La Ley General de Protección de Datos (LGPD – Ley 13.709/2018) marcó un hito en la regulación del tratamiento de la información en Brasil.
Para los estudiantes y profesionales del derecho, comprender este microsistema legal es esencial, ya que los datos personales se han convertido hoy en día tanto en el mayor activo económico como en el mayor riesgo operativo.
El panorama jurídico se transformó con la Enmienda Constitucional N° 115/2022, que elevó la protección y el tratamiento de datos al nivel de derecho fundamental, incluido en la lista del Artículo 5 de la Constitución (punto LXXIX).
Este cambio abrió un nuevo capítulo en la protección de la autodeterminación informativa, es decir, el derecho del titular de los datos a conocer y controlar el destino de su propia información.
En este entorno de estricta supervisión regulatoria, las filtraciones de datos generan una enorme incertidumbre jurídica, especialmente para los gestores públicos y las empresas privadas que manejan grandes volúmenes de información.
Surge entonces la cuestión práctica: si se produce una violación de datos debido a un ataque externo (como una intrusión de un pirata informático ), ¿puede el responsable del tratamiento de datos invocar la culpa exclusiva de un tercero para eximirse de responsabilidad?
El Tribunal Superior de Justicia (STJ), a través de su Tercer Panel, abordó este tema en la sentencia REsp 2.147.374/SP. ¡Eso es lo que analizaremos en este artículo!
El rechazo de la culpa exclusiva de un tercero.
El caso se originó a partir de una demanda presentada contra Eletropaulo (ahora Enel) tras un incidente cibernético que expuso datos personales no sensibles de los clientes, como nombre, documento de identidad, CPF (número de identificación fiscal brasileño), dirección y número de teléfono.
La defensa de la empresa se basó en el artículo 43, III, de la LGPD (Ley General de Protección de Datos de Brasil), argumentando que el daño fue resultado de la culpa exclusiva de un tercero (el pirata informático ).
Sin embargo, el Tribunal Superior de Justicia (STJ) rechazó el argumento.
Según el ponente, el ministro Ricardo Villas Bôas Cueva, correspondía a la empresa, como agente de tratamiento de datos, demostrar que había adoptado todas las medidas de seguridad exigidas por la LGPD (Ley General de Protección de Datos de Brasil). Solo así podría romper el nexo causal. La ausencia de esta prueba contundente impidió el reconocimiento de la cláusula de exclusión.
La lógica es similar a la adoptada en el sector financiero; al igual que los bancos son objetivamente responsables del fraude de terceros (STJ Precedent 479), los gestores de datos también deben asumir que los incidentes de seguridad son un riesgo inherente a la actividad.
El concepto de "responsabilidad civil proactiva"
La sentencia refuerza que la responsabilidad civil en virtud de la LGPD (Ley General de Protección de Datos de Brasil) se rige por una lógica de riesgo y confianza. El incumplimiento del deber de seguridad constituye un tratamiento irregular de datos.
La decisión adopta la noción de "expectativa legítima de protección", considerando irregular el tratamiento de datos cuando el interesado no recibe la seguridad que razonablemente podría esperar, dadas las técnicas disponibles en ese momento (artículo 44, III, de la LGPD).
Este entendimiento incorpora el principio de responsabilidad (Artículo 6, XVII).
Este sistema, que la doctrina denomina responsabilidad civil proactiva, exige algo más que el mero cumplimiento formal de la ley: requiere pruebas de la eficacia de los programas de cumplimiento.
Por lo tanto, no basta con que una empresa afirme que adopta buenas prácticas; debe demostrar mediante documentación que se han implementado medidas eficaces de prevención, supervisión y mitigación de riesgos (artículo 46 de la LGPD).
En este caso, la carga de la prueba recae sobre el controlador o el operador.
El deber de seguridad objetiva y distinción de datos
En la práctica, la responsabilidad civil por daños materiales o morales derivados de filtraciones de datos es objetiva.
Esta norma encuentra un paralelismo en el Código de Protección al Consumidor (artículo 14), según el cual el proveedor es responsable de los fallos en la prestación del servicio, independientemente de quién sea el culpable.
Además, la LGPD (Ley General de Protección de Datos de Brasil) permite al juez invertir la carga de la prueba a favor del interesado (art. 42, § 2), reforzando su posición de vulnerabilidad.
En el caso de REsp 2.147.374/SP, los datos en cuestión no eran confidenciales.
El Tribunal de Justicia de São Paulo (TJSP) exigía la prueba de un daño concreto para establecer los daños morales.
Sin embargo, el Tribunal Superior de Justicia (TSJ) ya ha consolidado una postura más severa en casos que involucran datos sensibles. En la sentencia REsp 2.121.904/SP, sostuvo que se presumen daños morales en casos de exposición de información altamente vulnerable, como la que proviene de contratos de seguros de vida.
Sin embargo, la tendencia apunta a que el enfoque de la protección de datos se desplace del contenido de los datos a las posibilidades y finalidades de su tratamiento.
En definitiva, cualquier violación de datos compromete la autodeterminación informativa y la confianza depositada en el responsable del tratamiento de datos.
Deber de transparencia inmediata
El Tribunal Superior de Justicia (STJ) no se limitó a reconocer la responsabilidad de la empresa.
Además, en el caso REsp 2.147.374/SP, se confirmaron las convicciones relativas a la obligación de actuar, garantizando los derechos de transparencia y acceso del interesado.
El acusado se vio obligado a:
- Informar a todas las entidades públicas y privadas con las que se hayan compartido datos (art. 18, VII).
- Proporcionar una declaración completa sobre el origen de los datos, la finalidad del tratamiento y una copia completa de la información relativa al interesado (art. 19, II).
Esta medida incorpora el principio de transparencia (Artículo 6, XIII), reafirmando que, incluso antes de la indemnización, el titular de los datos tiene derecho a saber exactamente dónde se está utilizando su información.
Oportunidades profesionales: de la teoría a la práctica en el mercado.
Para los despachos de abogados privados, dominar la LGPD (Ley General de Protección de Datos de Brasil) abre las puertas a oficinas que ofrecen consultoría preventiva, litigios estratégicos y diligencia debida digital en transacciones corporativas y contractuales.
Cada vez más, las empresas buscan abogados capaces de desarrollar políticas internas, estructurar programas de gobernanza de datos y representar a clientes en litigios relacionados con filtraciones y uso indebido de datos.
En el sector empresarial, existe una creciente demanda de profesionales que puedan ocupar puestos como responsable de protección de datos (DPO), responsable de cumplimiento de la privacidad o gestor de riesgos digitales.
El conocimiento jurídico combinado con las habilidades tecnológicas constituye ahora una ventaja competitiva, especialmente en mercados regulados como la sanidad, las finanzas, las telecomunicaciones y la energía.
En el sector público, la LGPD (Ley General de Protección de Datos de Brasil) exige a los organismos gubernamentales que adopten prácticas transparentes de procesamiento de datos, lo que abre oportunidades profesionales en oficinas de asesoría legislativa, organismos reguladores y fiscalías, donde el reto consiste en conciliar el interés público con el derecho fundamental a la privacidad.
También existen oportunidades en el ámbito académico y de investigación, con la ampliación de las líneas de investigación sobre derechos digitales, inteligencia artificial y regulación de plataformas.
Las universidades y los centros de investigación demandan profesionales del derecho capaces de idear soluciones innovadoras a problemas como la desinformación, los sesgos algorítmicos y el impacto de la IA en el proceso judicial.
El curso de posgrado del IDP en Derecho Digital, Datos e Inteligencia Artificial prepara a los profesionales para desenvolverse en todos estos ámbitos, abarcando temas que van desde los fundamentos constitucionales y el Marco Brasileño de Derechos Civiles para Internet hasta las prácticas de cumplimiento de la LGPD (Ley General de Protección de Datos de Brasil), la jurisdicción internacional de datos y la regulación de las plataformas digitales.
Con un excelente cuerpo docente compuesto por ministros, abogados de renombre, profesores y especialistas que trabajan directamente en el mercado, IDP ofrece a sus estudiantes no solo conocimientos técnicos, sino también valiosas oportunidades para establecer contactos y una entrada cualificada al mercado laboral.
El mensaje es claro: la próxima década estará marcada por disputas legales y políticas en torno a la privacidad, la transparencia y la inteligencia artificial.
Estar preparado significa ir un paso por delante, ser capaz de transformar los desafíos regulatorios en ventajas competitivas y construir una carrera prestigiosa.
Ya sea en la oficina, en la empresa o en el ámbito académico, ha llegado el momento de tomar postura.
Los profesionales que inviertan en el conocimiento adecuado serán recordados como líderes en Derecho Digital y Privacidad, no solo como testigos de la revolución, sino como quienes la lideraron.
¿Quieres profundizar más?
Tres lecturas esenciales en Derecho Digital:
Guilherme Magalhães Martins y João Victor Rozatti Longhi, Derecho digital: Derecho privado e Internet – 6.ª ed. (2025): Actualizado y exhaustivo, aborda los principales desafíos legales de Internet y la regulación privada en el entorno digital.
Tarcisio Teixeira, Derecho digital y procedimiento electrónico – 9.ª ed. (2025): Imprescindible para comprender el impacto de los procesos electrónicos y la tecnología en las prácticas forenses.
Landolfo Andrade de Souza y Américo Ribeiro Magro, Manual de Derecho Digital – 5.ª ed. (2025): Didáctico y directo, sirve como guía práctica para profesionales y estudiantes que desean orientarse en los fundamentos de la materia.
