Vazamento de dados: direito à indenização

Os direitos de quem teve dados expostos

Pela LGPD, o titular pode exigir da empresa: confirmação do incidente e quais dados seus vazaram (direito de acesso), a comunicação obrigatória quando o risco é relevante, medidas de mitigação e a responsabilização civil pelos danos. A ANPD multa e fiscaliza — mas a reparação individual vem pela via judicial.

O que o STJ definiu: dano presumido?

O STJ (2023) fixou que o vazamento de dados comuns (nome, CPF, endereço), por si só, não gera dano moral automático — exige-se demonstrar consequências. MAS: dados sensíveis (saúde, biometria, vida sexual, religião, financeiros em contexto qualificado) e vazamentos seguidos de dano concreto (golpes direcionados, fraudes em seu nome, exposição) sustentam a indenização. A construção da prova do nexo virou o coração desses casos.

Transformando transtorno em prova

Documente a cadeia: a notificação do vazamento (ou notícias oficiais do incidente), o aumento de ligações e phishing citando seus dados exatos (grave, printe com data), fraudes tentadas ou consumadas (contas abertas, compras, consignados — pegue os registros nas empresas), e os gastos defensivos (monitoramento, bloqueios). O conjunto liga o vazamento ao seu prejuízo — e destrava a reparação material e moral.

Contra quem e onde processar

Respondem o controlador (a empresa que coletou seus dados) e, conforme o caso, operadores da cadeia — solidariedade em relações de consumo. Juizado resolve indenizações típicas; danos maiores (fraudes consumadas com prejuízo alto) vão à vara cível, cumulando a declaração de inexistência das dívidas fraudadas. Prazo: 5 anos na relação de consumo.