Erros comuns na contratação de seguro cibernético e riscos para empresas

O crescimento expressivo das indenizações por sinistros cibernéticos e a complexidade dos incidentes impõem que empresas entendam limites e requisitos das apólices antes do sinistro; especialistas identificam quatro erros recorrentes na contratação de seguros cibernéticos que podem resultar na perda do direito à indenização e em exposições adicionais a multas administrativas.

Contexto

Nos últimos anos, o mercado segurador tem registrado aumento significativo nas despesas com sinistros ligados a incidentes digitais, o que tem levado a maior atenção sobre o alcance das coberturas de ciberseguros e sobre a adequação dessas apólices aos riscos corporativos reais. Paralelamente, a Lei n.º 13.709/2018 (LGPD) e a atuação da Autoridade Nacional de Proteção de Dados (ANPD) introduziram potencial de sanções administrativas relevantes, com multas de grande monta, o que cria dúvidas sobre a possibilidade de transferência desses custos ao segurador. Além disso, a evolução dos ataques — com predominância de ransomware e impacto crescente em setores críticos — traz o problema da distinção entre Tecnologia da Informação (TI) e Tecnologia Operacional (OT) no escopo das coberturas. A controvérsia importa porque decisões de pagamento de resgates, omissões no preenchimento de questionários de risco ou a contratação de apólices padronizadas podem determinar a cobertura ou o seu indeferimento, afetando continuidade de negócios e responsabilidade civil.

O que foi decidido

Mais do que uma decisão judicial, há um entendimento técnico-prático em formação entre especialistas do mercado: o simples pagamento de resgate a cibercriminosos não garante reembolso automático pela seguradora quando não observadas as condições contratuais; apólices típicas não amparam, em regra, a quitação direta de multas administrativas da ANPD; apólices desenhadas para riscos de TI costumam não abranger vulnerabilidades e danos decorrentes de OT; e declarações inexatas sobre medidas de segurança no momento da contratação podem levar à negativa de indenização com fundamento em infração contratual ou fraude no questionário de risco. Em suma, o mercado e operadores jurídicos pressionam por maior diligência prévia (auditorias e gap assessments) e por práticas contratuais que alinhem obrigações operacionais às cláusulas de exclusão e condições de pagamento.

Base normativa e precedentes

• Lei 13.709/2018 (LGPD) — disciplina proteção de dados pessoais e prevê sanções administrativas aplicadas pela ANPD; tem caráter punitivo e pedagógico que, segundo entendimento técnico, impede transferência automática do valor da multa ao segurador.
• Código Civil, Lei 10.406/2002 — regime dos contratos em geral e princípios aplicáveis aos contratos de seguro (arts. que tratam de boa-fé, declaração de risco e consequências do erro ou dolo na contratação do seguro).
• Normas e práticas securitárias e de mercado (CNseg) — parâmetros técnicos e relatórios setoriais sobre sinistros, frequências e evolução de pagamentos que influenciam subscrição e cláusulas contratuais.
• LGPD/ANPD — jurisprudência e entendimentos administrativos — ainda em desenvolvimento, mas com tendência a distinguir custo de defesa e mitigação (cobertos) de sanção punitiva (excluída).
• Jurisprudência consolidada do tribunal — aplicada em casos de omissão ou falsidade nas declarações de risco, salvo especificações contratuais em sentido contrário.

Impacto prático

• Para advogados e consultores de compliance: necessidade de revisar cláusulas-padrão, elaborar pareceres sobre compatibilidade entre obrigações operacionais e condições das apólices, e prever procedimentos internos para consultas prévias ao segurador antes de decisões críticas (ex.: pagamento de resgates).
• Para empresas e gestores de risco: urgência em realizar gap assessments e auditorias técnicas integradas (TI + OT) para que as respostas ao questionário de risco reflitam a realidade operacional; adoção de playbooks que estabeleçam fluxo comitê-seguradora antes de qualquer negociação com criminosos.
• Para corretores e seguradoras: pressão para elaborar produtos mais granulados que contemplem riscos de OT, cláusulas claras sobre procedimentos em incidentes críticos e mecanismos de verificação técnica periódica.
• Para contribuintes/controladores de dados: delimitação entre custos indenizáveis (despesas de resposta, perícia forense, notificação, defesa jurídica, eventuais danos civis a terceiros) e sanções administrativas ou punições por dolo/negligência grave, que tendem a ficar fora da cobertura.
• Em litígios em curso: maior volume de controvérsias sobre cumprimento de dever de informação e sobre aplicação de exclusões contratuais; possibilidade de discussão sobre nulidade de cláusulas abusivas ou interpretação restritiva de exclusões, conforme o caso.

O que observar

• Procedimentos internos: instituir políticas que exijam consulta prévia e formal ao comitê da seguradora antes de qualquer pagamento a extorsionários; documentar decisões operacionais e técnicas tomadas no pós-incident.
• Forma e conteúdo da contratação: evitar apólices “prontas” sem análise técnica; exigir cláusulas que descrevam coberturas específicas para OT quando essa infraestrutura for crítica.
• Declaração de risco: rigor no preenchimento do questionário e manutenção de evidências técnicas; risco de perda de cobertura por discrepância entre declarações e realidade.
• Cobertura de multas da ANPD: antecipar que o seguro, em regra, cobrirá custos de defesa e medidas de mitigação, não o valor da sanção punitiva; planejar defesa administrativa e recursos junto à ANPD.
• Fiscalização regulatória e jurisprudencial: acompanhar decisões da ANPD e eventuais entendimentos dos tribunais sobre transferência de responsabilidade por multas e sobre a aplicação de exclusões por dolo ou negligência grave.