Tempo de leitura: 10 min · Atualizado em 03/09/2026
Sim: se uma empresa repassou, vendeu ou compartilhou seus dados pessoais com terceiros sem seu consentimento e sem previsão contratual clara para isso, você pode exigir por escrito que a prática pare imediatamente, pedir que os dados sejam apagados das bases de quem os recebeu e, dependendo do prejuízo causado, buscar indenização. O valor e a chance de sucesso dependem de quanto dano concreto esse compartilhamento gerou.
Compartilhar dados com terceiros sem autorização é diferente de um vazamento
É comum confundir duas situações que parecem parecidas, mas têm naturezas bem diferentes. Uma coisa é a empresa perder o controle sobre os dados que guarda — por um ataque, uma falha de configuração ou um erro técnico. Isso é um incidente de segurança, e já tratamos separadamente quais direitos a LGPD garante quando uma empresa vaza dados.
Outra coisa, bem diferente, é a empresa decidir, por conta própria, repassar seus dados para outras empresas: vender uma lista de contatos para uma parceira de marketing, ceder sua base de clientes para uma “empresa do mesmo grupo” sem avisar, ou compartilhar telefone, e-mail e histórico de compras com um parceiro comercial que passa a te bombardear com ligações e mensagens. Aqui não houve falha nem ataque: houve uma decisão deliberada de usar seus dados de um jeito que você nunca autorizou. É esse compartilhamento ativo e indevido que este texto trata.
Que tipo de compartilhamento é considerado indevido?
Toda empresa que coleta dados — em um cadastro, uma compra, um formulário de contato — precisa deixar claro para que aquilo será usado. Se o cadastro diz que os dados servem para “processar seu pedido” e a empresa depois os repassa para uma financeira oferecer empréstimo, para uma corretora de seguros ligar oferecendo plano, ou para uma lista de leads vendida a terceiros, isso extrapola o que foi informado e depende de uma autorização específica que normalmente não existe.
Vale notar que existem hipóteses em que o compartilhamento é legítimo mesmo sem um consentimento separado — por exemplo, quando é necessário para cumprir o próprio contrato (a loja precisa repassar seu endereço à transportadora) ou para atender uma obrigação legal. O problema não é qualquer compartilhamento: é aquele feito para uma finalidade diferente da que você aceitou, normalmente ligado a marketing, revenda de base ou parceria comercial que só interessa à empresa e ao terceiro que recebeu o dado.
O compartilhamento indevido sempre gera indenização automática?
Aqui é importante ter cautela e não prometer o que a prática dos tribunais não vem confirmando. Descobrir que uma empresa repassou seus dados sem autorização é desagradável e, em muitos casos, ilegal — mas isso, isoladamente, nem sempre é suficiente para garantir uma indenização por dano moral. A tendência mais recente é exigir que a pessoa demonstre algo além do simples repasse: um prejuízo concreto (você passou a receber dezenas de ligações e mensagens indesejadas, teve o nome usado para tentativas de golpe, foi exposto a um risco real de fraude) ou, ao menos, evidência de que o compartilhamento a colocou em uma situação de vulnerabilidade real.
Esse cuidado muda bastante quando o dado compartilhado é sensível — informações de saúde, orientação sexual, dados biométricos, dados de crianças e adolescentes, entre outros. Nesses casos, a proteção tende a ser mais rigorosa, e o simples fato de terceiros terem recebido esse tipo de informação sem autorização já costuma pesar mais a favor de quem foi afetado, justamente pelo potencial de exposição e discriminação que esse tipo de dado carrega. Já em dados mais corriqueiros, como nome, telefone ou e-mail para fins de oferta comercial, normalmente é preciso mostrar algum efeito concreto para sustentar um pedido de indenização.
Seu caso envolve uma situação semelhante?
Cada caso possui particularidades e deve ser analisado individualmente. Para informações sobre análise jurídica do seu caso, entre em contato com o escritório.
Quais medidas você pode exigir da empresa
Independentemente de haver ou não indenização no fim, existe um conjunto de providências que podem e devem ser cobradas assim que o compartilhamento indevido é identificado:
- Que a empresa pare imediatamente de repassar seus dados a qualquer terceiro para a finalidade não autorizada;
- Que informe exatamente quais dados foram compartilhados, com quem e para qual finalidade;
- Que exija dos terceiros que receberam os dados a exclusão dessas informações de suas bases;
- Que confirme, por escrito, que a prática foi interrompida e que medidas de correção foram adotadas.
Essas exigências não dependem de decisão judicial para serem feitas — o primeiro passo é sempre formalizar o pedido diretamente com a empresa, preferencialmente pelo canal de proteção de dados que ela é obrigada a manter, guardando prints, protocolos e prazos de resposta. Situação parecida, mas com outro desfecho possível, é quando a própria empresa se recusa a apagar os dados que ela mesma mantém — nesse caso, os caminhos para cobrar uma exclusão de dados recusada seguem uma lógica semelhante de formalização e escalonamento.
Como reunir provas de que o compartilhamento aconteceu
Provar que uma empresa passou seus dados adiante costuma ser o ponto mais difícil, porque o repasse acontece nos bastidores. Alguns indícios ajudam bastante: você nunca deu seu telefone para a empresa B, mas ela liga oferecendo produto exatamente no período em que você cadastrou seus dados na empresa A; um código ou informação exclusiva que só você forneceu a uma empresa aparece em uma abordagem de outra; a própria empresa, ao ser questionada, admite ou não nega ter repassado a base a parceiros.
Vale registrar cada contato suspeito com data, número de origem e conteúdo da mensagem ou ligação, além de guardar o cadastro original para comparar com o que foi informado sobre o uso dos dados. Esse tipo de rastro é o que, na prática, sustenta tanto o pedido de interrupção quanto um eventual pedido de indenização, principalmente quando o compartilhamento resultou em contatos indesejados constantes, tentativas de golpe usando seus dados ou uso do seu nome para abrir cadastros e contas que você não autorizou, como ocorre quando terceiros usam CPF ou CNPJ vazado para abrir empresas ou contas.
Quando vale a pena acionar a Justiça
Levar o caso à Justiça costuma fazer mais sentido quando a empresa, mesmo notificada, continua compartilhando os dados, quando ela se nega a informar para quem os repassou, ou quando o compartilhamento já gerou um prejuízo identificável — financeiro, de reputação ou de segurança pessoal. Antes disso, também é possível levar a reclamação à Autoridade Nacional de Proteção de Dados, que pode investigar a prática e aplicar sanções à empresa, independentemente da via judicial.
Um ponto que costuma gerar dúvida é a diferença entre compartilhar dados e usar a imagem ou a voz de alguém sem autorização, por exemplo em uma peça publicitária: são situações próximas, mas com fundamentos um pouco distintos, como explicamos ao tratar de uso não autorizado de imagem ou voz em anúncios feitos com inteligência artificial. Em ambos os casos, o ponto de partida é o mesmo: identificar o que foi feito com o seu dado sem sua autorização e documentar isso antes de qualquer cobrança.
Perguntas frequentes
A empresa pode compartilhar meus dados com “empresas parceiras” só porque isso está escrito em letras miúdas no cadastro?
Uma cláusula genérica autorizando repasse a “parceiros” para fins não especificados tende a ser considerada insuficiente. A autorização precisa ser clara sobre quem recebe os dados e para qual finalidade — não basta uma frase aberta que permita qualquer uso futuro.
Recebo ligações de telemarketing depois de me cadastrar em um site: isso já prova que meus dados foram vendidos?
Sozinho, não. É um indício importante, mas vale reunir outros elementos, como o momento em que a ligação começou, se a empresa que ligou tinha alguma informação exclusiva que só você forneceu ao primeiro cadastro, e se há reclamações semelhantes de outras pessoas sobre a mesma empresa.
Preciso provar prejuízo financeiro para pedir indenização?
Nem sempre precisa ser financeiro. Pode ser o transtorno de contatos indesejados constantes, o risco real de fraude com seus dados ou a exposição de informação sensível. O que pesa é mostrar que o compartilhamento gerou uma consequência concreta, e não apenas o desconforto abstrato de saber que o dado circulou.
E se os dados compartilhados forem informações de saúde ou biométricas?
Nesses casos a proteção é mais rigorosa, porque o risco de exposição e discriminação é maior. O simples repasse desse tipo de dado sensível sem autorização específica já costuma ser tratado com mais peso do que o compartilhamento de dados comuns, como nome ou telefone.
A empresa é obrigada a me dizer para quem repassou meus dados?
Sim, esse é um dos direitos básicos de quem tem seus dados tratados: saber com quem as informações foram compartilhadas. A recusa em informar isso, por si só, já é motivo para escalar o caso à Autoridade Nacional de Proteção de Dados.
Formalizar o pedido direto com a empresa realmente resolve, ou já vale ir direto à Justiça?
Na maioria dos casos, formalizar por escrito e guardar o protocolo é o caminho mais rápido, porque muitas empresas corrigem a prática assim que são cobradas oficialmente. A via judicial fica reservada para quando a empresa ignora o pedido, nega informações básicas ou o prejuízo já é significativo.
Fontes e referências: Lei Geral de Proteção de Dados Pessoais (LGPD); orientações da Autoridade Nacional de Proteção de Dados (ANPD) sobre direitos dos titulares e tratamento de dados para finalidades diversas da informada; Código de Defesa do Consumidor, no que se refere à informação adequada sobre uso de dados de clientes.
Artigos relacionados
- Empresa terceira perdeu documentos com meus dados pessoais: posso exigir indenização e medidas de proteção?
- Pedi para uma empresa excluir meus dados e ela se recusou: o que posso fazer?
- Uma loja ou aplicativo coletou meus dados biométricos por reconhecimento facial sem meu consentimento explícito: quais os riscos para a empresa perante a LGPD?
- Gateway de pagamento sofreu vazamento e expôs dados dos meus clientes: minha empresa também pode ser responsabilizada?
Veja também nosso conteúdo completo sobre direito digital.
Seu caso envolve uma situação semelhante?
Cada caso possui particularidades e deve ser analisado individualmente. Para informações sobre análise jurídica do seu caso, entre em contato com o escritório.
