Tempo de leitura: 9 min · Atualizado em 09/09/2026
A proteção de dados pessoais e a tutela da imagem são, hoje, duas faces de um mesmo fenômeno: a proteção dos direitos da personalidade no ambiente digital. Em ambos os casos, a exposição indevida de informações ou de retratos de uma pessoa produz um dano que se consuma no exato instante da violação — e não apenas quando, eventualmente, o prejuízo material se materializa ou é comprovado. Duas decisões recentes, uma da Autoridade Nacional de Proteção de Dados (ANPD) e outra do Superior Tribunal de Justiça (STJ), ilustram bem essa lógica: de um lado, o vazamento de dados sensíveis de crianças e adolescentes por um órgão público; de outro, o uso comercial não autorizado da imagem de uma pessoa por uma empresa. Em nenhum dos dois casos a tentativa de correção posterior foi suficiente para afastar a responsabilidade do infrator.
Caso 1: ANPD sanciona a Secretaria de Educação do Distrito Federal por exposição de dados sensíveis
No Processo Administrativo Sancionador nº 00261.001192/2022-14, a ANPD apurou uma falha técnica no formulário de inscrição do Programa Educação Precoce, mantido pela Secretaria de Estado de Educação do Distrito Federal (SEEDF). Identificada em novembro de 2021, a vulnerabilidade permitia que qualquer pessoa acessasse dados de outros candidatos apenas alterando a URL do formulário — sem qualquer barreira de autenticação. Cerca de 3.030 titulares tiveram informações expostas, entre elas dados sensíveis relacionados à saúde de crianças e adolescentes inscritos no programa.
Notificada pela ANPD, a SEEDF adotou as providências técnicas necessárias para corrigir a falha no sistema. Ainda assim, o despacho decisório de primeira instância, publicado em 31 de janeiro de 2024, aplicou quatro sanções de advertência ao órgão, por infração aos artigos 37, 38 e 48 da Lei Geral de Proteção de Dados (LGPD). A SEEDF recorreu, e o Conselho Diretor da ANPD, em decisão de 13 de agosto de 2024 no âmbito do Circuito Deliberativo nº 16/2024, deu provimento parcial ao recurso — consolidando as sanções em duas advertências, por descumprimento do dever de comunicar o incidente aos titulares afetados (art. 48 da LGPD) e por obstrução à atividade fiscalizatória da própria ANPD (art. 5º, I, do Regulamento de Fiscalização).
A correção técnica não apaga uma infração já consumada
O ponto central da decisão, e que interessa a qualquer controlador de dados, público ou privado, é a explicitação de que sanar a vulnerabilidade não é o mesmo que reparar a infração. O próprio texto da decisão do Conselho Diretor registra que, “após a notificação da ANPD, a SEEDF adotou as providências técnicas necessárias para corrigir a falha. Porém, em razão da exposição de dados pessoais sensíveis (relacionados à saúde) de crianças e adolescentes”, a área técnica da autarquia considerou que o incidente poderia acarretar risco ou dano relevante aos titulares afetados — juízo que se forma no momento da exposição, e que a correção posterior do sistema não desfaz.
Essa distinção tem lógica simples: a vulnerabilidade é uma causa, mas a exposição indevida dos dados — o fato de terem ficado acessíveis a qualquer pessoa enquanto a falha esteve ativa — já configura o incidente, independentemente de haver prova de que terceiros mal-intencionados efetivamente os acessaram ou copiaram. Corrigir o sistema evita novos acessos indevidos daquele ponto em diante; não desfaz a exposição já ocorrida, nem elimina o risco a que aqueles titulares específicos já foram submetidos.
Seu caso envolve uma situação semelhante?
Cada caso possui particularidades e deve ser analisado individualmente. Para informações sobre análise jurídica do seu caso, entre em contato com o escritório.
O dever de comunicação como obrigação autônoma
A decisão também deixa claro que o dever de comunicar o incidente aos titulares e à própria ANPD, previsto no artigo 48 da LGPD, é uma obrigação que existe independentemente da solução técnica adotada. Mesmo que a falha seja corrigida rapidamente, o controlador segue obrigado a informar as pessoas afetadas sobre o que ocorreu, para que elas possam adotar suas próprias medidas de proteção — algo que, no caso da SEEDF, não aconteceu de forma tempestiva, o que configurou, por si só, infração autônoma e sancionável. Para órgãos públicos e empresas privadas, a lição prática é direta: o protocolo de resposta a incidentes não pode se limitar ao time técnico; precisa incluir, desde o primeiro momento, a avaliação sobre o dever de comunicação e a mensuração do risco aos titulares.
Caso 2: STJ mantém indenização por uso comercial não autorizado de imagem
No AgInt no AREsp 3.070.926/SC, relatado pelo ministro Humberto Martins, a Terceira Turma do STJ analisou o recurso de uma agência de modelos de Florianópolis (SC) contra decisão que a condenou a indenizar, por danos morais, uma pessoa cuja fotografia foi publicada em rede social da empresa sem autorização. O contrato entre as partes havia sido encerrado em novembro de 2018, mas a imagem só foi divulgada, em contexto comercial, em maio de 2019 — já sem qualquer vínculo ou consentimento vigente.
A agência alegava, em síntese, que não haveria dano indenizável sem a comprovação de prejuízo efetivo à honra ou à reputação da pessoa retratada. O Tribunal de Justiça de Santa Catarina (TJSC), instância de origem, já havia reduzido o valor da condenação de R$ 10.000,00 para R$ 5.000,00, ajuste que buscou equilibrar o caráter compensatório e pedagógico da reparação com a vedação ao enriquecimento sem causa. No agravo interno, o STJ manteve integralmente esse entendimento, aplicando a Súmula 403 da Corte, segundo a qual “independe de prova do prejuízo a indenização pela publicação não autorizada de imagem de pessoa com fins econômicos ou comerciais”.
Súmula 403 do STJ: o dano moral in re ipsa
A Súmula 403 traduz uma construção jurisprudencial já consolidada há mais de uma década: quando a imagem de alguém é utilizada, sem autorização, para fins econômicos ou comerciais, o dano moral é presumido — é o chamado dano in re ipsa, que decorre do próprio fato da violação, sem que a vítima precise demonstrar abalo psicológico, prejuízo financeiro ou exposição negativa concreta. A imagem integra o rol dos direitos da personalidade justamente porque sua exploração sem consentimento já retira do titular o controle sobre a própria representação, ainda que o uso, isoladamente, pareça inofensivo ou breve. No caso analisado, o fato de a fotografia ter sido publicada após o encerramento do vínculo contratual reforça esse raciocínio: a autorização anterior, ligada a um contrato específico, não se estende indefinidamente no tempo nem convalida usos posteriores.
Entre a reparação e o enriquecimento sem causa
A redução do valor indenizatório promovida pelo TJSC, mantida pelo STJ, não contraria a lógica da Súmula 403 — ao contrário, mostra que o reconhecimento do dano in re ipsa resolve a existência da obrigação de indenizar, mas não dispensa o Judiciário de arbitrar um valor proporcional às circunstâncias do caso concreto, como a extensão da divulgação, o contexto e o histórico entre as partes. Presunção de dano não significa indenização automática em qualquer patamar; significa apenas que o an debeatur (o dever de indenizar) independe de prova de prejuízo, permanecendo o quantum debeatur (o valor devido) sujeito à ponderação judicial.
O que fica da comparação entre os dois casos
Os dois casos tratam de institutos jurídicos distintos — responsabilidade administrativa por infração à LGPD, de um lado, e responsabilidade civil por violação ao direito de imagem, de outro —, mas convergem em uma mesma premissa: no processo da ANPD, permaneceram infrações administrativas relacionadas à resposta ao incidente (falta de comunicação e obstrução à fiscalização), mesmo após a correção técnica; no caso julgado pelo STJ, a cessação posterior do uso da imagem não afastaria a violação já consumada. Em ambos, uma providência corretiva tomada depois do fato não elimina as consequências jurídicas de uma violação já ocorrida. Para empresas, órgãos públicos e profissionais que lidam com dados pessoais ou imagens de terceiros, a mensagem prática é clara: mapear previamente as bases legais de tratamento de dados e obter consentimento formal para uso de imagem reduz significativamente o risco, porque, uma vez consumada a violação, a reparação — administrativa ou judicial — tende a ser devida, ainda que o problema técnico seja corrigido ou o uso indevido, interrompido, no dia seguinte.
Fontes oficiais consultadas
Seu caso envolve uma situação semelhante?
Cada caso possui particularidades e deve ser analisado individualmente. Para informações sobre análise jurídica do seu caso, entre em contato com o escritório.
