A Illuminate venceu o caso. O padrão CMIA deixado para trás torna significativamente mais fácil trazer certas reclamações de violação
Em maio de 2026, a Suprema Corte da Califórnia decidiu contra o demandante no caso JM v. Illuminate Education, concluindo que a empresa de tecnologia educacional não era uma “provedora de cuidados de saúde” sob a Lei de Confidencialidade de Informações Médicas da Califórnia e que o demandante não havia defendido suficientemente suas reivindicações. Iluminar venceu. O caso foi arquivado.
Mas a mesma decisão estabeleceu algo que favorece os futuros demandantes. De acordo com a CMIA, não é mais necessária prova de que os dados foram realmente visualizados por uma parte não autorizada. Um “risco significativo” de acesso ou utilização não autorizado é agora suficiente.
Joe Earle, líder de prática de grupo cibernético da C3 Risk and Insurance Services, descreveu a dupla natureza da decisão em uma recente mesa redonda cibernética de negócios de seguros. “É um caso interessante porque a Illuminate realmente ganhou este. Mas a precedência mudou muitas coisas porque o limite de dados foi violado – não precisamos que um hacker os examine ou eles serão vazados. Só tem que haver um risco significativo de serem violados. E com multas da CMIA de US$ 1.000 por registro, essas violações podem se tornar muito grandes, muito rápido.”
A Illuminate venceu o caso. Ainda pagou US$ 5,1 milhões
O resultado do litígio deve ser lido juntamente com o que aconteceu fora do tribunal.
Apesar de ter prevalecido na ação coletiva, uma coalizão de três procuradores-gerais estaduais garantiu um acordo de US$ 5,1 milhões da Illuminate em 2025. A Comissão Federal de Comércio chegou a um acordo separado com a empresa no mesmo ano por falhas na proteção dos dados pessoais e médicos de mais de 10 milhões de estudantes.
Uma vitória da defesa em litígios de ação coletiva não evitou consequências significativas na aplicação. Para qualquer empresa que lide com dados educacionais, médicos ou médicos adjacentes, o litígio civil e a aplicação regulatória permanecem caminhos paralelos – ambos vivos mesmo quando o litígio falha.
Keith Savino, CEO da Emergence Insurance nos EUA, colocou a decisão em seu contexto de mercado mais amplo. “Cada reclamação, especialmente reivindicações substanciais ou algo que possa se transformar em um aumento nas ações coletivas, terá um impacto na indústria e em suas diretrizes e em seu apetite. Portanto, você poderá ver isso impactar certas classes de negócios mais do que outras.”
Saúde é a classe que todos os três painelistas nomearam como mais diretamente afetada. Mas qualquer classe que lide com grandes volumes de dados pessoalmente sensíveis – tecnologia educacional, serviços financeiros, empresas adjacentes à saúde – está agora a operar num ambiente de litígio que se tornou mais favorável aos demandantes.
O paralelo das Seis Bandeiras
Jennifer Wilson, diretora sênior, cibernética da WTWrelacionou a decisão do Illuminate a uma mudança que o mercado já viu antes.
“Acho que o caso Illuminate lembra muito o que vimos na decisão Six Flags no que se refere à biometria”, disse ela. “Não se trata mais da perda econômica potencial. Trata-se mais da exposição potencial. Portanto, você não precisa provar os danos para se recuperar.”
O litígio biométrico Six Flags remodelou a forma como as empresas detentoras de dados biométricos em Illinois avaliavam a sua exposição ao abrigo do BIPA, porque os demandantes já não precisavam de demonstrar danos reais – apenas que o estatuto tinha sido violado. O esclarecimento do padrão CMIA no Illuminate opera no mesmo eixo.
Essa mudança no que os demandantes precisam demonstrar é estrutural e não específica de cada caso. Os subscritores que escrevem aulas que abordam dados pessoais sensíveis precisam avaliar como suas apólices responderiam a uma reclamação enquadrada em torno de “risco significativo” em vez de dano demonstrado.
Para onde o mercado está indo
O ponto de segmentação de mercado de Savino é o mais útil em termos práticos para corretores que gerenciam uma carteira mista. “Se estamos falando sobre o espaço SMB ou PME, você responde de uma maneira. Se estiver falando sobre contas maiores, você pode responder de outra maneira”, disse ele.
A concorrência na aquisição de novos negócios manterá os preços das PME competitivos. A disciplina tarifária, o abandono de negócios desfavoráveis e o aperto do apetite em classes sensíveis a dados estão concentrados no segmento de contas maiores – e nas classes adjacentes aos cuidados de saúde e à educação mais diretamente afetadas pelo precedente Illuminate.
Wilson espera uma mudança, não uma reversão. “Não acho que corremos o risco de uma correção excessiva por parte do mercado, mas acredito que começaremos a ver uma correção de curso nos próximos 12 meses. Já estamos vendo as operadoras começarem a manter a taxa e se afastarem de grandes negócios porque não querem oferecer reduções significativas.
O contrapeso de Earle explica por que a correção permanece modesta. “Vou apostar que o mercado permanecerá estável. Temos muitos novos participantes no mercado de seguros cibernéticos, muito dinheiro de capital de risco, e a subscrição melhorou e a segurança cibernética em geral, incluindo backups, melhorou, o que fez com que as reivindicações de ransomware não fossem tão pagas”, disse ele.
O ambiente de litígio está se movendo em uma direção. A dinâmica competitiva está atraindo outra. Os corretores que colocam riscos sensíveis aos dados precisam estar atentos a ambos.
