Dados Vazados, Imagem Exposta: Quando a Reparação Chega Tarde Demais

A proteção de dados pessoais e a tutela da imagem são, hoje, duas faces de um mesmo fenômeno: a proteção dos direitos da personalidade no ambiente digital. Em ambos os casos, a exposição indevida de informações ou de retratos de uma pessoa produz um dano que se consuma no exato instante da violação — e não apenas quando, eventualmente, o prejuízo material se materializa ou é comprovado. Duas decisões recentes, uma da Autoridade Nacional de Proteção de Dados (ANPD) e outra do Superior Tribunal de Justiça (STJ), ilustram bem essa lógica: de um lado, o vazamento de dados sensíveis de crianças e adolescentes por um órgão público; de outro, o uso comercial não autorizado da imagem de uma pessoa por uma empresa. Em nenhum dos dois casos a tentativa de correção posterior foi suficiente para afastar a responsabilidade do infrator.

Caso 1: ANPD sanciona a Secretaria de Educação do Distrito Federal por exposição de dados sensíveis

No Processo Administrativo Sancionador nº 00261.001192/2022-14, a ANPD apurou uma falha técnica no formulário de inscrição do Programa Educação Precoce, mantido pela Secretaria de Estado de Educação do Distrito Federal (SEEDF). Identificada em novembro de 2021, a vulnerabilidade permitia que qualquer pessoa acessasse dados de outros candidatos apenas alterando a URL do formulário — sem qualquer barreira de autenticação. Cerca de 3.030 titulares tiveram informações expostas, entre elas dados sensíveis relacionados à saúde de crianças e adolescentes inscritos no programa.

Notificada pela ANPD, a SEEDF adotou as providências técnicas necessárias para corrigir a falha no sistema. Ainda assim, o despacho decisório de primeira instância, publicado em 31 de janeiro de 2024, aplicou quatro sanções de advertência ao órgão, por infração aos artigos 37, 38 e 48 da Lei Geral de Proteção de Dados (LGPD). A SEEDF recorreu, e o Conselho Diretor da ANPD, em decisão de 13 de agosto de 2024 no âmbito do Circuito Deliberativo nº 16/2024, deu provimento parcial ao recurso — consolidando as sanções em duas advertências, por descumprimento do dever de comunicar o incidente aos titulares afetados (art. 48 da LGPD) e por obstrução à atividade fiscalizatória da própria ANPD (art. 5º, I, do Regulamento de Fiscalização).

A correção técnica não apaga uma infração já consumada

O ponto central da decisão, e que interessa a qualquer controlador de dados, público ou privado, é a explicitação de que sanar a vulnerabilidade não é o mesmo que reparar a infração. O próprio texto da decisão do Conselho Diretor registra que, “após a notificação da ANPD, a SEEDF adotou as providências técnicas necessárias para corrigir a falha. Porém, em razão da exposição de dados pessoais sensíveis (relacionados à saúde) de crianças e adolescentes”, a área técnica da autarquia considerou que o incidente poderia acarretar risco ou dano relevante aos titulares afetados — juízo que se forma no momento da exposição, e que a correção posterior do sistema não desfaz.

Essa distinção tem lógica simples: a vulnerabilidade é uma causa, mas o vazamento em si — o acesso indevido que efetivamente ocorreu enquanto a falha esteve ativa — é um evento consumado, com titulares concretamente expostos. Corrigir o sistema evita novos acessos indevidos daquele ponto em diante; não desfaz o que já foi acessado, nem elimina o risco a que aqueles titulares específicos já foram submetidos.

O dever de comunicação como obrigação autônoma

A decisão também deixa claro que o dever de comunicar o incidente aos titulares e à própria ANPD, previsto no artigo 48 da LGPD, é uma obrigação que existe independentemente da solução técnica adotada. Mesmo que a falha seja corrigida rapidamente, o controlador segue obrigado a informar as pessoas afetadas sobre o que ocorreu, para que elas possam adotar suas próprias medidas de proteção — algo que, no caso da SEEDF, não aconteceu de forma tempestiva, o que configurou, por si só, infração autônoma e sancionável. Para órgãos públicos e empresas privadas, a lição prática é direta: o protocolo de resposta a incidentes não pode se limitar ao time técnico; precisa incluir, desde o primeiro momento, a avaliação sobre o dever de comunicação e a mensuração do risco aos titulares.

Caso 2: STJ mantém indenização por uso comercial não autorizado de imagem

No AgInt no AREsp 3.070.926/SC, relatado pelo ministro Humberto Martins, a Segunda Turma do STJ analisou o recurso de uma agência de modelos de Florianópolis (SC) contra decisão que a condenou a indenizar, por danos morais, uma pessoa cuja fotografia foi publicada em rede social da empresa sem autorização. O contrato entre as partes havia sido encerrado em novembro de 2018, mas a imagem só foi divulgada, em contexto comercial, em maio de 2019 — já sem qualquer vínculo ou consentimento vigente.

A agência alegava, em síntese, que não haveria dano indenizável sem a comprovação de prejuízo efetivo à honra ou à reputação da pessoa retratada. O STJ, no entanto, aplicou o entendimento consolidado na Súmula 403 da Corte, segundo a qual “independe de prova do prejuízo a indenização pela publicação não autorizada de imagem de pessoa com fins econômicos ou comerciais”. A decisão manteve o dever de indenizar, mas reduziu o valor da condenação de R$ 10.000,00 para R$ 5.000,00, ajuste que buscou equilibrar o caráter compensatório e pedagógico da reparação com a vedação ao enriquecimento sem causa.

Súmula 403 do STJ: o dano moral in re ipsa

A Súmula 403 traduz uma construção jurisprudencial já consolidada há mais de uma década: quando a imagem de alguém é utilizada, sem autorização, para fins econômicos ou comerciais, o dano moral é presumido — é o chamado dano in re ipsa, que decorre do próprio fato da violação, sem que a vítima precise demonstrar abalo psicológico, prejuízo financeiro ou exposição negativa concreta. A imagem integra o rol dos direitos da personalidade justamente porque sua exploração sem consentimento já retira do titular o controle sobre a própria representação, ainda que o uso, isoladamente, pareça inofensivo ou breve. No caso analisado, o fato de a fotografia ter sido publicada após o encerramento do vínculo contratual reforça esse raciocínio: a autorização anterior, ligada a um contrato específico, não se estende indefinidamente no tempo nem convalida usos posteriores.

Entre a reparação e o enriquecimento sem causa

A redução do valor indenizatório, no caso, não contraria a lógica da Súmula 403 — ao contrário, mostra que o reconhecimento do dano in re ipsa resolve a existência da obrigação de indenizar, mas não dispensa o Judiciário de arbitrar um valor proporcional às circunstâncias do caso concreto, como a extensão da divulgação, o contexto e o histórico entre as partes. Presunção de dano não significa indenização automática em qualquer patamar; significa apenas que o an debeatur (o dever de indenizar) independe de prova de prejuízo, permanecendo o quantum debeatur (o valor devido) sujeito à ponderação judicial.

Conclusão

Os dois casos, embora tratem de institutos jurídicos distintos — a responsabilidade administrativa por infração à LGPD e a responsabilidade civil por violação ao direito de imagem —, convergem em uma mesma premissa: na tutela dos direitos da personalidade no ambiente digital, o dano relevante nasce no momento do ato ilícito, não no momento em que ele é corrigido, descoberta a sua extensão ou submetido à prova. A ANPD deixou claro que sanar uma vulnerabilidade técnica não apaga o vazamento que já ocorreu nem dispensa o dever de comunicar os titulares afetados; o STJ, por sua vez, reafirmou que o uso comercial não autorizado de uma imagem gera dano moral presumido, independentemente de a vítima comprovar prejuízo concreto. Para empresas, órgãos públicos e profissionais que lidam com dados pessoais ou imagens de terceiros, a mensagem prática é a mesma: prevenção e consentimento são as únicas defesas eficazes, porque, uma vez consumada a violação, a reparação — administrativa ou judicial — tende a ser devida, ainda que o problema técnico seja resolvido ou o uso indevido, interrompido, no dia seguinte.

Sobre o autor

Siga @phelipecardosoadv no Instagram →

Phelipe Pereira Cardoso é advogado desde 2009 e fundador do PHC Phelipe Cardoso Advogados. Atua principalmente em Direito Civil, Empresarial e do Consumidor, com experiência em responsabilidade civil, indenizações, contratos, conflitos patrimoniais e demandas envolvendo empresas e instituições financeiras.

Ao longo de sua trajetória, concedeu entrevistas e contribuiu com análises jurídicas para veículos como TV Globo, TV Record e Rádio Itatiaia, abordando temas de interesse público e questões relevantes das relações civis e de consumo. À frente do PHC, coordena a estratégia jurídica do escritório e combina experiência prática, linguagem clara e tecnologia aplicada ao Direito para conduzir casos de forma técnica, personalizada e orientada à solução.

Precisa de orientação sobre o seu caso?

Fale com o escritório  ·  Conheça o PHC Advogados  ·  Ver outros artigos

Este conteúdo tem caráter informativo e não substitui a análise individual do seu caso por um advogado.