Nova regra isenta companhias aéreas de compensação por atrasos devido a ciberataques

A partir do próximo mês, se um voo for cancelado ou atrasado por causa de um ciberataque, as companhias aéreas não serão obrigadas a fornecer vouchers de refeição ou hospedagem. A medida faz parte de uma norma mais ampla publicada pelo Departamento de Transporte (DOT) na semana passada, que cria uma nova categoria de ‘causa de atraso’ para fins de acompanhamento de dados.

A regra reduz as responsabilidades das companhias perante os clientes em dez situações, entre elas ‘ataques de cibersegurança’, desde que a empresa esteja em conformidade com as regulamentações aplicáveis. Sophie Hayashi, advogada do grupo de transportes da Crowell & Moring, explica que esses eventos são considerados ‘não controláveis’, e que as operadoras não precisarão mais fornecer benefícios ou compensações nesses casos.

Defenders dos consumidores demonstraram preocupação. A organizacao FlyersRights, presidida por Paul Hudson, critica a falta de consulta pública e diz que vai monitorar o impacto sobre os passageiros. Hudson ressalta que a cibersegurança é responsabilidade das companhias e que atrasos decorrentes de ataques devem ser claros, não ser um pretexto para negligência.

A National Consumers League adota uma visão mista. John Breyault, vice-presidente de políticas públicas do grupo, afirma que a norma dá certeza aos consumidores sobre seus direitos, independentemente da companhia, mas teme que as empresas usem ambiguidades, como ‘manutenção não programada’, para evitar indenizações.

No entanto, a regra inclui uma condição: as companhias devem comprovar que cumprem as normas de cibersegurança aplicáveis. Se não conseguirem demonstrar conformidade, permanecem sujeitas a obrigações perante os clientes. Kate Growley, parceira da Crowell & Moring, observa que a linguagem sobre regulamentos de cibersegurança é ampla, talvez de propósito, para contemplar a natureza imprevisível dos ataques.

Atualmente, não há um levantamento formal de quantos atrasos ou cancelamentos causados por ciberataques resultaram em vouchers de refeição ou hospedagem. Ataques anteriores, como os do grupo Scattered Spider no verão passado e o da Collins Aerospace no ano passado, já causaram perturbações na Europa. O outage de TI da CrowdStrike em 2024, embora não seja considerado um ataque cibernético, levou companhias a oferecer compensação, pois o Departamento de Transporte considerou o incidente dentro do controle das empresas.

A administração Biden implementou regulamentos de cibersegurança para aeroportos, proprietários e operadores de aeronaves em 2023, citando ‘ameaças persistentes’ no setor. A nova norma do DOT tem origem na autorização da FAA assinada pelo presidente Joe Biden em 2024, conforme explicou um porta-voz do departamento.

“O Congresso orientou explicitamente o DOT na Lei de Autorização da FAA de 2024 a fazer essas alterações”, afirmou o porta-voz. “Esses dez tipos de interrupções de voo serão agora rastreados em uma nova categoria de relatório para garantir que os dados governamentais reflitam com precisão o que as companhias podem ou não controlar.”

O Aviation Information Sharing Analysis Center saudou os elementos da regra relacionados ao relatório de incidentes. Jeff Troy, presidente e CEO da organização, destaca que a norma avança na simplificação e harmonização do envio de informações de cibersegurança entre vários órgãos do governo.

Hayashi, da Crowell & Moring, considera a mudança positiva tanto para as companhias quanto para os consumidores, pois fornece clareza sobre as interrupções fora do controle das operadoras. A advogada afirma que a medida vai tornar as taxas de atrasos e cancelamentos mais transparentes, dando uma visão mais precisa da performance das companhias.

Com informações de: CyberScoop