Vazamento de dados: quando você tem direito a indenização

O vazamento de dados pessoais está cada vez mais comum no Brasil. Muitas pessoas só percebem o problema quando começam a receber ligações, mensagens ou tentativas de golpe de pessoas que já conhecem informações como nome, CPF e até salário.

Diante disso, surge uma dúvida importante: a empresa que expôs seus dados deve pagar indenização?

Neste artigo, você vai entender quando pode existir direito à indenização, o que o Superior Tribunal de Justiça (STJ) decidiu sobre o assunto em 2025 e 2026 e o que fazer caso alguém exponha seus dados.

O que é vazamento de dados pessoais?

É importante entender que existem situações diferentes.

O vazamento de dados acontece quando uma empresa perde o controle das informações pessoais que possui. Um ataque de hackers ou uma falha de segurança, por exemplo, pode provocar esse problema.

Já o compartilhamento indevido acontece quando a própria empresa fornece os dados para outras pessoas ou empresas sem a devida autorização.

Nos dois casos, terceiros podem ter acesso a informações que deveriam permanecer protegidas. Nome, CPF, endereço, telefone e hábitos de consumo, por exemplo, podem circular sem autorização e aumentar o risco de golpes e fraudes.

A Lei Geral de Proteção de Dados (LGPD) estabelece regras para proteger a privacidade das pessoas. As empresas devem proteger os dados pessoais e utilizá-los para finalidades adequadas. Quando uma empresa desrespeita essas regras, ela pode responder pelos danos que causar.

O que o STJ decidiu sobre vazamento de dados?

Em setembro de 2025, o Superior Tribunal de Justiça analisou um caso importante.

No REsp 2.201.694, a Terceira Turma reconheceu o dano moral presumido em um caso de compartilhamento irregular de informações.

Segundo o entendimento apresentado pela ministra Nancy Andrighi, responsável pelo caso, quem administra um banco de dados e fornece informações do consumidor a terceiros de forma contrária à lei pode responder por danos morais.

Isso significa que o consumidor não precisa provar que a empresa teve a intenção de prejudicá-lo.

Nesse caso, a vítima também não precisaria demonstrar um prejuízo específico, pois perder o controle sobre as próprias informações pode causar insegurança.

Esse entendimento também considera as regras da Lei do Cadastro Positivo (Lei nº 12.414/2011).

Por outro lado, em fevereiro de 2026, a Quarta Turma do STJ analisou outra situação no REsp 2.221.650.

Nesse caso, o Tribunal analisou dados considerados comuns, como endereço e telefone, presentes em cadastro positivo.

O STJ entendeu que a simples disponibilização de dados não sensíveis, por si só, não gera automaticamente uma indenização por dano moral.

Nessas situações, o consumidor precisa demonstrar que realmente sofreu um abalo importante em seus direitos.

De forma simples:

• Dados sensíveis ou informações compartilhadas de forma irregular: dependendo do caso, a Justiça pode considerar o dano presumido.
• Dados comuns em cadastro regular: o consumidor pode precisar provar que sofreu um prejuízo ou abalo significativo.

Informações de saúde, dados financeiros e senhas bancárias, por exemplo, podem tornar a situação mais grave.

Mesmo assim, cada caso exige uma análise individual. Por isso, é muito importante guardar provas desde o início.

O que fazer se seus dados forem expostos?

Se você perceber que alguém vazou ou utilizou seus dados de forma indevida, algumas atitudes podem ajudar:

• Guarde prints de mensagens, ligações suspeitas, e-mails e outras provas.
• Registre um boletim de ocorrência, principalmente se houver tentativa de golpe.
• Entre em contato com a empresa responsável e peça explicações por escrito.
• Denuncie a situação à Autoridade Nacional de Proteção de Dados (ANPD), que fiscaliza o cumprimento da LGPD.
• Troque suas senhas e ative a verificação em duas etapas sempre que possível.

Depois disso, busque orientação jurídica. Um advogado poderá analisar a situação, verificar se existem elementos para pedir indenização e indicar quais provas podem ser necessárias.

Qual é o valor da indenização por danos morais?

Não existe um valor fixo para indenização por dano moral no Brasil.

O juiz define o valor de acordo com as características de cada caso. Ele pode considerar, entre outros fatores, a gravidade da exposição e as circunstâncias envolvidas.

Por isso, ninguém pode garantir antecipadamente quanto uma pessoa receberá.

A exposição de informações sensíveis, por exemplo, pode gerar consequências diferentes da exposição de um simples número de telefone.

Dúvidas frequentes

Toda empresa que perde meus dados precisa me indenizar?

Não necessariamente. A resposta depende das circunstâncias, do tipo de informação exposta, da gravidade da situação e das provas existentes. O descumprimento das regras da LGPD também pode influenciar a análise do caso.

Preciso provar que tive prejuízo?

Depende. Em determinadas situações mais graves, a Justiça pode considerar o dano presumido. Em outros casos, principalmente quando a situação envolve dados comuns, a pessoa pode precisar demonstrar que sofreu um abalo significativo.

Qual é o prazo para entrar com uma ação?

Em regra, o prazo indicado para pedir reparação civil é de três anos. Por isso, é importante não deixar muito tempo passar antes de buscar orientação.

Conclusão

O vazamento ou o compartilhamento irregular de dados pessoais pode gerar direito à indenização por dano moral, dependendo da situação.

As decisões do STJ mostram que cada caso exige uma análise cuidadosa. Em algumas situações, a Justiça pode considerar o dano presumido. Em outras, a pessoa precisa demonstrar que a exposição das informações realmente provocou um prejuízo ou abalo significativo.

Por isso, ao perceber qualquer problema, guarde provas, registre o ocorrido, comunique a empresa responsável e, quando necessário, faça uma denúncia à ANPD.

Também é recomendável procurar um advogado de confiança para analisar o caso, sem promessa de resultado.