradores podem, por exemplo, encaminhar uma planilha para o destinatário errado, copiar pessoas indevidas em um e-mail, utilizar um grupo aberto para compartilhar informações privadas ou deixar expostos dados de clientes.

Segurança da informação também depende de comportamento humano: O dever de prevenção

A proteção de dados não começa quando ocorre um vazamento. Ela começa antes. O ICO recomenda que organizações mantenham procedimentos robustos para identificação, investigação, comunicação e tratamento de incidentes de segurança. Também destaca a necessidade de treinamento dos funcionários e de medidas técnicas e organizacionais adequadas.

No caso de comunicações em massa, por exemplo, a autoridade britânica alerta que o BCC pode ser útil em determinadas circunstâncias, mas não deve ser tratado automaticamente como solução suficiente quando a própria lista de destinatários puder revelar informações sensíveis. Nesses casos, podem ser mais adequados serviços específicos de envio em massa, mail merge ou até mesmo mensagens individuais. Isso traz uma importante lição de governança: o procedimento correto precisa estar incorporado ao fluxo de trabalho da empresa.

Não é suficiente dizer ao funcionário “tenha cuidado”. É necessário criar processos que reduzam a possibilidade de erro. E quando isso acontece em uma empresa de moda? É aqui que o caso se conecta diretamente ao Fashion Law.

A indústria da moda é intensiva em dados. Uma marca pode possuir informações de consumidores, modelos, influenciadores, funcionários, representantes comerciais, fornecedores, parceiros, candidatos a vagas, participantes de campanhas, membros de programas de fidelidade e profissionais contratados para eventos e produções. Uma agência de modelos, por exemplo, pode armazenar nome, telefone, endereço, documentos, dados bancários, informações contratuais, medidas corporais, fotografias, portfólio e outros dados relacionados aos profissionais representados.

Nesse sentindo, uma marca pode manter informações de clientes, histórico de compras, preferências de consumo, dados utilizados em programas de relacionamento e informações de contato. Uma agência de marketing pode ter acesso a dados de influenciadores, creators, modelos e parceiros. Uma produtora de moda pode trabalhar simultaneamente com informações de dezenas de profissionais envolvidos em uma campanha. E todas essas operações envolvem responsabilidades relacionadas à proteção de dados.

Fashion Law não é apenas propriedade intelectual

Esse caso é uma excelente demonstração de por que o Fashion Law não pode ser reduzido ao registro de marcas, à proteção de desenhos ou ao combate às cópias. Esses temas continuam sendo fundamentais. Mas uma empresa de moda também é uma organização que contrata pessoas, celebra contratos, coleta dados, desenvolve campanhas, mantém bases de clientes, utiliza tecnologia, compartilha informações com fornecedores e estabelece relações comerciais. Consequentemente, os riscos jurídicos também são multidisciplinares.

Uma marca pode estar perfeitamente protegida no âmbito da propriedade intelectual e, ainda assim, apresentar vulnerabilidades em relação à proteção de dados pessoais. Pode ter contratos de licenciamento bem estruturados, mas não possuir uma política adequada para tratamento de dados de modelos. Pode possuir uma estratégia de branding sofisticada, mas permitir que informações de clientes sejam compartilhadas de maneira inadequada. Pode investir milhões em comunicação e reputação e, ao mesmo tempo, não treinar sua equipe para lidar corretamente com informações pessoais. É justamente nesse ponto que o Fashion Law assume uma dimensão estratégica.

A relação com a LGPD no Brasil

Para empresas brasileiras, a análise do caso também pode ser feita à luz da Lei Geral de Proteção de Dados Pessoais (LGPD). Embora o episódio tenha ocorrido no Reino Unido e esteja submetido ao regime jurídico britânico, a lógica preventiva é bastante relevante para organizações brasileiras. A LGPD estabelece princípios e obrigações relacionados ao tratamento de dados pessoais e exige que agentes de tratamento adotem medidas de segurança aptas a proteger os dados contra acessos não autorizados e situações acidentais ou ilícitas de destruição, perda, alteração, comunicação ou difusão. Isso significa que a empresa precisa pensar em proteção de dados como parte da própria estrutura empresarial.

Não se trata apenas de elaborar uma política de privacidade para colocar no site. É necessário analisar como os dados entram na empresa, quem possui acesso, para quais finalidades são utilizados, com quem são compartilhados, quanto tempo permanecem armazenados, como são eliminados e o que acontece caso ocorra um incidente.

O fator humano e a cultura de compliance

O caso da Polícia Metropolitana também evidencia a importância da cultura interna de compliance. Um colaborador pode cometer um erro em poucos segundos. Mas as consequências daquele erro podem permanecer por muito tempo. Por isso, empresas que trabalham com informações pessoais precisam estabelecer políticas internas claras, promover treinamento, limitar acessos, criar mecanismos de conferência e desenvolver planos de resposta a incidentes.

O objetivo não é imaginar que erros humanos podem ser completamente eliminados. O objetivo é criar uma estrutura capaz de reduzir a probabilidade de ocorrência e minimizar os danos quando um incidente acontecer. O próprio ICO recomenda treinamento dos funcionários, procedimentos internos de resposta e mecanismos de identificação e avaliação de riscos.

O que acontece depois de uma violação?

A resposta a um incidente também possui importância jurídica.

De acordo com a orientação do ICO, organizações devem avaliar o risco produzido pela violação e, quando houver obrigação de comunicação, notificar a autoridade competente sem demora e, quando possível, dentro de 72 horas após tomar conhecimento do incidente. Se houver alto risco aos direitos e liberdades das pessoas afetadas, elas também devem ser informadas sem demora injustificada.

A organização também deve documentar os incidentes, inclusive aqueles que não necessariamente precisam ser comunicados à autoridade, e avaliar quais medidas podem ser adotadas para evitar a repetição do problema. No caso envolvendo Al-Fayed, a Polícia Metropolitana informou que as pessoas afetadas foram contatadas diretamente e que o incidente foi encaminhado ao regulador britânico. Essa postura também demonstra a importância da resposta rápida.

Quando um incidente acontece, o problema não é apenas descobrir “quem errou”. É necessário compreender o que aconteceu, conter a exposição, avaliar o impacto, comunicar adequadamente os envolvidos, cumprir as obrigações legais e corrigir os processos que permitiram que a falha ocorresse.

A lição para a indústria da moda

O caso envolvendo a Polícia Metropolitana de Londres pode parecer distante do universo fashion. Mas, juridicamente, ele traz uma mensagem muito próxima da realidade das empresas de moda: dados pessoais também são ativos que precisam ser protegidos.

A marca que possui uma base de clientes precisa protegê-la. A agência que representa modelos precisa proteger os dados dos profissionais. A empresa que trabalha com influenciadores precisa estabelecer regras para o compartilhamento de informações. A produtora que coordena campanhas precisa controlar quem terá acesso aos dados dos participantes. E o empresário precisa compreender que proteção de dados não é apenas uma obrigação do departamento de tecnologia ou do jurídico. É uma responsabilidade de governança.

No Fashion Law contemporâneo, a proteção de uma marca precisa acompanhar toda a cadeia de valor do negócio. Isso inclui propriedade intelectual, contratos, relações de trabalho, publicidade, responsabilidade civil, proteção do consumidor, proteção de dados, compliance e reputação.

A exposição acidental de uma lista de e-mails demonstra justamente isso: uma pequena falha operacional pode produzir um grande problema jurídico quando envolve informações pessoais e pessoas em situação de vulnerabilidade. Para empresas e profissionais da moda, a principal lição é preventiva: quanto mais dados uma organização coleta e quanto mais sensível for o contexto em que esses dados são utilizados, maior deve ser o cuidado jurídico, técnico e organizacional empregado para protegê-los.

Se você ou a sua marca está enfrentando situações relacionadas à propriedade intelectual, contratos, cópia de produtos, concorrência desleal ou demais questões envolvendo a indústria da moda, o escritório Carolina Lago Advocacia, referência em Fashion Law, pode auxiliar com orientação e proteção jurídica estratégica através do link: https://linktr.ee/carolinalagoadvocacia

Para acompanhar matérias como esta, assine a nossa newsletter e receba diariamente notícias e atualizações exclusivas sobre Fashion Law: https://www.juridicofashion.com/newsletter-jurídico-fashion