Tempo de leitura: 9 min · Publicado em 05/09/2026
Em regra, sim: o aplicativo de delivery, como controlador dos dados pessoais de seus usuários, responde civilmente pelo vazamento de dados decorrente de falha em suas obrigações de segurança da informação, nos termos da Lei Geral de Proteção de Dados (Lei nº 13.709/2018). O alcance concreto dessa responsabilidade — e, principalmente, a necessidade ou não de comprovar um dano moral efetivo — depende, porém, do tipo de dado vazado: dados sensíveis ou de pagamento tendem a gerar dano moral presumido, enquanto dados cadastrais mais genéricos podem exigir a demonstração de um prejuízo concreto.
Que tipos de dados um aplicativo de delivery costuma armazenar
Aplicativos de entrega de comida e mercadorias reúnem um volume expressivo de dados pessoais: nome completo, CPF, endereço residencial ou de trabalho (frequentemente com geolocalização precisa), telefone, histórico detalhado de pedidos (que pode revelar hábitos alimentares, horários de rotina e até condições de saúde indiretamente reveladas, como pedidos recorrentes de produtos para dietas específicas), e dados de pagamento, como os últimos dígitos de cartões de crédito armazenados para compras futuras. Essa combinação de dados é particularmente sensível do ponto de vista da segurança pessoal do usuário, já que associa endereço residencial a rotina de presença (ou ausência) no local, o que pode facilitar desde fraudes financeiras até crimes contra o patrimônio ou a pessoa.
O dever de segurança da informação imposto pela LGPD
O art. 46 da LGPD impõe aos agentes de tratamento de dados — no caso, o próprio aplicativo, na condição de controlador — o dever de adotar medidas de segurança técnicas e administrativas aptas a proteger os dados pessoais de acessos não autorizados e de situações acidentais ou ilícitas de destruição, perda, alteração, comunicação ou difusão. O art. 48 da mesma lei exige que o controlador comunique à Autoridade Nacional de Proteção de Dados (ANPD) e ao titular a ocorrência de incidente de segurança que possa acarretar risco ou dano relevante aos titulares, em prazo razoável, sob pena de sanções administrativas específicas, além da responsabilidade civil pelos danos causados.
Quando o dano moral é presumido, e quando exige prova de prejuízo concreto
A jurisprudência do Superior Tribunal de Justiça vem distinguindo situações conforme a natureza dos dados expostos. Em fevereiro de 2025 (REsp 2.121.904), a Terceira Turma reconheceu dano moral presumido (in re ipsa) em vazamento envolvendo dados sensíveis. Em agosto de 2025 (REsp 2.201.694), a mesma Turma ampliou esse entendimento para reconhecer dano moral presumido quando o vazamento envolve divulgação não autorizada de dados pessoais e de pagamento a terceiros, destacando a “forte sensação de insegurança” gerada por esse tipo de exposição. Já em precedente anterior (AREsp 2.130.619, de 2023), a Segunda Turma havia exigido a comprovação de dano concreto para vazamentos de natureza mais genérica, sem envolvimento de dados sensíveis ou financeiros. Na prática, isso significa que o vazamento de dados de pagamento ou de informações que revelem rotina e endereço de um usuário de aplicativo de delivery tende a se aproximar das hipóteses de dano presumido, enquanto o vazamento isolado de um dado cadastral simples (como apenas um número de telefone, sem outros elementos) pode exigir a demonstração de um prejuízo mais concreto.
A responsabilidade da plataforma em caso de ataque de terceiros (hackers)
Um argumento comum de defesa das plataformas é o de que o vazamento decorreu de ataque de terceiros (hackers), configurando causa excludente de responsabilidade. Esse argumento, isoladamente, não costuma ser suficiente: a responsabilidade da plataforma como fornecedora de serviços (art. 14 do Código de Defesa do Consumidor) é objetiva, e cabe a ela demonstrar que adotou as medidas de segurança compatíveis com o estado da técnica e com o volume e a sensibilidade dos dados tratados. Um ataque hacker bem-sucedido, por si só, tende a ser interpretado como indício de que as medidas de segurança adotadas eram insuficientes para o risco da atividade, salvo se a plataforma comprovar robustamente o contrário.
O que o usuário afetado por um vazamento pode fazer
O primeiro passo é verificar se a plataforma notificou formalmente o incidente (muitas empresas enviam e-mail ou notificação no próprio aplicativo informando o vazamento e orientando medidas de proteção, como troca de senha). Reunir essa comunicação, junto com prints de eventuais tentativas de golpe ou fraude subsequentes (ligações suspeitas, mensagens de phishing direcionadas, tentativas de acesso não autorizado a outras contas usando os mesmos dados vazados) fortalece tanto o pedido administrativo de reparação junto à própria empresa quanto eventual ação judicial de indenização por danos morais e, se houver prejuízo financeiro comprovado, também materiais.
O papel da ANPD na fiscalização desses vazamentos
Além da responsabilidade civil perante os usuários individualmente, a ANPD pode instaurar processo administrativo sancionador contra a plataforma, com possibilidade de aplicação de advertência, multa (que pode chegar a 2% do faturamento da empresa no Brasil, limitada a R$ 50 milhões por infração) e, em casos mais graves, bloqueio ou eliminação dos dados pessoais envolvidos na infração. A existência de sanção administrativa da ANPD não impede, nem depende de, a busca individual de reparação civil pelo usuário afetado — são esferas de responsabilização distintas e cumulativas.
O risco específico do cruzamento entre endereço e rotina de entregas
Um aspecto particularmente sensível do vazamento de dados em aplicativos de delivery, que os distingue de vazamentos em outros tipos de plataforma, é a possibilidade de cruzamento entre o endereço residencial do usuário e seu padrão de pedidos ao longo do tempo (horários mais frequentes, dias da semana com maior recorrência, períodos de viagem identificáveis pela ausência de pedidos). Esse tipo de informação, quando exposta, pode ser utilizada não apenas para fraudes financeiras, mas também para identificar janelas de ausência do imóvel, o que reforça o dever de cuidado redobrado que se espera dessas plataformas na proteção desse conjunto específico de dados, e pode ser considerado um agravante na fixação do valor da indenização, quando comprovado o risco concreto gerado pela exposição.
Vazamento por terceiros contratados pela plataforma (motoboys, empresas de logística terceirizadas)
Outra situação relevante ocorre quando o vazamento não parte diretamente dos sistemas centrais do aplicativo, mas de um operador de dados terceirizado — como uma empresa de logística contratada para gerenciar entregas em determinada região, ou um sistema de suporte ao cliente operado por terceiros. Nos termos do art. 42 da LGPD, o controlador (o próprio aplicativo) responde pelos danos causados em razão do tratamento de dados realizado por seus operadores, o que significa que a plataforma não pode se eximir da responsabilidade perante o usuário simplesmente transferindo a culpa para o parceiro terceirizado que efetivamente sofreu a falha de segurança, ainda que possa, em ação regressiva própria, buscar ressarcimento desse terceiro posteriormente.
Perguntas frequentes
Só descobri que meus dados vazaram porque recebi uma ligação de golpista com informações que só o aplicativo tinha. Isso já basta para caracterizar o dano?
Esse tipo de evidência (posse de informações específicas que só poderiam ter vindo daquela plataforma) é uma prova bastante relevante do nexo causal entre o vazamento e a tentativa de golpe subsequente, reforçando significativamente o pedido de indenização, especialmente quando combinada com a comunicação oficial do vazamento pela própria empresa.
Preciso ter sofrido um prejuízo financeiro concreto para ter direito à indenização?
Depende do tipo de dado vazado. Para dados sensíveis ou de pagamento, a jurisprudência mais recente do STJ tende a reconhecer o dano moral de forma presumida, dispensando prova de prejuízo financeiro específico. Para vazamentos de dados mais genéricos, a comprovação de um prejuízo ou impacto concreto tende a fortalecer o pedido.
O aplicativo pode se eximir da responsabilidade só porque o vazamento foi causado por um ataque hacker sofisticado?
Não automaticamente. A plataforma precisa demonstrar que adotou medidas de segurança compatíveis com o risco da atividade e com a sensibilidade dos dados tratados; a mera ocorrência do ataque não afasta, por si só, a responsabilidade objetiva pela falha na prestação do serviço.
Quanto tempo tenho para processar o aplicativo após descobrir o vazamento?
O prazo prescricional para ações de reparação civil decorrentes de relação de consumo é, em regra, de cinco anos, contados a partir do conhecimento do dano e de sua autoria, nos termos do art. 27 do Código de Defesa do Consumidor.
A empresa é obrigada a me avisar se meus dados vazaram, mesmo que eu não pergunte?
Sim. O art. 48 da LGPD obriga o controlador a comunicar o incidente de segurança à ANPD e aos titulares afetados em prazo razoável, sempre que o incidente puder acarretar risco ou dano relevante, independentemente de provocação do titular dos dados.
Posso pedir a exclusão dos meus dados do aplicativo depois de um vazamento, mesmo continuando a usar o serviço?
Sim, dentro dos limites da LGPD. O titular pode solicitar a eliminação de dados desnecessários, excessivos ou tratados em desconformidade com a lei, ainda que continue utilizando o serviço, mantendo apenas os dados estritamente necessários para a prestação da atividade contratada.
Guardar comunicações e evidências fortalece qualquer medida futura
Diante de um vazamento de dados em aplicativo de delivery, reunir a comunicação oficial da empresa sobre o incidente, prints de eventuais tentativas de golpe posteriores e o histórico de uso da plataforma é o que permite avaliar com mais precisão se o caso se enquadra nas hipóteses de dano presumido reconhecidas pelo STJ ou se exigirá a demonstração de um prejuízo mais específico.
