Em 20/08/2026 a companhia aérea Latam Airlines confirmou o vazamento de dados que expôs informações pessoais de clientes integrantes do programa LATAM Pass.
Segundo a companhia, o incidente ocorreu em julho de 2026, após a detecção de uma invasão cibernética em seus sistemas, que resultou em acessos e consultas não autorizados a dados dos usuários.
Entre as informações cadastrais acessadas por endereço IP externo, estavam: nome completo; data de nascimento; e-mail; telefone; endereço residencial; número de associado LATAM Pass, categoria no programa e status da conta; saldo de milhas; pontos qualificáveis e dados parciais de cartão de crédito (primeiros seis e últimos quatro dígitos, bandeira, nome do titular e data de validade).
Apesar da quantidade e da relevância das informações indevidamente acessadas, a companhia informou que o número completo do cartão de crédito, o código de segurança (CVV), as senhas e os dados bancários não foram afetados e permanecem protegidos.
Em nota, a LATAM informou que, ao identificar o incidente, comunicou os clientes afetados e a Agência Nacional de Proteção de dados (ANPD), bem como bloqueou endereços de IP considerados suspeitos, corrigiu o código-fonte do sistema e aplicou travas adicionais de segurança.
Diante do incidente, que expôs diversos dados pessoais de clientes do LATAM Pass, é importante analisá-lo à luz da Lei Geral de Proteção de Dados (LGPD). Embora relevantes e potencialmente úteis à prática de fraudes, os dados descritos não se confundem, em princípio, com os “dados pessoais sensíveis” definidos no art. 5º, II, da LGPD.
Nesse cenário, é essencial que as empresas adotem medidas técnicas e administrativas aptas a proteger os dados pessoais contra acessos não autorizados e situações acidentais ou ilícitas de destruição, perda, alteração, comunicação ou
difusão, conforme estabelece o art. 46 da LGPD. Incidentes dessa natureza podem expor os titulares a riscos como golpes, fraudes, phishing e outras formas de utilização indevida de suas informações.
A ocorrência de um incidente de segurança não implica, por si só, a aplicação automática de sanções. A eventual responsabilização dependerá da análise concreta do cumprimento dos deveres previstos na LGPD, inclusive quanto à adoção de medidas de segurança adequadas, à resposta ao incidente e, quando cabível, à comunicação à ANPD e aos titulares.
A Lei 13.709/2018, em seu artigo 44, estabelece que o armazenamento e tratamento de dados pessoais será irregular quando deixar de observar a legislação ou quando não fornecer a segurança que o titular pode legitimamente esperar, consideradas as circunstâncias relevantes do tratamento.
Além disso, o art. 46 da LGPD impõe aos agentes de tratamento o dever de adotar medidas de segurança, técnicas e administrativas capazes de proteger os dados pessoais contra acessos não autorizados e demais situações ilícitas. O descumprimento desses deveres pode ensejar responsabilização e a aplicação das sanções previstas em lei, conforme as circunstâncias do caso concreto.
O incidente evidencia a necessidade de investimento contínuo em segurança da informação, gestão de riscos, atualização de sistemas e mecanismos de prevenção e resposta a incidentes, sobretudo diante da crescente sofisticação das ameaças cibernéticas.
Nesse contexto, dados como nome, e-mail, endereço, telefone e número de sócio podem ser utilizados por cibercriminosos para tornar mensagens fraudulentas mais convincentes, simulando irregularidades na conta. A estratégia pode induzir a vítima a clicar em links suspeitos, fornecer credenciais ou instalar aplicativos maliciosos projetados para roubar dados do dispositivo.
É fundamental que as empresas mantenham políticas permanentes de segurança da informação e de proteção dos dados pessoais. O cenário atual da cibercriminalidade exige atualização, monitoramento e aprimoramento constante dos mecanismos de prevenção e resposta a incidentes.
A atuação preventiva contribui não apenas para a proteção dos titulares, mas também para reduzir riscos jurídicos, operacionais e reputacionais, como perda de confiança dos clientes, danos à imagem, redução de faturamento e impactos sobre a competitividade da empresa.
Aos usuários, recomenda-se igualmente a adoção de boas práticas de segurança digital: evitar clicar em links ou anexos enviados por remetentes desconhecidos; acompanhar movimentações bancárias e saldos de programas de fidelidade; não fornecer senhas ou códigos de verificação; desconfiar de contatos que solicitem providências urgentes; e, em caso de dúvida, utilizar exclusivamente os canais oficiais da empresa.
Vitor Henrique Mainardes – Especialista em Direito Civil e Empresarial pela PUCPR e advogado no escritório Alceu Machado, Sperb & Bonat Cordeiro Advocacia.
