Dados sobre compras, cancelamentos, entregas, contratos, valores e serviços contratados são utilizados para conferir credibilidade à abordagem e reduzir a desconfiança de quem é procurado.
Nessas situações, a investigação não deve se limitar a identificar quem praticou a fraude e para onde foram os valores. Uma pergunta igualmente importante precisa ser respondida: como os fraudadores tiveram acesso a essas informações? As possibilidades são diversas — engenharia social, comprometimento de credenciais, acesso indevido a sistemas, atuação de terceiros, obtenção ilícita de bases de dados ou incidente de segurança envolvendo dados pessoais.
Isso não significa que toda fraude praticada com informações da vítima decorra, necessariamente, de vazamento de dados da empresa envolvida. A presença de informações específicas ou aparentemente restritas nas mãos dos criminosos, porém, é um sinal de alerta que merece apuração técnica e jurídica adequada.
É nesse ponto que Direito Penal, investigação corporativa, segurança da informação e proteção de dados passam a caminhar juntos. No plano criminal, condutas dessa natureza podem configurar, entre outros, a fraude eletrônica (art. 171, § 2º-A, do Código Penal, introduzido pela Lei nº 14.155/2021) e a invasão de dispositivo informático (art. 154-A do Código Penal). No plano da proteção de dados, a constatação de que dados pessoais foram acessados indevidamente pode caracterizar incidente de segurança, com o dever de comunicação à ANPD e aos titulares previsto no art. 48 da LGPD e disciplinado pela Resolução CD/ANPD nº 15/2024, que fixa o prazo de três dias úteis, contado do conhecimento do incidente, para a comunicação daqueles que possam acarretar risco ou dano relevante aos titulares.
Em um cenário no qual as fraudes são cada vez mais orientadas por dados, investigar como o criminoso obteve a informação pode ser tão importante quanto descobrir quem praticou o golpe.
Nossa equipe de Direito Penal está à disposição para esclarecer dúvidas sobre o tema.
