Tempo de leitura: 9 min · Atualizado em 08/08/2026
Nem todo tratamento de dados exige seu consentimento — a lei prevê várias bases legais, como a execução de contrato, o cumprimento de obrigação legal, o exercício regular de direito e o legítimo interesse. Mas todo tratamento exige uma base legal, uma finalidade específica e transparência.
O compartilhamento com terceiros é um dos pontos mais sensíveis. Quando uma empresa repassa seus dados a parceiros comerciais, a corretoras, a empresas de telemarketing ou a bureaus, ela precisa ter fundamento para isso e precisa informar. O sintoma clássico do compartilhamento indevido é conhecido de todos: a pessoa contrata um serviço e, dias depois, começa a receber ligações e mensagens de empresas com as quais nunca teve contato.
Os direitos que você pode exercer, e como
A legislação de proteção de dados criou um conjunto de direitos que podem ser exercidos diretamente, sem processo. Os mais úteis nesse contexto:
- Confirmação e acesso. Saber se existe tratamento dos seus dados e obter cópia deles.
- Informação sobre compartilhamento. Este é o direito central aqui: exigir a lista das entidades públicas e privadas com as quais os dados foram compartilhados. É um pedido específico e frequentemente ignorado pelas empresas.
- Correção de dados incompletos, inexatos ou desatualizados.
- Eliminação dos dados tratados com base em consentimento.
- Oposição ao tratamento fundado em legítimo interesse.
- Revogação do consentimento, a qualquer tempo, de forma gratuita e facilitada.
- Revisão de decisões automatizadas que afetem seus interesses.
O pedido deve ser feito ao encarregado pelo tratamento de dados, cujo contato as empresas devem divulgar publicamente. Há prazo para resposta, e a ausência de resposta é, por si, elemento relevante.
Quando o compartilhamento é ilícito
| Situação | Licitude |
|---|---|
| Repasse a parceiro para executar o contrato | Em regra lícito |
| Envio a órgão público por obrigação legal | Lícito |
| Venda de base de contatos a terceiros | Ilícito |
| Repasse a empresa de telemarketing sem informação | Questionável |
| Compartilhamento de dado sensível sem consentimento específico | Ilícito, salvo hipótese legal |
| Divulgação interna de informação de saúde do empregado | Ilícito |
Merece destaque a categoria dos dados sensíveis — origem racial ou étnica, convicção religiosa, opinião política, filiação sindical, dado referente à saúde ou à vida sexual, dado genético ou biométrico. O regime é mais restritivo, e o compartilhamento indevido dessas informações costuma produzir dano moral com valor bem superior ao de dados cadastrais comuns.
Vazamento não é o mesmo que compartilhamento
Convém separar. O vazamento decorre de incidente de segurança — invasão, falha técnica, exposição acidental. O compartilhamento indevido é ato deliberado da empresa, que repassa dados sem base legal.
A distinção importa porque muda a discussão. No vazamento, discute-se a adequação das medidas de segurança adotadas. No compartilhamento, discute-se a existência de base legal e de informação — e não há como alegar imprevisibilidade, porque a conduta foi voluntária.
Dano moral: a discussão do dano presumido
Este é o ponto mais controvertido do tema. Existe uma corrente que sustenta o dano moral presumido pela simples violação da norma de proteção de dados. E existe outra, hoje predominante, que exige demonstração de repercussão concreta.
Na prática, isso significa que a alegação genérica de “meus dados foram compartilhados” tende a não sustentar indenização. O que sustenta:
- Uso efetivo dos dados para abordagem indesejada e insistente, com registro das ligações e mensagens.
- Fraude praticada a partir das informações compartilhadas.
- Compartilhamento de dado sensível, especialmente de saúde.
- Exposição em contexto profissional ou familiar.
- Negativa de crédito ou de emprego decorrente do repasse.
- Recusa da empresa em responder ao pedido de informação sobre o compartilhamento.
Esse último item é subestimado e frequentemente decisivo: o silêncio diante de um direito expressamente previsto é conduta autônoma e demonstra descaso.
O que a empresa vai alegar
A primeira tese é a existência de base legal, normalmente o legítimo interesse ou a execução do contrato. Exige demonstração concreta, e não invocação genérica.
A segunda é o consentimento obtido em política de privacidade aceita no cadastro. Vale examinar se o consentimento foi específico, destacado e informado, ou se estava embutido em um aceite genérico.
A terceira é a ausência de dano, sustentando que não houve prejuízo concreto. É a defesa mais eficaz e explica por que a documentação da repercussão é indispensável.
A quarta é a culpa de terceiro, atribuindo o problema ao parceiro que recebeu os dados. Não se opõe ao titular: controlador e operador respondem conforme sua participação, e o titular pode acionar quem escolher.
Provas decisivas
- Pedido formal ao encarregado de dados, com data, e a resposta obtida — ou a ausência dela.
- Registro das abordagens: números que ligaram, mensagens recebidas, empresas identificadas, com datas.
- Correlação temporal entre a contratação e o início das abordagens.
- Política de privacidade vigente à época, capturada da página.
- Prova da repercussão: fraude sofrida, crédito negado, exposição no trabalho.
- Reclamação registrada na autoridade nacional de proteção de dados e na plataforma pública de mediação de consumo.
A lógica está em como provar o dano moral.
Valor e prazo
Elevam o patamar: natureza sensível do dado, fraude decorrente, volume e persistência das abordagens, recusa de resposta ao pedido de informação, finalidade comercial evidente do repasse e reiteração. Reduzem: base legal demonstrada, informação prévia clara, interrupção imediata após pedido e ausência de qualquer uso concreto dos dados.
Sobre o método de fixação, veja como o valor do dano moral é calculado; sobre o prazo, prazo para pedir dano moral; sobre a fronteira com o simples incômodo, dano moral ou mero aborrecimento.
O que fazer, em ordem
- Registre as abordagens assim que começarem: número, data, empresa, conteúdo.
- Identifique a origem provável pela correlação temporal com contratações recentes.
- Envie pedido formal ao encarregado de dados da empresa suspeita, exigindo confirmação, acesso e a lista de compartilhamentos.
- Revogue o consentimento e manifeste oposição ao tratamento, por escrito.
- Se não houver resposta no prazo, registre reclamação na autoridade nacional de proteção de dados.
- Documente a repercussão enquanto ela ocorre.
- Persistindo, a ação pode pedir a cessação do tratamento, a exclusão dos dados e a indenização.
Para os requisitos gerais da reparação, veja o guia completo sobre dano moral.
Telemarketing e o bloqueio de chamadas
A manifestação mais visível do compartilhamento indevido é o volume de ligações comerciais. Vale conhecer os instrumentos disponíveis, porque eles resolvem boa parte do incômodo sem litígio.
Existem cadastros de bloqueio de chamadas de telemarketing, mantidos por órgãos estaduais de defesa do consumidor e por iniciativas do setor de telecomunicações, nos quais o consumidor registra seu número e as empresas ficam proibidas de ligar. O descumprimento gera sanção administrativa e, quando reiterado, reforça o pedido indenizatório, porque demonstra que a empresa foi advertida e insistiu.
Há também um recurso técnico útil: as operadoras identificam chamadas de telemarketing com prefixo específico, o que permite bloqueio automático no próprio aparelho. E, do ponto de vista probatório, manter o registro de chamadas exportado, com datas e números, é o que transforma a queixa genérica em prova organizada.
Uma observação importante: o pedido de exclusão feito ao atendente de telemarketing raramente é registrado. O pedido eficaz é o formal, dirigido ao encarregado de dados da empresa, com protocolo.
Dados de crianças e adolescentes
O tratamento de dados de crianças e adolescentes tem regime próprio e mais rigoroso, orientado pelo melhor interesse do menor. O tratamento de dados de crianças, em regra, depende de consentimento específico e destacado de pelo menos um dos pais ou responsável legal.
Isso tem consequências práticas relevantes em três contextos frequentes: aplicativos e jogos que coletam dados de usuários infantis, escolas que compartilham informações de alunos com empresas parceiras, e plataformas educacionais que tratam dados de desempenho e comportamento.
Quando o compartilhamento envolve criança ou adolescente, o patamar de exigência sobe e a repercussão do dano tende a ser avaliada com mais rigor. Para os responsáveis, a orientação prática é solicitar formalmente à instituição a informação sobre quais dados são coletados, com que finalidade e com quem são compartilhados — pedido que a escola ou a plataforma tem o dever de responder.
Perguntas frequentes
Toda empresa precisa do meu consentimento?
Não. Existem outras bases legais, como execução de contrato e obrigação legal. Mas toda empresa precisa de alguma base legal e de finalidade específica.
Posso exigir a lista de quem recebeu meus dados?
Sim. A informação sobre compartilhamento é direito expresso do titular, e a recusa em fornecê-la é conduta autônoma relevante.
Recebo ligações de empresas que nunca contratei. Isso é ilícito?
É indício forte de compartilhamento sem base legal. O caminho é exigir a informação sobre a origem dos dados e registrar as abordagens.
O simples compartilhamento gera indenização?
A orientação predominante exige repercussão concreta. Dados sensíveis e fraudes decorrentes são os cenários mais favoráveis ao reconhecimento.
Onde reclamo administrativamente?
Na autoridade nacional de proteção de dados e, quando houver relação de consumo, também nos órgãos de defesa do consumidor e na plataforma pública de mediação.
Fontes oficiais consultadas
Este conteúdo foi elaborado com apoio nas seguintes fontes primárias:
