Vazamento de dados: quando a LGPD garante indenização e como comprovar o dano
CPF, endereço, senha ou dados bancários expostos por uma empresa: entenda a responsabilidade prevista na LGPD, o dano indenizável e o que reunir para discutir o caso.
Equipe Gaillac Perucci3 min de leitura
Você não está sozinho(a). Conte seu caso e saiba como podemos ajudar com técnica e eficiência.
Um dia o telefone não para de tocar com oferta de empréstimo. No outro, aparece um cadastro feito com o seu CPF, ou a senha de um serviço antigo circula em um fórum. Vazamento de dados deixou de ser abstração: é a matéria-prima de boa parte das fraudes que chegam depois.
O que a LGPD prevê
A Lei 13.709/2018 estabelece que o controlador ou o operador que causar dano patrimonial, moral, individual ou coletivo em razão do tratamento de dados pessoais é obrigado a repará-lo (art. 42). O art. 44 define o tratamento irregular como aquele que não fornece a segurança que o titular dele pode esperar, considerando o resultado e as técnicas disponíveis à época.
A LGPD ainda impõe ao controlador o dever de comunicar incidentes de segurança relevantes e de adotar medidas técnicas de proteção (arts. 46 a 48). A ausência dessa comunicação costuma pesar na avaliação da conduta.
O dano precisa ser demonstrado?
Esse é o ponto mais debatido. O STJ tem entendido que o vazamento de dados comuns, isoladamente, não gera dano moral presumido — é preciso demonstrar consequência concreta. Já o vazamento de dados sensíveis (saúde, biometria, convicção religiosa, orientação sexual) ou de credenciais e dados financeiros costuma receber tratamento mais rigoroso.
Uso do CPF em cadastro ou compra fraudulenta.
Tentativa ou consumação de fraude bancária logo após o incidente.
Avalanche de contatos indesejados de crédito, com dados que só a empresa tinha.
Exposição de dados sensíveis ou de conteúdo íntimo.
Negativação ou conta aberta em nome do titular.
Direitos do titular que costumam ser exercidos antes
O art. 18 da LGPD assegura confirmação de tratamento, acesso, correção, anonimização, portabilidade, eliminação e informação sobre compartilhamento. Formular esse pedido à empresa, por escrito, tem duas funções: obter o retrato do que ela guarda sobre você e registrar a data em que ela soube do problema.
O que reunir agora
Notificação do incidente recebida da empresa, se houver, ou a notícia pública do vazamento.
Prints das ligações, SMS e e-mails suspeitos recebidos depois.
Comprovação da fraude sofrida: cadastro, compra, empréstimo, negativação.
Resposta da empresa ao seu pedido de informação, ou a ausência dela.
Registro de quais dados eram seus e onde foram encontrados.
Guarde e-mails e capturas de tela: em vazamento, o conjunto de indícios é o que constrói o nexo entre o incidente e o prejuízo.
Conte-nos o que aconteceu
Cada caso tem um contrato, um histórico e uma urgência diferentes. Não prometemos resultado — o que fazemos é ouvir a sua história, ler os documentos e explicar, com honestidade, o que se aplica à sua situação.
Se você ainda não tem tudo em mãos, fale com a gente do mesmo jeito. A conversa inicial serve justamente para organizar o que falta.
Entendimentos que favorecem o correntista
O que costuma pesar a favor de quem foi prejudicado
Em casos como vazamento de dados: quando a lgpd garante indenização e como comprovar o dano, boa parte da insegurança vem de ouvir que “a operação foi validada com a sua senha”. Não é bem assim: falhas de segurança, cobrança indevida e fraude nos canais da instituição têm tratamento próprio e são discutidas todos os dias.
Fraude no sistema bancário é risco da atividade
Golpe aplicado por meio dos canais do banco, transferência não reconhecida ou falha de segurança em Pix se enquadram como defeito na prestação do serviço. A instituição responde independentemente de culpa, e a alegação genérica de “culpa exclusiva do cliente” precisa ser efetivamente comprovada.
CDC, art. 14 · Súmula 479 do STJ
Cobrança indevida e negativação injusta têm consequência
Nome inscrito em cadastro restritivo por dívida inexistente, contrato não contratado ou valor já pago gera dever de reparação e de baixa imediata. Quando há cobrança de quantia indevida, discute-se ainda a devolução em dobro do que foi pago a mais.
CDC, arts. 42, parágrafo único, e 43 · Súmula 385 do STJ
Os registros estão com o banco, não com você
Logs de acesso, dispositivo utilizado, geolocalização e gravações de atendimento ficam na instituição. Diante de relato verossímil e da dificuldade técnica do cliente em produzir essa prova, o ônus pode ser invertido — o que costuma mudar o rumo da discussão.
CDC, art. 6º, VIII · CPC, art. 373, §1º
Dados pessoais têm regime próprio de proteção
Vazamento, uso indevido ou tratamento sem base legal geram responsabilidade específica, somada à do sistema consumerista. Protocolos, prints e a data em que o problema foi comunicado são o que organiza a linha do tempo do caso.
LGPD, arts. 42 a 45 · CDC, art. 6º, VI
Nada disso significa vitória automática — cada caso depende dos documentos e do contexto, e não trabalhamos com promessa de resultado. O que dá para dizer com tranquilidade é que situações como a sua são discutidas todos os dias, com fundamento sólido, e que dar o próximo passo custa apenas uma conversa.
Reclamações mais frequentes
O que mais aparece contra a empresa — e o que costuma ficar sem solução
No Reclame Aqui, boa parte dos registros segue o mesmo roteiro: reclamação aberta, resposta padrão, prazo que passa e o problema continua no mesmo lugar. Estes são os cinco cenários que mais se repetem.
1. Cobrança indevida que reaparece todo mês
O cancelamento é confirmado por atendimento, mas a cobrança continua chegando. Cada contato gera um novo protocolo, e nenhum resolve.
2. Estorno prometido e não realizado
O reembolso é reconhecido pela empresa, o prazo é informado, o valor não retorna — e a reclamação é encerrada como atendida.
3. Serviço ou produto que nunca foi entregue
Pagamento confirmado, entrega ou prestação que não acontece, e uma sequência de reagendamentos sem data final.
4. Resposta automática que não enfrenta o problema
O texto padrão pede paciência e informa que o caso está em análise, repetido a cada réplica, até o prazo de resposta se esgotar.
5. Dados, nome negativado ou conta bloqueada sem explicação
Restrição aplicada sem aviso e sem indicação do motivo, com o consumidor tendo que provar sozinho que nada deve.
Os relatos públicos servem aqui só como referência de um padrão: casos abertos, respondidos com texto padrão e encerrados sem solução real. Não é um caminho a seguir — é a constatação de que ele, sozinho, costuma não resolver.
O custo maior raramente é o valor em disputa: são os meses de ligações, e-mails e reaberturas que consomem tempo, atenção e paciência de quem já foi prejudicado. Se o seu caso já percorreu esse trajeto e continua parado, o passo seguinte é outro — reunir o que você tiver e olhar para a situação juridicamente. Cada caso é avaliado individualmente, sem promessa de resultado, com leitura honesta do que é possível.
Você não está sozinho
As perguntas que mais chegam até nós sobre este tema
Estas são, hoje, as dúvidas mais buscadas no Google sobre este assunto — e as mesmas que recebemos todos os dias de quem passou por isso. Veja se o seu caso se encaixa em alguma delas: se sim, é sinal de que o problema é conhecido, tem nome e tem caminho. Toque na pergunta que mais parece com a sua situação para conversar com a nossa equipe.
Buscas relacionadas a este tema
vazamento de dados indenização
lgpd indenização
dados pessoais vazados o que fazer
dano moral vazamento de dados
exposição de dados pessoais
Perguntas frequentes
Todo vazamento de dados gera indenização?
Não. O STJ tem exigido demonstração de dano concreto quando se trata de dados comuns. Dados sensíveis, credenciais e dados financeiros costumam ter tratamento mais rigoroso.
Preciso provar quem vazou meus dados?
É necessário estabelecer o vínculo entre o incidente e a empresa que tratava os dados. Comunicados públicos, notificações e a exclusividade da informação vazada ajudam nessa demonstração.
A empresa é obrigada a me avisar do vazamento?
A LGPD prevê a comunicação de incidentes de segurança relevantes ao titular e à autoridade nacional. A omissão costuma pesar na análise da conduta.
Posso pedir para a empresa apagar meus dados?
O art. 18 da LGPD assegura eliminação, correção, acesso e informação sobre compartilhamento, observadas as hipóteses legais de guarda obrigatória.
Quanto tempo tenho para discutir o caso?
Os prazos variam conforme a natureza da pretensão e o momento em que o titular tomou conhecimento do incidente. Quanto antes o caso é organizado, melhor a prova.
Passou por algo parecido?
Conte o que aconteceu
Queremos ouvir o seu caso. Atendimento 100% digital, com escuta atenta e explicação clara sobre os caminhos possíveis.
Guia com os artigos sobre exclusão e bloqueio de contas no Instagram, TikTok, YouTube e WhatsApp, saldo retido em plataformas, vazamento de dados e uso indevido de imagem.
MRV no Reclame Aqui: veja isso antes de reclamar de distrato ou atraso na entrega
Distrato, obra atrasada, juros de obra e devolução de valores com a MRV: o que a nota do Reclame Aqui mostra, quanto pode ser retido e o que a lei garante no atraso.
Direcional no Reclame Aqui: veja isso antes de reclamar de distrato ou atraso na entrega
Distrato, obra atrasada, juros de obra e devolução de valores com a Direcional: o que a nota do Reclame Aqui mostra, quanto pode ser retido e o que a lei garante no atraso.
Tenda no Reclame Aqui: veja isso antes de reclamar de distrato ou atraso na entrega
Distrato, obra atrasada, juros de obra e devolução de valores com a Tenda: o que a nota do Reclame Aqui mostra, quanto pode ser retido e o que a lei garante no atraso.
O conteúdo deste artigo tem caráter informativo e traz orientações gerais sobre o tema. Não constitui consulta jurídica nem substitui a análise individual do seu caso. Ainda que um direito pareça claro na lei e que a nossa atuação seja especializada em Direito Digital e do Consumidor, nenhum advogado ou escritório pode prometer ganho de causa — a legislação veda esse tipo de garantia e cada processo depende de provas, do contexto e da decisão do Judiciário.
Cada situação precisa ser tratada de modo individual: documentos, datas, cláusulas contratuais e o histórico com a empresa mudam completamente a leitura jurídica. O que garantimos é informação honesta, escuta atenta e clareza sobre os caminhos possíveis — nunca resultado.
