Aspectos jurídicos do seguro de riscos cibernéticos: primeiras impressões e possíveis desafios para contratação

Por Marcela Joelsons, advogada de Souto Correa na área de Proteção de Dados

1. Introdução

Os riscos cibernéticos estão entre os riscos de negócios mais críticos para empresas em todo o mundo no século

XXI, de acordo com o relatório de riscos globais do Fórum Econômico Mundial de 2020.¹ Como um perigo, o risco cibernético é definido por Eling e Schnell como “qualquer risco emergente do uso de tecnologia de informação e comunicação que comprometa a confidencialidade, disponibilidade ou integridade de dados ou serviços”.²

Atualmente, as empresas enfrentam uma variedade de ameaças cibernéticas internas e externas – crimes cibernéticos, hacktivismo, espionagem cibernética e guerra cibernética, e podem ser afetadas por diferentes formas de ataques cibernéticos, como negação de serviço, ataques baseados na web, códigos maliciosos, vírus, worms e trojans, malwares, insiders maliciosos, dispositivos roubados, bem como phishing e engenharia social.³

As possíveis consequências dos ataques cibernéticos incluem roubo, perda e destruição de dados e informações, falha e destruição de sistemas e software de TI, interrupção de negócios, interrupção e destruição de instalações de produção, interrupção de processos e procedimentos de produção e negócios, e ferimentos pessoais e danos materiais. Assim, os ataques cibernéticos não só podem resultar em perdas financeiras devido a interrupções de negócios e ao roubo de dados, como também em perdas de reputação consideráveis e consequentes danos a bens e até mesmo às pessoas.⁴

Veja o seguinte exemplo: o sistema operacional que controla um drone utilizado pelas forças aéreas americanas é invadido devido a um ataque cibernético. Sua rota é alterada para evitar a explosão do esconderijo de um líder terrorista para provocar a colisão em um determinado alvo civil escolhido pelos hackers. Como consequência, poderiam ocorrer danos materiais, se, por exemplo, esse drone hackeado atingisse casas, mas também danos à integridade física de um ser humano, se atingisse pessoas. Contudo, não seria simples delimitar as consequências desse ato. A ocorrência poderia ter sido filmada por civis, e diversos vídeos serem divulgados na internet. Em menos de 24 horas após as postagens, poderiam alcançar milhões de visualizações, ocorrendo a chamada “viralização do conteúdo”. Como ficaria a reputação da empresa responsável pelo sistema operacional do drone? Sendo uma companhia de capital aberto, suas ações perderiam valor no mercado de capitais? E se essas filmagens não fossem divulgadas imediatamente, mas anos após a ocorrência, quais seriam os efeitos esperados? O exemplo demonstra que as possíveis perdas de um ataque cibernético são exponenciais.

É neste contexto que se desenvolve o mercado do seguro cibernético, ofertado como uma alternativa para a gestão e transferência dos riscos. No Brasil, o seguro de risco cibernético é relativamente novo, tendo sido lançado no ano de 2012, com maior crescimento após a entrada em vigor da Lei Geral de Proteção de Dados (Lei 13.709/ 2018 (LGL\2018\7222) – “LGPD”). Contudo, a doutrina nacional ainda não se debruçou sobre a temática para avaliar se essa ferramenta poderá alcançar o objetivo de cobrir os riscos que englobam o mundo digital e de amparar seus segurados de forma adequada e suficiente em relação aos prejuízos decorrentes de ataques cibernéticos.

Desta forma, o presente estudo se propõe a analisar os aspectos jurídicos do seguro de risco cibernético no cenário brasileiro e revelar se este de fato constitui uma alternativa satisfatória para a gestão e transferência dos riscos cibernéticos.

Ao final, espera-se responder a seguinte pergunta: o seguro de risco cibernético é uma ferramenta efetiva para assegurar os riscos que englobam o mundo digital? Para tanto, foi utilizada doutrina estrangeira, estudos de associações e seguradoras, bem como de órgãos internacionais que se voltaram ao enfrentamento do tema, diante da necessidade emergente de compreensão do seguro cibernético e da construção de um diálogo entre todos seus stakeholders.

2. Um panorama geral do seguro de riscos cibernéticos

2.1. Evolução e conceito

Em um breve apanhado histórico quanto ao surgimento e desenvolvimento da cobertura de riscos cibernéticos, é possível afirmar que, em uma concepção diferente da que temos hoje, essa cobertura existe no mercado desde o final da década de 1970, quando era uma cobertura adicional nos seguros tradicionais, voltada a cobrir o acesso físico de um terceiro não autorizado à sistemas informáticos. Nessa época, o roubo de dados era possível, por exemplo, pela transferência de dados de um computador com o uso de um disquete.⁵

Na década de 1980 ocorreu a introdução das apólices de seguro E&O, de responsabilidade profissional, para proteger empresas e seus profissionais contra reclamações de clientes por perdas financeiras oriundas de serviços prestados. Essas apólices foram desenvolvidas principalmente para instituições financeiras e empresas do mercado financeiro, e incluíam cobertura de segurança informática.⁶

Foi no final da década de 1990 que pareceram apólices de seguros concebidas para a Internet. As primeiras apólices de seguro contra hackers foram criadas em 1998 por empresas de tecnologia em parceria com companhias de seguros para oferecer aos seus clientes uma solução abrangente de gestão total do risco, com pequenas coberturas.⁷

O desenvolvimento e lançamento do seguro cibernético como um produto autônomo foi uma resposta ao problema do bug do milênio e ao aumento dos riscos de ataques de segurança na internet nos anos 2000, tendo como objetivo preencher as lacunas existentes na cobertura de seguros de apólices tradicionais diante da dificuldade dos segurados de obterem indenização na chamada pela doutrina de “cobertura silenciosa de riscos cibernéticos”.⁸

Aqui, faz-se necessário abrir um parêntese para explicar que, até os dias atuais, existem três diferentes categorias gerais de cobertura cibernética disponíveis no mercado de seguros: (i) apólices isoladas, contratadas de forma específica e autônoma; (ii) cobertura em um pacote de seguros, por meio da combinação de apólices; e (iii) a cobertura cibernética silenciosa, que motiva preocupação por parte das seguradoras e da doutrina internacional.⁹

Segundo Wrede, Stegen e Shulenburg, riscos cibernéticos silenciosos são definidos como aqueles que surgem “da exposição cibernética implícita dentro de ‘todos os riscos’ e outras apólices de seguro de responsabilidade civil que não excluem explicitamente os riscos cibernéticos”.¹⁰

Neste sentido, constitui um desafio para as seguradoras identificar a cobertura a esses riscos silenciosos nas diversas apólices de seguro tradicionais existentes no mercado, nas quais os riscos cibernéticos não são regularmente mencionados ou não são explicitamente incluídos ou excluídos, podendo acarretar indenizações não calculados e difíceis de quantificar. Da mesma forma, nos produtos de seguros tradicionais, os riscos cibernéticos são frequentemente definidos, mas seu manuseio subsequente não é claro.¹¹

Essas coberturas silenciosas também impactam os segurados, seja porque podem levar à contratação de novas coberturas desnecessárias, seja porque podem se deparar com negativa de indenização em apólices que confiavam ter cobertura para um determinado risco cibernético.

Fechado o parêntese, passa-se à realidade no Brasil. Seguro Cibernético é o nome de mercado deste tipo de seguro, que possui o nome técnico Seguro de responsabilidade civil de dados e proteção digital.¹²

Segundo Ana Paula Ávila e Niris Cunha, os seguros de riscos cibernéticos são ferramentas para cobertura de riscos que englobam o mundo digital, cujo objetivo é amparar seus segurados em prejuízos decorrentes de ataques cibernéticos ou incidente de segurança da informação.¹³

Ele é relativamente novo, tendo sido lançado no país ano de 2012 pela AIG, uma seguradora americana. De lá para cá outras seguradoras entraram no mercado. Em 2017, eram apenas duas companhias de seguros, a AIG e a XL oferecendo esta apólice no Brasil. Contudo, alguns acontecimentos ajudaram na evolução do cenário. Pode-se referir o ataque do ransomwareWanna Cry, que aconteceu em maio de 2017 e afetou computadores do mundo todo, incluindo do Brasil, que rodavam com o Microsoft Windows. Graças a uma deficiência nesse sistema operacional, os arquivos de milhões usuários foram atacados e mantidos como reféns, tendo sido exigido resgate em bitcoins.¹⁴

Em 2018 o Regulamento Geral de Proteção de Dados da União Europeia (“GDPR”) entrou em vigor, impactando diversas empresas no Brasil. Foi neste mesmo ano que a SUSEP criou o código 0327 por meio da Circular 579, com a nomenclatura de compreensivo Riscos Cibernéticos.¹⁵

De acordo a SUSEP, em 2020 foram emitidos cerca de 43 milhões de reais em prêmio, que é a prestação paga pelo segurado, para a contratação do seguro, que se efetiva com a emissão da apólice por parte da empresa seguradora e cerca de 32 milhões de reais de sinistros indenizados.¹⁶

Em junho de 2021 já existiam nove seguradoras no mercado brasileiro, a AIG, Axa XL, Zurich, Generali, Allianz,

Chubb, Tokio Marine, Sura e Newe.¹⁷ Segundo Claudio Macedo Pinto, além dessas seguradoras, há outras estudando entrar nesse mercado, algumas em fase mais adiantada, com clausulados já aprovados ou até mesmo já emitindo apólices para casos pontuais, e outras ainda em fase de estudos.¹⁸

A alta na demanda coincide com a implementação da LGPD, que entrou totalmente em vigor em agosto de 2021, impondo obrigações atreladas a segurança da informação, com possibilidade de aplicação de multas pesadas e responsabilidade civil para as empresas no caso de descumprimento.

Além disso, a pandemia expôs as empresas a maiores riscos de roubos de informações e ciberataques. Os funcionários foram forçados a trabalhar de casa, em um ambiente menos controlado e com redes mais inseguras. Há relatos de aumento de phishing (ataques cibernéticos por intermédio de e-mails com anexos maliciosos capazes de comprometer a segurança dos sistemas de computador) e invasão por hackers (casos de extorsão), enquanto as organizações enfrentavam um aumento no tráfego do acesso remoto à rede, com sobrecarga de sistemas.¹⁹

Ademais, durante necessário isolamento social, o tempo de permanência das pessoas nas redes aumentou consideravelmente: foi por meio da internet que realizavam reuniões, conferências, encontros virtuais com familiares e amigos, sem falar da frenética busca de informações e notícias do cenário. E essa realidade trouxe novos riscos. Conforme alertou a presidente da Comissão Europeia, Ursula von der Leyen, o crime cibernético na União Europeia mais que triplicou com a pandemia.²⁰

Fernando Saccon, superintendente da seguradora Zurich no Brasil, afirmou que tanto empresas multinacionais quanto pequenas e médias empresas têm aumentado a procura pelos seguros contra ciberataques, o que demonstraria um aumento da percepção do risco cibernético no país.²¹

Contudo, comparado às outras modalidades de seguro, o mercado do seguro cibernético é ainda bastante imaturo e muitas dúvidas pairam a respeito da extensão das coberturas e da quantificação dos danos diretos e indiretos causados por eventos cibernéticos. Ademais, por ser uma novidade, ainda não conta com os balizadores da jurisprudência para os casos divergência interpretativa nos contratos e das práticas comerciais consolidadas no mercado.²²

Realizada esta contextualização inicial, passa-se ao exame do Contrato de Seguro de Riscos Cibernéticos.

2.2. Natureza, tipicidade e elementos essenciais do contrato

No seguro de riscos cibernéticos, como em qualquer seguro, um dos contratantes (segurador) se obriga a garantir, mediante o recebimento de uma determinada importância, denominada prêmio, interesse legítimo de uma pessoa (segurado), relativo à pessoa ou à coisa, contra riscos predeterminados, conforme preconiza o art. 757 do Código Civil (LGL\2002\400) (“CC (LGL\2002\400)”).²³

Trata-se de contrato típico, sendo sua espécie a de danos, prevista no art. 778 do CC (LGL\2002\400). É bilateral, dada a reciprocidade das obrigações, consensual, facultativo e oneroso. É formal, porque só obriga depois de documentado por meio da apólice ou do bilhete, ou da prova do pagamento do prêmio. Enquadra-se como onerosa a avença, pois encerra benefícios e vantagens para ambas as partes. É de adesão, porquanto o contrato se concretiza pela aceitação do segurado às cláusulas determinadas pelo segurador na apólice impressa, sem permitir discussão entre as partes.²⁴ Considera-se, ainda, como contrato de execução continuada, eis que destinado a subsistir durante um período determinado, por menor que seja.²⁵

Em relação à natureza, em que pese a divergência doutrinaria existente entre a aleatória, e a comutativa, no caso específico do seguro de riscos cibernéticos, parece que a primeira corrente se aproxima mais de sua realidade, considerando todas as incertezas que pairam quanto à apuração dos riscos e a fixação do valor do prêmio mediante cálculo que tenha em consideração a homogeneização dos riscos, que poderá ocorrer sem a devida precisão que garanta a sua viabilidade econômica.

Uma vez analisadas a tipicidade e natureza do contrato de seguro de riscos cibernéticos, importante apontar que este contrato possui elementos essenciais.

O risco pode ser apontado como o primeiro elemento essencial, pois, se não houver risco, o seguro, como contrato que o alberga, perde a sua razão de existir. O risco é a matéria-prima à consecução do contrato de seguro. Afirmase que a transferência do risco se opera financeiramente porque, a bem da verdade, o risco em si permanece na órbita do próprio tomador-segurado. Por essa razão, Ilan Goldberg sustenta que se deve tratar da transferência do risco financeiro por força do referido nexo sinalagmático, e não do risco em si.²⁶

Contudo, é preciso enfatizar que o risco cibernético difere de outros riscos comuns. Enquanto a maioria das seguradoras tem historicamente fornecido proteção principalmente para riscos menos correlacionados (por exemplo, seguro automóvel), os riscos cibernéticos possuem interconexão global de diferentes sistemas de TI, o que faz com que as fronteiras geográficas desapareçam. Além disso, como a produção de sistemas de TI é caracterizada por economias de escala significativas, a variedade de produtos no mercado é limitada. Assim, se um vazamento de segurança for detectado, ele pode ser explorado em uma multiplicidade de sistemas, como ocorreu no caso Wannacry, anteriormente relatado. A interconexão global também torna mais difícil reduzir o risco cibernético.²⁷

Outra singularidade de risco cibernético é o risco de mudança. As novas tecnologias afetam continuamente o risco de natureza cibernético. Assim, estimar o risco cibernético é tarefa difícil, pois há alta incerteza e nenhuma fonte aceita de informação. Portanto, no seguro de risco cibernético, apesar de o risco ser existente, é inegável a dificuldade enfrentada pelas agentes na sua avaliação e quantificação.

O segundo elemento é o interesse legítimo. A doutrina, habitualmente, a ele se refere como um interesse econômico do tomador-segurado sobre determinado bem da vida passível de tutela pelo contrato de seguro. O interesse legítimo segurado se associa ao princípio indenitário nos seguros de dano, porque a satisfação na necessidade eventual do interesse do segurado ou do tomador que realiza esses seguros é o de ver, concretamente, o patrimônio, se desfalcado pelo sinistro, recuperado por uma indenização que cubra o prejuízo efetivamente experimentado, nos limites da apólice contratada.²⁸

Todavia, no seguro cibernético, a complexidade da avaliação dos riscos e contratação das coberturas pode levar à não satisfação do legítimo interesse do segurado, a exemplo do que ocorreu no incidente de segurança que envolveu a companhia americana Target. Em 2013, ela foi vítima de um vazamento de dados de cartão de crédito de nada mais nada menos do que 40 milhões de clientes. Os custos da Target relacionados com a violação chegaram a aproximadamente 300 milhões de dólares, dos quais apenas 90 milhões de dólares foram cobertos pelo seguro cibernético contratado²⁹.

O próximo elemento é o mutualismo, o que, legalmente, é consequência da previsão constante do parágrafo único do art. do . É por meio da cotização de prêmios pagos por uma multiplicidade de segurados que a seguradora poderá fazer frente aos sinistros ocorridos. Relaciona-se diretamente com a chamada Lei dos Grandes Números, que remete ao cálculo atuarial. A operação técnica do contrato de seguro é examinada a partir de grandes grupos de segurados e de sinistros em série, o que permite ao subscritor do risco analisar, com certa margem de previsibilidade, os acontecimentos futuros, prevendo, portanto, as chamadas taxas de sinistralidade.³⁰

Neste ponto, também parece que o seguro cibernético poderá encontrar dificuldades, devido a correlacionalidade dos riscos cibernéticos diante da interconexão global de diferentes sistemas de TI, e a falta de informações necessárias à formação de taxas de sinistralidade confiáveis.

De mais a mais, outros elementos devem estar presentes no contrato de seguro como a apólice, que deverá mencionar os riscos assumidos, o início e o fim de sua validade, o limite da garantia e o prêmio devido, e, quando for o caso, o nome do segurado e o do beneficiário, de acordo com o art. 760 do CC (LGL\2002\400).³¹

Conterá ainda as condições gerais, que deverão ser aprovadas pela SUSEP, uma vez que o contrato de seguro é sujeito à fiscalização e supervisão da SUSEP, nos termos do Dec.-lei 73/1966 (LGL\1966\17), que instituiu o Sistema Nacional de Seguros Privados, dando ao Conselho Nacional de Seguros Privados competência normativa para regular o setor, formando assim um verdadeiro Sistema, como ensina o mestre Bruno Miragem.³²

Encerrada a análise da natureza, tipicidade e elementos essenciais do contrato de seguro de risco cibernético, passa-se ao exame específico das possíveis coberturas e exclusões destas apólices, para que seja possível apurar sua utilidade para a gestão e transferência dos riscos cibernéticos.

3. Perspectivas e desafios para o mercado brasileiro

3.1. Coberturas e exclusões das apólices de seguro de risco cibernético

Como visto, inúmeras podem ser as dificuldades para definição dos riscos nos contratos de seguro cibernético, seja porque (i) os riscos cibernéticos possuem interconexão global de diferentes sistemas de TI; (ii) a variedade de escala dos produtos no mercado é limitada, permitindo ataques em massa, (iii) os riscos estão em constante mudança devido aos avanços da tecnologia; (iv) a inexistência de histórico e dados baseados em anos de experiência que permita as seguradas realizarem a previsão destes riscos.³³

Conforme já salientado, no seguro de risco cibernético, apesar de o risco ser existente, é inegável a dificuldade enfrentada pelas agentes na sua avaliação e quantificação. Com efeito, a correta avaliação do risco por uma companhia envolveria um processo de identificação, com a análise e valoração de seus sistemas informáticos, o uso de conhecimento técnico específico dos atributos do dever de segurança e dos padrões de boas práticas e governança adequadas.

Contudo, em um cenário onde antes da contratação o segurado não procedeu, não tem como ou simplesmente não deseja realizar a qualificação e avaliação dos riscos nestes moldes, ele seria impedido de contratar um seguro cibernético? Ou caberá então à seguradora o dever de realizar esta avaliação? Na prática adotada pelo mercado brasileiro, o segurado não encontrará impedimento legal, tampouco caberá à seguradora o dever de realizar este tema de casa, pois a avaliação do risco para fins de estabelecimento do preço do seguro será realizada por método qualitativo, na maioria das vezes por meio de fornecimento de informações pelo segurado, na forma de resposta às perguntas em um questionário.³⁴

A título elucidativo, listam-se algumas questões apresentadas por uma corretora de seguros on-line, em formulário disponível na internet para empresas com faturamento de até 50 milhões de reais que desejam contratar seguro de riscos cibernéticos. No caso, além de informações de identificação, sobre as atividades da empresa e o faturamento anual bruto, são feitas as seguintes perguntas:

• Você possui antivírus e firewalls de nível comercial em todos os sistemas e redes?
• Você ou seu Prestador de Serviços de TI efetua backup dos dados críticos ao menos a cada 7 dias?
• Os Dados Pessoais ou Dados Sensíveis estão sempre criptografados enquanto na sua rede?
• O acesso remoto à sua rede é concedido somente mediante autenticação de 2 fatores?
• A empresa possui processos e política de segurança da informação, de acordo com a LGPD?
• Todos os funcionários são treinados anualmente quanto à política da segurança da informação vigente naempresa de acordo com a LGPD?
• Realiza testes de vulnerabilidades e possui software para detecção de intrusão em todos os sistemas incluindodispositivos portáteis?
• Possui processos em vigor para gerenciar e instalar patches (atualização/correção de softwares) em todos os sistemas e aplicativos?
• Armazena ou processa mais de 500.000 registros contendo dados pessoais identificados ou identificáveis?
• Você sofreu alguma queda de rede inesperada nos últimos 12 meses que tenha durado mais que quatro horas?35

Entretanto, ao que parece, referida prática do mercado não promove segurança na identificação dos riscos a serem segurados, tampouco possibilita a composição do prêmio de forma objetiva. Ora, se é a definição do risco cibernético que torna possível identificar as situações que devem estar previstas em uma apólice de seguro, uma vez que isso não é feito, qual a utilidade que uma apólice contratada poderá ter para o segurado? Ao que tudo indica, há uma falta de compreensão deste tipo de contratação, que deveria levar em conta as necessidades específicas e reais de cada segurado. Neste sentido, a realização da due diligence pré-contratual, incluindo uma análise rigorosa dos riscos cibernéticos envolvidos, seria altamente recomendável.³⁶

Adicionalmente, outro ponto a ser considerado é a complexidade do processo de contratação de um seguro cibernético, pois no mercado brasileiro, a depender das coberturas almejadas, será necessária uma combinação de produtos de seguros tradicionais e apólices cibernéticas independentes.³⁷

Quanto às apólices de Seguro de Responsabilidade Civil e Proteção de Dados, pode-se afirmar que são híbridas, pois contêm coberturas de “primeira parte”, que são prejuízos do próprio segurado, denominadas coberturas de resposta a incidentes e de recuperação do segurado; e coberturas de “terceira parte”, que englobam prejuízos de terceiros, denominadas cobertura de responsabilidade civil.³⁸

Entre esses dois grupos de coberturas, existem diversas possibilidades de inclusões e exclusões, pois não se trata de um seguro padronizado, e cada seguradora possui o seu clausulado. Ou seja, os nomes das coberturas e as suas respectivas definições podem variar de uma seguradora para outra e nenhuma seguradora possui e/ou oferece todas as coberturas disponíveis no mercado. Atualmente existem mais de 30 tipos de cobertura no mercado brasileiro, fator que poderá trazer dificuldades ao segurado.³⁹

Quanto às coberturas de primeira parte, poderão abranger resposta técnica ao incidente, prestação de serviços e prejuízos do próprio segurado, conforme alguns exemplos, a saber:

• Custo com despesas de investigação: contratação de um perito forense, entre outros especialistas, a fim de investigar o incidente.
• Despesas de Salvamento: valores dispendidos pelo segurado e/ou por terceiros, na tentativa de evitar o sinistro, de minorar o dano ou de salvar a coisa.
• Custos com Recuperação: necessários para remover qualquer malware do sistema de computação do segurado e/ou para reconstruir qualquer dado devido a um incidente de ativos digitais.
• Despesas Emergenciais: despesas de mitigação razoáveis e necessárias.
• Custos de Restituição de Imagem: gastos razoáveis incorridos pela sociedade para obter aconselhamento de um consultor em relações públicas.
• Honorários e despesas de notificação dos afetados e monitoramento.
• Custo de melhorias de software ou hardware: os custos para evitar reincidência de ataques.
• Custos em Investigação Administrativa: feita por autoridade governamental ou reguladora com relação à quebra de confidencialidade de dados pelo segurado.
• Lucros Cessantes: lucros que deixam de ser auferidos devido à paralisação de atividades e do movimento de negócios do segurado, ou do terceiro prejudicado. Além do limite máximo de indenização, deve-se observar o período Indenitário, expressado em dias ou meses, que significa o período de tempo entre a data e hora em que um sistema de computador sofreu pela primeira vez uma interrupção de serviço, conforme for o caso, e a data e hora em que tal sistema de computador foi restaurado, ou poderia ter sido restaurado em uma velocidade razoável de execução dos serviços de restauração, ao nível operacional existente imediatamente antes de tal interrupção de serviço.
• Lucros Cessantes Interdependentes: significa o lucro cessante sofrido pelo segurado como resultado direto de uma interrupção de serviço, causada diretamente por um ato de violação de segurança no sistema de computador do provedor de serviços, porém, unicamente se tal ato de violação de segurança estivesse coberto nos termos desta Apólice, caso esse Provedor de Serviços fosse o Segurado, aplicando-se os mesmos termos e condições aqui contidos.
• Lucro Cessante por Dano à Reputação: O lucro líquido antes da tributação que o Segurado for impedido de ganhar devido à: a) rescisão dos contratos de fornecimento de bens ou de prestação de serviços; b) diminuição no volume de clientes; ou em qualquer das duas hipóteses, decorram diretamente de um evento de mídia negativa.
• Perda por Interrupção de Negócios devida a uma Determinação Judicial ou Administrativa-Regulatória.
• Fraudes em Transações Financeiras: perdas diretas de valores ou títulos diretamente causadas por fraudes em transações financeiras.
• Fraude Cibernética e Engenharia Social: quaisquer transmissões, modificações ou inclusões de dados de forma intencional, não autorizada e fraudulenta nos sistemas informatizados da entidade segurada por terceiro.
• Terrorismo Cibernético: significa um ato de terrorismo envolvendo um evento de segurança ou um evento de privacidade, ou a corrupção ou destruição dos ativos digitais do segurado.
• Extorsão Cibernética (Ransomware): qualquer perda por extorsão que o segurado venha a sofrer exclusivamente como resultado de uma ameaça de segurança.
• Pagamento de Recompensa: essa cobertura é diferente da cobertura de pagamento de resgate, pois serve para pagamento de recompensa a pessoas que passam informações, que acarretem a prisão e condenação com trânsito em julgado de qualquer pessoa que esteja fazendo ou tenha feito qualquer ameaça cibernética.⁴⁰

Já quanto às coberturas de terceira parte, envolvem a responsabilidade civil do segurado ante a prejuízos de terceiros, custos com defesa e custos com indenizações, como:

• Responsabilidade por Dados Pessoais e Responsabilidade por Dados Corporativos: garante indenização por perdas decorrentes de violação de dados pessoais ou de dados corporativos em processos judiciais movidos por terceiros contra o segurado. Alguns exemplos: vazamento de base cadastral de clientes ou fornecedores, demonstrações financeiras privadas, informações sobre produtos não lançados, plano de negócios, estratégia de marketing etc.
• Responsabilidade por Empresas Terceirizadas: perdas decorrentes de uma violação de dados pessoais por Empresa Terceirizada que realiza tratamento de Dados pessoais em nome do segurado, em uma relação entre controlador e operador.
• Responsabilidade pela Segurança dos Dados: perdas decorrentes da contaminação de dados de terceiros por software não autorizado ou código malicioso (vírus) devido a ato, erro ou omissão do segurado.
• Cobertura para Responsabilidade de Mídia: prejuízos e custos de defesa decorrentes de reclamação por ato de dano de mídia, como a violação não intencional de qualquer propriedade intelectual (que não seja por violação de patente).
• Danos Morais: lesão associada a ofensas ao seu nome ou à sua imagem.
• Cobertura de Multas e Penalidades: impostas por órgão regulador diretamente ao segurado ou ao terceiroalegadamente prejudicado.
• Custos de Defesa incorridos em processos judiciais.
• Fundo de Compensação ao Consumidor: condenações em ações civis públicas.⁴¹

Como qualquer apólice de seguro, as apólices de seguro cibernético também têm as suas limitações, devendo ser muito bem avaliadas as principais exclusões de cada apólice pelo segurado. Refere-se, neste ponto, ser comum encontrar limitação às seguintes coberturas:

• Danos corporais e danos materiais, inclusive danos estéticos que consistam em, ou decorram, direta ouindiretamente;
• Multas contratuais;
• Deveres fiduciários;
• Riscos nucleares;
• Guerra,
• Ordem governamental ou de autoridade pública;
• Poluição ou contaminação;
• Roubo de moedas digitais;
• Recall de produtos;
• Ações contra a pessoa física do DPO, demais diretores, gerentes etc.⁴²

Com base nessas apurações, fica evidente a complexidade na contratação das coberturas, o que poderá levar à não satisfação do legítimo interesse do segurado. Por derradeiro, mesmo diante das referidas dificuldades, resta nítido que as apólices de riscos cibernéticos podem trazer um valor adicional aos segurados, porquanto, em um momento particularmente difícil da atividade organizacional, conferem-lhes ferramentas valiosas de mitigação de danos e assistência à resposta que podem ser essenciais especialmente para as pequenas empresas (as quais normalmente não têm experiência ou mão-de-obra adequada), quando confrontadas com danos potenciais de grande porte à sua imagem e reputação.⁴³

Contudo, não são poucos os desafios a serem superados pelo mercado dos seguros de riscos cibernéticos, como será visto na parte final deste estudo.

3.2. Desafios a serem enfrentados

Conforme já discorrido, o processo de contratação de um seguro cibernético é complexo e idealmente deveria ser precedido de uma avaliação da maturidade e de realização de melhorias no sistema de segurança, de modo a reduzir o impacto das subjetividades na composição do prêmio.⁴⁴

Nesse sentido, estudos e pesquisas vêm sendo realizadas no mundo todo visando reduzir essas incertezas, considerando os aspectos de acúmulo existentes e abordagens adequadas de preços.⁴⁵

Um estudo sobre o mercado alemão de seguros conduzido por Wrede, Stegen e

Schulenburg apontou que as coberturas de riscos silenciosas como um importante desafio para as seguradoras, pois precisam identificar a cobertura a esses riscos silenciosos nas diversas apólices de seguro tradicionais existentes no mercado, nas quais os riscos cibernéticos não são regularmente mencionados ou não são explicitamente incluídos ou excluídos, podendo acarretar indenizações não calculados e difíceis de quantificar. Da mesma forma, nos produtos de seguros tradicionais, os riscos cibernéticos são frequentemente definidos, mas seu manuseio subsequente não é claro. Segundo os estudiosos, essas coberturas silenciosas também impactam os segurados, pois podem levar à contratação de novas coberturas desnecessárias e a negativa de indenização em apólices que confiavam ter cobertura para um determinado risco cibernético.⁴⁶

A Autoridade Europeia de Seguros e Pensões Ocupacionais (EIOPA), por sua vez, realizou um estudo recente sobre seguros cibernéticos com o objetivo de entender as estratégias das seguradoras, os seguros oferecidos e o potencial acúmulo de riscos. As principais conclusões foram as seguintes (i) há uma clara necessidade de compreensão mais profunda dos riscos cibernéticos por parte das seguradoras, das corretoras e dos segurados, pois a complexidade e a falta de transparência do mercado de seguros cibernéticos têm um efeito restritivo sobre a demanda de apólices cibernéticas; (ii) os segurados consideram difícil saber quais coberturas concretamente são necessárias, enquanto as seguradoras possuem dificuldade em especificar ou prever riscos que podem ocorrer; (iii) a maior parte dos seguros ofertados no mercado são voltados para empresas, ignorando o interesse de pessoas físicas em seguros cibernéticos, eis que estão cada vez mais expostas à violações nos serviços digitais; e (iv) a falta de estatísticas constitui um obstáculo adicional para a construção de modelos matemáticos para fixação de níveis de riscos agregados, o que acaba elevando o preço das apólices.⁴⁷

Já a Geneva Association, principal think tank internacional de seguros, conduziu uma pesquisa em três fases, incluindo revisão de literatura e entrevistas com seguradoras e segurados, tendo apurado os seguintes desafios a serem superados pelos seguros cibernéticos: (i) a falta de compreensão dos riscos cibernéticos; (ii) a preocupação predominante sobre o potencial de grande risco de acumulação e/ou agregação; (iii) a falta de dados e a falta de compartilhamento de dados, que contribuem às incertezas de como comercializar produtos de seguros, definir os limites da segurabilidade, e desenvolver soluções eficazes de backstop, quer com governos ou por meio de parcerias público-privadas; (iv) o impacto potencial de múltiplos governos regulamentos em múltiplas geografias e jurisdições (frequentemente dentro do mesmo país) acrescenta significativamente a incerteza; (v) a diferença na consciência cibernética e necessidades das grandes empresas em comparação com as pequenas e médias empresas; (vi) a confusão na base de clientes quanto a quem deve avaliar e adquirir seguros cibernéticos; e (vii) o desconhecimento dos efeitos da evolução tecnológica.⁴⁸

Ainda, de acordo com a pesquisa, cujo objetivo era de fornecer insights sobre mercados de seguros cibernéticos, identificar tendências futuras, e sugerir áreas para desenvolvimentos e melhorias no mercado, as incertezas geradas pela evolução tecnológica são agravadas por pelo menos três motivos. O primeiro seria a existência de uma tendência global para a digitalização em muitas indústrias, que introduz tecnologias com vulnerabilidades desconhecidas. O segundo seria o fato de não se saber quanto tempo demorará a desenvolver ferramentas de segurança cibernética melhoradas e como serão bem-sucedidos na proteção do digital sistemas industriais. Além disso, os padrões de cibersegurança ainda estão sendo estabelecidos. E, por último, a imprevisibilidade quanto ao desenvolvimento de novos instrumentos de ataques cibernéticos por cibercriminosos e estados nacionais.⁴⁹

O último, mas não menos importante estudo visitado, foi realizado pela Organização para a Cooperação e Desenvolvimento Econômico (OCDE), e examinou o estado atual do mercado de seguros cibernéticos, com base na contribuição substancial das empresas de resseguro/seguros, corretores e reguladores diretamente envolvidos em seu desenvolvimento. Como resultado, foi apontado que: (i) os obstáculos que estão impedindo o mercado de atingir seu potencial máximo, como as assimetrias de informação e o potencial de dano global, interdependente e altamente correlacionado dos riscos cibernéticos são frequentemente citados como importantes barreiras de mercado para a oferta de seguro cibernético; (ii) a capacidade insuficiente de resseguro para o negócio de seguros cibernéticos é identificada na literatura como um obstáculo do lado da oferta. Isso é causado por dificuldades em quantificar a possível acumulação de riscos cibernéticos; (iii) a falta de experiência na liquidação de sinistros e a falta de dados históricos sobre a frequência e gravidade dos incidentes cibernéticos também constituem desafios significativos para o fornecimento de produtos de seguro cibernético.⁵⁰

Por fim, o relatório da OCDE apontou que as seguradoras estão fundamentalmente incertas se, no longo prazo, a oferta de cobertura cibernética é considerada vantajosa para empresas individuais ou muito arriscada. Dados atuarialmente pouco claros sobre a frequência e a quantidade de perdas cibernéticas apresentam problemas adicionais no cálculo de prêmios adequados para cobertura cibernética. Além disso, a alta adaptabilidade e dinâmica das ameaças cibernéticas são importantes fatores inibidores de crescimento para o mercado de seguros cibernéticos.⁵¹

Em verdade, as conclusões dos referidos estudos servem também como ponto de partida para chamar a atenção para os diversos problemas que permeiam os seguros cibernéticos, e, portanto, deverão ser melhor avaliados pela doutrina brasileira, com foco nas repercussões que podem trazer à contratações dos seguros de riscos cibernético em nosso ordenamento jurídico, visto que não contam com os balizadores da jurisprudência para os casos de divergência interpretativa nos contratos e das práticas comerciais do mercado.

4. Considerações finais

Como visto, os segurados têm dificuldades em saber concretamente quais são as suas necessidades, pois desconhecem os riscos cibernéticos envolvidos em suas operações, enquanto as seguradoras enfrentam problemas para especificar ou prever os riscos que podem ocorrer.

Com relação aos riscos cibernéticos, não há um histórico baseado em anos de experiência que permita às seguradoras antecipar os riscos envolvidos e os sinistros que possam ocorrer, a fim de que possam criar soluções equilibradas e eficientes às necessidades dos segurados.

Nesse sentido, a realização de due dilligence antes da contratação do seguro, com uma análise rigorosa dos riscos cibernéticos, é recomendada, para que seja possível a contratação da cobertura adequada, além de contribuir para identificar lacunas de segurança cibernética e oportunidades de melhoria nos sistemas do segurado.

Afinal, sem o conhecimento dos riscos, o seguro de risco cibernético dificilmente conseguirá ser uma ferramenta efetiva para assegurar a efetiva transferência dos riscos com a segurança almejada pelo segurado.

Mesmo diante de todas as incertezas, as impressões iniciais são de que as apólices de riscos cibernéticos podem trazer um valor adicional aos segurados, porquanto, em um momento particularmente difícil da atividade organizacional, conferem-lhes ferramentas valiosas de mitigação de danos e assistência à resposta que podem ser essenciais especialmente para as empresas, quando confrontadas com danos potenciais de grande porte à sua imagem e reputação. Resta então melhor compreender este seguro, para que possa ser utilizado de forma adequada.