Vale a pena processar por vazamento de dados pessoais?

Depende, e o critério é bastante objetivo: vazamento sozinho raramente basta. Os tribunais têm exigido a demonstração de um dano concreto — conta aberta em seu nome, empréstimo fraudulento, golpe sofrido, exposição de dado sensível. Quando o incidente envolveu apenas dados cadastrais comuns e nada aconteceu depois, o pedido de indenização costuma ser rejeitado como mero aborrecimento.

Isso não significa que a lei seja inútil. A Lei Geral de Proteção de Dados criou deveres claros para quem trata informação pessoal, e o descumprimento gera responsabilidade civil, além de sanção administrativa. O que mudou é o foco da discussão: hoje se ganha o caso provando o que o vazamento causou, e não apenas que ele existiu.

O que a LGPD garante quando os dados vazam

A lei parte de uma ideia central: o tratamento é irregular quando não oferece a segurança que o titular dele pode esperar, considerando o modo como é feito, o resultado esperado e as técnicas disponíveis. Quem trata os dados responde pelos danos que causar, e a lei prevê expressamente a possibilidade de inversão do ônus da prova em favor do titular quando a alegação é verossímil, há hipossuficiência ou é excessivamente difícil produzir a prova.

Há também o dever de comunicar o incidente de segurança relevante à autoridade nacional e aos titulares afetados, em prazo razoável. Empresa que descobre o vazamento e silencia agrava a própria situação — o silêncio costuma ser lido como agravante tanto no plano administrativo quanto no judicial.

Por outro lado, a lei admite excludentes: o agente não responde se provar que não realizou o tratamento, que o tratamento não violou a legislação de proteção de dados, ou que o dano decorreu de culpa exclusiva do titular ou de terceiro.

Quando o dano moral costuma ser reconhecido

Não existe valor tabelado: o juiz arbitra caso a caso, olhando a gravidade, a extensão da exposição e a conduta da empresa depois do incidente. Um panorama dessa faixa de arbitramento está em quanto vale o dano moral por vazamento de dados pessoais.

O que reunir antes de decidir

• A comunicação do incidente — e-mail, aviso no aplicativo, comunicado público da empresa, notícia com data.
• Prova de que seus dados estavam ali: extrato de consulta, print do aviso personalizado, resposta a pedido de informação feito à empresa.
• O desdobramento concreto: negativação indevida, contrato que você não fez, extrato com movimentação estranha, boletim de ocorrência, aumento súbito de tentativas de golpe.
• O pedido formal que você fez à empresa — a LGPD assegura ao titular o direito de saber quais dados são tratados e de pedir correção ou eliminação. Guarde o protocolo e a resposta.
• Comprovantes de gastos gerados pela situação, como emissão de documentos ou deslocamentos.

Se o vazamento resultou em nome sujo, o caminho ganha uma frente própria, com pedido de retirada urgente do registro — o que está descrito em nome negativado indevidamente e indenização. Para o passo a passo imediato depois de descobrir o incidente, vale o roteiro de vazamento de dados pessoais e LGPD: o que fazer.

Onde levar o caso

São três frentes, que podem ser usadas em conjunto:

• A própria empresa. Pedido formal de informação, correção ou eliminação dos dados, com protocolo. É rápido e gera prova.
• A Autoridade Nacional de Proteção de Dados. A ANPD recebe petições de titulares e pode aplicar sanções administrativas. O que ela não faz é arbitrar indenização individual.
• O Judiciário. É a única via que condena a reparar o dano. Quando o caso envolve relação de consumo, aplica-se também o CDC — a LGPD é expressa ao dizer que os direitos do titular nas relações de consumo permanecem sujeitos à legislação consumerista.

A maior parte desses casos cabe no Juizado Especial Cível, com teto de 40 salários mínimos (cerca de R$ 64.840,00 em 2026, com o mínimo de R$ 1.621,00) e dispensa de advogado até 20 salários mínimos, aproximadamente R$ 32.420,00. Casos com prova técnica pesada ou valor maior seguem para a vara comum, comparação feita em Juizado Especial ou vara comum.

Prazos e custos

A LGPD não traz prazo próprio de prescrição para a ação de reparação. Quando o vazamento ocorre dentro de uma relação de consumo — banco, operadora, loja, plataforma —, prevalece o prazo de 5 anos do Código de Defesa do Consumidor, contado do conhecimento do dano e de sua autoria. Fora da relação de consumo, aplica-se o prazo geral de reparação civil do Código Civil, mais curto. Na dúvida, a análise concreta é o que define.

No Juizado não há custas iniciais em primeiro grau. Na vara comum, há custas e, em caso de derrota, honorários à parte contrária. O tempo total varia conforme a comarca e a necessidade de perícia, e não existe média confiável para prometer.

Erros comuns

• Entrar com ação logo após a notícia do vazamento, sem nenhum desdobramento. É o padrão de pedido que mais tem sido rejeitado.
• Não pedir nada à empresa antes. O pedido formal gera prova e, às vezes, resolve.
• Confundir sanção administrativa com indenização. A multa aplicada pela autoridade vai para o poder público, não para o titular.
• Deixar de registrar a fraude sofrida. Boletim de ocorrência e contestação junto ao banco são o que ligam o vazamento ao prejuízo.
• Aderir a ação coletiva sem entender o alcance. Pode ser vantajoso, mas convém saber o que aquele processo pede e o que ele quita.

Nada disso garante resultado: cada caso depende da prova produzida e do entendimento adotado pelo juízo.

Base legal

• LGPD (Lei 13.709/2018), art. 42 — obriga o controlador ou operador que causar dano patrimonial, moral, individual ou coletivo a repará-lo, e prevê a inversão do ônus da prova em favor do titular.
• LGPD, art. 43 — lista as hipóteses em que o agente de tratamento não responde, como culpa exclusiva do titular ou de terceiro.
• LGPD, art. 44 — define como irregular o tratamento que não fornece a segurança que o titular dele pode esperar.
• LGPD, art. 45 — deixa claro que, nas relações de consumo, os direitos do titular continuam regidos também pelo CDC.
• LGPD, arts. 46 e 48 — impõem medidas de segurança no tratamento e o dever de comunicar incidentes relevantes à autoridade e aos titulares.
• CDC (Lei 8.078/90), arts. 14 e 27 — responsabilizam o fornecedor pelo defeito do serviço e fixam em 5 anos o prazo para pedir reparação.
• Código Civil (Lei 10.406/2002), arts. 186 e 927 — base geral do dever de indenizar fora da relação de consumo.
• Lei 9.099/95 — Juizado Especial Cível, via usual para esses pedidos.

Casos de proteção de dados costumam se cruzar com fraude bancária e negativação indevida, temas acompanhados na área Cível e Consumidor.

Onde consultar as regras

• ANPD — Autoridade Nacional de Proteção de Dados
• Texto integral da LGPD
• consumidor.gov.br — plataforma oficial de solução de conflitos
• Superior Tribunal de Justiça (STJ)

Como a Scarppati & Barboza Advocacia atende

• Atuação em Família e Sucessões, Trabalhista, Previdenciário, Cível e Consumidor.
• Atendimento didático: explicamos o que diz a lei, o que costuma acontecer na prática e quais são os próximos passos possíveis.
• Primeira conversa pelo WhatsApp para entender se o seu caso se enquadra nas áreas de atuação do escritório.
• Linguagem simples, sem juridiquês — pensada para a pessoa que vive a situação.

Sede em Serra-ES, atendendo Grande Vitória (Vitória, Vila Velha, Cariacica, Viana) e demais cidades do Espírito Santo.

Este conteúdo tem caráter informativo e não substitui a análise individual do caso por um(a) advogado(a).

Perguntas frequentes

Meu CPF apareceu em um vazamento. Já posso processar?

Pode ajuizar, mas a chance de êxito é baixa se nada aconteceu depois. O entendimento predominante exige um dano concreto ligado ao vazamento. Vale primeiro monitorar o CPF, pedir explicações à empresa e guardar tudo.

Como provo que a fraude veio daquele vazamento?

Raramente há prova direta. Constrói-se por convergência: data do incidente, tipo de dado exposto, proximidade temporal com a fraude, coincidência entre os dados usados pelo golpista e os que vazaram. Boletim de ocorrência e contestação bancária compõem esse conjunto.

Denunciar à ANPD garante indenização?

Não. A autoridade atua no plano administrativo e pode aplicar sanção à empresa, mas eventual multa não é revertida ao titular. Indenização individual só é fixada em processo judicial.

Quanto tempo tenho para entrar com a ação?

Em relação de consumo, 5 anos contados de quando se conhece o dano e o responsável. Fora dela, aplica-se o prazo geral de reparação civil, mais curto. Como a classificação depende do caso, convém não deixar para o fim.

Vale mais entrar sozinho ou aderir a uma ação coletiva?

Depende do que se pretende. A ação coletiva costuma tratar do dano comum a todos os afetados; prejuízos individuais específicos, como um empréstimo fraudulento, normalmente pedem ação própria. Ler o objeto do processo coletivo antes de aderir evita surpresa.

Dra. Ana Paula Barboza, sócia-fundadora da Scarppati & Barboza Advocacia. Atuação em Direito de Família, Cível e Consumidor — conduz cada processo com sensibilidade e estratégia.