Receber uma ação de consumidor por vazamento de dados coloca a empresa diante de duas tarefas simultâneas: compreender o que realmente aconteceu e demonstrar isso com documentos confiáveis.

Uma resposta baseada apenas em “também fomos vítimas de um ataque” costuma deixar perguntas essenciais sem resposta.

Quais dados estavam sob responsabilidade do negócio? Houve acesso indevido? O consumidor integra o grupo atingido? Existe relação entre o incidente e o prejuízo alegado? Que medidas de segurança funcionavam naquela época? A defesa depende dessas respostas, da natureza do serviço e das regras aplicáveis.

O caminho responsável combina apuração técnica, preservação de provas, atendimento ao titular e estratégia jurídica. Isso permite contestar pedidos sem fundamento, reconhecer falhas comprovadas e avaliar soluções proporcionais. A empresa precisa proteger sua operação enquanto cumpre os direitos das pessoas cujas informações utiliza.

O cenário de 2026 mais dados de clientes mais necessidade de demonstrar cuidado

Em divulgação de 31 de agosto de 2026, o Cetic.br informou que 69% das empresas pesquisadas declararam armazenar dados pessoais de clientes ou usuários, conforme a tabela XP09. O mesmo estudo registrou que 32% contrataram consultorias ou assessorias externas especializadas em proteção de dados, conforme a tabela XP08B. Os indicadores empresariais vêm da TIC Empresas 2025, cujo universo abrange empresas brasileiras com dez ou mais pessoas ocupadas nos setores pesquisados; eles não representam automaticamente todos os MEIs e pequenos negócios. Veja a divulgação do Cetic.br e o relatório metodológico.

A publicação também informa que 32% dos usuários de Internet com 16 anos ou mais relataram tentativas de golpe com uso de seus dados pessoais. Esse indicador não identifica a origem de cada informação nem demonstra que determinada empresa causou uma fraude.

Para a gestão, a consequência prática é clara: armazenar informações cria a necessidade de explicar como elas circulam. Quando surge uma reclamação, contratos, permissões, registros de acesso e histórico de atendimento podem ser mais úteis do que uma política de privacidade extensa que ninguém executa.

Quando a empresa pode responder perante o consumidor

Os artigos 42 a 45 da LGPD tratam da reparação decorrente do tratamento de dados. A análise considera dano, violação e vínculo com a atividade do agente. O tratamento pode ser irregular por descumprimento da legislação ou por segurança inferior à legitimamente esperada. A lei também preserva as regras próprias das relações de consumo.

Nesse contexto, o artigo 14 do Código de Defesa do Consumidor estabelece responsabilidade do fornecedor de serviços por defeitos, independentemente de culpa, com as excludentes previstas na legislação. Isso não significa condenação por qualquer alegação: é preciso examinar o serviço, o defeito, o dano e a relação causal.

Uma defesa consistente identifica qual conduta está em discussão. A demanda pode questionar exposição de uma base, compartilhamento comercial indevido, falta de informação, acesso por funcionário ou fraude facilitada por vulnerabilidade. Cada situação exige documentos diferentes.

Também é necessário distinguir dados comuns de dados sensíveis. Nome e CPF, isoladamente, não se tornam sensíveis só porque foram expostos. Informações de saúde e biometria vinculada à pessoa recebem proteção reforçada. O conjunto dos dados e a finalidade do uso, entretanto, podem tornar grave um episódio envolvendo informações cadastrais.

Um ataque de terceiro afasta a responsabilidade

A participação de criminosos precisa ser investigada, mas não elimina automaticamente os deveres da empresa. É necessário apurar se controles inadequados, acesso excessivo, credenciais compartilhadas ou demora na contenção contribuíram para o resultado.

No REsp 2.147.374/SP, julgado em 3 de dezembro de 2024, a Terceira Turma do STJ manteve obrigações de informação ao titular em caso de ataque hacker, sem reconhecer a exclusão de responsabilidade pretendida. O julgamento tratou da falta de comprovação da responsabilidade exclusiva de terceiro e da efetividade das medidas de proteção. Não foi uma condenação universal por todo ataque. Consulte o Informativo 838 do STJ.

Dano moral por vazamento por que a defesa precisa comparar os casos

O argumento “o STJ já decidiu que vazamento não gera indenização” é amplo demais. Há julgados com contextos e conclusões distintos. Antes de invocar um precedente, a empresa deve comparar natureza dos dados, atividade econômica, conduta discutida, consequências e provas disponíveis.

Dados comuns e cadastro positivo

No REsp 2.221.650/SP, julgado pela Quarta Turma em 4 de novembro de 2025 e divulgado em notícia de fevereiro de 2026, o STJ afastou dano moral presumido no contexto de dados não sensíveis e cadastro positivo. A conclusão considerou, entre outros pontos, a ausência de demonstração de disponibilização indevida e de abalo concreto. Veja a notícia oficial sobre o julgamento.

Já no REsp 2.201.694/SP, julgado pela Terceira Turma em 5 de agosto de 2025, houve reconhecimento de dano moral presumido pela disponibilização indevida de informações cadastrais e de adimplemento a terceiros consulentes, no regime do histórico de crédito. A distinção consta do Informativo extraordinário 29 do STJ.

Esses precedentes não autorizam nem a cobrança automática por qualquer exposição nem a conclusão de que dados comuns nunca geram dano moral. Compartilhar deliberadamente informações para uma finalidade comercial irregular também exige análise diferente de um incidente cuja extensão permanece em apuração.

Na consulta de 23 de outubro de 2026, o Tema 1404 do STJ permanecia afetado, sem tese de mérito publicada. Ele discute disponibilização ou comercialização de dados não sensíveis por gestores de bancos de dados de proteção ao crédito e eventual dano moral presumido. A suspensão registrada tem alcance processual específico; não paralisa todas as ações de LGPD. Confira o andamento oficial do Tema 1404.

Dados sensíveis e exposição da intimidade

No REsp 2.121.904/SP, de 11 de fevereiro de 2025, a Terceira Turma reconheceu responsabilidade objetiva e dano moral presumido por vazamento de dados sensíveis fornecidos na contratação de seguro de vida. A decisão vinculou o resultado às características daquele serviço e à exposição das informações. Consulte o acórdão do STJ.

Para empresas que trabalham com saúde, seguros, biometria ou informações íntimas, isso reforça a importância de classificar corretamente os dados. Não basta usar a mesma resposta preparada para uma lista de nomes e telefones.

Como organizar a prova antes de formular a defesa

A primeira providência gerencial é reunir uma equipe pequena com responsáveis definidos: direção, jurídico, tecnologia, atendimento e quem administra os fornecedores envolvidos. A investigação deve produzir uma versão verificável dos fatos, com indicação do que já foi confirmado e do que ainda depende de análise.

1 Preserve os registros e construa uma cronologia

Reúna a reclamação, a petição recebida, os avisos de incidente, os chamados técnicos e as comunicações relevantes. Registre quando ocorreu o evento, quando foi identificado, quais sistemas foram afetados e quando cada medida foi adotada.

Preserve arquivos originais e metadados quando disponíveis. Documente quem coletou o material, de onde ele veio e quais alterações foram necessárias para examiná-lo. A equipe técnica deve evitar que restauração, atualização ou exclusão automática destruam evidências úteis.

Não existe vantagem em preencher retrospectivamente um documento como se ele tivesse sido criado antes do incidente. Se a empresa está reconstruindo a cronologia agora, deve registrar isso. A separação entre registro contemporâneo e relato posterior aumenta a credibilidade do conjunto.

2 Delimite a base atingida e a situação do consumidor

Uma notícia sobre incidente na empresa não demonstra, sozinha, que todos os clientes tiveram as mesmas informações expostas. Verifique qual ambiente foi afetado, quais campos existiam ali e se o cadastro do autor estava nessa base no período pertinente.

Faça essa verificação com critérios reproduzíveis. Uma planilha sem identificação de origem pode ser insuficiente para explicar a conclusão. Quando houver limitação técnica para individualizar atingidos, relate a limitação e as medidas adotadas para reduzi-la.

A conclusão precisa ser proporcional ao alcance da análise. “Não localizamos acesso indevido nos registros disponíveis” é diferente de “é impossível que tenha ocorrido acesso”. A ausência de registros também precisa ser explicada, especialmente quando eles estavam sob controle da própria empresa.

3 Relacione a informação exposta ao prejuízo alegado

Examine quais dados foram usados na fraude ou na exposição descrita. Um criminoso sabia apenas um nome ou conhecia número de pedido, endereço de entrega, vencimento e contato de um atendente? A especificidade das informações pode fortalecer ou enfraquecer determinada hipótese causal.

Compare a data do cadastro, o período do incidente, a abordagem fraudulenta e o pagamento questionado. Considere também outras fontes possíveis, sem presumir culpa do consumidor. Hipóteses alternativas precisam de suporte; mencionar genericamente “outros vazamentos” não esclarece o caso.

O artigo sobre como provar o nexo causal entre vazamento e golpe ajuda a compreender por que a compatibilidade entre dados, tempo e modo de execução importa. Na defesa empresarial, essa mesma lógica exige disponibilizar os registros que estão com o negócio.

4 Demonstre os controles efetivamente existentes

Reúna evidências de permissões, autenticação, atualização de sistemas, cópias de segurança, treinamento e revisão de acessos. O objetivo é explicar como funcionava o processo na época dos fatos, quais riscos haviam sido identificados e quais providências eram adotadas.

Uma certificação, um contrato de software ou um relatório de consultoria pode ajudar, mas não substitui a demonstração do funcionamento dos controles relacionados ao incidente. Se uma conta de ex-funcionário permaneceu ativa, a política que manda cancelar acessos precisa ser comparada com a execução real.

O relatório técnico deve esclarecer metodologia, fontes examinadas e limites. Conclusões absolutas sem base verificável tornam a discussão mais frágil e podem gerar contradição com informações posteriormente obtidas.

5 Documente atendimento e medidas de redução do dano

Preserve protocolos, respostas enviadas, orientações e providências oferecidas. Verifique se o titular recebeu informação compreensível ou apenas respostas automáticas que não enfrentaram seu pedido.

O atendimento deve encaminhar questões técnicas para quem pode apurá-las. Repetir solicitações de documentos já apresentados, exigir informações excessivas para identificar o titular ou encerrar o chamado sem justificativa pode ampliar o conflito.

Se a empresa recebeu uma reclamação ou ação e os documentos estão dispersos entre setores e fornecedores, o diagnóstico jurídico pode apoiar a identificação dos pontos que precisam de análise e a organização das informações relevantes.

Quem deve produzir a prova e como proteger informações no processo

A empresa não deve estruturar sua defesa supondo que o consumidor conseguirá apresentar registros internos aos quais nunca teve acesso. A legislação admite inversão do ônus da prova em favor do titular, conforme os requisitos e a decisão judicial. Nas relações de consumo, também devem ser observadas as regras de facilitação da defesa do consumidor.

Na prática, o jurídico precisa identificar quais fatos dependem dos registros empresariais e providenciar sua preservação. Contestar uma conclusão causal é legítimo; dificultar o acesso a elementos necessários à apuração pode prejudicar a própria defesa.

Isso não exige juntar indiscriminadamente bancos de dados inteiros. Se a prova contém dados de outras pessoas, credenciais ou detalhes de segurança, avalie apresentação restrita, redução do conteúdo e medidas processuais de proteção, conforme o caso. A seleção precisa manter o contexto e permitir conferência.

Não use a LGPD como justificativa genérica para recusar toda prova. A solução deve conciliar a finalidade processual com a proteção dos envolvidos, observando as bases legais e os limites aplicáveis ao exercício de direitos. Documentos técnicos sensíveis merecem planejamento de apresentação, não desaparecimento.

Fornecedor de tecnologia contrato não transfere sozinho o problema

Quando o incidente envolve plataforma, agência de marketing, nuvem ou sistema terceirizado, identifique quem decidia a finalidade do tratamento, quem executava instruções e quem tinha acesso ao ambiente. A denominação contratual não substitui o exame das atividades efetivamente realizadas.

Solicite ao fornecedor registros, descrição da arquitetura afetada, cronologia e medidas de contenção. Guarde os pedidos de cooperação e as respostas. Se há divergência sobre a origem do incidente, apresente-a como ponto em apuração, sem transformar suspeita em acusação pública.

Cláusulas sobre responsabilidade, aviso e ressarcimento podem orientar a relação entre contratantes, mas não eliminam automaticamente direitos do consumidor nem obrigações legais de cada participante. A possibilidade de cobrança posterior entre responsáveis exige exame próprio.

O gestor também deve conferir contratos de seguro eventualmente existentes, inclusive condições de aviso e cooperação. Uma apólice não significa cobertura para qualquer perda; a análise depende dos fatos e das cláusulas contratadas.

Dois exemplos hipotéticos de estratégias que mudam conforme a prova

Loja virtual com fraude em cobrança

Uma loja recebe ação porque o cliente pagou boleto falso após comprar um produto. A mensagem fraudulenta continha número do pedido, valor e endereço. O atendimento havia respondido que a empresa não tinha relação com o problema, sem consultar os registros.

A investigação identifica exportação incomum de pedidos por uma integração terceirizada. A defesa precisa examinar o acesso, a relação entre os dados exportados e o golpe, os controles da integração e a possibilidade de mitigação. Insistir que “o pagamento foi voluntário” não resolve essas perguntas.

Prestadora de serviços com alegação genérica de exposição

Uma prestadora é acionada depois de o consumidor receber mensagens com nome e telefone. Os registros disponíveis indicam que o incidente confirmado atingiu outro sistema, sem aquele cadastro. O negócio apresenta a delimitação técnica, explica a metodologia e responde às solicitações de informação.

Esse conjunto pode sustentar contestação do vínculo alegado. A conclusão dependerá das demais provas, e a empresa deve permanecer disponível para examinar elementos novos. Os exemplos são fictícios e não antecipam resultado judicial.

Defesa conciliação e correção da falha podem caminhar juntas

Antes de escolher a estratégia, identifique os pedidos: informação, interrupção de compartilhamento, correção, indenização material ou moral. Cada pretensão pode ter fundamento e prova próprios. A discussão sobre dano moral não dispensa resposta a uma obrigação de informação eventualmente cabível.

Compare consistência documental, extensão do problema, custos de produção de prova e consequências para pessoas atingidas. Uma negociação pode incluir esclarecimentos, correção de cadastro, medidas de proteção ou reparação proporcional, conforme a situação. O acordo precisa ter objeto claro e obrigações executáveis.

Corrigir uma vulnerabilidade não significa aceitar automaticamente todos os fatos alegados na ação. Da mesma forma, apresentar defesa não autoriza manter uma prática irregular. Documente a alteração, sua motivação e o efeito esperado, preservando evidências do estado anterior.

O prazo e a forma de resposta judicial dependem do procedimento e da comunicação recebida. Encaminhe a documentação ao jurídico assim que chegar, evitando aplicar um prazo encontrado na Internet sem verificar o processo concreto.

Multa da ANPD e indenização ao consumidor são questões diferentes

A ANPD atua na fiscalização e na aplicação das medidas administrativas de sua competência. Uma ação indenizatória busca reparação judicial, com exame dos respectivos pressupostos. Pode haver também atuação de órgãos de defesa do consumidor, conforme as atribuições aplicáveis.

Por isso, a ausência de multa administrativa não encerra automaticamente uma ação civil. Uma defesa apresentada em um procedimento também não substitui a manifestação exigida em outro. É importante manter coerência entre documentos e explicações, respeitando o objeto de cada apuração.

O conteúdo sobre resposta empresarial a incidentes de dados aprofunda a preparação operacional. Já o guia sobre direitos em caso de vazamento ajuda a equipe a compreender as dúvidas que chegam pelo atendimento.

Checklist para preparar a análise da defesa

• Separar petição, comunicações recebidas e identificação do procedimento.
• Preservar registros antes de restaurações ou exclusões automáticas.
• Construir cronologia com eventos, responsáveis e documentos de suporte.
• Identificar os dados tratados e a base potencialmente afetada.
• Verificar a presença do consumidor nessa base e os limites da apuração.
• Comparar as informações do incidente com as usadas no prejuízo alegado.
• Reunir contratos, instruções e respostas de fornecedores envolvidos.
• Documentar controles existentes e medidas corretivas implementadas.
• Centralizar protocolos e respostas dadas ao titular.
• Avaliar proteção de dados de terceiros na apresentação de provas.
• Separar pedidos de informação, correção e reparação.
• Definir estratégia para cada procedimento com apoio técnico e jurídico.

Como prevenir a repetição do conflito

Uma revisão útil começa pelo percurso real do dado: formulário, atendimento, sistema de vendas, integrações e descarte. Verifique quem acessa cada informação, por qual motivo e durante quanto tempo ela permanece armazenada.

Contratos devem prever cooperação em apurações, preservação de registros, comunicação e responsabilidades compatíveis com o serviço. A equipe precisa saber reconhecer reclamações de privacidade e encaminhá-las sem improvisar conclusões jurídicas.

Transforme falhas identificadas em providências com responsável e comprovação de execução. Revisar acessos, limitar exportações e testar o fluxo de atendimento produz informação concreta sobre o funcionamento da governança. Uma política atualizada precisa alcançar a rotina.

O que analisamos em casos como esse

Na análise jurídica, examinamos os pedidos do consumidor, os dados envolvidos, o papel de cada empresa, a cronologia, os registros disponíveis e a relação entre a conduta apontada e o dano. Comparamos os precedentes com os fatos e avaliamos lacunas que exigem esclarecimento técnico.

Também verificamos o atendimento prestado, a atuação dos fornecedores, os procedimentos paralelos, a necessidade de proteger documentos e as possibilidades de solução proporcional. A estratégia nasce desse conjunto, sem promessa de afastar responsabilidade ou de evitar toda demanda.

Perguntas frequentes

1 Ser vítima de ataque hacker basta para afastar a responsabilidade

Não. É preciso examinar os controles e a participação do ataque no resultado. A responsabilidade exclusiva de terceiro depende de demonstração compatível com os fatos e com o regime jurídico aplicável.

2 Todo vazamento gera dano moral automático

Não há uma regra universal assim. Natureza dos dados, uso indevido, consequências e contexto do julgamento fazem diferença. Há precedentes com conclusões distintas, que precisam ser comparados ao caso.

3 Dados comuns nunca geram indenização

Podem gerar, conforme a conduta e os efeitos demonstrados ou o entendimento aplicável. A classificação como dado comum não autoriza compartilhamento irrestrito nem afasta os direitos do titular.

4 O consumidor precisa apresentar os registros internos da empresa

Não se deve exigir que produza documentos aos quais não tem acesso. O juiz pode distribuir ou inverter encargos probatórios conforme a legislação, e a empresa deve preservar seus registros.

5 Uma política de privacidade comprova que o negócio estava adequado

Sozinha, não demonstra a execução dos controles. É necessário relacionar o documento às práticas, permissões, contratos e registros pertinentes ao episódio questionado.

6 Posso atribuir o problema ao sistema terceirizado

É preciso investigar o papel e a atuação de cada participante. Contratar uma plataforma não transfere automaticamente todas as obrigações perante o consumidor. A relação contratual entre empresas exige análise específica.

7 A empresa deve apagar os dados para reduzir o risco do processo

Não deve destruir elementos necessários à apuração. Retenção e eliminação precisam ser avaliadas conforme a finalidade, as obrigações aplicáveis e a preservação legítima de provas, com acesso restrito.

8 Fazer acordo significa admitir tudo o que o consumidor alegou

O alcance depende dos termos negociados. A solução pode delimitar obrigações e controvérsias, respeitando os direitos envolvidos. Deve ser compreensível, proporcional e juridicamente revisada.

9 Sem multa da ANPD a ação do consumidor perde o objeto

Não automaticamente. A fiscalização administrativa e a reparação judicial possuem finalidades e requisitos próprios. O resultado de uma frente precisa ser examinado em seu contexto.

10 O Tema 1404 suspende qualquer processo sobre dados

Não. O tema trata de hipótese específica envolvendo bancos de dados de proteção ao crédito, com alcance de suspensão delimitado. É necessário verificar o andamento e a correspondência com a questão discutida.

Se sua empresa precisa organizar a defesa, avaliar uma reclamação ou revisar contratos e registros após um incidente, reúna os documentos disponíveis e solicite análise pelo atendimento do escritório. A avaliação individual permite identificar riscos, provas e caminhos juridicamente adequados.

Conteúdo informativo. A aplicação depende dos fatos, documentos e normas vigentes, sem garantia de resultado.

Fontes oficiais e referências

• LGPD — Lei nº 13.709/2018, especialmente artigos 42 a 46 e 52.
• Código de Defesa do Consumidor — Lei nº 8.078/1990, especialmente artigos 6º e 14.
• br — divulgação da pesquisa Privacidade e Proteção de Dados Pessoais, 31/08/2026.
• br — relatório metodológico da TIC Empresas 2025, publicado em 2026.
• br — tabela XP09, dados pessoais de clientes e usuários.
• br — tabela XP08B, contratação de serviços de consultoria e assessoria.
• STJ — REsp 2.147.374/SP, Informativo 838.
• STJ — notícia de 13/02/2026 sobre o REsp 2.221.650/SP.
• STJ — REsp 2.201.694/SP, Informativo extraordinário 29.
• STJ — REsp 2.121.904/SP, acórdão publicado em 17/02/2025.
• STJ — Tema repetitivo 1404, situação consultada em 23/10/2026.

Referências consultadas em 23 de outubro de 2026.