Opinião - Rômulo Saraiva: Vazamento do INSS pode gerar pânico

Pelo desejo do INSS, o ideal é que ninguém tomasse conhecimento de suas falhas ou do seu vazamento de dados. É a lógica de que roupa suja não se lava em público. Não adiantou. A ANPD (Autoridade Nacional de Proteção de Dados) condenou o INSS a cumprir o exercício do dever de comunicar, isto é, publicizar a aposentados e titulares de benefícios previdenciários de todo o país que houve uma falha geral no sistema que possibilitou a fuga de dados em larga escala.

Nos meses de agosto e setembro de 2022, em razão do convênio celebrado entre o INSS e a AGU (Advocacia-Geral da União), deu-se o incidente de segurança que expôs dados pessoais de milhares de pessoas. No período, uma movimentação estranha chamou a atenção. Foram realizados mais de 99 milhões de consultas ao sistema de informação de dados do INSS, quantidade quase três vezes maior que a registrada no mês anterior.

O incidente comprometeu a confidencialidade dos dados pessoais tratados pelo INSS em razão de acesso a volume extraordinário de informações por meio de consultas volumétricas ao sistema.

Dentre os dados afetados pelo incidente, estão a identidade oficial e dados financeiros e de saúde (tais como nome, CPF, NIT, identidade, data de nascimento, sexo, dados bancários e quantidade de dependentes). Com os dados vazados, aumenta a chance de surgirem novos golpes e assédios comerciais.

Apesar da gravidade, o INSS não quis tornar o episódio público. Em sua defesa, argumentou que a comunicação do incidente de segurança seria medida irrazoável e prejudicial ao interesse público. Segundo o instituto, eventual divulgação ampla e indistinta do incidente cibernético contaria apenas com o potencial de "gerar pânico e desconfiança em todo o contingente de segurados e beneficiários vinculados ao INSS".

Ao escolher colocar a sujeira para debaixo do tapete, o INSS assume uma postura egoísta e nada transparente com os princípios constitucionais que deveria seguir, sobretudo o da publicidade em externar informações, ainda que não alvissareiras.

Não basta deixar a ANPD ciente do problema. Além dela, abster-se de comunicar aos titulares a ocorrência de incidente de segurança que possa acarretar risco ou dano relevante aos titulares vai de encontro à Lei Geral de Proteção de Dados. As pessoas precisam ter ciência e a chance de se precaver sobre novo golpe.

Outra justificativa usada pelo instituto para se recusar a informar o incidente é, que "antes de proteger efetivamente os segurados e beneficiários, ocasionaria um caos nos canais de atendimento".

Ora, a proteção efetiva a um infortúnio como esse, ao menos se esperava, deveria ser do próprio instituto em evitar o problema, bem como em zelar pela posse e pela privacidade das informações dos brasileiros. Mas, uma vez tendo ocorrido o incidente, as pessoas têm o direito de saber o que aconteceu, mesmo que gere o efeito colateral de congestionar os canais de atendimento.

Como não bastasse, o controlador dos dados acha ruim informar e ser questionado. É de sabença geral que há anos os dados —que deveriam ser limitados ao INSS— vêm sendo vazados a financeiras e estelionatários. Mas, na hora de tornar isso público e oficial, o INSS prefere discrição.