Ano: 2024

A frequência e gravidade de sinistros cibernéticos de grande dimensão (com danos superiores a um milhão de euros) aumentaram 14% e 17%, respetivamente, no primeiro semestre do ano na carteira de sinistros da Allianz Commercial a nível mundial. Dois terços destas perdas estão relacionados com violação de dados e privacidade e normalmente estes sinistros têm um valor superior a 100 milhões de euros por ano.

Citado pelo relatório cibersegurança 2024 da Allianz Commercial, Michael Daum, diretor global de sinistros cibernéticos da Allianz Commercial, assinala que o aumento dos ataques de ransomware “é uma consequência da alteração das táticas dos atacantes e das crescentes interdependências entre organizações que partilham volumes cada vez maiores de registos pessoais”.

Há outros riscos para as empresas que não são relacionados com ataques. Como as ações judiciais coletivas relacionadas com a privacidade de dados, “resultantes de incidentes como a recolha e o processamento indevidos de dados pessoais”, sublinhou Michael Daum.

Este risco é particularmente relevante nos Estados Unidos onde a “percentagem destes processos triplicou em valor em apenas dois anos”, acrescenta, visto que a regulamentação sobre a privacidade é aberta a interpretação, é menos prescritiva, e “os advogados requerentes estão ávidos por potenciais fontes de rendimento”. O que está a criar “uma situação incerta que é propícia a ações judiciais coletivas”.

Além das questões regulamentares, as ações judiciais “não relacionadas com ataques” têm aumentado devido aos desenvolvimentos tecnológicos, ao crescente valor comercial dos dados pessoais e da evolução do panorama regulamentar e jurídico.

O número de ações coletivas por violação de dados quadruplicou de 2021 até 2023 para 1.300 ações nos Estados Unidos, segundo dados do escritório de advocacia Duane Morris. Michael Daum deu conta os custos de algumas destas ações podem ser maiores do que os de um ataque de ransomware e andar nas centenas de milhões de euros. Os dez principais acordos alcançados em ações coletivas de transação de dados totalizaram 526 milhões de dólares em indemnizações no ano passado, mais 33,5% em variação homóloga.

Estas ações foram intentadas contra empresas de vários setores, desde a saúde, rede sociais e jogos, “por usar ferramentas de rastreamento como o Meta Pixel para monitorar o comportamento do consumidor, enquanto as plataformas de streaming de entretenimento também foram visadas, alegando que podem ter violado os direitos de proteção de privacidade”.

Na Europa o risco de litígio por violação de dados aumenta, devido a uma maior conscientização sobre os direitos de proteção de dados, um aumento da disponibilidade de financiamento de litígios de terceiros e um ambiente de litigio mais favorável ao consumidor “podem tornar as reivindicações de brevidade de dados uma realizada, embora não na mesma escala que nos EUA”.

“Embora tenha havido ações coletivas em matéria de privacidade de dados na Europa, os tribunais têm-se mostrado relutantes em conceder indemnização por danos não financeiros, tais como sofrimento emocional. É mais difícil intentar uma ação coletiva bem sucedida na Europa por violações da privacidade dos dados, mas a situação está a evoluir e pode haver uma mudança a favor dos consumidores no futuro”, afirma Michael Daum, Diretor Global responsável pelas indemnizações cibernéticas da Allianz Commercial.

O relatório lança luz sobre as ferramentas de inteligência artificial que, baseadas na recolha e no tratamento de grandes quantidades de dados, podem criar potenciais riscos de privacidade, desinformação e segurança se não forem utilizadas corretamente ou caírem nas mãos erradas (através de pirataria informática ou outras violações de segurança). Também há preocupações se as organizações têm o consentimento adequado de processar dados através da Inteligência Artificial.

De acordo com o estudo, violações de dados são facilitados pela segurança frágil nas organizações e/ou na cadeia de abastecimento. “Estes incidentes podem dar origem a sinistros de grande dimensão, envolvendo multas regulamentares, custos de notificação e litígios com terceiros, para além de pedidos de extorsão, custos internos e interrupção da atividade.”.

Trio para a mitigação de riscos

O risco cibernético pode ser mitigado com boa proteção cibernética, supervisão sobre as cadeias de abastecimento e usar ferramentas de inteligência artificial que “podem identificar rapidamente uma violação de segurança e isolar automaticamente sistemas e bases de dados”.

A proteção cibernética deve incluir “fortes controlos de acesso, segregação de bases de dados, cópias de segurança, correções e formação”.

“As violações cibernéticas que não são detetadas e contidas precocemente podem acabar por ser 1000 vezes mais caras do que aquelas que são, a diferença entre uma perda de 20 000 euros se transformar em uma perda de 20 milhões.”, afirmou Rishi Baviskar, Diretor Global de Consultoria de Risco Cibernético, Allianz Commercial.

As ferramentas de IA “além de terem o potencial de reduzir significativamente o custo e o ciclo de vida de um sinistro de violação de dados, automatizando tarefas, como a análise forense e as notificações, potencialmente poupando milhões de dólares às empresas.”

Os prazos propostos pela ASF, entidade supervisora do setor segurador, para o direito ao esquecimento nos seguros, aconselha o tempo de “10 anos desde o término do protocolo terapêutico, no caso de risco agravado de saúde ou deficiência superada” de quem quer contratar um seguro e, até agora, podia ver o seu acesso recusado ou muito penalizado em preço pelas companhias de seguros.

Este dado tem origem na ASF que acabou de lançar o processo “Consulta Pública n.º 10/2024 – Projeto de norma regulamentar relativa ao direito ao esquecimento e proibição de práticas discriminatórias” que vem regulamentar, para o setor segurador, o disposto na Lei nº 75/2021, de 18 de novembro, que prevê o chamado “direito ao esquecimento”. A Lei quer impedir que pessoas que tenham superado doenças graves, como cancro, diabetes, HIV/Sida ou Hepatite C sejam discriminadas no acesso ao crédito bem como na contratação de seguros obrigatórios ou facultativos associados aos créditos.

Dados recentes apontam para que, em Portugal, existam 500 mil sobreviventes de cancro, 32 mil pessoas receberam tratamento para a hepatite C , com a grande maioria delas a conseguir a cura. O Programa Nacional para a Infeção VIH/SIDA fala de 45 mil pessoas a viver com a infeção e as autoridades de saúde calculam entre 1 e 1,2 milhões de portugueses com diabetes controlada.

Fonte das seguradoras referiram a ECOseguros que o facto de terem superado as principais patologias não impede os danos provocados na saúde pela doença e pelos tratamentos, situações que agravam sempre o risco e devem influenciar no valor dos prémios e até a aceitação dos seguros.

O direito ao esquecimento nos seguros está a ser ensaiado em França e Bélgica e ainda há poucas conclusões em relação a resultados. Apenas dados subjetivos de uma grande apetência em subscrever seguros de vida por parte dos potenciais beneficiários desse direito.

Seguradoras responsáveis até dois anos depois de terminado o contrato

Como nota mais relevante, o projeto de norma da ASF sugere que os prazos se mantenham conforme a Lei 75/21, ou seja:

• 10 anos desde o término do protocolo terapêutico, no caso de risco agravado de saúde ou deficiência superada;
• 5 anos desde o término do protocolo terapêutico, no caso de a patologia superada ter ocorrido antes dos 21 anos de idade;
• 2 anos de protocolo terapêutico continuado e eficaz, no caso de risco agravado de saúde ou deficiência mitigada.

O projeto indica que, após esses prazos, a empresa de seguros não pode recolher ou tratar informação de saúde relativa a situações de risco agravado de saúde ou de deficiência, no âmbito da declaração inicial do risco.

Acresce que o tomador do seguro ou o segurado podem responder negativamente a questão colocada pela empresa de seguros, no âmbito da declaração inicial do risco, que resulte na comunicação de informação de saúde relativa a situações de risco agravado de saúde ou de deficiência superado ou mitigado.

O projeto de norma regulamentar estabelece ainda que a empresa de seguros “não pode propor condições contratuais em razão da deficiência ou de risco agravado de saúde física, mental ou psíquica do segurado que sejam menos favoráveis do que aquelas que seriam propostas a segurado que se encontre em situação comparável, designadamente, aumento do montante do prémio”

No entanto, no texto da norma, salienta-se que “é permitida a apresentação de condições em razão da deficiência ou de risco agravado de saúde, sempre que, para o contrato de seguro em causa, constitua um fator crucial no cálculo do custo do risco”.

Quanto ao mecanismo de proteção de cobertura, o projeto de norma regulamentar estabelece que em caso de não renovação do contrato de seguro de saúde ou da cobertura, a empresa de seguros deve prestar diversas informações ao tomador do seguro e ao segurado.

Não estando o risco coberto de forma proporcional por um contrato de seguro posterior, a empresa de seguros, nos dois anos subsequentes e até que se mostre esgotado o capital seguro no último período de vigência do contrato, realiza as prestações resultantes de doença manifestada, de outros cuidados de saúde relacionados ou outro facto ocorrido na vigência do contrato, desde que cobertos pelo contrato de seguro.

O projeto de Norma Regulamentar pode ser visto aqui e os comentários podem ser enviados para a ASF até 13 de novembro deste ano.