Vazamento de Dados: e Jurisprudência do STJ

O vazamento de dados pessoais tornou-se uma das principais preocupações no cenário jurídico brasileiro, especialmente com a consolidação da Lei Geral de Proteção de Dados (LGPD - Lei nº 13.709/2018). A proteção da privacidade e dos dados pessoais, alçada a direito fundamental pela Emenda Constitucional nº 115/2022, exige uma compreensão aprofundada das consequências legais decorrentes do tratamento inadequado dessas informações. Este artigo analisa o panorama jurídico do vazamento de dados, com foco na jurisprudência do Superior Tribunal de Justiça (STJ) e na legislação atualizada.

O Arcabouço Legal da Proteção de Dados

A LGPD estabelece as regras para o tratamento de dados pessoais, tanto no meio físico quanto digital, com o objetivo de proteger os direitos fundamentais de liberdade e privacidade e o livre desenvolvimento da personalidade da pessoa natural (art. 1º). A lei define "dado pessoal" como qualquer informação relacionada a pessoa natural identificada ou identificável (art. 5º, I) e "vazamento de dados" como incidente de segurança que possa acarretar risco ou dano relevante aos titulares (art. 48).

A responsabilidade civil no contexto da LGPD é, em regra, objetiva, conforme estabelecido no art. 42: "O controlador ou o operador que, em razão do exercício de atividade de tratamento de dados pessoais, causar a outrem dano patrimonial, moral, individual ou coletivo, em violação à legislação de proteção de dados pessoais, é obrigado a repará-lo". A exceção à responsabilidade objetiva ocorre quando comprovada culpa exclusiva do titular ou de terceiro (art. 43, III).

Além da LGPD, o Código de Defesa do Consumidor (CDC) e o Marco Civil da Internet (MCI - Lei nº 12.965/2014) também são frequentemente aplicados em casos de vazamento de dados, especialmente quando envolvem relações de consumo. O CDC, em seu art. 14, consagra a responsabilidade objetiva do fornecedor por defeitos na prestação de serviços, o que inclui a falha na segurança da informação. O MCI, por sua vez, estabelece princípios e garantias para o uso da internet no Brasil, incluindo a proteção da privacidade e dos dados pessoais (arts. 3º, II e III, e 7º, I, II e III).

Jurisprudência do STJ: O Dano Moral no Vazamento de Dados

A jurisprudência do STJ tem se consolidado no sentido de que o vazamento de dados, por si só, não configura dano moral in re ipsa (presumido). Para a caracterização do dano moral, é necessária a comprovação de que o vazamento causou efetivo prejuízo ao titular dos dados.

A Tese da Inexistência de Dano Moral In Re Ipsa

Em 2023, a Segunda Seção do STJ, no julgamento dos Embargos de Divergência em Recurso Especial (EREsp) nº 2.130.619/SP, pacificou o entendimento de que o vazamento de dados não gera dano moral in re ipsa. A decisão, relatada pelo Ministro Francisco Falcão, baseou-se na premissa de que a LGPD não estabeleceu presunção de dano moral em caso de incidente de segurança. O acórdão destacou que o vazamento de dados, embora indesejável, não implica necessariamente em lesão aos direitos da personalidade do titular.

A tese firmada pelo STJ exige que o autor da ação comprove o dano efetivo, como o uso indevido de seus dados para fraudes, a abertura de contas em seu nome, a realização de compras não autorizadas, a perda de oportunidades profissionais ou a exposição a situações vexatórias. A mera preocupação ou incerteza quanto ao destino dos dados vazados não é suficiente para caracterizar o dano moral.

Exceções à Regra: Dados Sensíveis e Circunstâncias Específicas

Embora a regra geral seja a inexistência de dano moral in re ipsa, o STJ tem admitido exceções em casos envolvendo dados sensíveis ou circunstâncias específicas que evidenciem a gravidade do incidente.

Dados sensíveis, definidos pela LGPD como aqueles referentes à origem racial ou étnica, convicção religiosa, opinião política, filiação a sindicato ou a organização de caráter religioso, filosófico ou político, dado referente à saúde ou à vida sexual, dado genético ou biométrico (art. 5º, II), exigem maior proteção. O vazamento de dados sensíveis pode, dependendo do contexto, caracterizar dano moral in re ipsa, dada a maior probabilidade de lesão aos direitos da personalidade.

Além disso, circunstâncias como a grande quantidade de dados vazados, a natureza das informações expostas (ex: dados bancários, senhas, histórico médico), o tempo de exposição dos dados e a demora na notificação dos titulares podem influenciar na caracterização do dano moral e na fixação do quantum indenizatório.

Dicas Práticas para Advogados

Diante do cenário jurídico atual, advogados que atuam na defesa de vítimas de vazamento de dados devem adotar estratégias que visem comprovar o dano efetivo.

1. Coleta de Provas Robustas

A comprovação do dano moral exige provas robustas. O advogado deve orientar seu cliente a reunir todos os documentos que demonstrem o impacto do vazamento em sua vida. Isso inclui:

• Registros de fraudes financeiras (extratos bancários, faturas de cartão de crédito);
• Boletins de ocorrência relatando o uso indevido dos dados;
• Comprovantes de negativação indevida nos órgãos de proteção ao crédito;
• E-mails ou mensagens de empresas relatando o vazamento;
• Comunicações da Autoridade Nacional de Proteção de Dados (ANPD);
• Relatórios médicos ou psicológicos, caso o vazamento tenha causado danos à saúde mental.

2. Argumentação Baseada no Dano Efetivo

A petição inicial deve focar na demonstração do dano efetivo, detalhando as consequências do vazamento para o titular dos dados. A argumentação deve ir além da mera alegação de violação da privacidade, demonstrando como o incidente afetou a vida do cliente, seja no âmbito financeiro, profissional ou emocional.

3. Utilização do CDC e MCI

Em casos envolvendo relações de consumo, a aplicação do CDC e do MCI pode fortalecer a argumentação, especialmente no que tange à responsabilidade objetiva do fornecedor e à falha na prestação de serviços.

4. Atenção aos Dados Sensíveis

Caso o vazamento envolva dados sensíveis, o advogado deve destacar a gravidade do incidente e a maior probabilidade de lesão aos direitos da personalidade, buscando a aplicação da exceção à regra do dano moral in re ipsa.

5. Acompanhamento da Jurisprudência

A jurisprudência sobre o tema está em constante evolução. É fundamental que o advogado acompanhe as decisões do STJ, dos TJs e da ANPD para adequar suas estratégias aos entendimentos mais recentes.

Conclusão

O vazamento de dados pessoais exige uma análise cuidadosa do contexto e das consequências do incidente. A jurisprudência do STJ, ao afastar a presunção de dano moral (in re ipsa) na maioria dos casos, impõe aos advogados o desafio de comprovar o dano efetivo sofrido pelo titular dos dados. A atuação estratégica, baseada na coleta de provas robustas e na argumentação focada nas consequências do vazamento, é essencial para garantir a reparação adequada às vítimas de incidentes de segurança da informação. A constante atualização legislativa e jurisprudencial é, portanto, indispensável para o sucesso na atuação em Direito Digital.

Aviso: Este artigo tem caráter informativo e didático. Deve ser verificado e adaptado a cada caso concreto por profissional habilitado. Acesse advogando.ai para mais recursos.