Dano moral por vazamento de dados: quando o STJ presume o prejuízo, quando exige prova e quais documentos reunir

O pedido de dano moral por vazamento de dados costuma começar com um e-mail avisando que suas informações “podem ter sido expostas” ou com ligações de desconhecidos que sabem seu nome, seu CPF e seu endereço. A dúvida é imediata: isso, por si só, dá direito a indenização?

A resposta curta é: depende do tipo de dado, de como ele saiu do controle da empresa e do que aconteceu depois. Até a data desta atualização, o Superior Tribunal de Justiça (STJ) não tem tese obrigatória que responda à pergunta de forma geral. Há decisões de Turmas em sentidos diferentes e um recurso repetitivo ainda sem julgamento de mérito.

Dano moral por vazamento de dados: o que o STJ tem decidido

A leitura mais segura dos precedentes pode ser resumida em três cenários:

• Dados comuns (nome, endereço, telefone, número de documento): a Segunda Turma exigiu prova de prejuízo concreto [3].
• Dados sensíveis (por exemplo, informações de saúde): a Terceira Turma reconheceu dano presumido em caso de seguro de vida [4].
• Repasse por birôs de crédito sem consentimento: a Terceira e a Quarta Turmas decidiram de forma oposta, e o tema aguarda o Tema Repetitivo 1.404 [5][6][7].

Nenhuma dessas decisões vincula, sozinha, todos os juízes do país. Elas indicam tendências, e cada caso é avaliado conforme a prova.

O que é dano presumido e por que isso muda a sua prova

Dano moral é a lesão a direitos da personalidade, como intimidade e privacidade. Em regra, quem pede indenização precisa demonstrar essa lesão.

O dano presumido, chamado in re ipsa (expressão latina para “na própria coisa”), é o que o tribunal considera demonstrado pelo próprio fato ilícito. Basta provar o vazamento ou o repasse indevido, sem mostrar golpe ou outro efeito concreto.

Ponto	Dano moral presumido	Dano moral que exige prova
O que demonstrar	O fato ilícito (vazamento ou repasse indevido)	O fato ilícito e um prejuízo concreto à personalidade
Prova central	Comunicado do incidente, resposta da empresa, registro do repasse	Tentativas de golpe, fraudes, contatos abusivos, uso indevido do nome
Onde o STJ já aplicou	Dados sensíveis em seguro de vida (3ª Turma); repasse por birô (3ª Turma)	Dados comuns vazados (2ª Turma); dados não sensíveis no cadastro positivo (4ª Turma)
Segurança hoje	Decisões de Turma, não vinculantes	Decisões de Turma, não vinculantes

Mesmo quando o dano é presumido, o valor não é automático e depende das circunstâncias.

Quais normas sustentam o pedido

Constituição Federal. O art. 5º, X, protege a intimidade e a vida privada e assegura indenização quando violadas; o inciso LXXIX, incluído pela Emenda Constitucional 115/2022, trata a proteção de dados pessoais como direito fundamental [1]. A Constituição não diz se o dano é presumido.

Lei Geral de Proteção de Dados (LGPD, Lei 13.709/2018). O art. 42 obriga o controlador (quem decide sobre o tratamento) ou o operador (quem trata dados em nome dele) a reparar o dano patrimonial ou moral causado em violação à lei [2]. O art. 5º, II, define dado sensível, como saúde, origem racial ou étnica, religião, opinião política, vida sexual, dados genéticos e biométricos [2]. Classificar o dado é o primeiro passo.

Lei do Cadastro Positivo (Lei 12.414/2011). Segundo a leitura do STJ, o score pode ser repassado sem consentimento; o histórico de crédito depende de autorização específica; e dados cadastrais e de adimplemento só circulam entre os próprios gestores de cadastro [5].

Dados comuns: o STJ tem exigido prova do prejuízo

No AREsp 2.130.619/SP, julgado por unanimidade pela Segunda Turma em 07/03/2023, relator o ministro Francisco Falcão, o STJ entendeu que o vazamento de dados comuns não gera dano moral presumido [3]. O caso envolvia uma pessoa idosa e uma concessionária de energia.

A Turma ressalvou que a conclusão poderia mudar se os dados fossem sensíveis, e a idade do titular não transformou dados comuns em sensíveis. Na prática, quem teve vazados apenas nome, CPF ou telefone precisa mostrar o efeito: tentativas de golpe, contas ou empréstimos em seu nome, cobranças indevidas, contatos insistentes.

Dados sensíveis: há precedente de dano presumido

No REsp 2.121.904/SP, divulgado no Informativo 842, a Terceira Turma reconheceu dano moral presumido no vazamento de dados sensíveis entregues a uma seguradora para contratar seguro de vida, com responsabilidade objetiva da seguradora, isto é, sem necessidade de provar culpa [4].

É decisão de Turma, ligada a um contrato e a dados específicos. Ajuda quando vazam, por exemplo, informações de saúde, mas não garante o mesmo resultado em outro contexto. O conteúdo sobre CPF na farmácia, descontos e dados de saúde mostra como esse tipo de dado circula no comércio.

Birôs de crédito: as Turmas do STJ divergem

Aqui não se trata de ataque hacker, mas do repasse ou da venda de dados pelo próprio gestor do banco de dados.

Terceira Turma (REsp 2.201.694/SP). Por maioria, com voto vencedor da ministra Nancy Andrighi, entendeu que o gestor que repassa dados cadastrais ou de adimplemento fora das hipóteses legais responde objetivamente e que o dano é presumido. A notícia oficial é de 05/09/2025 [5].

Quarta Turma (REsp 2.221.650/SP). Por unanimidade, relatora a ministra Maria Isabel Gallotti, decidiu que incluir sem autorização dados não sensíveis, como endereço e telefone, no cadastro positivo não gera indenização por si só: é preciso provar o repasse efetivo e abalo significativo. A notícia oficial é de 13/02/2026 [6].

Tema 1.404: o que ainda será decidido

Para uniformizar o entendimento, a Segunda Seção afetou o Tema Repetitivo 1.404, ou seja, selecionou recursos para fixar uma tese que os tribunais deverão observar. A questão tem duas partes [7]: se o birô pode repassar ou vender dados não sensíveis sem aviso ou consentimento do titular; e, sendo ilícito, se o dano moral é presumido.

Até esta atualização, o tema consta como afetado e sem tese firmada, e há notícias de adiamento recente do julgamento. Dois limites: ele trata de repasse por birôs, não de vazamentos por falha de segurança em lojas ou bancos; e, após o julgamento, será preciso verificar se haverá modulação, isto é, definição de a partir de quando a tese vale. Processos em fase de recurso ao STJ podem ser suspensos.

Exemplo hipotético: separar dano material e dano moral

Os dados de Ana (nome fictício) vazaram de uma loja virtual. Semanas depois, um golpista usou essas informações para obter um Pix de R$ 1.200,00. Pelo Mecanismo Especial de Devolução (MED), R$ 400,00 retornaram. O prejuízo material em aberto é R$ 800,00, não R$ 1.200,00, para não contar duas vezes o que já voltou.

O dano moral por vazamento de dados é discutido à parte e não tem valor pré-definido. Os números só ilustram o raciocínio. Se já houve transferência, o guia sobre o que fazer nas primeiras 24 horas após golpe no Pix ou no cartão trata das medidas urgentes, que têm lógica própria.

💬 Não sabe se o seu caso é de dano presumido ou exige prova? A análise considera o tipo de dado exposto, a comunicação da empresa e os efeitos já documentados. Solicitar análise pelo WhatsApp

Providências: o que fazer agora

Imediatas

1. Guarde o comunicado do incidente com data e remetente.
2. Troque senhas e ative a verificação em duas etapas.
3. Consulte o Registrato, do Banco Central, para checar contas e empréstimos em seu nome.
4. Registre cada contato suspeito: print, número, data.

Acompanhamento

Peça à empresa, por escrito, quais dados foram afetados, quando e que medidas adotou. O conteúdo sobre vazamento de dados e resposta incompleta da empresa detalha esse pedido. Sem resposta adequada, é possível reclamar no Procon, no consumidor.gov.br e à Autoridade Nacional de Proteção de Dados (ANPD), que fiscaliza a LGPD mas não fixa indenização individual.

Eventual via judicial

A ação é uma possibilidade, não consequência obrigatória. Faz mais sentido quando a prova enquadra o caso num cenário favorável ou demonstra efeitos concretos.

Checklist de provas para dano moral por vazamento de dados

Documento	O que prova	Quem fornece
Comunicado do incidente	Que houve vazamento e quais dados	Empresa responsável
Resposta ao pedido de informações	Extensão do incidente e conduta da empresa	Empresa, mediante pedido
Prints de mensagens e ligações	Uso dos dados por terceiros	Você
Relatório do Registrato	Contas e empréstimos em seu nome	Banco Central, via gov.br
Extratos e faturas	Transações ou cobranças indevidas	Banco ou administradora
Boletim de ocorrência	Registro formal da fraude	Polícia Civil
Protocolos de reclamação	Tentativa de solução	Procon, consumidor.gov.br, ANPD
Consulta ao birô	Dados cadastrados e repasses	O próprio birô

Uma linha do tempo com a data de cada evento mostra o nexo entre o incidente e os efeitos. O artigo sobre como montar o dossiê e a linha do tempo serve de modelo.

Prazos, riscos e erros comuns

Há prazo de prescrição: depois dele, a indenização não pode mais ser cobrada judicialmente. A regra aplicável e o marco inicial, como a data em que você soube do vazamento ou do dano, dependem do enquadramento e devem ser conferidos no caso concreto. Registros digitais se perdem; organizar as provas não precisa esperar o Tema 1.404.

• Achar que todo vazamento gera indenização automática. Para dados comuns, a tendência é exigir prova.
• Apagar mensagens de golpistas. Podem ser a principal prova.
• Confundir MED com indenização. O MED devolve valores entre instituições; a indenização civil é outra via.
• Processar a empresa errada. O vazamento pode ter vindo de um fornecedor.
• Tratar dado comum como sensível. A vulnerabilidade do titular, sozinha, não muda a natureza do dado.

💬 Tem o comunicado e alguns prints, mas não sabe se bastam? A análise verifica lacunas de prova, o prazo aplicável e o impacto do Tema 1.404. Solicitar análise pelo WhatsApp

Quando a orientação individual faz diferença

Costuma ser útil quando vazaram dados sensíveis, quando houve fraude com perda financeira, quando a empresa se recusa a informar ou quando o caso envolve birô. O pedido à empresa traz informações, raramente indenização; reclamações geram registro e pressão; a ação judicial discute dano moral e material, com resultado dependente da prova e do entendimento aplicado.

O que analisamos em casos como esse

• Classificação do dado pelo art. 5º, II, da LGPD.
• Origem do incidente: ataque, falha interna, erro ou repasse deliberado.
• Identificação de controlador, operador e birô.
• Enquadramento nos precedentes AREsp 2.130.619/SP, REsp 2.121.904/SP, REsp 2.201.694/SP e REsp 2.221.650/SP.
• Efeito da pendência do Tema 1.404.
• Nexo temporal entre vazamento e golpes ou cobranças.
• Separação entre dano material recuperado, em aberto e dano moral.
• Prazo prescricional e integridade das provas digitais.

Essa análise orienta a decisão, mas não garante resultado.

Perguntas frequentes

Vazamento de dados sempre gera dano moral?

Não. Para dados comuns, a Segunda Turma exigiu prova de prejuízo. Há precedente de dano presumido para dados sensíveis, e o repasse por birôs aguarda o Tema 1.404.

Qual a diferença entre dados sensíveis e não sensíveis para indenização?

Depende do art. 5º, II, da LGPD. Dados sensíveis, como saúde e biometria, já levaram o STJ a presumir o dano; dados comuns, em regra, exigem prova dos efeitos.

Quando o STJ aplica o dano presumido?

Em decisões de Turma: vazamento de dados sensíveis em seguro de vida e, na Terceira Turma, repasse indevido por birô, entendimento contrariado pela Quarta Turma.

Ligações de golpistas depois do vazamento ajudam o caso?

Sim, se registradas. Prints, números e datas mostram o uso efetivo dos dados.

Posso reclamar na ANPD e também entrar na Justiça?

Sim. A ANPD fiscaliza a LGPD; a indenização individual é discutida no Judiciário.

Resumo prático

• Dados comuns: reúna provas dos efeitos.
• Dados sensíveis: prove o vazamento e a natureza do dado.
• Birô de crédito: há divergência; Tema 1.404 pendente.
• Sempre: comunicado, protocolos, prints, Registrato e linha do tempo.

Próximo passo: organizar os documentos para análise

O dano moral por vazamento de dados não se resolve com regra única: depende do dado, da origem da exposição, das provas e de um entendimento do STJ ainda em formação. Com o comunicado, as respostas da empresa, os registros de contatos e os extratos, é possível avaliar a viabilidade jurídica e decidir entre via administrativa e ação. Para solicitar análise da situação, envie os documentos pelo WhatsApp do escritório.

A atuação é coordenada pelo Dr. Gutemberg do Monte Amorim, OAB/GO 33.567, com sede em Goiânia e atendimento online para todo o Brasil.

Fontes e atualização

[1] Presidência da República. Constituição Federal, art. 5º, X e LXXIX. https://www.planalto.gov.br/ccivil_03/constituicao/constituicao.htm. Pesquisa revisada em 07/11/2026.

[2] Presidência da República. Lei 13.709/2018 (LGPD), arts. 5º, II, e 42. https://www.planalto.gov.br/ccivil_03/_ato2015-2018/2018/lei/l13709.htm. Pesquisa revisada em 07/11/2026.

[3] STJ. Informativo 766, AREsp 2.130.619/SP. https://processo.stj.jus.br/jurisprudencia/externo/informativo/?livre=%40CNOT%3D019794. Pesquisa revisada em 07/11/2026.

[4] STJ. Informativo 842, REsp 2.121.904/SP. https://processo.stj.jus.br/jurisprudencia/externo/informativo/?livre=%40CNOT%3D021380. Pesquisa revisada em 07/11/2026.

[5] STJ. Notícia de 05/09/2025, REsp 2.201.694/SP. https://www.stj.jus.br/sites/portalp/paginas/comunicacao/noticias/2025/05092025-disponibilizacao-indevida-de-informacoes-pessoais-em-banco-de-dados-gera-dano-moral-presumido.aspx. Pesquisa revisada em 07/11/2026.

[6] STJ. Notícia de 13/02/2026, REsp 2.221.650/SP. https://www.stj.jus.br/sites/portalp/Paginas/Comunicacao/Noticias/2026/13022026-Disponibilizacao-nao-autorizada-de-dados-pessoais-nao-sensiveis-em-cadastro-positivo-nao-gera-dano-moral-presumido.aspx. Pesquisa revisada em 07/11/2026.

[7] STJ. Tema Repetitivo 1.404. https://processo.stj.jus.br/repetitivos/temas_repetitivos/pesquisa.jsp?cod_tema_final=1404&cod_tema_inicial=1404&novaConsulta=true&tipo_pesquisa=T. Pesquisa revisada em 07/11/2026.

Atualizado em: 07/11/2026

Responsável pela revisão jurídica:

Este conteúdo é informativo e não substitui a análise individual do seu caso. O entendimento do STJ sobre dano moral em vazamentos e repasses de dados ainda não está uniformizado, e o julgamento do Tema 1.404 pode alterar as conclusões para casos envolvendo birôs de crédito.