![\"Vazamento\"](\"https:\/\/cj.estrategia.com\/portal\/wp-content\/uploads\/2025\/09\/16192440\/dano-moral-presumido-compartilhamento-informacoes-pessoais.png\")
<\/figure>\n<\/div>\n\n\nConsequentemente, esse assunto nos faz revisitar um outro tema que aqui j\u00e1 comentamos e j\u00e1 atingiu muitos consumidores:<\/p>\n\n\n\n
Vazamento de dados na XP: LGPD e jurisprud\u00eancia do STJ<\/a><\/p>\n\n\n\n Entretanto, como tem-se noticiado, a grande parte dos usu\u00e1rios n\u00e3o est\u00e3o recebendo danos morais nas senten\u00e7as at\u00e9 ent\u00e3o divulgadas:<\/p>\n\n\n\n Justi\u00e7a nega dano moral a investidores por vazamentos na XP<\/a><\/p>\n\n\n\n Como um trecho de uma senten\u00e7a aduz:<\/p>\n\n\n\n Nessa linha, o caso da XP Investimentos, ocorrido em mar\u00e7o de 2025, exemplifica perfeitamente os desafios enfrentados pelas institui\u00e7\u00f5es financeiras na prote\u00e7\u00e3o de dados pessoais<\/strong> e as consequ\u00eancias jur\u00eddicas decorrentes de incidentes de seguran\u00e7a.<\/p>\n\n\n\n Logo, este artigo examina o caso sob a perspectiva da Lei Geral de Prote\u00e7\u00e3o de Dados (LGPD)<\/a><\/strong> e da recente jurisprud\u00eancia do Superior Tribunal de Justi\u00e7a.<\/p>\n\n\n\n Em 22 de mar\u00e7o de 2025, a XP Investimentos sofreu um incidente de seguran\u00e7a que resultou no acesso n\u00e3o autorizado a uma base de dados hospedada em fornecedor externo.<\/p>\n\n\n\n Nessa linha, o epis\u00f3dio exp\u00f4s informa\u00e7\u00f5es sens\u00edveis de clientes, incluindo dados cadastrais completos (nome, telefone, e-mail, data de nascimento, estado civil) e informa\u00e7\u00f5es financeiras detalhadas (produtos contratados, n\u00famero da conta, saldo, posi\u00e7\u00e3o e limite de cr\u00e9dito).<\/p>\n\n\n\n Por outro lado, a corretora comunicou o incidente aos clientes apenas em 24 de abril de 2025, mais de um m\u00eas ap\u00f3s a descoberta. Ela alegou que a comunica\u00e7\u00e3o s\u00f3 poderia ser feita ap\u00f3s apura\u00e7\u00e3o completa do caso.<\/p>\n\n\n\n Como sabemos, a Lei Geral de Prote\u00e7\u00e3o de Dados estabelece em seu artigo 42 um sistema robusto de responsabilidade civil.<\/p>\n\n\n\n Nessa linha, o dispositivo consagra a responsabilidade objetiva dos agentes de tratamento, dispensando a comprova\u00e7\u00e3o de culpa e exigindo apenas a demonstra\u00e7\u00e3o do nexo causal<\/strong> entre o vazamento e o dano sofrido pelo titular dos dados.<\/p>\n\n\n\n Inclusive, esta responsabilidade \u00e9 refor\u00e7ada pelo art. 45 da LGPD, que expressamente remete \u00e0s regras do C\u00f3digo de Defesa do Consumidor nas rela\u00e7\u00f5es de consumo.<\/p>\n\n\n\n Consequentemente, aplica-se tamb\u00e9m o art. 14 do CDC, que estabelece responsabilidade objetiva do fornecedor de servi\u00e7os pelos danos causados aos consumidores por defeitos na presta\u00e7\u00e3o dos servi\u00e7os.<\/p>\n\n\n\n Como dissemos, os dados financeiros, embora n\u00e3o expressamente classificados como “sens\u00edveis” pelo artigo 5\u00ba, inciso II, da LGPD, ocupam posi\u00e7\u00e3o peculiar no espectro de prote\u00e7\u00e3o. Como observa a doutrina especializada, a confidencialidade das informa\u00e7\u00f5es financeiras integra a esfera \u00edntima do indiv\u00edduo, constituindo dimens\u00e3o significativa da privacidade econ\u00f4mica protegida constitucionalmente.<\/p>\n\n\n\n A exposi\u00e7\u00e3o de saldos, investimentos e limites de cr\u00e9dito possui caracter\u00edsticas que aproximam esses dados da categoria sens\u00edvel, especialmente considerando a prote\u00e7\u00e3o conferida pelo sigilo banc\u00e1rio (Lei Complementar 105\/2001) e pela privacidade econ\u00f4mica garantida pelo art. 5\u00ba, inciso X, da Constitui\u00e7\u00e3o Federal.<\/p>\n\n\n\n Agora, vamos ao entendimento do Superior Tribunal de Justi\u00e7a noticiado 05\/09\/2025, que tem desenvolvido jurisprud\u00eancia espec\u00edfica sobre vazamentos de dados, estabelecendo distin\u00e7\u00e3o importante entre diferentes categorias de informa\u00e7\u00f5es:<\/p>\n\n\n\n Em decis\u00e3o recente (AREsp 2130619-SP, Rel. Min. Francisco Falc\u00e3o), a Segunda Turma do STJ firmou entendimento de que “o vazamento de dados pessoais, a despeito de se tratar de falha indesej\u00e1vel no tratamento de dados de pessoa natural por pessoa jur\u00eddica, n\u00e3o tem o cond\u00e3o, por si s\u00f3, de gerar dano moral indeniz\u00e1vel”.<\/p>\n\n\n\n Nesta linha interpretativa, o titular precisaria comprovar efetivamente o dano decorrente da exposi\u00e7\u00e3o.<\/p>\n\n\n\n Por outro lado, a Terceira Turma do STJ, em julgado recente (REsp 2.121.904-SP, Rel. Min. Nancy Andrighi), estabeleceu que “o vazamento de dados sens\u00edveis<\/strong><\/u><\/strong> fornecidos para a contrata\u00e7\u00e3o de seguro de vida, por si s\u00f3, exp\u00f5e o consumidor a riscos relevantes \u00e0 sua honra, imagem, intimidade, patrim\u00f4nio, integridade f\u00edsica e seguran\u00e7a pessoal”, caracterizando dano moral presumido<\/strong><\/u><\/strong> (in re ipsa).<\/p>\n\n\n\n Ora, particularmente relevante para o caso XP \u00e9 o julgamento do REsp 2.201.694-SP, tamb\u00e9m relatado pela Ministra Nancy Andrighi. Na ocasi\u00e3o, tratou-se especificamente de disponibiliza\u00e7\u00e3o indevida de informa\u00e7\u00f5es em banco de dados para forma\u00e7\u00e3o de score de cr\u00e9dito.<\/p>\n\n\n\n Perceba, o ac\u00f3rd\u00e3o reconheceu que o gestor de banco de dados que disponibiliza para terceiros consultores informa\u00e7\u00f5es cadastrais e de adimplemento armazenadas deve responder objetivamente pelos danos morais causados ao cadastrado que s\u00e3o presumidos diante da forte sensa\u00e7\u00e3o de inseguran\u00e7a experimentada.<\/p>\n\n\n\n Dessa forma, aplicando a jurisprud\u00eancia do STJ ao caso XP, observa-se que a exposi\u00e7\u00e3o de dados financeiros detalhados se enquadra numa zona cinzenta entre dados comuns e sens\u00edveis.<\/p>\n\n\n\n Contudo, tr\u00eas fatores indicam a configura\u00e7\u00e3o de dano moral presumido:<\/p>\n\n\n\n Primeiro<\/strong>, a natureza das informa\u00e7\u00f5es expostas (saldos, posi\u00e7\u00f5es, limites de cr\u00e9dito) revela aspectos \u00edntimos da vida financeira dos titulares, aproximando-se da categoria de dados sens\u00edveis pela potencialidade lesiva.<\/p>\n\n\n\n Segundo<\/strong>, a comunica\u00e7\u00e3o tardia agrava a situa\u00e7\u00e3o, privando os titulares da possibilidade de adotar medidas preventivas tempestivas contra poss\u00edveis danos derivados do vazamento.<\/p>\n\n\n\n Terceiro<\/strong>, o precedente do REsp 2.201.694-SP estabelece que mesmo dados para forma\u00e7\u00e3o de score de cr\u00e9dito geram dano moral presumido, sendo os dados expostos pela XP ainda mais detalhados e sens\u00edveis.<\/p>\n\n\n\n Por fim, a ministra Nancy Andrighi, cujo voto prevaleceu no julgamento, ressaltou que, de acordo com a jurisprud\u00eancia consolidada do STJ, o gestor de banco de dados regido pela Lei 12.414\/2011 pode fornecer a terceiros apenas o score de cr\u00e9dito, sem necessidade de consentimento pr\u00e9vio do consumidor, e o hist\u00f3rico de cr\u00e9dito, desde que haja autoriza\u00e7\u00e3o espec\u00edfica do cadastrado, conforme prev\u00ea o artigo 4\u00ba, inciso IV, da mesma lei.<\/p>\n\n\n\n A ministra enfatizou que as informa\u00e7\u00f5es cadastrais e de adimplemento registradas nesses bancos de dados n\u00e3o podem ser repassadas diretamente a terceiros. O que se permite \u00e9 o compartilhamento apenas entre institui\u00e7\u00f5es de cadastro, nos termos do artigo 4\u00ba, inciso III, da Lei 12.414\/2011.<\/p>\n\n\n\n Nancy Andrighi concluiu que o gestor de banco de dados que, em desacordo com a legisla\u00e7\u00e3o, disponibiliza a terceiros informa\u00e7\u00f5es cadastrais ou de adimplemento do consumidor deve responder objetivamente pelos danos morais causados. Segundo a ministra, esses danos “s\u00e3o presumidos, diante da forte sensa\u00e7\u00e3o de inseguran\u00e7a” experimentada pela v\u00edtima.<\/p>\n\n\n\n Em suma, pensamos que esse precedente do STJ pode influenciar severamente o caso da responsabilidade civil \u00e0 luz do caso da XP.<\/p>\n\n\n\n A prova foi realizada com consulta a c\u00f3digos e(ou) legisla\u00e7\u00e3o.<\/p>\n\n\n\n \u201c(…\u201dPor fim, item 4, trata-se do ajuizamento de a\u00e7\u00e3o civil p\u00fablica (art. 5\u00b0, II da Lei n\u00b0 7.347\/1985), em raz\u00e3o da conduta violadora de Direitos Coletivos (g\u00eanero, esp\u00e9cies difusas, coletivos stricto sensu e os individuais homog\u00eaneos). Os pedidos se resumiriam em: a) repara\u00e7\u00e3o de danos, em decorr\u00eancia do vazamento de dados, a direitos individuais homog\u00eaneos (art. 81, par\u00e1grafo \u00fanico, III, CDC); b) condena\u00e7\u00e3o na obriga\u00e7\u00e3o de publiciza\u00e7\u00e3o do vazamento; e d) condena\u00e7\u00e3o em danos sociais, revertendo-se a indeniza\u00e7\u00e3o ao fundo previsto do art. 13 da Lei n\u00b0 7.347\/1985.\u201d<\/p>\n\n\n\n\u201cO simples recebimento de notifica\u00e7\u00e3o acerca de acesso n\u00e3o autorizado, sem a demonstra\u00e7\u00e3o de consequ\u00eancias objetivas, n\u00e3o configura, por si s\u00f3, viola\u00e7\u00e3o \u00e0 intimidade, \u00e0 honra ou \u00e0 integridade moral do indiv\u00edduo, diz a decis\u00e3o. \u201cA documenta\u00e7\u00e3o dispon\u00edvel revela que a r\u00e9 [XP] adotou medidas de conten\u00e7\u00e3o e comunica\u00e7\u00e3o, compat\u00edveis com os deveres de seguran\u00e7a e transpar\u00eancia impostos pelos arts. 46 e 50 da LGPD [Lei Geral de Prote\u00e7\u00e3o de Dados], o que refor\u00e7a a aus\u00eancia de neglig\u00eancia grave ou conduta omissiva pass\u00edvel de censura judicial\u201d, acrescenta.<\/pre>\n\n\n\n
Contextualiza\u00e7\u00e3o: XP Investimentos<\/h2>\n\n\n\n
Regime de Responsabilidade na LGPD<\/h3>\n\n\n\n
Classifica\u00e7\u00e3o dos dados expostos<\/h3>\n\n\n\n
Jurisprud\u00eancia do STJ sobre dano moral em vazamentos de dados<\/span><\/h2>\n\n\n\n
Vazamento de dados comuns<\/h3>\n\n\n\n
Vazamento de dados sens\u00edveis<\/h3>\n\n\n\n
O precedente do \u201cScore de Cr\u00e9dito\u201d<\/h3>\n\n\n\n
Danos s\u00e3o presumidos diante da sensa\u00e7\u00e3o de inseguran\u00e7a<\/span><\/h3>\n\n\n\n
Como o tema j\u00e1 caiu em discursivas<\/span><\/h2>\n\n\n\n
Ano: 2023 Banca: Banca Pr\u00f3pria, FGV \u00d3rg\u00e3o: DPE-RJ Prova: Defensor P\u00fablico (DPE RJ - 2023) Carreira: Defensoria P\u00fablica Cargo: Defensor P\u00fablico Estadual<\/strong>
Dev\u00eancio, 58 anos, desempregado, atualmente benefici\u00e1rio do bolsa fam\u00edlia, amarga atrasar quatro presta\u00e7\u00f5es do financiamento de sua quitinete, localizado no bairro de Iraj\u00e1. Como logrou ganhar na loteria R$ 4.000,00, Dev\u00eancio enviou um e-mail para a institui\u00e7\u00e3o financeira credora, pessoa jur\u00eddica de direito privado, o banco CAIX\u00c3O ECON\u00d4MICO, solicitando os valores atualizados para quita\u00e7\u00e3o de seu d\u00e9bito.
Uma semana depois, recebe resposta via WhatsApp de algu\u00e9m se identificando como funcion\u00e1rio da ag\u00eancia banc\u00e1ria onde possu\u00eda conta na referida institui\u00e7\u00e3o financeira. Junto \u00e0 mensagem, al\u00e9m do nome completo de Dev\u00eancio, foi encaminhado um documento, com o timbre do banco, onde havia a informa\u00e7\u00e3o de seu CPF, endere\u00e7o, n\u00famero do contrato, o n\u00famero das presta\u00e7\u00f5es em aberto e, por fim, o valor atualizado do d\u00e9bito que deveria ser quitado.
Demais disso, foi encaminhada uma chave Pix aleat\u00f3ria para pagamento at\u00e9 as 18 horas do mesmo dia, o que lhe renderia, caso observasse o prazo, um desconto de 20% sobre o valor total da d\u00edvida. Ansioso para aproveitar a oportunidade, ap\u00f3s duas tentativas infrut\u00edferas de ligar para seu banco, cuja linha estava ocupada, resolve fazer o pagamento no valor de R$ 2.000,00, recebendo, imediatamente, via WhatsApp, a c\u00f3pia de um documento referente a quita\u00e7\u00e3o de seu d\u00e9bito e a informa\u00e7\u00e3o de que o original seria encaminhado para seu endere\u00e7o nos pr\u00f3ximos 5 dias \u00fateis.
Passados os 5 dias e n\u00e3o tendo recebido o original do documento de quita\u00e7\u00e3o, Dev\u00eancio liga novamente para seu banco, desta feita logrando sucesso em falar com o gerente. Nesta oportunidade, Dev\u00eancio recebe a informa\u00e7\u00e3o estarrecedora de que ca\u00edra num golpe, j\u00e1 que a institui\u00e7\u00e3o jamais lhe contatara com tal finalidade, sendo certo que o e-mail enviado por Dev\u00eancio sequer fora respondido, at\u00e9 aquela data.
O gerente, diante da consterna\u00e7\u00e3o de Dev\u00eancio, que se culpava pelo infort\u00fanio, lhe informou que uma quadrilha havia se apoderado de dados de diversos clientes, por fontes alternativas e alheias \u00e0 institui\u00e7\u00e3o financeira, aplicando golpes semelhantes em in\u00fameras outras pessoas da mesma ag\u00eancia banc\u00e1ria, tendo o banco, por\u00e9m, mantido total sigilo acerca do ocorrido.
Inconformado, Dev\u00eancio procura o Juizado Especial C\u00edvel da Comarca onde reside e, sem a assist\u00eancia de Advogado ou Defensor, j\u00e1 que se tratava de pedido inferior a 20 sal\u00e1rios m\u00ednimos, deflagra uma demanda indenizat\u00f3ria, pedindo o ressarcimento do valor pago ao fals\u00e1rio e condena\u00e7\u00e3o do banco em danos morais. O pedido \u00e9 julgado improcedente, tendo o juiz considerado que n\u00e3o estaria caracterizado o nexo causal, al\u00e9m de ter havido culpa exclusiva do consumidor.
Diante dos fatos narrados, e na hip\u00f3tese de o autor indicar a Defensoria P\u00fablica para, doravante, exercer a defesa dos seus interesses, questiona-se:
1) qual a via processual para impugna\u00e7\u00e3o da referida decis\u00e3o, e
2) quais os argumentos para recha\u00e7o da senten\u00e7a?
3) Indique, ainda, se h\u00e1 algum outro meio impugnativo caso a senten\u00e7a venha a ser confirmada por ac\u00f3rd\u00e3o da Turma Recursal, ainda que por outro \u00f3rg\u00e3o de atua\u00e7\u00e3o da Defensoria P\u00fablica, fundamentando e indicando o \u00f3rg\u00e3o competente para julg\u00e1-lo.
4) Por fim, considerando que a institui\u00e7\u00e3o financeira, em atitude socialmente reprov\u00e1vel, ainda mant\u00e9m o malfadado vazamento de dados sob sigilo; e que in\u00fameros incautos consumidores continuam realizando pagamentos fraudulentos de d\u00edvidas em raz\u00e3o da a\u00e7\u00e3o dos estelionat\u00e1rios que se apropriaram das informa\u00e7\u00f5es sigilosas, explicite qual tipo de demanda deve ser manejada e a esp\u00e9cie de direitos e\/ou interesses estariam sendo lesados neste \u00faltimo caso.
A QUEST\u00c3O DEVE SER RESPONDIDA FUNDAMENTADAMENTE, MAS SEM A NECESSIDADE DE REDIGIR PE\u00c7A.
(30 linhas)
(20 pontos)<\/pre>\n\n\n\n
\n\n\n\nQuer saber quais ser\u00e3o os pr\u00f3ximos concursos?<\/span><\/h2>\n\n\n\n
Confira nossos artigos para Carreiras Jur\u00eddicas<\/a>!<\/pre>\n\n\n\n