Tempo de leitura: 11 min · Atualizado em 03/09/2026
Sim, mas não automaticamente: você pode exigir que a empresa terceira e a empresa que a contratou expliquem o que aconteceu, adotem medidas de proteção imediatas e corrijam a falha de custódia, mas o direito a uma indenização em dinheiro depende de comprovar um prejuízo concreto decorrente da perda dos documentos — o extravio, isolado, não gera esse direito de forma automática.
Esse tipo de situação é mais comum do que parece: um escritório de contabilidade terceirizado perde uma pasta física com contratos e comprovantes, um despachante extravia documentos originais entregues para um processo, uma empresa de cobrança perde um backup com planilhas de clientes, ou um prestador de RH terceirizado descarta incorretamente pastas funcionais com dados pessoais. Em todos esses casos, não houve invasão externa nem ataque de hacker — houve descuido na guarda de algo que já estava, legitimamente, nas mãos de um terceiro.
Extravio por negligência é diferente de vazamento por invasão
É importante separar dois cenários que costumam ser confundidos. Um é o vazamento decorrente de ataque externo, como uma invasão de sistema ou um sequestro de dados por ransomware, situação com dinâmica própria, inclusive quanto às providências emergenciais que a empresa atacada precisa tomar. Outro, bem diferente, é a perda ou extravio de documentos por falha de organização, transporte ou descarte: a pasta que some na mudança de escritório, o HD externo que não é encontrado, a caixa de arquivos entregue ao lixo por engano.
Na perda por negligência, o ponto central não é a sofisticação do ataque, mas a falta de cuidado na guarda de algo que a empresa tinha o dever de proteger. Isso muda o tipo de prova que interessa: em vez de discutir vulnerabilidades técnicas, discute-se se havia um processo mínimo de controle, rastreamento e responsabilização sobre quem manuseava aqueles documentos.
Quem responde: a empresa terceira, a que contratou, ou as duas?
Quando uma empresa contrata outra para prestar um serviço que envolve manusear dados pessoais de clientes ou funcionários — contabilidade, cobrança, digitalização de arquivos, gestão de RH — ela continua responsável perante você por escolher bem esse prestador e fiscalizar como ele guarda essas informações. Isso costuma se traduzir em responsabilidade solidária: tanto quem perdeu fisicamente os documentos quanto quem contratou esse serviço podem ser cobrados, cabendo a você direcionar a reclamação a qualquer um dos dois, ou a ambos.
Na prática, isso evita que a empresa com quem você tem relação direta se esconda atrás do argumento de que “quem perdeu foi o terceiro, não nós”. Se você é cliente, paciente, aluno ou usuário de uma empresa, e ela delegou a um prestador o manuseio dos seus dados, o problema de guarda desse prestador também é problema dela.
Medidas de proteção que podem ser exigidas desde já
Independentemente de haver ou não indenização em dinheiro no fim do caminho, algumas medidas podem e devem ser cobradas assim que você toma conhecimento do extravio:
- Notificação formal ao encarregado de proteção de dados (o profissional ou área responsável por esse tema dentro da empresa), pedindo por escrito quais documentos e quais tipos de dados foram perdidos;
- Explicação sobre como e quando o extravio ocorreu, e se já foi contido ou ainda está em andamento;
- Orientação sobre risco concreto: se os documentos perdidos continham CPF, dados bancários ou senhas, a empresa deve indicar se há risco de uso indevido;
- Sugestão ou custeio de monitoramento de crédito e alerta a bancos e instituições financeiras, quando o risco de fraude for real;
- Registro de tudo por escrito, inclusive protocolos de atendimento e prazos de resposta prometidos.
Esse tipo de resposta é aquilo que a legislação de proteção de dados chama de dever de comunicação e mitigação: mesmo sem uma indenização definida ainda, a empresa não pode simplesmente ignorar o pedido de esclarecimento. Se ela se recusar a dar qualquer satisfação, existe um caminho específico para isso, semelhante ao que se aplica quando uma empresa se recusa a excluir dados pessoais mediante pedido do titular.
A perda dos documentos, por si só, já gera direito a indenização?
Aqui está o ponto que mais gera confusão. É tentador pensar que basta provar que a empresa perdeu os documentos para já ter direito a uma reparação em dinheiro por dano moral. Não é bem assim. O entendimento mais recente dos tribunais superiores caminha no sentido de que o simples extravio ou vazamento de dados, isoladamente, não gera presunção automática de dano — é preciso demonstrar um prejuízo real, concreto, e não apenas o desconforto ou o medo abstrato de que algo ruim possa acontecer.
Seu caso envolve uma situação semelhante?
Cada caso possui particularidades e deve ser analisado individualmente. Para informações sobre análise jurídica do seu caso, entre em contato com o escritório.
Na prática, isso significa que “a empresa perdeu meus documentos” é o início da história, não o fim dela. Para transformar esse fato em pedido de indenização com chance real de sucesso, normalmente é preciso apontar uma consequência concreta: uso indevido dos dados por terceiros, abertura de contas ou linhas de crédito em seu nome, cobranças indevidas, tentativas de golpe direcionadas usando informações que só constavam naqueles documentos, ou gasto de tempo e dinheiro comprovadamente necessário para se proteger do risco criado pela empresa.
Isso não significa que a vítima fica sem nenhum direito enquanto o prejuízo não aparece. As medidas de proteção mencionadas acima podem — e devem — ser exigidas mesmo sem prejuízo comprovado, da mesma forma que ocorre em outras discussões sobre quais direitos a LGPD garante além da indenização em casos de exposição de dados. O que muda é a indenização em dinheiro: essa depende de mostrar que o extravio efetivamente gerou, ou está gerando, um dano identificável.
Como reunir prova do prejuízo concreto
Se depois da perda dos documentos você perceber sinais de uso indevido, vale reunir prova de forma organizada, porque é justamente esse material que sustenta um eventual pedido de indenização:
- Prints e comprovantes de tentativas de abertura de contas, empresas ou financiamentos em seu nome sem autorização;
- Extratos bancários ou de cartão mostrando movimentações que você não reconhece;
- Mensagens, e-mails ou ligações de cobrança referentes a dívidas que não são suas;
- Registros de golpes direcionados que usaram dados muito específicos (como número de contrato, endereço exato ou dados internos que só aquela empresa teria);
- Comprovantes de gastos com monitoramento de crédito, trocas de documentos ou consultoria contratada por causa do episódio.
Quando esse tipo de uso indevido aparece — inclusive na forma mais grave, de alguém usando seu CPF ou CNPJ para abrir empresas ou contas na internet — a linha entre “risco abstrato” e “prejuízo concreto” fica muito mais clara, e o pedido de indenização ganha consistência.
O que fazer na prática, passo a passo
Diante da notícia de que uma empresa terceira perdeu documentos com seus dados, o caminho recomendado costuma seguir esta ordem:
- Peça, por escrito, uma explicação formal sobre o que foi perdido, quando e como — não aceite apenas uma resposta verbal;
- Envie notificação ao encarregado de dados da empresa (o contato costuma estar disponível no site ou pode ser solicitado ao atendimento), cobrando as medidas de proteção cabíveis;
- Guarde protocolos, e-mails e prazos prometidos pela empresa para resolver a situação;
- Monitore ativamente seus dados: consulte periodicamente serviços de proteção ao crédito e fique atento a cobranças ou cadastros que você não reconhece;
- Se surgir qualquer sinal concreto de uso indevido, documente tudo imediatamente, antes que a prova se perca;
- Procure orientação jurídica para avaliar se o conjunto de fatos já sustenta um pedido de indenização, e não apenas de correção da falha.
Vale lembrar que esse cenário de perda de documentos por terceiro contratado é distinto — mas próximo — de outros dois problemas comuns: o vazamento por invasão externa, e a simples recusa da empresa em prestar contas sobre seus dados quando solicitada. Nos três casos, o primeiro passo prático é sempre o mesmo: notificação formal e pedido de esclarecimento por escrito, para deixar registrado o momento em que a empresa foi comunicada do problema.
Perguntas frequentes
A empresa terceira e a empresa que a contratou respondem da mesma forma?
Podem responder de forma solidária, ou seja, você pode cobrar qualquer uma das duas, ou ambas ao mesmo tempo. A empresa contratante não se livra da responsabilidade apenas por dizer que “quem perdeu foi o prestador”.
Posso exigir que a empresa me diga exatamente quais documentos foram perdidos?
Sim. Esse é um dos primeiros direitos a exercer: pedir por escrito, ao encarregado de dados, uma lista clara do que foi extraviado e quais tipos de informação pessoal estavam ali.
E se eu descobrir uso indevido dos meus dados meses depois da perda?
O prazo para agir não começa necessariamente no dia do extravio, mas pode se relacionar ao momento em que você toma conhecimento do prejuízo. Ainda assim, quanto antes você documentar e agir, mais forte fica o caso.
Só a perda de documentos físicos conta, ou vale também para arquivos digitais e backups?
Vale para os dois casos. O critério não é se o documento era de papel ou digital, mas sim se havia dados pessoais ali e se houve falha na guarda ou no controle sobre esse material.
Vale a pena registrar boletim de ocorrência?
Em situações que já indicam risco real de fraude ou uso indevido — como tentativa de abertura de conta em seu nome —, o registro formal ajuda a documentar a cronologia dos fatos e pode ser útil tanto para se defender de cobranças indevidas quanto para sustentar um pedido de indenização.
A empresa pode se recusar a explicar o que aconteceu?
Não deveria. Se isso ocorrer, o caminho é o mesmo usado quando uma empresa se recusa a atender outros pedidos relacionados aos seus dados pessoais: notificação formal e, se necessário, busca de orientação jurídica para forçar a resposta.
Fontes e referências
Lei Geral de Proteção de Dados (LGPD), no que trata dos deveres de comunicação de incidentes e das medidas de mitigação de risco pelos agentes de tratamento de dados pessoais.
Entendimento consolidado nos tribunais superiores no sentido de que o mero incidente envolvendo dados pessoais, sem demonstração de dano concreto, não gera presunção automática de dano moral, sendo necessária a comprovação de prejuízo real ou risco efetivo decorrente do fato.
Artigos relacionados
- Uma empresa compartilhou meus dados pessoais com terceiros sem autorização: posso exigir que parem e ser indenizado?
- Agência de tráfego pago perdeu o gerenciador de anúncios da minha empresa com saldo e dados de público: cabe indenização?
- Plataforma de hospedagem ou nuvem perdeu o banco de dados da minha empresa: cabe indenização por lucros cessantes?
- Pedi para uma empresa excluir meus dados e ela se recusou: o que posso fazer?
Veja também nosso conteúdo completo sobre direito digital.
Seu caso envolve uma situação semelhante?
Cada caso possui particularidades e deve ser analisado individualmente. Para informações sobre análise jurídica do seu caso, entre em contato com o escritório.
