Responsabilidade do Administrador em Incidentes Cibernéticos

Quando um incidente cibernético expõe dados de clientes ou paralisa operações, a primeira pergunta jurídica que surge costuma ser sobre a responsabilidade da empresa. A segunda, menos discutida, é sobre a responsabilidade pessoal de quem está no conselho. No Brasil, essa segunda pergunta tem resposta no direito societário, não em uma lei específica de cibersegurança: o dever de diligência do artigo 153 da Lei das S.A. e a responsabilidade civil dos artigos 158 e 159 já se aplicam à supervisão de controles internos de segurança da informação, ainda que a legislação de 1976 nunca tenha mencionado a palavra ransomware.

Este artigo percorre a base legal que sustenta essa responsabilidade, os limites da business judgment rule, o regime de sanções da LGPD, um caso brasileiro real ainda em andamento na ANPD, um precedente do STJ sobre o ônus da prova em vazamentos de dados, e o papel, e as limitações, do seguro D&O nesse cenário. O objetivo não é alarmar o conselheiro com um risco inflado, é dar um retrato honesto de onde a lei brasileira já aponta responsabilidade, e onde essa responsabilidade ainda é mais teórica do que testada em tribunal.

Lei das S.A.: Diligência, Lealdade e Responsabilidade Civil

A Lei nº 6.404/1976 (Lei das S.A.) estabelece, no artigo 153, que o administrador deve empregar, no exercício de suas funções, "o cuidado e diligência que todo homem ativo e probo costuma empregar na administração dos seus próprios negócios". O artigo 155 trata do dever de lealdade, que veda o uso de informação privilegiada em proveito próprio, e o artigo 157 exige que o administrador informe fatos relevantes. Nenhum desses artigos fala em segurança da informação, mas todos os três se aplicam diretamente a como um conselheiro trata o risco cibernético da companhia: com que diligência ele acompanha os controles internos, se usa informação sensível de forma leal, e se comunica riscos relevantes de forma transparente.

A responsabilidade civil propriamente dita está nos artigos 158 e 159. A ação de responsabilidade contra o administrador compete à companhia, mediante deliberação prévia em assembleia geral, não é uma ação que qualquer terceiro possa mover diretamente contra o conselheiro. E há uma proteção relevante embutida na própria lei: o juiz pode excluir a responsabilidade do administrador se ficar convencido de que ele agiu de boa-fé e visando ao interesse da companhia. Essa combinação, deliberação em assembleia mais avaliação de boa-fé pelo juiz, é o filtro que impede que qualquer decisão de negócio malsucedida vire automaticamente um processo pessoal contra quem a tomou.

Sociedades Limitadas: o Mesmo Dever, Outro Diploma

Para empresas organizadas como sociedade limitada, o Código Civil, nos artigos 1.011 e seguintes, estabelece um dever equivalente de diligência, probidade e lealdade do administrador. Um ponto importante para conselhos com mais de um administrador ou diretor: quando há pluralidade de administradores que concorreram para o dano, a responsabilidade pode ser pessoal e solidária, o que significa que a empresa, ou terceiros prejudicados, não precisam provar o grau exato de participação de cada um para buscar reparação de qualquer um deles.

A Business Judgment Rule Não Cobre Omissão em Vigilância

A business judgment rule foi recebida no direito brasileiro por interpretação dos artigos 153 e 154 da Lei das S.A. e do artigo 1.011 do Código Civil, e não por um dispositivo legal que a nomeie expressamente. Na prática, ela protege o processo decisório, não o resultado: um administrador que decidiu com informação adequada, deliberação apropriada, independência e boa-fé não deveria ser responsabilizado só porque a decisão, olhada em retrospecto, deu errado. A CVM é o principal foro onde essa regra é testada no Brasil, em processos administrativos sancionadores contra administradores de companhias abertas.

O ponto central para cibersegurança é onde essa proteção termina. A business judgment rule não se aplica a decisões tomadas com conflito de interesse, fraude ou má-fé, e a doutrina aponta um quarto limite que costuma passar despercebido: a omissão no dever de vigiar os próprios sistemas de controle interno da companhia não é, tecnicamente, uma "decisão de negócio". É uma falha de fiscalização, e falha de fiscalização não goza da mesma proteção que protege o mérito de uma escolha estratégica. Um conselho que nunca perguntou sobre a maturidade dos controles de segurança da informação da empresa está mais perto dessa categoria de omissão do que de uma decisão de negócio defensável.

LGPD: Segurança da Informação Como Obrigação Legal Direta

Diferente da Lei das S.A., a LGPD fala diretamente de segurança da informação. O artigo 46 exige que agentes de tratamento adotem medidas de segurança técnicas e administrativas aptas a proteger dados pessoais. Os artigos 42 a 45 tratam da responsabilidade civil do agente de tratamento, em um regime que a doutrina majoritária considera objetivo, ou seja, que não depende da prova de culpa para caracterizar o dever de indenizar. E o artigo 52 dá à ANPD o poder de aplicar sanções administrativas, incluindo multa de até 2% do faturamento da pessoa jurídica, limitada a R$ 50 milhões por infração.

A Resolução CD/ANPD nº 15/2024 detalha a obrigação de notificar a ANPD em caso de incidente de segurança relevante, com prazo definido pela própria resolução a partir da confirmação do incidente. E em fevereiro de 2026, a Lei nº 15.352/2026 transformou a ANPD em agência reguladora com mais autonomia e poder de fiscalização, o que sinaliza que a régua de enforcement da LGPD tende a subir, não descer, nos próximos anos.

Instituto Isac: um Processo em Andamento, Não uma Condenação

O caso mais concreto e recente de enforcement da ANPD envolvendo incidente cibernético no Brasil é o do Instituto Isac, organização social responsável pela administração de unidades públicas de saúde. Entre 2025 e 2026, a organização sofreu um ataque de ransomware que expôs dados de cerca de 500 mil pacientes, incluindo dados sensíveis de saúde. Segundo comunicado oficial da própria ANPD, o processo administrativo sancionador foi instaurado porque a organização não apresentou evidência técnica que comprovasse suas alegações de segurança, e não disponibilizava informação sobre quem era o encarregado de dados da instituição.

É importante ser preciso aqui: até a data de publicação deste artigo, o processo estava em fase de defesa, sem decisão final e sem multa aplicada. O caso não é, ainda, um precedente de condenação, é um precedente de que a ANPD está disposta a instaurar processo quando uma organização não consegue demonstrar, com evidência, que adotou medidas de segurança adequadas. Para o conselho, o alerta prático já está dado, independentemente de como o processo terminar: a ausência de documentação e de um encarregado de dados claramente designado é, por si só, motivo suficiente para abertura de investigação.

STJ: Alegar "Ataque de Hacker" Não Basta Como Defesa

Em outubro de 2023, a 3ª Turma do Superior Tribunal de Justiça julgou o REsp 2.077.278-SP, sob relatoria da ministra Nancy Andrighi, envolvendo uma instituição financeira responsabilizada por um vazamento de dados que facilitou um golpe contra clientes. O ponto central da decisão é diretamente relevante para qualquer empresa que sofra um incidente cibernético: o STJ entendeu que a alegação genérica de "ataque externo" ou "ação de hackers" não basta, por si só, como excludente de responsabilidade. A empresa precisa provar concretamente que adotou medidas de segurança adequadas à época do incidente.

Na prática, essa decisão inverte o ônus que muitas empresas presumem existir. Não basta dizer que houve um ataque sofisticado, é preciso demonstrar, com evidência documentada, o que foi feito para preveni-lo. É exatamente o mesmo tipo de lacuna, ausência de evidência técnica documentada, que apareceu no caso do Instituto Isac perante a ANPD.

Seguro D&O Geralmente Não Cobre Risco Cibernético

O seguro de Directors & Officers (D&O) protege pessoas físicas em cargos de gestão contra reclamações decorrentes do exercício do cargo, e é o instrumento mais citado quando se fala em proteção patrimonial do administrador. A Circular Susep nº 637/2021 deu contornos regulatórios ao tratamento de eventos cibernéticos dentro de apólices de responsabilidade de administrador no Brasil, mas isso não significa cobertura automática.

O ponto que costuma surpreender conselheiros é justamente esse: apólices de D&O geralmente excluem eventos cibernéticos da cobertura básica. A prática de mercado tem sido tratar risco cibernético por meio de um seguro cibernético separado, o cyber insurance, exigindo endosso específico para que o D&O responda por esse tipo de evento. Um comitê de risco cibernético que nunca revisou essa exclusão na apólice da empresa só vai descobrir a lacuna depois que o incidente já aconteceu, no pior momento possível para descobrir isso.

O Estágio Atual da Responsabilização Pessoal no Brasil

É preciso ser honesto sobre um ponto que muda a leitura de tudo que foi dito até aqui: não existe, até onde esta pesquisa identificou, nenhum caso brasileiro de administrador ou conselheiro, como pessoa física, pessoalmente condenado, civil ou administrativamente, por falha de supervisão em incidente cibernético especificamente. A responsabilização concreta vista até agora, no caso do STJ e no processo ainda em andamento do Instituto Isac, recaiu sobre a pessoa jurídica, a empresa, não sobre o indivíduo que a administra.

Isso é bem diferente do que se viu recentemente nos Estados Unidos, onde a responsabilização mais dura recaiu sobre executivos de segurança, não sobre o board. Discutimos esses casos em profundidade no nosso guia sobre como construir um comitê de risco cibernético no conselho; em resumo, nos EUA a exposição recente atingiu diretamente o CISO ou o CSO, enquanto no Brasil o arcabouço legal aponta para o administrador e o conselheiro por meio do direito societário, mas ainda sem um precedente de condenação pessoal equivalente. A exposição do conselheiro brasileiro hoje é mais doutrinária, fundamentada no dever de diligência do artigo 153, na responsabilidade solidária prevista para sociedades com múltiplos administradores e na leitura de que a business judgment rule não protege omissão em vigilância, do que baseada em jurisprudência consolidada especificamente sobre cibersegurança. Isso não torna o risco menor, torna a exposição menos previsível: sem precedente, ninguém sabe ainda exatamente onde a linha será traçada no primeiro caso que chegar a julgamento.

O Que o Conselho Pode Fazer Agora

A ausência de um precedente de condenação pessoal não é motivo para adiar a discussão, é justamente a janela em que a documentação de diligência tem mais valor, antes que exista um caso testando os limites da lei. Três providências concretas decorrem diretamente do que foi visto neste artigo: manter evidência documentada dos controles de segurança adotados, não apenas a política escrita, mas registro de que ela foi implementada; garantir que exista um encarregado de dados claramente designado e informado publicamente, a lacuna que abriu o processo contra o Instituto Isac; e revisar a apólice de D&O da empresa para confirmar se ela tem, ou não, endosso específico para eventos cibernéticos.

Para instituições sob supervisão do Banco Central, a Resolução CMN nº 4.893/2021, atualizada pela Resolução BCB nº 538/2025 e pela Resolução CMN nº 5.274/2025, já formaliza boa parte dessa diligência como exigência regulatória, com prazo de adequação até 1º de março de 2026. Para os demais conselhos, o caminho prático é incorporar essas perguntas à pauta trimestral com o CISO, tema que detalhamos no nosso guia sobre o que o conselho deve perguntar ao CISO a cada trimestre, e estruturar como esse relato chega ao board de forma consistente, o que aprofundamos no nosso guia de board reporting em cibersegurança.

Perguntas Frequentes

Conclusao

A responsabilidade de administradores em incidentes cibernéticos no Brasil não depende de uma lei específica de cibersegurança, ela já está escrita no direito societário, no dever de diligência do artigo 153 e na responsabilidade civil dos artigos 158 e 159 da Lei das S.A., reforçada pelas obrigações diretas de segurança da informação da LGPD. O que ainda falta é jurisprudência consolidada testando especificamente essa responsabilidade contra a pessoa física do conselheiro, o que torna a documentação de diligência, hoje, o instrumento mais concreto de proteção disponível, não porque a lei exige um formato específico, mas porque é exatamente isso que separa uma organização capaz de demonstrar cuidado ativo de uma que não tem nenhum registro para mostrar quando questionada.