Dano moral presumido por uso indevido de dados pessoais: STJ confirma indenização sem prova de prejuízo
A proteção de dados pessoais deixou de ser um tema apenas tecnológico. Hoje, ela envolve privacidade, segurança, dignidade e responsabilidade civil. Quando informações pessoais são disponibilizadas a terceiros sem aviso prévio ou sem consentimento, o problema não está apenas no risco de fraude futura. A própria perda de controle sobre os dados já pode representar violação relevante aos direitos da personalidade.
Em setembro de 2025, o Superior Tribunal de Justiça reafirmou exatamente esse entendimento. A Terceira Turma reconheceu que a disponibilização indevida de dados pessoais em banco de dados para terceiros, sem comunicação prévia ao titular e sem consentimento válido, pode gerar dano moral presumido, também chamado de dano moral in re ipsa. Nessa situação, não é necessária a prova de prejuízo financeiro concreto para que haja indenização.
Essa orientação é especialmente relevante em casos envolvendo produtos e plataformas que organizam, monetizam ou disponibilizam dados de consumidores no mercado. E também reforça uma mensagem importante: dados pessoais não são simples informações neutras. Eles integram a esfera privada da pessoa e, quando tratados fora dos limites legais, podem gerar dever de indenizar.
O que o STJ decidiu sobre dano moral presumido em casos de dados pessoais
Segundo a divulgação oficial do STJ, a Terceira Turma entendeu que o gestor de banco de dados responde objetivamente quando disponibiliza a terceiros informações pessoais em desacordo com a Lei 12.414/2011. A ministra Nancy Andrighi destacou que, nessas hipóteses, há violação dos direitos da personalidade e o dano moral é presumido diante da sensação de insegurança imposta ao titular dos dados.
O julgamento também esclarece um ponto essencial: nem toda informação pode ser compartilhada da mesma forma. O score de crédito pode, em certas hipóteses, ser fornecido sem consentimento prévio. Já o histórico de crédito exige autorização específica do cadastrado. E informações cadastrais ou de adimplemento não podem ser livremente disponibilizadas a terceiros fora dos limites legais.
Na prática, isso significa que a empresa responsável pelo banco de dados não pode ampliar a circulação das informações pessoais do consumidor como se elas fossem um ativo comercial sem tutela jurídica. O tratamento de dados precisa respeitar base legal, finalidade, transparência e dever de informação.
O que é dano moral presumido ou dano moral in re ipsa
O dano moral presumido, também chamado de in re ipsa, é aquele que decorre do próprio fato ilícito. Em vez de exigir da vítima prova detalhada do sofrimento, do constrangimento ou do abalo concreto, o Direito reconhece que determinadas condutas, por si só, já ofendem direitos da personalidade.
No contexto da proteção de dados, isso é muito importante. A pessoa nem sempre consegue provar de forma imediata que perdeu dinheiro, sofreu fraude bancária ou teve prejuízo material direto. Mas isso não significa que não tenha havido lesão. Quando seus dados são disponibilizados sem autorização e sem aviso, há quebra de confiança, violação da esfera privada e sensação objetiva de vulnerabilidade.
Foi justamente esse raciocínio que o STJ reforçou ao admitir a indenização sem necessidade de demonstração de prejuízo financeiro concreto. O foco deixa de ser apenas a consequência econômica e passa a incluir a própria ofensa à autodeterminação informativa e à privacidade do titular.
Disponibilização indevida de dados pessoais não é a mesma coisa que mero vazamento
Esse é um ponto que precisa ser explicado com clareza.
O STJ já registrou que o mero vazamento de dados pessoais, em algumas situações, não gera automaticamente dano moral indenizável. Em determinados casos, a corte entendeu que seria necessária a demonstração de prejuízo efetivo, especialmente quando os dados expostos não são sensíveis e não há repercussão concreta comprovada.
Mas a situação julgada em 2025 é diferente. Ali, o problema não foi apenas um incidente passivo de segurança. O que se discutiu foi a disponibilização indevida de informações pessoais a terceiros em banco de dados, sem observância das exigências legais e sem comunicação adequada ao titular. Por isso, o STJ reconheceu o dano moral presumido.
Essa distinção é decisiva. Ela mostra que nem toda discussão sobre dados pessoais deve ser tratada do mesmo modo. O enquadramento jurídico correto do fato define se o dano será presumido ou se precisará de prova mais concreta.
Quando o compartilhamento de dados pessoais pode gerar indenização
A responsabilização pode surgir quando há tratamento ou compartilhamento de informações pessoais sem base legal adequada, sem notificação prévia ou sem consentimento quando ele é exigido. Em situações assim, o consumidor pode ter direito à reparação civil, especialmente quando a circulação das informações extrapola os limites legais do cadastro.
O próprio STJ já havia afirmado, em entendimento anterior, que o compartilhamento de informações por bancos de dados exige notificação prévia ao consumidor. Segundo a corte, o fato de os dados terem sido fornecidos em relações de consumo anteriores não autoriza, por si só, sua livre circulação no mercado.
Isso afeta diretamente discussões envolvendo consultas comerciais, produtos de mercado de crédito, plataformas de análise cadastral, ferramentas de prospecção e sistemas que permitem acesso de terceiros a dados pessoais sem transparência suficiente.
LGPD, Lei do Cadastro Positivo e responsabilidade civil
Embora o caso divulgado em 2025 tenha sido examinado à luz da Lei 12.414/2011, o raciocínio também dialoga com a lógica protetiva da LGPD. O STJ já destacou, ao analisar seus precedentes sobre proteção de dados, a importância dos princípios da transparência, da segurança, da finalidade e da correta informação ao titular.
Isso significa que o debate não se limita a uma lei específica. O pano de fundo é mais amplo: dados pessoais não podem ser tratados de forma opaca, excessiva ou incompatível com a expectativa legítima do titular.
Em termos práticos, a mensagem é simples. Quem trata dados precisa demonstrar que o faz de maneira lícita, informada e compatível com os limites legais. Quem sofre a exposição ou circulação indevida desses dados pode ter direito a tutela judicial, inclusive indenizatória.
É preciso provar prejuízo financeiro para pedir indenização?
Nessa hipótese específica, não.
Quando há disponibilização indevida de dados pessoais a terceiros, sem comunicação prévia e sem consentimento válido, o entendimento reafirmado pelo STJ é de que o dano moral pode ser presumido. Isso significa que a vítima não precisa comprovar empréstimo fraudulento, perda patrimonial imediata ou golpe consumado para buscar indenização.
A prova central passa a ser a do ato ilícito: a disponibilização indevida dos dados. Uma vez demonstrada essa conduta, a reparação pode ser reconhecida com base na própria violação da esfera privada e da autodeterminação informativa.
Esse ponto tem enorme relevância prática porque muitas pessoas deixam de procurar seus direitos por acreditarem que só haveria ação viável em caso de prejuízo bancário concreto. A decisão do STJ mostra que isso não é verdade em todos os casos.
O que fazer ao descobrir o uso indevido dos seus dados pessoais
Ao identificar que seus dados foram disponibilizados, compartilhados ou comercializados sem transparência adequada, o primeiro passo é reunir provas. Prints, e-mails, notificações, resultados de consultas, contratos, respostas administrativas e qualquer registro que demonstre a origem ou a circulação das informações podem ser importantes.
Também é recomendável solicitar formalmente esclarecimentos à empresa envolvida, pedindo a indicação da base legal utilizada, da origem dos dados, da finalidade do tratamento e da identidade de terceiros que tiveram acesso às informações.
Dependendo do caso, pode ser possível pedir judicialmente:
-
indenização por dano moral;
-
cessação do compartilhamento indevido;
-
exclusão ou bloqueio de dados tratados irregularmente;
-
apresentação de informações sobre a cadeia de tratamento;
-
correção de registros indevidos.
Tudo depende da prova disponível e da forma como o caso concreto se encaixa na legislação e na jurisprudência.
Por que esse tema tende a crescer nos próximos anos
Porque o uso econômico de dados pessoais só aumenta. Ferramentas de análise de crédito, prospecção, segmentação comercial e validação cadastral se tornaram parte do cotidiano do mercado. Quanto maior a circulação de dados, maior também o risco de tratamento abusivo, obscuro ou excessivo.
A jurisprudência do STJ mostra que a proteção da privacidade e da personalidade continua avançando nesse ambiente. Ao mesmo tempo em que a corte diferencia hipóteses de mero vazamento e casos que exigem prova de dano concreto, ela também deixa claro que certas formas de disponibilização indevida já são suficientemente graves para justificar indenização por si sós.
Para consumidores, isso amplia a proteção. Para empresas, aumenta o dever de governança, transparência e conformidade no tratamento de dados.
Conclusão
A decisão reafirmada pelo STJ em setembro de 2025 fortalece uma tese de alta relevância prática: a disponibilização indevida de dados pessoais a terceiros, sem aviso prévio e sem consentimento, pode gerar dano moral presumido. Isso significa que a indenização não depende, necessariamente, da prova de prejuízo financeiro concreto. A violação pode estar no próprio uso ilícito da informação e na perda de controle sobre os dados pessoais.
Trata-se de entendimento importante para ações envolvendo uso indevido de dados pessoais, responsabilidade civil de bancos de dados, violação da privacidade, cadastro sem transparência e proteção dos direitos da personalidade no ambiente digital.
Se houve exposição ou compartilhamento indevido das suas informações, a análise jurídica do caso precisa ser feita com cuidado, porque a forma de circulação dos dados, a ausência de aviso e a estrutura do banco de dados podem fazer toda a diferença no reconhecimento do direito à indenização.
FAQ
1. O que é dano moral presumido por uso indevido de dados pessoais?
É a situação em que a própria disponibilização indevida dos dados já é suficiente para gerar indenização, sem necessidade de provar prejuízo financeiro concreto.
2. O STJ reconheceu indenização sem prova de prejuízo financeiro?
Sim. Em setembro de 2025, o STJ reafirmou que a disponibilização indevida de dados pessoais a terceiros, sem comunicação prévia e sem consentimento, pode gerar dano moral presumido.
3. Todo vazamento de dados gera dano moral automático?
Não. O STJ já diferenciou hipóteses de mero vazamento de dados de situações em que há disponibilização indevida a terceiros em desacordo com a lei.
4. É possível pedir indenização contra banco de dados ou birô de crédito?
Sim, dependendo do caso concreto, especialmente quando houver compartilhamento indevido, ausência de aviso prévio ou tratamento incompatível com a legislação aplicável.
5. O que fazer se meus dados foram usados sem consentimento?
O ideal é reunir provas, pedir esclarecimentos formais à empresa e buscar análise jurídica para verificar a possibilidade de pedido de indenização e outras medidas de proteção.
