TST reporta acesso indevido ao DEJT e ativa regras da LGPD

O Tribunal Superior do Trabalho (TST) tornou pública uma ocorrência de acesso não autorizado ao Diário Eletrônico da Justiça do Trabalho (DEJT). A comunicação oficial orienta usuários a verificarem se seus dados pessoais foram expostos. Esta análise examina os efeitos jurídicos imediatos e os contornos legais que regem a resposta institucional a incidentes de segurança envolvendo sistemas judiciais.

Contexto

Sistemas eletrônicos de tribunais concentram informações sensíveis sobre processos, partes, advogados e servidores. A digitalização acelerou a dependência desses repositórios como fonte primária de prova e meio de comunicação processual, mas também ampliou a superfície de risco a incidentes de segurança. A controvérsia é relevante porque toca a convergência entre proteção de dados pessoais (Lei 13.709/2018 — LGPD), deveres da administração pública e possíveis efeitos sobre atos processuais e direitos fundamentais como a intimidade e a segurança dos dados.

Historicamente, exposições de dados em órgãos públicos no Brasil provocaram investigação administrativa e, em alguns casos, responsabilização civil e administrativa. A existência de canais institucionais para comunicação e mitigação é, portanto, critério central para avaliar se a resposta institucional cumpre os padrões legais e de governança digital.

O que foi decidido

O TST informou, por meio de comunicado público, que houve acesso indevido ao DEJT e disponibilizou orientação para que interessados verifiquem eventual exposição de dados. Não houve, no comunicado, detalhamento técnico sobre vetor de intrusão, extensão do escopo de dados afetados ou cronologia do incidente. A divulgação pública do fato implica reconhecimento institucional de comprometimento, o que tem efeitos práticos imediatos: desencadeia deveres de investigação interna, preservação de logs, comunicação às autoridades competentes e, potencialmente, notificação aos titulares dos dados.

Embora o comunicado não fixe medidas punitivas, a tomada de posição do Tribunal marca o início do processo formal de gestão do incidente, com repercussões no plano administrativo e no plano de direitos individuais daqueles cujos dados podem ter sido acessados.

Base normativa e precedentes

• Art. 5, CF/88 — proteção à intimidade, vida privada, honra e imagem, fundamentos que sustentam a tutela dos dados pessoais como dimensão de direito fundamental.
• Art. 37, CF/88 — princípios da administração pública (legalidade, eficiência, publicidade) que orientam a atuação do Tribunal no evento de incidentes em sistema público.
• Lei 13.709/2018 (LGPD) — normativa central sobre tratamento de dados pessoais: obrigações do controlador, dever de segurança e regras de comunicação de incidentes.
• Art. 6, LGPD — princípios aplicáveis ao tratamento de dados (finalidade, necessidade, transparência) relevantes para avaliar medidas de resposta.
• Art. 48, LGPD — obrigação de comunicar à Autoridade Nacional de Proteção de Dados (ANPD) e aos titulares sobre segurança incidentes que possam acarretar risco ou dano relevante, sem demora injustificada.
• Art. 42, CC/2002 — responsabilidade civil por ato ilícito que cause dano; em paralelo, a LGPD prevê direito à reparação por danos patrimoniais e morais decorrentes do tratamento indevido.
• Art. 52, LGPD — elenco de sanções administrativas passíveis de aplicação pela ANPD em razão de infrações à lei.
• Jurisprudência: a resposta deve observar a jurisprudência consolidada dos tribunais sobre responsabilidade da administração pública por falhas em sistemas, especialmente quando há violação de direitos fundamentais.

Impacto prático

• Para advogados e partes: é imprescindível checar publicações e intimações no DEJT após o incidente; eventual alteração de prazos processuais ou perda de atos por falha de publicação exigirá avaliação caso a caso. A comprovação de que um ato processual foi prejudicado por falha do sistema pode ensejar pedidos de nulidade ou reabertura de prazos, à luz do princípio da segurança jurídica.

• Para titulares de dados (partes e advogados): atenção à possível exposição de dados pessoais sensíveis ou cadastrais; recomenda-se monitorar eventuais tentativas de fraude (phishing, uso indevido de documentos) e adotar medidas básicas de proteção (alteração de senhas, alerta a clientes).

• Para gestores públicos e equipes de TI de tribunais: obrigação imediata de iniciar perícia forense digital, preservar evidências, avaliar vetores e aplicar correções de segurança. A conformidade com procedimentos da LGPD (art. 48) é essencial para reduzir risco de sanções pela ANPD.

• Para a administração pública: o episódio pode desencadear apuração disciplinar interna e controle externo, com potencial responsabilização administrativa e necessidade de revisão de políticas de segurança, governança de dados e contratos com fornecedores.

O que observar

• Notificação à ANPD: a legislação exige comunicação sem demora injustificada quando há risco ou dano relevante; a ausência de comunicação ou demora injustificada pode agravar a exposição a sanções administrativas (art. 48 e art. 52, LGPD).

• Escopo da divulgação: a transparência institucional deve balancear informação suficiente para proteção dos titulares e preservação da investigação técnica; comunicações genéricas podem ser criticadas se impedirem a adoção de medidas de proteção pelos afetados.

• Prova e perícia: para efeitos processuais e de responsabilização civil, a perícia técnica que ateste extensão do vazamento e cadeia de custódia das evidências será decisiva.

• Efeito em atos processuais: advogados devem observar prazos e, se houver prejuízo concreto por falha de publicação, provocar o juízo competente com provas do incidente para proteção de direitos processuais, podendo invocar nulidade ou reabertura de prazo com base nos princípios do devido processo legal.

• Riscos para contratos e fornecedores: se a intrusão importar em falha contratual de prestadores, há espaço para ações de regresso e cobrança de indenização, além de revisão de cláusulas contratuais sobre segurança da informação.

Conclusão breve: a comunicação pública do TST sobre acesso indevido ao DEJT aciona um conjunto de deveres legais e práticas de governança digital. A resposta institucional adequada deverá combinar investigação técnica, transparência calibrada, notificação à ANPD e medidas de mitigação para reduzir danos aos titulares e limites de responsabilidade. Advogados e responsáveis por TI devem agir de forma coordenada para preservar direitos processuais e minimizar riscos jurídicos e administrativos decorrentes do incidente.