Tempo de leitura: 6 min · Atualizado em 08/09/2026
Julgado comentado: AREsp 2.130.619/SP — Segunda Turma do STJ — julgado em 07/03/2023.
O Superior Tribunal de Justiça enfrentou uma pergunta que virou rotina desde que vazamentos de dados passaram a ser notícia quase toda semana: o simples fato de uma empresa vazar informações de um cliente já garante, sozinho, uma indenização por dano moral? A resposta da Segunda Turma foi não — pelo menos não sempre, e não para qualquer tipo de dado.
O que aconteceu
O caso girava em torno de um vazamento de dados pessoais classificados como comuns: nome, endereço e outras informações de cadastro, sem nada de especialmente delicado envolvido, como senha, dado financeiro ou de saúde. A pessoa atingida pediu indenização por dano moral alegando que a simples exposição desses dados já bastava para caracterizar o prejuízo, independentemente de qualquer consequência posterior. As instâncias anteriores divergiram sobre o tema, e a questão chegou ao STJ para uniformizar o entendimento.
O que o STJ decidiu
A Segunda Turma decidiu, por unanimidade, que o vazamento de dado comum não gera dano moral presumido. Na prática, isso quer dizer que a pessoa não recebe indenização só por provar que seus dados vazaram: ela precisa demonstrar uma repercussão concreta e negativa daquele vazamento específico, como o uso indevido efetivo das informações ou algum prejuízo real que tenha decorrido dele. A exposição da informação, isolada, não é suficiente para configurar o dano.
Seu caso envolve uma situação semelhante?
Cada caso possui particularidades e deve ser analisado individualmente. Para informações sobre análise jurídica do seu caso, entre em contato com o escritório.
O julgamento reforça uma distinção que passou a orientar a jurisprudência mais recente do tribunal: existe diferença relevante entre dado comum (nome, endereço, telefone, informação de cadastro) e dado pessoal sensível, categoria que a LGPD define de forma taxativa no art. 5º, II: origem racial ou étnica, convicção religiosa, opinião política, filiação a sindicato ou organização de caráter religioso, filosófico ou político, dado referente à saúde ou à vida sexual, dado genético ou biométrico. Informação financeira e senha são sigilosas e podem gerar prejuízo grave, mas não se enquadram, por definição legal, como dado sensível da LGPD — o que não impede que pesem na análise do caso concreto por outros fundamentos. Quanto mais sensível o dado vazado, maior o peso da própria exposição; quanto mais comum, maior a exigência de que a vítima comprove uma consequência concreta.
Isso significa que toda empresa que vaza dados está livre de indenizar?
Não, e esse é o ponto que mais gera confusão sobre esse julgado. A decisão não abre uma via livre para empresas serem descuidadas com dados pessoais nem afasta a responsabilidade de quem trata informação de terceiros. Ela apenas rejeita a ideia de que qualquer vazamento, de qualquer tipo de dado, gera indenização automática.
Dois cenários continuam merecendo atenção redobrada. O primeiro é o vazamento de dado sensível na definição legal da LGPD — saúde, biometria, origem racial/étnica, convicção religiosa, entre outros do art. 5º, II —, em que a própria natureza da informação pesa mais na análise do dano, sem que isso signifique indenização automática: o STJ não fixou uma regra de que todo vazamento de dado sensível gera dano moral presumido, cada caso ainda depende das circunstâncias concretas. O segundo é o vazamento de dado comum que teve repercussão concreta: quando o vazamento é seguido de uso indevido efetivo das informações, como golpes aplicados com aqueles dados, abertura de conta em nome da vítima ou prejuízo financeiro comprovado. Nesses casos o dano deixa de ser hipotético e passa a ser demonstrável, o que muda completamente a análise judicial.
Empresas que lidam com dados de clientes continuam expostas a responsabilização quando o incidente tem consequência real para a vítima — inclusive quando o vazamento acontece por falha de um fornecedor terceirizado de TI. O que muda com esse julgado é o ônus da prova: quem sofreu o vazamento de um dado comum precisa apresentar essa consequência concreta, não basta alegar que os dados vazaram e que isso, por si só, já é ruim. Para quem quer entender o alcance mais amplo dos direitos garantidos pela lei além do pedido de indenização, vale conhecer o que a LGPD garante quando uma empresa vaza dados pessoais.
A distinção entre dado comum e dado sensível é central
O julgado da Segunda Turma não descriminaliza o vazamento de dados nem retira da empresa o dever de zelar pela informação de seus clientes. Ele apenas exige que, quando o dado vazado for comum e não houver consequência concreta demonstrada, a indenização por dano moral não seja automática. Isso não impede novas ações — impede apenas que a mera exposição, sem nenhum efeito prático sobre a vítima, vire indenização garantida por si só.
Fontes oficiais consultadas
Artigos relacionados
- STJ decide que compartilhar dado pessoal sigiloso sem consentimento gera dano moral automático
- STJ decide que negativa de cobertura pelo plano de saúde não gera dano moral automático
- STJ decide que ser idoso não garante indenização automática em fraude bancária
- STJ decide que banco responde por golpe do boleto quando vazam dados sigilosos de financiamento
Veja também nosso conteúdo completo sobre jurisprudência comentada.
Seu caso envolve uma situação semelhante?
Cada caso possui particularidades e deve ser analisado individualmente. Para informações sobre análise jurídica do seu caso, entre em contato com o escritório.
