Em 20 de agosto de 2026, a LATAM Airlines confirmou um vazamento de dados que expôs informações pessoais de clientes integrantes do programa LATAM Pass. O episódio chama atenção não apenas pela quantidade de dados acessados, mas também pelos riscos decorrentes desse tipo de incidente e pela responsabilidade das empresas na proteção das informações de seus clientes.
Segundo a companhia, o incidente ocorreu em julho de
2026, após a detecção de uma invasão cibernética em seus sistemas, que resultou
em acessos e consultas não autorizados a dados dos usuários.
Entre as informações cadastrais acessadas por um
endereço IP externo estavam nome completo, data de nascimento, e-mail,
telefone, endereço residencial, número de associado LATAM Pass, categoria no
programa e status da conta, saldo de milhas, pontos qualificáveis e dados
parciais de cartão de crédito, como os primeiros seis e os últimos quatro
dígitos, bandeira, nome do titular e data de validade.
Apesar da quantidade e da relevância das informações
indevidamente acessadas, a companhia informou que o número completo do cartão
de crédito, o código de segurança (CVV), as senhas e os dados bancários não
foram afetados e permanecem protegidos.
Em nota, a LATAM informou que, ao identificar o
incidente, comunicou os clientes afetados e a Autoridade Nacional de Proteção
de Dados (ANPD), além de bloquear endereços IP considerados suspeitos, corrigir
o código-fonte do sistema e aplicar travas adicionais de segurança.
O episódio deve ser analisado também à luz da Lei Geral
de Proteção de Dados (LGPD). Embora relevantes e potencialmente úteis à prática
de fraudes, os dados descritos não se confundem, em princípio, com os
"dados pessoais sensíveis" definidos no artigo 5º, II, da legislação.
Isso não significa, entretanto, que sua proteção seja
menos importante. A Lei nº 13.709/2018 estabelece, em seu artigo 44, que o
tratamento de dados pessoais será irregular quando deixar de observar a
legislação ou não fornecer a segurança que o titular pode legitimamente
esperar, consideradas as circunstâncias relevantes do tratamento.
Já o artigo 46 da LGPD impõe aos agentes de tratamento o
dever de adotar medidas técnicas e administrativas capazes de proteger os dados
pessoais contra acessos não autorizados e situações acidentais ou ilícitas de destruição,
perda, alteração, comunicação ou difusão.
A ocorrência de um incidente de segurança não implica,
por si só, a aplicação automática de sanções. A eventual responsabilização
depende da análise concreta do cumprimento dos deveres previstos na LGPD,
inclusive quanto à adoção de medidas adequadas de segurança, à resposta ao
incidente e, quando cabível, à comunicação à ANPD e aos titulares. O
descumprimento dessas obrigações pode resultar em responsabilização e na
aplicação das sanções previstas em lei, conforme as circunstâncias de cada caso.
Para os usuários, os riscos não devem ser subestimados.
Informações como nome, e-mail, endereço, telefone e número de associado podem
ser utilizadas por cibercriminosos para tornar abordagens fraudulentas mais convincentes.
De posse desses dados, é possível simular irregularidades em contas ou outras
situações que induzam a vítima a clicar em links suspeitos, fornecer
credenciais ou instalar aplicativos maliciosos.
Por isso, recomenda-se a adoção de boas práticas de
segurança digital, como evitar links ou anexos enviados por remetentes
desconhecidos, acompanhar movimentações bancárias e saldos de programas de
fidelidade, não fornecer senhas ou códigos de verificação e desconfiar de
contatos que solicitem providências urgentes. Em caso de dúvida, a orientação é
recorrer exclusivamente aos canais oficiais da empresa.
Para as organizações, o incidente reforça uma questão
ainda mais ampla. Segurança da informação e proteção de dados pessoais exigem
políticas permanentes, investimento contínuo, gestão de riscos, atualização de
sistemas, monitoramento e mecanismos eficientes de prevenção e resposta a
incidentes, sobretudo diante da crescente sofisticação das ameaças cibernéticas.
Mais do que atender às exigências da legislação, uma
atuação preventiva contribui para proteger os titulares e reduzir riscos
jurídicos, operacionais e reputacionais. Vazamentos de dados podem comprometer
a confiança dos clientes, afetar a imagem da organização, provocar perdas
financeiras e gerar impactos sobre sua competitividade.
O caso da LATAM, portanto, serve como um alerta que
ultrapassa os limites de uma única companhia. Em um cenário no qual empresas
acumulam volumes cada vez maiores de informações pessoais, a proteção de dados
não pode ser tratada apenas como uma obrigação a ser cumprida depois de um
incidente. Segurança da informação precisa fazer parte permanentemente da
gestão de riscos das organizações.
Vitor Henrique Mainardes – Especialista em
Direito Civil e Empresarial pela PUCPR e advogado no escritório Alceu Machado,
Sperb & Bonat Cordeiro Advocacia.
.jpg)
