Vazamento de dados pessoais: quando cabe indenização pela LGPD

Vazamento de dados pessoais nem sempre gera indenização. Veja o que o STJ decidiu no AREsp 2.130.619, a diferença dos dados sensíveis e como provar o dano.

Por Redação Conte seu caso · 23 de outubro de 2026 · 7 min de leitura

Vazamento de dados pessoais é o acesso ou a divulgação não autorizada de informações de uma pessoa guardadas por uma empresa ou órgão público. Pela Lei Geral de Proteção de Dados (LGPD), quem trata os dados e causa dano é obrigado a repará-lo, mas o Superior Tribunal de Justiça (STJ) decidiu em 2023, no AREsp 2.130.619/SP, que o vazamento de dados comuns, como nome, endereço e RG, não gera dano moral presumido: o titular precisa provar o prejuízo. Quando os dados vazados são sensíveis, como informações de saúde, o STJ já admitiu a indenização sem essa prova.

O que a LGPD diz sobre a responsabilidade da empresa?

A LGPD (Lei 13.709/2018) tem regras diretas sobre o tema:

Artigo 42: o controlador (quem decide sobre o uso dos dados) ou o operador (quem trata os dados em nome dele) que causar dano patrimonial ou moral, em violação à lei, é obrigado a repará-lo. O § 2º permite ao juiz inverter o ônus da prova a favor do titular, ou seja, transferir para a empresa o dever de provar.
Artigo 44: o tratamento é irregular quando não fornece a segurança que o titular pode esperar. Responde pelos danos da violação de segurança quem deixou de adotar as medidas exigidas pelo artigo 46.
Artigo 43: a empresa só se livra da responsabilidade se provar que não fez o tratamento, que não violou a lei ou que a culpa foi exclusiva do titular ou de terceiro.
Artigo 45: quando há relação de consumo (cliente de banco, loja, operadora), continuam valendo as regras de responsabilidade do Código de Defesa do Consumidor.

Ou seja, a lei garante a reparação. A discussão nos tribunais é outra: basta o vazamento para haver dano moral, ou a pessoa precisa mostrar que sofreu algum prejuízo concreto?

O que o STJ decidiu no AREsp 2.130.619/SP?

O caso começou com uma consumidora que processou a Eletropaulo, distribuidora de energia de São Paulo, depois que dados dela vazaram do sistema da empresa. O Tribunal de Justiça de São Paulo condenou a distribuidora a pagar R$ 5 mil por dano moral, levando em conta que eram dados de pessoa idosa.

Em 7 de março de 2023, a Segunda Turma do STJ, por unanimidade, reformou a decisão. O relator foi o ministro Francisco Falcão. A tese publicada no Informativo 766 do tribunal foi curta: "O vazamento de dados pessoais não gera dano moral presumido."

Os principais pontos do julgamento:

Os dados vazados (nome, data de nascimento, endereço e número do RG) são dados comuns, fornecidos em qualquer cadastro, e não estão na lista de dados sensíveis do artigo 5º, II, da LGPD.
A falha no tratamento, por si só, não basta para gerar indenização. Cabe ao titular mostrar qual foi o dano causado pela exposição.
O relator ressalvou que a conclusão seria diferente se o vazamento envolvesse dados sensíveis.

O que são dados sensíveis e por que eles mudam o resultado?

Dado pessoal sensível, segundo o artigo 5º, II, da LGPD, é o dado sobre origem racial ou étnica, convicção religiosa, opinião política, filiação a sindicato ou a organização religiosa, filosófica ou política, dado referente à saúde ou à vida sexual, dado genético ou biométrico, quando ligado a uma pessoa.

Em 11 de fevereiro de 2025, a Terceira Turma do STJ julgou o REsp 2.121.904/SP, relatado pela ministra Nancy Andrighi. O caso tratava do vazamento de dados sensíveis que um segurado entregou para contratar seguro de vida. A Turma entendeu que a seguradora responde de forma objetiva (sem precisar provar culpa) e que o dano moral, nesse caso, é presumido, porque a exposição de dados desse tipo coloca o consumidor em risco por si só.

O STJ tem uma posição única sobre o tema?

Ainda não, até outubro de 2026. Há decisões em sentidos diferentes, conforme o tipo de dado e a forma como ele circulou:

Vazamento de dados comuns: a regra do AREsp 2.130.619 (Segunda Turma, 2023) segue sendo a referência. Sem prova do prejuízo, em geral não há indenização.
Repasse de dados por birô de crédito: em 2025, no REsp 2.201.694/SP, a Terceira Turma decidiu, por maioria, que o gestor de banco de dados que repassa a terceiros informações cadastrais que a Lei do Cadastro Positivo (Lei 12.414/2011) não permite compartilhar responde por dano moral presumido.
Cadastro positivo sem prova de abalo: em notícia de fevereiro de 2026, o STJ informou que a Quarta Turma, no REsp 2.221.650, relatado pela ministra Isabel Gallotti, entendeu que a simples disponibilização de dados não sensíveis no cadastro positivo não gera, sozinha, indenização. Nesse caso, faltou prova de que os dados chegaram de fato a terceiros e de que houve abalo relevante.

Na prática, quem teve dados comuns expostos tem mais chance de sucesso quando consegue ligar o vazamento a um prejuízo real. Quem teve dados sensíveis expostos encontra precedentes mais favoráveis.

Que tipo de prova ajuda a mostrar o dano?

Cada caso depende das provas, mas costumam pesar no processo:

Golpes aplicados com os seus dados depois do vazamento (empréstimo, compra ou conta aberta em seu nome).
Mensagens de golpistas que mostram conhecer dados que só a empresa tinha.
Prejuízo financeiro, com extratos e boletim de ocorrência.
Exposição de informação íntima, como diagnóstico, exame ou histórico médico.
Comunicado da própria empresa reconhecendo o incidente e informando quais dados foram atingidos.

A empresa é obrigada a avisar sobre o vazamento?

Sim, quando o incidente pode causar risco ou dano relevante. O artigo 48 da LGPD obriga o controlador a comunicar a Autoridade Nacional de Proteção de Dados (ANPD) e o titular. A Resolução CD/ANPD nº 15, de 24 de abril de 2024, fixou o prazo de três dias úteis, contados de quando a empresa toma conhecimento do incidente, para comunicar a ANPD e os titulares afetados. A comunicação deve dizer quais dados foram atingidos, os riscos e as medidas tomadas para reduzir o prejuízo.

Além disso, o artigo 18 garante ao titular o direito de pedir à empresa a confirmação de que ela trata seus dados, o acesso a eles, a correção e a eliminação de dados desnecessários ou tratados de forma irregular.

O que fazer se isso aconteceu com você

Guarde o aviso da empresa e qualquer notícia sobre o vazamento, com data.
Peça informações por escrito com base no artigo 18 da LGPD: quais dados seus foram expostos e o que a empresa fez. Anote o protocolo.
Proteja-se: troque senhas, ative a verificação em duas etapas, acompanhe seu CPF no Registrato do Banco Central e nos birôs de crédito.
Registre boletim de ocorrência se os dados forem usados em golpe, e guarde extratos e conversas.
Reclame no consumidor.gov.br, no Procon ou diretamente na ANPD, que recebe petições de titulares contra controladores (artigo 18, § 1º, da LGPD).
Avalie a ação judicial. Em causas de até 20 salários mínimos, o Juizado Especial Cível dispensa advogado. Quem não pode pagar um profissional pode procurar a Defensoria Pública.

Se quiser que um advogado avalie se o seu caso tem chance, no Conte seu caso você descreve a situação de graça e profissionais da área entram em contato: conte o seu caso.

Perguntas frequentes

Meus dados vazaram. Tenho direito a indenização automática?

Em geral, não. Pelo entendimento do STJ no AREsp 2.130.619/SP, o vazamento de dados comuns não gera dano moral presumido, e o titular precisa provar o prejuízo. A situação muda quando os dados são sensíveis ou quando há golpe ou perda comprovada.

Vazamento de dados de saúde gera indenização?

Dados de saúde são sensíveis pela LGPD. No REsp 2.121.904/SP, de 2025, a Terceira Turma do STJ reconheceu dano moral presumido no vazamento de dados sensíveis entregues para contratar seguro de vida. Cada caso ainda depende dos fatos e das provas.

Em quanto tempo a empresa precisa avisar que meus dados vazaram?

Pela Resolução CD/ANPD nº 15/2024, o prazo é de três dias úteis a partir do momento em que a empresa sabe do incidente, quando ele pode trazer risco ou dano relevante aos titulares. O aviso deve ser feito à ANPD e às pessoas afetadas.

Quem precisa provar a falha de segurança, eu ou a empresa?

O artigo 42, § 2º, da LGPD permite ao juiz inverter o ônus da prova a favor do titular, e o Código de Defesa do Consumidor tem regra parecida. Mesmo assim, o dano sofrido em regra precisa ser demonstrado quando os dados são comuns.

Fontes

Este texto é informativo e não substitui a orientação de um advogado sobre o seu caso concreto. Viu um erro ou uma informação desatualizada? Veja como corrigimos na política editorial.