Vazamento de dados dá direito a indenização? O que diz a LGPD

1. O que diz o artigo 42

A responsabilidade alcança o controlador e o operador, e o titular pode pedir a reparação do dano patrimonial (prejuízo financeiro) ou moral. O operador responde solidariamente quando descumpre a legislação ou não segue as instruções lícitas do controlador, e os controladores diretamente envolvidos no tratamento também respondem solidariamente. A lei permite que o juiz inverta o ônus da prova a favor do titular quando a alegação for verossímil, houver hipossuficiência para produzir prova ou a produção for excessivamente onerosa (artigo 42, parágrafo 2º).

2. Quando o tratamento é considerado irregular

O artigo 44 considera irregular o tratamento que não observa a legislação ou que não fornece a segurança que o titular dele pode esperar, levando em conta o modo como é realizado, o resultado e os riscos razoavelmente esperados, além das técnicas disponíveis à época. O artigo 46 exige que os agentes adotem medidas de segurança, técnicas e administrativas, para proteger os dados contra acessos não autorizados e situações acidentais ou ilícitas.

3. Quando a empresa não responde

Segundo o artigo 43, os agentes só não serão responsabilizados quando provarem que não realizaram o tratamento que lhes é atribuído, que, embora tenham realizado o tratamento, não houve violação à legislação, ou que o dano é decorrente de culpa exclusiva do titular ou de terceiro. Nas relações de consumo, a reparação segue também as regras do Código de Defesa do Consumidor (artigo 45).

4. O que o STJ já decidiu

Em julgamento da Segunda Turma, em 2023, o Superior Tribunal de Justiça entendeu que o vazamento de dados pessoais comuns, não sensíveis, não gera por si só dano moral presumido, sendo necessário que o titular comprove o dano efetivo. A jurisprudência sobre o tema continua em evolução e varia conforme o tipo de dado e as circunstâncias, por isso é importante conferir o entendimento atual para cada caso.

5. O que reunir para uma eventual ação

• —A comunicação da empresa sobre o incidente, se houver, ou a prova de que os seus dados foram expostos.
• —Documentos que mostrem o uso indevido dos dados, como golpes, fraudes e contatos suspeitos.
• —Comprovantes de prejuízos, como valores perdidos, gastos para recuperar contas e tempo dedicado à solução.
• —Pedidos feitos à empresa e respostas, com protocolos.

6. O papel da comunicação do incidente

O artigo 48 determina que o controlador comunique à ANPD e ao titular a ocorrência de incidente de segurança que possa acarretar risco ou dano relevante aos titulares. Se isso não ocorreu, o fato pode ser relevante na discussão do caso. Você também pode peticionar à ANPD e aos órgãos de defesa do consumidor. Este texto é informativo e não garante indenização em nenhum caso concreto.