← Voltar ao Blog

Vazaram Meus Dados: Quando a Empresa Tem que Indenizar e Como Agir Segundo a LGPD

Receber uma mensagem informando que o banco de dados de um aplicativo, farmácia ou loja virtual sofreu um ataque hacker tornou-se uma situação alarmante e cada vez mais comum. Em instantes, surge a incerteza: onde foram parar dados como CPF, endereço, histórico de compras ou até mesmo dados de cartões bancários? O receio imediato de golpes, contratações indevidas em seu nome e fraudes eletrônicas passa a fazer parte da rotina.

Com a vigência plena da Lei Geral de Proteção de Dados Pessoais (Lei nº 13.709/2018 – LGPD), as pessoas físicas ganharam um arcabouço protetivo robusto. As corporações deixaram de ter total liberdade no manuseio de cadastros e assumiram obrigações técnicas estritas de segurança da informação. No entanto, quando um incidente de segurança realmente acontece, muitos consumidores ficam sem saber se têm direito a uma reparação financeira imediata e quais providências devem tomar para se resguardar.

A responsabilidade civil das empresas nesses episódios não opera de forma automática em todos os cenários. Entender as decisões urgentes a serem adotadas, a posição dos tribunais e a mecânica das indenizações é indispensável para proteger tanto seu patrimônio quanto a sua privacidade.

Decisões Imediatas: O que Fazer nas Primeiras Horas Após o Incidente

Quando um incidente de segurança é notificado ou descoberto, o relógio corre contra a preservação de direitos. A organização das atitudes por ordem de prioridade mitiga riscos e consolida o lastro probatório para eventuais medidas cíveis ou administrativas.

1. Bloqueio Preventivo e Troca de Credenciais (Urgência Máxima)

Antes mesmo de cogitar pedidos judiciais, a contenção do risco técnico é essencial:

Altere imediatamente senhas de acesso aos serviços afetados e de outros serviços que compartilhavam combinações parecidas;
Habilite a verificação em duas etapas (2FA) por meio de aplicativos autenticadores em todas as contas vitais (e-mails, bancos e mensageiros);
Notifique sua instituição bancária se desconfiar que dados de contas, cartões ou chaves PIX estavam no lote exposto.

2. Coleta e Preservação Imediata de Provas (Primeiras 24 Horas)

Sem documentação adequada, demonstrar a falha da empresa torna-se uma tarefa complexa. Portanto, arquive todo indício possível:

Notificações oficiais: Salve cópias integrais de e-mails, comunicados no aplicativo ou correspondências enviadas pela empresa comunicando o incidente;
Capturas de tela detalhadas: Faça prints legíveis contendo data, hora e URLs dos avisos ou notícias veiculadas;
Histórico de atendimento: Registre protocolos de suporte técnico, conversas em canais de atendimento ao cliente (chat, SAC) e anote os dias e horários de cada tentativa de esclarecimento;
Tentativas suspeitas: Guarde registros de ligações fraudulentas recebidas logo após o incidente, mensagens de phishing recebidas via SMS ou tentativas de compras não autorizadas.

O Dever de Segurança e a Responsabilidade Civil na LGPD

A LGPD estabelece, em seu artigo 46, que as empresas (controladoras ou operadoras de dados) devem adotar medidas técnicas e administrativas aptas a resguardar dados pessoais contra acessos não autorizados, destruição, perda ou alteração ilícita. A segurança não é uma mera recomendação; trata-se de um dever legal de salvaguarda.

Quando esse dever é rompido, entram em cena os artigos 42 a 45 da legislação. O texto normativo fixa que quem causar a outrem dano patrimonial, moral, individual ou coletivo em decorrência de atividade de tratamento de dados pessoais é obrigado a repará-lo. A relação com o consumidor atrai também a aplicação conjunta do Código de Defesa do Consumidor, com possibilidade de inversão do ônus da prova em favor da parte vulnerável.

Contudo, o ponto central do debate jurídico recai sobre o tipo de prejuízo que decorre do vazamento.

Dano Presumido ou Necessidade de Prova? O Entendimento Atual do STJ

Uma dúvida frequente de quem descobre que seus dados cadastrais foram expostos é se o simples fato da falha na segurança já confere direito automático a uma quantia indenizatória. Trata-se da discussão entre o dano moral presumido (in re ipsa, no jargão jurídico) e o dano que necessita de comprovação.

O Superior Tribunal de Justiça (STJ), em julgamentos reiterados de suas Turmas de Direito Privado (a exemplo de recursos envolvendo vazamentos de dados cadastrais de concessionárias e empresas de serviços essenciais), firmou o entendimento de que o mero vazamento de dados pessoais comuns não gera dano moral presumido.

Segundo o posicionamento do STJ:

Dados comuns (nome, data de nascimento, CPF, endereço, telefone): A exposição isolada desses elementos, embora configure irregularidade perante a LGPD e a órgãos fiscalizadores, não gera indenização automática. O titular lesado precisa demonstrar que sofreu um abalo concreto — como golpes financeiros, negativação indevida decorrente de fraude, chantagens ou cobranças ilegais;
Dados sensíveis e sigilosos: A situação muda expressivamente quando o incidente atinge dados sensíveis (origem racial, convicção religiosa, dados de saúde, vida sexual ou genética) ou dados financeiros confidenciais (senhas, dados bancários de pagamento). Nesses casos, o risco à dignidade, à intimidade e à integridade do indivíduo é direto, ampliando significativamente a viabilidade do pleito indenizatório pela severidade da violação.

Assim, uma eventual ação judicial de reparação civil não deve se ancorar unicamente no susto ou no receio abstrato. É fundamental apontar as consequências práticas e os transtornos reais provocados pelo descontrole da base de dados.

Os Três Caminhos Legais para Exercer seus Direitos

Caso você tenha sido afetado por um incidente de segurança, o ordenamento jurídico oferece alternativas complementares para agir em busca de esclarecimentos, fiscalização e reparação:

1. Pedido Direto de Informação ao Controlador (Artigo 18 da LGPD)

Antes de formalizar disputas mais amplas, o titular tem a prerrogativa de exigir da empresa esclarecimentos objetivos. O artigo 18 da LGPD assegura a confirmação da existência de tratamento, o acesso aos dados e informações sobre com quais entidades públicas e privadas os dados foram compartilhados. Esse requerimento extrajudicial serve para aferir formalmente quais informações exatas suas foram comprometidas no ataque.

2. Reclamação Administrativa Perante a ANPD e Procons

A Autoridade Nacional de Proteção de Dados (ANPD) é o órgão responsável por zelar, implementar e fiscalizar o cumprimento da lei no país. Qualquer usuário pode formular peticionamento eletrônico na plataforma oficial da ANPD relatando o incidente.

A ANPD possui atribuição sancionatória (aplicação de multas, advertências e determinações de bloqueio de sistemas);
Paralelamente, os Procons municipais e estaduais podem ser acionados para registrar a infração consumerista;
É importante notar que esses órgãos administrativos não arbitram indenizações financeiras diretas para a sua conta, mas as manifestações emitidas nesses processos funcionam como evidências fortes caso você opte pela via judiciária.

3. Ação Judicial de Responsabilidade Civil

Quando houver dano financeiro ou moral efetivo, a via do Poder Judiciário torna-se o caminho apropriado para buscar a reparação patrimonial e extrapatrimonial correspondente. No processo, caberá demonstrar a relação de causa e efeito entre a falha no armazenamento das informações pela empresa e o transtorno concreto suportado pelo cidadão, tais como contratações fraudulentas de empréstimos, clonagem de cartões ou prejuízos à honra decorrentes do vazamento de informações íntimas.

Conclusão e Próximos Passos

A proteção de dados é uma extensão da cidadania e da dignidade da pessoa humana no ambiente digital. Descobrir que suas informações foram expostas exige uma postura proativa: conter vulnerabilidades com urgência, documentar as falhas, formalizar pedidos de esclarecimento e avaliar se o incidente desdobrou-se em abalos concretos passíveis de compensação cível.

Cada incidente de segurança possui contornos técnicos e jurídicos próprios. A consulta orientada a profissionais do Direito Cível é a forma segura de analisar a viabilidade de uma demanda, sem expectativas ilusórias, construindo uma estratégia sólida amparada na legislação e nos precedentes judiciais consolidados.

Ficou com dúvida? Fale com a equipe do Duarte & Duarte pelo WhatsApp (51) 9207-2513 ou agende uma consulta.