Tempo de leitura: 5 min · Publicado em 04/09/2026
Uma empresa pode alegar que “foi vítima de hackers” para se livrar da responsabilidade quando os dados pessoais de seus próprios clientes vazam? Para o Superior Tribunal de Justiça (STJ), a resposta é não. Em dezembro de 2024, a 3ª Turma da Corte decidiu que o ataque cibernético sofrido por uma empresa não afasta, por si só, o dever de indenizar e de prestar contas aos consumidores cujos dados foram expostos. O caso, batizado como REsp 2.147.374/SP, envolveu a distribuidora de energia Enel (sucessora da Eletropaulo) e se tornou uma referência importante sobre como a Justiça brasileira vem aplicando a Lei Geral de Proteção de Dados (LGPD) em casos de vazamento.
O que o STJ decidiu
O processo teve origem no vazamento de dados pessoais não sensíveis de um cliente da Eletropaulo — nome, número do RG e do CPF, endereço, e-mail e telefone —, expostos após uma invasão criminosa aos sistemas da empresa. Na defesa, a companhia sustentou que o ataque hacker configurava “culpa exclusiva de terceiro”, hipótese prevista no artigo 43, inciso III, da LGPD, que pode excluir a responsabilidade do agente de tratamento de dados. Sob a relatoria do ministro Ricardo Villas Bôas Cueva, a 3ª Turma rejeitou essa tese por unanimidade. Para o colegiado, não basta a empresa alegar que sofreu um ataque externo: é preciso comprovar, com documentação concreta, que adotou todas as medidas de segurança e governança exigíveis e que o incidente escapava totalmente à sua esfera de controle e prevenção. Como a Eletropaulo não demonstrou isso de forma satisfatória, o tratamento de dados foi considerado irregular, e a empresa foi condenada a informar ao cliente com quem os dados foram compartilhados, a origem e os critérios utilizados para esse compartilhamento, conforme determina o artigo 19, inciso II, da LGPD.
Por que um ataque hacker não é sempre uma desculpa válida
A lógica adotada pelo STJ dialoga com um raciocínio já consolidado em outras áreas do direito do consumidor: a distinção entre “fortuito interno” e “fortuito externo”. Fortuito externo é o evento verdadeiramente imprevisível e alheio à atividade da empresa, capaz de romper o nexo de causalidade e afastar a responsabilidade. Fortuito interno, ao contrário, é o risco que está entranhado na própria atividade empresarial — algo que, ainda que executado por um terceiro (como um criminoso digital), decorre de uma falha ou insuficiência dentro da estrutura de quem deveria ter se protegido. É o mesmo raciocínio, por exemplo, por trás da Súmula 479 do STJ, que responsabiliza objetivamente instituições financeiras por fraudes praticadas por terceiros nas relações bancárias. No entendimento da 3ª Turma, empresas que coletam e armazenam dados pessoais em larga escala assumem o risco inerente a essa atividade — inclusive o risco de serem alvo de criminosos digitais. Por isso, o ataque hacker, isoladamente, não rompe o nexo causal: ele só afastaria a responsabilidade se a empresa comprovasse ter adotado, de fato, os padrões de segurança e governança que a LGPD exige, e ainda assim o ataque tivesse sido inevitável.
O que muda na prática para empresas e consumidores
A decisão reforça um movimento que já vinha se desenhando na jurisprudência do STJ desde a entrada em vigor da LGPD: o ônus de provar que agiu corretamente é da empresa, não do consumidor lesado. Não basta uma declaração genérica de que existem “políticas de segurança da informação” — é necessário apresentar evidências concretas de investimento em proteção de dados, de resposta a incidentes e de conformidade com os princípios da LGPD, como os previstos no artigo 6º da lei e o padrão de segurança esperado do artigo 44. Para as empresas, o recado é direto: tratar a cibersegurança como parte do risco do negócio, e não como um imprevisto eventual, passando a documentar continuamente suas medidas de proteção, já que essa documentação pode ser decisiva em uma disputa judicial. Para os consumidores, o precedente amplia a proteção: mesmo diante de um vazamento provocado por criminosos, é possível buscar reparação e exigir explicações sobre o que aconteceu com seus dados, sem que a empresa possa simplesmente transferir toda a culpa para o hacker.
Conclusão
Ao julgar o REsp 2.147.374/SP, o STJ deixou claro que a proteção de dados pessoais não é uma obrigação de meio que se dissolve diante do primeiro ataque bem-sucedido, mas um dever contínuo de diligência que acompanha quem lucra com o tratamento desses dados. Sofrer um ataque cibernético não é, em si, uma ilegalidade, mas não se preparar adequadamente para esse risco pode ser. A decisão consolida um sinal importante para o mercado: investir em segurança da informação deixou de ser apenas uma boa prática recomendável e passou a ser, também, uma forma de reduzir a exposição jurídica da empresa perante seus próprios clientes.
