MIGALHAS: Responsabilidade civil e proteção de dados pessoais

I - Algumas linhas sobre o direito à proteção de dados no Brasil

O Brasil avançou significativamente na proteção de dados e dos direitos digitais. Originalmente, o STF reconheceu a existência do direito fundamental à proteção de dados pessoais, na modalidade implícita, conforme se observa no acórdão da medida cautelar, na ação direta de constitucionalidade 6387, sendo relatora a ministra Rosa Weber1. Posteriormente, a EC 115, de 10/2/22, previu expressamente o direito fundamental à proteção de dados, reconhecendo o relevante trabalho doutrinário e jurisprudencial sobre a tutela desse direito. No âmbito infralegal, destaca-se a lei 13.709/18 - LGPD, em vigor desde 2020.

É inegável que os dados pessoais assumiram, na sociedade contemporânea, um valor estratégico e econômico de grande magnitude. Utilizados para múltiplas finalidades, inclusive para práticas ilícitas, converteram-se em um dos principais ativos da era digital, razão pela qual seu tratamento exige elevados padrões de segurança e governança. O vazamento dessas informações, além de comprometer a privacidade e a dignidade da pessoa humana, pode acarretar danos substanciais de natureza moral, patrimonial e existencial ao titular, cuja identidade informacional é indevidamente exposta no ambiente virtual.

Os dados pessoais sensíveis, por sua vez, revelam-se ainda mais valiosos e vulneráveis, justamente por refletirem aspectos intrínsecos da subjetividade e das condições identitárias dos indivíduos. Tratam-se de informações de natureza pessoal, que, por exemplo, são relativas à origem étnica, a convicções religiosas, a opiniões políticas, à saúde e à orientação sexual2, sendo a questão positivada no art. 5º, II, LGPD.

Nesse cenário, impõe-se a construção de uma dogmática e de uma jurisprudência coerentes com a sistemática da LGPD e com a determinação constitucional da proteção de dados pessoais.3 Registra-se que o paradigma de proteção de dados, que foi incorporado na LGPD, trabalha na lógica de que não há dado pessoal insignificante, sendo todo dado pessoal, sensível ou não, digno de tutela4.

De outro lado, observam-se importantes controvérsias quanto à delimitação dos critérios de responsabilização e à exigência, ou não, de comprovação de dano efetivo diante da violação de dados pessoais e sensíveis. Para solucionar essas incertezas, o papel da jurisprudência é essencial.

II - Jurisprudência do STJ

Em março de 2023, o STJ enfrentou, no julgamento do agravo em REsp 2.130.619/SP, a questão da caracterização do dano moral em hipóteses de vazamento de dados pessoais. Na ocasião, a 2ª turma, sob relatoria do ministro Francisco Falcão, asseverou que o simples vazamento de dados pessoais não sensíveis não é suficiente, por si só, para ensejar reparação por danos morais, exigindo-se a comprovação do efetivo prejuízo experimentado pelo titular das informações (agravo em REsp 2.130.619 - SP - 2022/0152262-2, DJE 7/3/23).

O relator ressaltou que o art. 5º, II, da LGPD estabelece uma categoria autônoma de dados pessoais sensíveis, cujo tratamento demanda salvaguardas mais rigorosas, conforme previsto no art. 11 da mesma lei.5

No caso concreto, os dados envolvidos consistiam em nome completo, número de RG, gênero, data de nascimento, idade, telefones fixo e celular, endereço residencial e informações contratuais relativas ao fornecimento de energia elétrica, como carga instalada, consumo estimado, tipo de instalação e leitura de consumo e foram classificados como dados pessoais comuns, usualmente acessíveis em cadastros públicos ou privados.

Já em dezembro de 2024, a 3ª turma, sob relatoria do ministro Ricardo Villas Bôas Cueva, analisou o REsp 2.147.374/SP, referente a ataque hacker aos sistemas da Eletropaulo. A empresa alegou fortuito externo, mas o STJ concluiu que, na ausência de demonstração de medidas adequadas de segurança, trata-se de fortuito interno, ensejando a responsabilidade do controlador de dados. Reforçou-se, nesse contexto, o princípio da accountability (art. 6º, X, LGPD), necessitando o agente de tratamento comprovar a adoção de medidas eficazes de proteção, somente se eximindo com a demonstração da culpa exclusiva de terceiro ou do titular (STJ, REsp 2.147.374/SP, Rel. Min. Ricardo Villas Bôas Cueva, DJe 4/12/24)6. Esse precedente é bastante relevante por reconhecer um modelo de responsabilidade civil mais complexo e adequado para lidar com os desafios da proteção de dados pessoais, sendo pautado na prestação de contas e na responsabilidade ativa.

Em fevereiro de 2025, a mesma 3ª turma, sob relatoria da ministra Nancy Andrighi, inaugurou importante compreensão jurisprudencial ao reconhecer que o vazamento de dados sensíveis, especialmente aqueles relativos à saúde, finanças e contas bancárias, gera dano moral presumido. A Corte entendeu que a mera exposição de tais informações é suficiente para caracterizar violação à privacidade e à autodeterminação informativa, dispensando a comprovação de prejuízo concreto (STJ, REsp 2.121.904/SP, Rel. Min. Nancy Andrighi, DJe 11/2/25)7. Esse julgamento produziu destacada interpretação sistemática da LGPD e do CDC, sendo duas legislações centrais para a responsabilidade civil contemporânea.

Mais recentemente, em setembro de 2025, a 3ª turma voltou a se debruçar sobre o tema e, por apertada maioria, consolidou entendimento na linha do julgamento do REsp 2.201.694/SP. Nessa decisão, no voto-vencedor da ministra Nancy Andrighi, o STJ reconheceu o direito à indenização por dano moral decorrente do compartilhamento de informações sobre renda mensal, endereço e telefones pessoais de consumidor a terceiros, mesmo sem a comprovação de prejuízo concreto, entendendo que tal conduta viola a confiança legítima, a privacidade e os direitos da personalidade do titular dos dados (REsp 2.201.694/SP, por maioria, relatora ministra Nancy Andrighi, DJe 5/8/25).8

III - Conclusão

No Estado Constitucional contemporâneo, a teoria das fontes aponta importante papel da jurisprudência. O STF, antes da previsão expressa pela EC 115, de 2022, reconheceu o direito fundamental à proteção de dados pessoais. Ainda, o conjunto de precedentes do STJ demonstra também a imprescindibilidade dos Tribunais para a adequada delimitação da responsabilidade civil por violação aos deveres de proteção de dados pessoais.

_________
1 BRASIL. Supremo Tribunal Federal. Medida Cautelar, na Ação Direta de Constitucionalidade nº. 6387. Relatora: Ministra Rosa Weber. Diário de Justiça Eletrônico nº. 270, divulgado em 11/11/2020.

2 DONEDA, Danilo. Da privacidade à proteção de dados pessoais. 2. ed. São Paulo: Revista dos Tribunais, 2019, p. 160.

3 SARLET, I. W. Proteção de dados pessoais como direito fundamental na Constituição Federal Brasileira de 1988: contributo para a construção de uma dogmática constitucionalmente adequada. Revista Brasileira de Direitos Fundamentais & Justiça, 14(42), 179-218, 2020.

4 MENDES, Laura Schertel. A Lei Geral de Proteção de Dados Pessoais: um modelo de aplicação em três níveis. Caderno Especial LGPD. 2° ed. São Paulo: Thomson Reuters. Revista dos Tribunais, 2019, v.1, p. 35-56.

5 BRASIL. Superior Tribunal de Justiça. Agravo em Recurso Especial n.º 2.130.619 - SP (2022/0152262-2). Relator: Ministro Francisco Falcão. Brasília, DF, 7. mar. 2023. Diário da Justiça Eletrônico, 10 mar. 2023.

6 BRASIL. Superior Tribunal de Justiça. Recurso Especial n.º 2.147.374 - SP (2022/0220922-8). Relator: Ministro Ricardo Villas Bôas Cueva. Brasília, DF, 4 dez. 2024. Diário da Justiça Eletrônico, 6 dez. 2024.

7 BRASIL. Superior Tribunal de Justiça. Recurso Especial n.º 2.121.904 - SP (2024/0031292-7). Relatora: Ministra Nancy Andrighi. Brasília, DF, 11 fev. 2025. Diário da Justiça Eletrônico, 17 fev. 2025.

8 BRASIL. Superior Tribunal de Justiça. Recurso Especial n.º 2.201.694 - SP (2025/0081134-2). Relator: Ministro Ricardo Villas Bôas Cueva. Relatora para o acórdão: Ministra Nancy Andrighi. Brasília, DF, 5 ago. 2025. Diário da Justiça Eletrônico, 15 ago. 2025

Por: Amanda Antonelo Taffarel e Ilton Norberto Robl Filho

Fonte: MIGALHAS