Uma consumidora idosa teve nome, RG, telefone, endereço e dados do contrato de luz vazados numa falha da Eletropaulo, hoje Enel. Ela pediu indenização por dano moral. Ganhou R$ 5 mil em segunda instância. Perdeu tudo no Superior Tribunal de Justiça.
A decisão saiu em março de 2023 e ainda orienta boa parte dos processos sobre vazamento de dados no país. A 2ª Turma do STJ julgou o caso em 7 de março daquele ano, sob relatoria do ministro Francisco Falcão, no Agravo em Recurso Especial 2.130.619/SP. Para os ministros, dado vazado não vira indenização só porque vazou.
A régua, porém, não é fixa. Menos de dois anos depois, um segurado teve dados de saúde expostos por uma seguradora, e o resultado no STJ foi o oposto: a indenização foi mantida. A diferença entre os dois casos está no tipo de dado exposto, e é esse detalhe que vai decidir se uma pessoa vazada ganha ou perde na Justiça.
Enquanto isso, a Claro negocia o próprio risco. Uma ação movida pelo Instituto Sigilo, pedindo R$ 15 mil por cliente afetado em um vazamento relatado em 2021, foi reaberta pelo Tribunal de Justiça de São Paulo depois de a primeira instância recusar perícia técnica nos sistemas da operadora.
Dados comuns não bastam, decide o STJ
No processo contra a Enel, os dados vazados eram nome, RG, gênero, data de nascimento, idade, telefones, endereço e informações do contrato de energia. Em primeira instância, o pedido foi julgado improcedente. O Tribunal de Justiça de São Paulo reformou a sentença e fixou R$ 5 mil, por entender que a vítima era idosa e merecia proteção reforçada.
A concessionária recorreu ao STJ, e a 2ª Turma derrubou a condenação por unanimidade. Para o relator, ministro Francisco Falcão, os dados vazados identificam a pessoa, mas não expõem sua intimidade. Por isso, o vazamento não gera dano moral automático: quem processa precisa provar o prejuízo concreto, segundo a reportagem do Migalhas sobre o julgamento.
Na prática, o STJ rejeitou o chamado dano moral in re ipsa para esse tipo de exposição. Não basta mostrar que o CPF saiu de onde não devia. É preciso mostrar o que esse vazamento causou: uma fraude bancária, uma tentativa de golpe documentada, um transtorno que saia do aborrecimento cotidiano. Sem isso, a ação não avança, por mais grave que pareça o descuido da empresa.
A decisão deixou uma porta entreaberta. O próprio acórdão sugeriu que o resultado seria diferente diante de dados sensíveis, ligados à intimidade da pessoa. Bastou outro processo, de outra natureza, para testar essa hipótese.
Dados sensíveis mudam o cálculo
O caso é de uma seguradora. Um segurado teve dados de saúde e informações financeiras expostos durante a contratação de um seguro de vida. A 3ª Turma do STJ julgou o recurso em fevereiro de 2025, sob relatoria da ministra Nancy Andrighi, no Recurso Especial 2.121.904/SP.
Desta vez, o resultado foi mantido a favor do consumidor. O dever de sigilo sobre dados de saúde é inerente ao próprio contrato de seguro, e sua violação atrai responsabilidade objetiva da seguradora, segundo análise publicada pelo Migalhas. A exposição de informação de saúde, por si só, já coloca a pessoa sob risco de discriminação, constrangimento e uso indevido. A prova de prejuízo adicional deixa de ser exigida.
A mesma Corte, portanto, decidiu em sentidos opostos em menos de dois anos. Não há contradição ali: a diferença está no artigo 5º, inciso II, da Lei Geral de Proteção de Dados, que separa dado pessoal comum de dado sensível — saúde, origem racial, convicção religiosa, orientação sexual, dado genético e biométrico entram nessa segunda categoria, com régua mais baixa para configurar dano.
Essa distinção joga contra operadoras que lidam com volumes enormes de dado comum, mas também contra qualquer empresa que tenha deixado vazar informação de saúde, renda ou dado bancário de cliente. E é justamente esse ponto que está sob perícia num processo que ainda não terminou: o da Claro.
Claro pode pagar R$ 15 mil por cliente
Em 2021, a empresa de segurança digital PSafe relatou um vazamento envolvendo dezenas de milhões de registros de clientes da Claro e da Vivo, incluindo dados pessoais e de ligações. O Instituto Sigilo entrou com ação contra a Claro pedindo R$ 15 mil de indenização por cliente afetado, segundo reportagem do Convergência Digital.
A 18ª Vara Cível da Capital julgou o pedido improcedente. Para o juiz Caramuru Afonso Francisco, havia apenas discussão sobre a existência de responsabilidade da operadora, sem prova de atuação deliberada. O instituto apelou alegando cerceamento de defesa: pedira perícia técnica nos sistemas da Claro e de empresas terceirizadas, e produção de provas documentais, e nada disso foi feito antes da sentença.
Em 12 de novembro de 2023, a 28ª Câmara de Direito Privado do TJSP, sob relatoria do desembargador Rodrigues Torres, anulou a sentença. Segundo a cobertura do Monitor Mercantil, a Claro não comprovou tratar os dados com cautela, nem que mantinha contrato formal com as empresas às quais os repassou, nem que o programa de compliance alegado realmente existia. “O simples vazamento de dados dos consumidores configura o dano”, escreveu o relator.
A frase soa como o oposto do que o STJ decidiu no caso Enel. Não é bem isso. O acórdão do TJSP não julgou o mérito: mandou o processo de volta à primeira instância para a perícia que faltou. A Claro ainda pode demonstrar, com prova técnica, que tratou os dados com o cuidado exigido por lei — ou pode não conseguir, e aí o valor por cliente afetado volta à mesa. A empresa informa apenas que não comenta processos em andamento e que cumpre a LGPD.
LGPD exige prova de falha do controlador
A LGPD, no artigo 42, obriga quem controla ou opera dados pessoais a reparar o dano causado por violação da lei. Isso não equivale a dizer que todo vazamento gera indenização: o artigo 44 só considera o tratamento irregular quando a empresa descumpre a lei ou deixa de oferecer a segurança que o titular poderia razoavelmente esperar, levando em conta a técnica disponível à época.
O artigo 43 lista o que livra a empresa da conta: provar que não tratou o dado em questão, que não houve violação da lei, ou que o vazamento decorreu de culpa exclusiva do titular ou de terceiro. E o artigo 42, no parágrafo segundo, autoriza o juiz a inverter o ônus da prova a favor do consumidor quando a alegação for verossímil ou ele estiver em posição de hipossuficiência diante da empresa. Foi esse mesmo mecanismo que, na prática, levou o TJSP a mandar a Claro passar por perícia.
Nenhum desses dispositivos cria indenização automática. Eles criam o caminho para provar a falha: perícia, prova documental, inversão do ônus. O artigo 45 ainda mantém em vigor as regras do Código de Defesa do Consumidor para essas relações, o que soma outra camada de proteção em casos como o da Enel e o da Claro, ambas concessionárias que lidam com dado de milhões de clientes. O STJ ainda não fixou um Tema Repetitivo específico sobre vazamento de dados e dano moral — a jurisprudência segue se formando caso a caso, turma a turma.
A consumidora da Eletropaulo perdeu porque não tinha, nos autos, nada além do CPF exposto. Quem descobre hoje que seus dados vazaram sai perdendo do mesmo jeito, a menos que guarde o que vier depois: a notificação da empresa, o e-mail de tentativa de fraude, a cobrança indevida, o print da mensagem de phishing que usou seu nome completo. É esse rastro, não o vazamento em si, que separa uma ação arquivada de uma indenização como a do segurado que teve dado de saúde exposto.
Você pode aprender mais sobre seus direitos aqui no Consumidor Certo.
Fontes citadas no texto
- Migalhas — “STJ: consumidora que teve dados vazados não será indenizada pela Enel” (AREsp 2.130.619/SP, 2ª Turma, rel. min. Francisco Falcão)
- Migalhas (Depeso) — “STJ e a ausência de dano moral in re ipsa em vazamentos de dados”
- Migalhas (Depeso) — “STJ reconhece dano moral presumido em vazamento de dados pessoais” (REsp 2.121.904/SP, 3ª Turma, rel. min. Nancy Andrighi)
- Convergência Digital — “Justiça exige perícia em vazamento de dados da Claro em ação de R$ 15 mil por cliente”
- Monitor Mercantil — “Claro volta a correr risco de pagar R$ 15 mil para cada vítima de vazamento de dados”
- Planalto — Lei 13.709/2018 (LGPD), texto oficial, arts. 42 a 45
