Vazamento de dados pessoais: quando cabe indenização pela LGPD

Em algum momento, todos nós já entregamos dados pessoais a uma empresa. Nome, CPF, telefone, endereço, e-mail, documentos, informações bancárias, histórico de compras, dados de saúde, localização, senhas, biometria ou informações cadastrais.

Esses dados são solicitados para abrir conta, contratar serviço, comprar pela internet, acessar aplicativo, financiar veículo, contratar seguro, marcar consulta, participar de promoção ou simplesmente receber atendimento.

O problema surge quando essas informações deixam de estar sob controle seguro da empresa que as recebeu. Um vazamento de dados pessoais não é apenas um incidente técnico. Para quem tem os dados expostos, ele pode significar medo, perda de controle, risco de golpe, tentativa de fraude, contratação indevida, cobrança desconhecida, importunação, violação da privacidade e, em casos mais graves, dano financeiro e moral.

A Lei Geral de Proteção de Dados Pessoais — LGPD, Lei nº 13.709/2018 — mudou a forma como empresas e instituições devem tratar informações pessoais. A partir dela, dados não podem ser coletados, armazenados, compartilhados ou utilizados de qualquer forma. Existe um dever jurídico de cuidado, segurança, transparência e responsabilidade.

Por isso, quando ocorre um vazamento de dados, é possível discutir indenização. Mas essa análise precisa ser feita com técnica. Nem todo vazamento gera dano moral automático. Ao mesmo tempo, também não se pode tratar a exposição indevida de dados como algo irrelevante. A resposta jurídica depende da natureza dos dados expostos, da conduta da empresa, do risco criado, da existência de fraude, dos prejuízos sofridos e da prova disponível.

1. O que é vazamento de dados pessoais?

Vazamento de dados pessoais ocorre quando informações de uma pessoa natural são acessadas, divulgadas, compartilhadas, perdidas, copiadas, vendidas, alteradas ou utilizadas sem autorização ou sem segurança adequada.

A LGPD define dado pessoal como toda informação relacionada a pessoa natural identificada ou identificável, conforme art. 5º, I, da Lei nº 13.709/2018. Isso inclui, por exemplo, nome, CPF, RG, telefone, e-mail, endereço, data de nascimento, dados bancários, informações contratuais e registros de consumo.

Há também os dados pessoais sensíveis, previstos no art. 5º, II, da LGPD. São aqueles relacionados à origem racial ou étnica, convicção religiosa, opinião política, filiação sindical, saúde, vida sexual, dado genético ou biométrico. Esses dados recebem proteção mais rigorosa, justamente porque sua exposição pode gerar discriminação, constrangimento, risco à segurança, violação da intimidade e danos profundos à dignidade da pessoa.

O vazamento pode acontecer de várias formas: ataque hacker, invasão de sistema, falha de segurança, envio de documentos para destinatário errado, compartilhamento irregular com terceiros, exposição de planilhas, perda de dispositivos, golpe interno, armazenamento inseguro, ausência de controle de acesso ou uso indevido por prestadores contratados.

Em todos esses casos, a pergunta central é: a empresa que tratava os dados adotou medidas suficientes para protegê-los?

2. A empresa responde pelo vazamento?

A LGPD trabalha com a figura dos agentes de tratamento. O controlador é quem toma as decisões sobre o tratamento dos dados, conforme art. 5º, VI, da Lei nº 13.709/2018. O operador é quem realiza o tratamento em nome do controlador, nos termos do art. 5º, VII.

O art. 42 da LGPD estabelece que o controlador ou o operador que causar dano patrimonial, moral, individual ou coletivo, em violação à legislação de proteção de dados, fica obrigado a repará-lo. Ou seja, a própria lei admite indenização quando o tratamento irregular de dados causa prejuízo ao titular.

Além disso, o art. 44 da LGPD considera irregular o tratamento que não observa a legislação ou que não fornece a segurança que o titular dele pode esperar. Já o art. 46 impõe aos agentes de tratamento o dever de adotar medidas de segurança, técnicas e administrativas aptas a proteger os dados pessoais contra acessos não autorizados, destruição, perda, alteração, comunicação ou difusão ilícita.

Quando existe relação de consumo, também se aplica o Código de Defesa do Consumidor. O art. 14 do CDC prevê a responsabilidade objetiva do fornecedor por defeito na prestação do serviço. Isso significa que, em muitos casos, não é necessário provar a intenção da empresa de causar dano. Basta demonstrar o defeito do serviço, o dano e o nexo de causalidade.

Esse ponto é especialmente importante em vazamento de dados. O consumidor normalmente não tem acesso aos sistemas internos da empresa, aos logs de acesso, aos relatórios de segurança, aos contratos com operadores, às auditorias, às políticas internas ou aos registros do incidente. Essas informações estão em poder da própria empresa.

Por isso, pode ser cabível a inversão do ônus da prova, com fundamento no art. 6º, VIII, do CDC, quando houver verossimilhança das alegações ou hipossuficiência técnica do consumidor.

3. Quando o vazamento gera indenização?

A indenização é possível quando o vazamento causa dano material, dano moral ou exposição relevante a risco, especialmente se houver falha de segurança, omissão da empresa, uso indevido dos dados ou fraude decorrente.

No entanto, a jurisprudência do Superior Tribunal de Justiça tem feito uma distinção importante. Em caso de vazamento de dados pessoais comuns, o STJ já decidiu que o dano moral não é automaticamente presumido. No AREsp nº 2.130.619/SP, a Segunda Turma entendeu que, salvo hipóteses envolvendo dados sensíveis ou situação mais grave, o titular precisa demonstrar o dano efetivo causado pela exposição (BRASIL, 2023).

Isso não significa que vazamento de nome, CPF, telefone, e-mail ou endereço nunca gera indenização. Significa apenas que a ação precisa ser bem construída. É necessário demonstrar de que forma o vazamento afetou a vida do titular.

Por exemplo: após o vazamento, a pessoa passou a receber tentativas de golpe? Houve abertura de conta em seu nome? Foram feitos empréstimos fraudulentos? Surgiram compras desconhecidas? O nome foi negativado indevidamente? Houve cobrança de dívida que não existia? Os dados foram usados por criminosos? A empresa se recusou a explicar o que aconteceu?

Quando essas circunstâncias estão presentes, o caso deixa de ser uma discussão abstrata sobre privacidade e passa a envolver prejuízo concreto, risco real e violação de direitos da personalidade.

Nos casos envolvendo dados sensíveis, a análise pode ser mais rigorosa. No REsp nº 2.121.904/SP, a Terceira Turma do STJ reconheceu que o vazamento de dados pessoais sensíveis fornecidos para contratação de seguro de vida pode gerar responsabilidade objetiva da seguradora e dano moral presumido (BRASIL, 2025). A lógica é compreensível: informações de seguro podem envolver saúde, renda, beneficiários, dados bancários e aspectos familiares. Sua exposição atinge dimensão muito mais delicada da vida privada.

Também há decisões relevantes reconhecendo que a disponibilização indevida de informações pessoais em banco de dados, sem consentimento ou comunicação adequada, pode violar direitos de personalidade e gerar dano moral presumido, a depender do contexto (BRASIL, 2025).

Por outro lado, no REsp nº 2.221.650/SP, a Quarta Turma do STJ entendeu que a disponibilização não autorizada de dados pessoais não sensíveis em cadastro positivo não gera, por si só, dano moral presumido, exigindo comprovação de abalo significativo aos direitos da personalidade (BRASIL, 2026).

A conclusão prática é clara: a indenização por vazamento de dados depende de estratégia probatória. Quanto mais grave a natureza dos dados, maior o risco criado e mais evidente o impacto na vida do titular, mais forte será a pretensão indenizatória.

4. Dano material: quando há prejuízo financeiro

O dano material ocorre quando o vazamento gera perda econômica comprovável.

Isso pode acontecer, por exemplo, quando os dados vazados são utilizados para contratação de empréstimos, abertura de contas, compras indevidas, emissão de cartões, transferência de valores, aplicação de golpes, alteração de cadastro ou cobrança de dívida inexistente.

Também podem ser considerados danos materiais os gastos feitos pela vítima para tentar conter o problema: deslocamentos, autenticações, emissão de documentos, contratação de serviços, despesas bancárias, custos para contestar fraude ou valores pagos indevidamente.

Nesses casos, a documentação é essencial. Boletim de ocorrência, extratos bancários, comunicações de bancos, prints de mensagens, protocolos de atendimento, cobranças, notificações e comprovantes de pagamento ajudam a demonstrar o prejuízo e o nexo com o vazamento.

5. Dano moral: quando a exposição ultrapassa o aborrecimento

O dano moral não se limita ao sofrimento subjetivo. Ele se relaciona à violação de direitos da personalidade, como intimidade, privacidade, honra, imagem, segurança e autodeterminação informativa.

A Constituição Federal protege a intimidade, a vida privada, a honra e a imagem no art. 5º, X. Além disso, a proteção de dados pessoais passou a ser direito fundamental expresso no art. 5º, LXXIX, incluído pela Emenda Constitucional nº 115/2022.

Quando uma empresa expõe dados de um titular, ela pode retirar da pessoa o controle sobre informações que dizem respeito à sua identidade. Em tempos de fraudes digitais, isso não é um detalhe. Dados pessoais são utilizados para validar transações, aplicar golpes, acessar cadastros, simular identidade e direcionar abordagens criminosas.

Por isso, o dano moral pode ser reconhecido quando a exposição gera risco concreto, constrangimento relevante, fraude, insegurança, violação de dados sensíveis ou abalo significativo à vida privada.

O ponto estratégico é demonstrar que o caso não envolve mero incômodo. A petição deve explicar, de forma objetiva, o que foi exposto, como a empresa falhou, quais riscos surgiram e quais consequências foram suportadas pelo titular.

6. O dever de comunicar e agir depois do incidente

A LGPD também se preocupa com a conduta da empresa depois do incidente. O art. 48 determina que o controlador deve comunicar à Autoridade Nacional de Proteção de Dados e ao titular a ocorrência de incidente de segurança que possa acarretar risco ou dano relevante.

A Resolução CD/ANPD nº 15/2024 regulamenta a comunicação de incidentes de segurança e reforça a necessidade de transparência, prevenção, mitigação de danos, responsabilização e prestação de contas.

Na prática, a empresa deve informar o que aconteceu, quais dados foram afetados, quando identificou o incidente, quais riscos existem e quais medidas foram adotadas para reduzir os danos. A comunicação não pode ser genérica a ponto de deixar o titular sem orientação.

Quando a empresa se cala, responde de forma evasiva, nega informações básicas, demora a comunicar ou não oferece medidas de contenção, sua conduta pode agravar a responsabilidade. O problema, nesses casos, não é apenas o vazamento em si, mas também a forma como a empresa lida com o titular depois da exposição.

A LGPD é orientada por princípios como segurança, prevenção, transparência, responsabilização e prestação de contas, previstos no art. 6º. Esses princípios exigem postura ativa, não apenas reação formal.

7. Como estruturar uma ação indenizatória por vazamento de dados

Uma ação indenizatória por vazamento de dados deve ser bem organizada. O ideal é começar pela identificação da relação jurídica: quem coletou os dados, com qual finalidade, em que contexto e qual era o dever de segurança assumido.

Depois, é necessário demonstrar o incidente: comunicação recebida, notícia pública, prova de exposição, resposta da empresa, tentativa de fraude, mensagem suspeita, cobrança indevida, contrato desconhecido ou qualquer elemento que indique uso irregular dos dados.

Também é importante qualificar a natureza das informações expostas. Dados bancários, documentos, dados de saúde, biometria, renda, beneficiários, endereço residencial e informações financeiras têm peso jurídico diferente de dados genéricos.

A fundamentação jurídica pode envolver a Constituição Federal, arts. 5º, X e LXXIX; a LGPD, especialmente arts. 5º, 6º, 42, 44, 46 e 48; o Código de Defesa do Consumidor, arts. 6º, III, VI e VIII, e 14; o Código Civil, arts. 186, 187 e 927; e o Código de Processo Civil, art. 373.

Os pedidos podem incluir indenização por dano moral, ressarcimento de dano material, obrigação de fornecer informações completas sobre o incidente, comprovação das medidas de segurança adotadas, indicação dos dados atingidos, identificação de terceiros que tiveram acesso às informações e, quando cabível, obrigação de excluir ou corrigir dados tratados irregularmente.

Em situações urgentes, pode ser necessário pedir tutela de urgência, com fundamento no art. 300 do CPC, para impedir nova divulgação, suspender cobrança fraudulenta, retirar negativação indevida ou obrigar a empresa a adotar providências imediatas de contenção.

8. O que a vítima deve guardar como prova?

Quem teve dados vazados deve reunir o máximo possível de documentos. É recomendável guardar a comunicação enviada pela empresa, prints de mensagens suspeitas, e-mails, SMS, ligações, protocolos de atendimento, boletim de ocorrência, extratos, cobranças, notificações, comprovantes de compras não reconhecidas, consultas ao CPF e registros de reclamações em canais administrativos.

Também é importante solicitar formalmente à empresa informações sobre o incidente. O titular pode pedir quais dados foram afetados, quando ocorreu o vazamento, quem teve acesso, quais medidas foram adotadas, se houve comunicação à ANPD e quais providências foram tomadas para evitar novos danos.

Quanto melhor documentado o caso, maior a possibilidade de demonstrar o nexo causal e afastar a alegação genérica de que o vazamento não causou prejuízo.

9. Conclusão

O vazamento de dados pessoais pode gerar indenização, mas cada caso precisa ser analisado com cuidado. A LGPD não transformou todo incidente em dano moral automático. Ao mesmo tempo, também não permite que empresas tratem dados pessoais de forma descuidada e, depois, transfiram todo o risco ao titular.

Quando há falha de segurança, exposição de dados, ausência de transparência, uso indevido, fraude ou violação de dados sensíveis, a responsabilização civil pode ser juridicamente cabível.

Para pessoas físicas, a recomendação é agir rapidamente, documentar tudo e buscar orientação técnica. Para empresas, o melhor caminho é preventivo: políticas de privacidade bem estruturadas, segurança da informação, contratos adequados, treinamento interno, plano de resposta a incidentes e governança em proteção de dados.

Em um mercado cada vez mais digital, proteger dados pessoais não é apenas cumprir a LGPD. É preservar confiança, reputação, segurança e respeito à dignidade do titular.

O Escritório Dartagnan & Stein Sociedade de Advogados atua de forma estratégica em demandas cíveis, empresariais, patrimoniais, imobiliárias, bancárias, tributárias, trabalhistas patronais, sucessórias, familiares e de proteção de dados, com atendimento técnico e possibilidade de atuação em nível nacional nos casos compatíveis com tramitação digital e análise documental.

Autora: Isadora Halmenschlager Gorreis

Dartagnan & Stein Sociedade de Advogados

Site: dartagnanestein.com.br