Meus dados vazaram: o que fazer e quando cabe indenização

Meus dados vazaram: o que fazer nas primeiras horas

O aviso costuma chegar por e-mail, com um texto parecido em todas as empresas: "identificamos um incidente de segurança que pode ter afetado seus dados". Às vezes não chega, e a pessoa descobre pela notícia, ou porque um site de consulta disse que o CPF dela está circulando.

Guarde esse e-mail.

Ele é a prova de que o vazamento aconteceu e de que a empresa sabe disso, e é o primeiro documento de qualquer pedido que venha depois.

O que fazer em seguida depende do que vazou, e a ordem importa porque o dado vazado vira golpe em dias. Quem tem o seu nome, o seu CPF e o número do seu contrato consegue ligar se apresentando como a empresa, citar informações certas e pedir um pagamento. Foi exatamente assim no caso julgado pelo Superior Tribunal de Justiça em 2024, que fica mais abaixo.

O pedido por escrito é o passo que quase todo mundo pula.

É ele que separa quem tem caso de quem tem só indignação.

O que a empresa é obrigada a fazer quando vaza

A Lei Geral de Proteção de Dados, no art. 48, manda o controlador comunicar "à autoridade nacional e ao titular a ocorrência de incidente de segurança que possa acarretar risco ou dano relevante aos titulares". Controlador é o nome que a lei dá a quem decide o que fazer com os seus dados: a loja, o banco, a operadora, o órgão público.

O prazo está na Resolução 15/2024 da Autoridade Nacional de Proteção de Dados, a ANPD: três dias úteis, contados de quando a empresa soube que o incidente afetou dados pessoais, tanto para avisar a ANPD (art. 6º) quanto para avisar você (art. 9º).

O aviso a você tem forma.

A resolução exige linguagem simples e comunicação "direta e individualizada", por telefone, e-mail, mensagem ou carta, dizendo que dados vazaram, quais os riscos, o que a empresa fez para conter e um contato para tirar dúvidas. Se a empresa não consegue identificar quem foi atingido, o aviso vai para o site e para os canais de atendimento, e fica lá por no mínimo três meses.

Fora do incidente, a lei já dava dois direitos que valem mais ainda depois dele. Pelo art. 18, você pode exigir acesso aos seus dados e "informação das entidades públicas e privadas com as quais o controlador realizou uso compartilhado de dados". Pelo art. 19, a resposta simplificada é imediata, e a declaração completa sai em até 15 dias.

Uma empresa tentou escapar disso dizendo que o vazamento foi obra de hacker. O STJ, no REsp 2.147.374, julgado em dezembro de 2024, não aceitou: como a empresa não provou que o vazamento "tenha ocorrido exclusivamente em razão de incidente de segurança", ficou condenada a informar com quem compartilhou os dados e a entregar a declaração completa da origem e da finalidade do tratamento.

Se você mandou o pedido e a empresa não respondeu no prazo, ou respondeu com evasiva, mande a sua situação pelo WhatsApp com o aviso e o pedido. Esse silêncio já é parte do caso.

Vazamento de dados gera indenização? Depende de três coisas

A parte da culpa é a mais simples, e costuma ser a que mais preocupa quem foi atingido.

A empresa responde sem culpa. O art. 42 da LGPD diz que quem, "em razão do exercício de atividade de tratamento de dados pessoais, causar a outrem dano patrimonial, moral, individual ou coletivo", é obrigado a repará-lo. O art. 44 diz que o tratamento é irregular quando deixa de dar a segurança que o titular dos dados podia esperar.

E o art. 45 manda aplicar, na relação de consumo, o Código de Defesa do Consumidor, cujo art. 14 responsabiliza o fornecedor pelo defeito do serviço independentemente de culpa.

Ou seja, "foi hacker" não resolve para a empresa. O art. 43 só a libera se ela provar que o dano veio "de culpa exclusiva do titular dos dados ou de terceiro", e o ônus dessa prova é dela.

O que não é automático é o dano moral.

O Superior Tribunal de Justiça decide caso a caso, e as decisões dos últimos três anos se organizam em três perguntas: que tipo de dado vazou, se o dado só vazou ou foi entregue a alguém de propósito, e se ele foi usado contra você.

Dado comum, dado sensível, dado vendido: o que o STJ decidiu

A LGPD separa os dados em dois grupos, no art. 5º. Dado pessoal é qualquer "informação relacionada a pessoa natural identificada ou identificável": nome, CPF, endereço, telefone, data de nascimento. Dado pessoal sensível é o que trata de "origem racial ou étnica, convicção religiosa, opinião política", filiação a sindicato ou a organização religiosa, filosófica ou política, e o "dado referente à saúde ou à vida sexual, dado genético ou biométrico".

A distinção decide o processo.

No caso de 2023, uma concessionária de energia deixou vazar nome, data de nascimento, endereço e documento de uma cliente. A Segunda Turma cassou a indenização de R$ 5 mil que o tribunal paulista tinha dado, porque esses dados "são aqueles que se fornece em qualquer cadastro" e o vazamento, sozinho, "não tem a capacidade (…) de gerar dano moral indenizável".

O ministro Francisco Falcão deixou a porta aberta na mesma frase: "Diferente seria se, de fato, estivéssemos diante de vazamento de dados sensíveis".

A porta foi usada em 2025. Uma seguradora deixou vazar dados de saúde, bens, beneficiários e conta bancária de um segurado, e a Terceira Turma fixou que, no vazamento de dados sensíveis, "verifica-se a responsabilização objetiva da seguradora e a caracterização de dano moral presumido", porque o dado exposto, sem precisar de mais nada, "submete o consumidor a riscos em diversos aspectos de sua vida".

O terceiro caso é o que divide o tribunal, e a página não vai fingir que não divide.

Quando um birô de crédito repassa dados cadastrais a terceiros sem autorização, a Terceira Turma diz que o dano é presumido "diante da forte sensação de insegurança" da vítima, em decisão de setembro de 2025 tomada por maioria. Em fevereiro de 2026, a Quarta Turma disse o contrário, por unanimidade: dado comum "não gera automaticamente dano moral", e o titular precisa provar "abalo significativo".

Até a Segunda Seção uniformizar, o resultado depende da Turma em que o recurso cai.

O que é presumido e o que não é, em todos os outros temas, está em dano moral presumido.

Quando o dado vazado vira golpe: quem paga o prejuízo

Aqui o dano deixa de ser moral e passa a ser dinheiro que saiu.

E a conta muda de dono.

Uma cliente mandou e-mail ao banco perguntando como quitar o financiamento do carro. Dias depois recebeu, pelo WhatsApp, a mensagem de alguém que se dizia funcionária do banco, com o número do contrato, as parcelas em aberto e o saldo devedor, propondo a liquidação. Ela pagou um boleto de R$ 19 mil.

Era golpe.

O tribunal paulista tinha culpado a cliente, por tratar do assunto num canal informal. O STJ, no REsp 2.077.278, reformou: os estelionatários "sabem que o consumidor é cliente da instituição", sabem que ele mandou e-mail para quitar a dívida e "possuem dados relativos ao próprio financiamento", e isso só acontece quando a guarda dos dados falhou.

A ministra Nancy Andrighi enquadrou como defeito do serviço, pelo art. 14 do CDC e pelo art. 44 da LGPD.

A regra que sai daí: golpe que só foi possível porque o golpista tinha o dado que a empresa devia guardar é prejuízo da empresa.

Vale para o boleto falso, para a falsa central e para o Pix feito sob esse convencimento, e o caminho para reaver está em o banco é obrigado a devolver o dinheiro do golpe, em golpe da falsa central e, quando o pagamento foi por boleto, em boleto falso: de quem é a responsabilidade.

Se você caiu num golpe em que a pessoa sabia coisas que só a empresa sabia, mande a sua situação pelo WhatsApp com o comprovante do pagamento e a conversa. O que o golpista sabia é a prova de onde o dado saiu.

O que dá para exigir mesmo sem indenização

Quando o dado é comum e não houve golpe, a indenização por dano moral fica difícil, e é honesto dizer isso antes do processo. Só que o caso não acaba aí, porque a LGPD dá direitos que não dependem de dano nenhum.

Pelo art. 18, você pode exigir da empresa: a confirmação de que ela trata os seus dados, o acesso a eles, a correção do que estiver errado, a eliminação do que for desnecessário ou tratado fora da lei, e a lista de com quem ela compartilhou. Pelo art. 19, a resposta completa vem em até 15 dias.

Se a empresa não responde, o § 1º do art. 18 permite peticionar contra ela na ANPD. Desde 1º de janeiro de 2025 isso é feito só pelo Sistema de Requerimentos, no gov.br, com login e sem anonimato, e a ANPD exige a prova de que você tentou antes junto à empresa, como o protocolo ou o e-mail enviado.

Duas coisas que a ANPD não faz.

Ela não indeniza ninguém: a multa do art. 52, que chega a 2% do faturamento e a R$ 50 milhões por infração, vai para o Estado. E ela avisa que analisa as petições "de forma agregada", ou seja, o seu caso alimenta uma fiscalização, e não uma resposta individual. Indenização é no Judiciário.

Quanto pedir e onde entrar

A prova do fato vem antes do valor, e ela é feita de documentos que você já tem ou consegue em dias.

Junte o aviso da empresa, a resposta ao seu pedido do art. 18 ou a prova de que ela não respondeu, o boletim de ocorrência, e, se houve golpe, o comprovante do pagamento e a conversa com o golpista. Se o dado era sensível, o documento que mostra qual dado vazou é o centro do caso.

O valor do dano moral é fixado pelo juiz, em duas etapas, e o método está em como calcular o valor do dano moral. O prejuízo material, quando existe, vai com comprovante e valor exato, e os dois pedidos entram na mesma ação, como explica dano moral e dano material.

Até quarenta salários mínimos, que em 2026 são R$ 64.840,00, o caso cabe no Juizado Especial Cível.

Acima disso, na Justiça comum.

Resumindo: a empresa responde sem culpa e é obrigada a avisar em três dias úteis; o dano moral é presumido quando o dado é sensível, exige prova quando o dado é comum, e divide o STJ quando o dado foi vendido; e o golpe feito com o dado vazado é prejuízo da empresa.

Vale a pena chamar quem já cuida desses casos

Dá para pedir os dados à empresa e peticionar na ANPD sozinho.

E vale fazer isso de qualquer jeito.

O que muda com um advogado é a leitura do caso antes do processo: saber se o dado era comum ou sensível, se houve repasse ou só vazamento, e se o golpe que veio depois pode ser ligado ao vazamento. É essa leitura que decide se o pedido é de dano moral presumido, de dano moral com prova, de prejuízo material, ou só de acesso e eliminação.

Na experiência do escritório, o erro mais comum é entrar com a ação pelo dano moral de um vazamento de dado comum, sem golpe e sem prova de prejuízo, e sair com a sentença reconhecendo o vazamento e negando a indenização.

O que acontece com quem começa sozinho

O pedido do art. 18 sem resposta, a petição na ANPD sem protocolo anterior, o boletim sem os prints: cada um desses é um documento que faltou, e a falta aparece na audiência.

É um pouco mais trabalhoso no começo, porque exige guardar o aviso, mandar o pedido por escrito e esperar os 15 dias, mas é o que transforma a indignação em caso.

Se os seus dados vazaram e você quer saber de que lado da tabela o seu caso está, mande a sua situação pelo WhatsApp com o aviso que recebeu. A conversa inicial serve para entender o caso e dizer o que dá para pedir.