O que vai, volta: o ressurgimento das ações coletivas por violação de dados
As ações coletivas por violação de dados estão novamente em ascensão, com um relatório recente da Lex Machina a confirmar o que muitos profissionais de cibersegurança observaram em primeira mão nos últimos dois anos. As conclusões também reafirmam as melhores práticas de longa data: a preparação mitiga os custos e melhora as defesas quando as organizações vítimas são obrigadas a defender uma ação coletiva ou um processo regulatório.
O relatório mostra que 2.040 ações coletivas por violação de dados foram movidas em 2023 — quase três vezes o número registrado em 2022. Os réus nestes processos abrangiam uma variedade de setores, com empresas de serviços financeiros e de saúde entre as mais frequentemente visadas. Estes casos também envolvem frequentemente litígios multidistritais (MDL), como o MDL no tribunal federal de Boston, que decorre do ciberataque de 2023 envolvendo o software de transferência de ficheiros MOVEit da Progress Software.
O relatório continua listando os distritos federais com o maior número de ações coletivas de consumidores, que incluem questões relacionadas à violação de dados. Os distritos líderes foram o Distrito Central da Califórnia (onde um dos autores está baseado), o Distrito Central da Flórida (onde os outros dois autores estão baseados) e o Distrito Norte de Illinois.
Principais conclusões
- Investir. As empresas devem continuar a investir em cibersegurança. Isso inclui não apenas desenvolver um programa robusto de cibersegurança para proteger a organização, mas também um programa bem elaborado de deteção e resposta a incidentes, incluindo um manual, que ajudará a organização a identificar, investigar e responder prontamente a um incidente suspeito de cibersegurança. Vários relatórios do setor, bem como evidências empíricas, mostraram que as organizações com um manual de resposta a incidentes (que foi testado por meio de exercícios simulados) não apenas mitigam o custo de uma violação de dados, mas também têm melhores defesas em qualquer litígio ou processo regulatório.
- Qual é o mal? Os queixosos por violação de dados continuam a apresentar queixas em tribunais federais, apesar da (frequente) ausência de danos e da possibilidade de o caso ser arquivado por falta de legitimidade. Desta forma, os advogados dos queixosos não parecem dissuadidos pela decisão do Supremo Tribunal sobre o caso TransUnion em 2021, um caso marcante para a legitimidade neste tipo de assuntos. As empresas que enfrentam uma ação coletiva por violação de dados em tribunais federais devem, portanto, considerar, como parte de uma avaliação inicial do caso, a possibilidade de uma moção de indeferimento que inclua o argumento de que o queixoso principal não tem legitimidade, dependendo do distrito onde a ação é movida. O envolvimento precoce de um advogado externo também pode ajudar as empresas a avaliar os prós e contras relativos de se envolver em discussões de acordo antecipado ou de apresentar moções decisivas com reivindicações de direito estadual.
- Risco da cadeia de abastecimento. Ataques em grande escala muitas vezes geram litígios coletivos significativos, como foi o caso do ataque à Progress Software e da violação de dados da Equifax em 2017. Esses ataques — e os litígios que muitas vezes se seguem — levantam questões interessantes envolvendo deveres para com terceiros, responsabilidade do fornecedor e prova de causalidade. Tanto a Progress Software como a Equifax, por exemplo, são partes importantes da cadeia de abastecimento em vários setores. Esses incidentes são a prova de que todas as organizações precisam de examinar minuciosamente a sua cadeia de abastecimento, independentemente do tamanho ou da reputação. As organizações podem começar por priorizar os principais fornecedores e trabalhar com advogados para analisar os contratos desses fornecedores. As organizações também devem considerar a cobertura de seguro para reclamações decorrentes de violações por parte de fornecedores ou outros terceiros.
O resultado final é que o investimento na preparação para a segurança cibernética é dinheiro bem gasto, tanto do ponto de vista da dissuasão quanto do litígio. Exercícios simulados, gestão de riscos da cadeia de abastecimento e estratégia de litígio desempenham papéis fundamentais na redução do impacto de ações judiciais coletivas por violação de dados. A nossa equipa na Foley tem experiência em todo o país na preparação, resposta e defesa de organizações que enfrentam esses riscos significativos.
