Hoje, praticamente todas as atividades cotidianas passam pelo meio digital, o que faz com que dados pessoais como nome, CPF, informações bancárias e até hábitos de consumo sejam compartilhados com empresas de forma constante. Essa realidade traz praticidade, mas também aumenta os riscos, tornando essencial que essas informações sejam tratadas com segurança e responsabilidade.

​

Nesse contexto, ganha destaque a discussão sobre a responsabilidade civil das empresas quando ocorre vazamento de informações pessoais ou utilização indevida por terceiros.

​

A Lei Geral de Proteção de Dados Pessoais (Lei 13.709/2018) estabelece regras claras sobre esse tema, especialmente nos artigos 42 a 45, que tratam diretamente da responsabilidade civil.

​

De acordo com o art. 42, aquele que realiza o tratamento de dados pessoais é obrigado a reparar danos materiais ou morais causados ao titular quando houver violação da legislação.

​

Já o art. 44 dispõe que o tratamento será considerado irregular quando não observar a lei ou quando não oferecer a segurança que o titular pode legitimamente esperar, considerando as circunstâncias do caso. Complementando esse raciocínio, o art. 46 impõe às empresas o dever de adotar medidas técnicas e administrativas aptas a proteger os dados contra acessos não autorizados ou situações ilícitas.

​

Na prática, isso significa que não apenas o uso indevido dos dados pode gerar responsabilidade, mas também a ausência de mecanismos adequados de segurança. A falha na proteção das informações, por si só, pode ser suficiente para caracterizar defeito na prestação do serviço e ensejar o dever de indenizar, desde que haja prejuízo ao titular.

​

Esse entendimento tem sido reforçado pelo Superior Tribunal de Justiça, especialmente em casos envolvendo fraudes. No julgamento do Recurso Especial de nº 2077278/SP, foi consignado que “A configuração do dano moral decorre do evidente sentimento de insegurança experimentado pela parte ao perceber que seus dados foram disponibilizados indevidamente para terceiros, favorecendo a prática de atos ilícitos ou contratações fraudulentas por eventuais terceiros de má-fé.”

​

Nessa hipótese, o uso por terceiros de informações detalhadas sobre contratos, valores e operações do consumidor evidencia que houve deficiência na proteção dos dados, caracterizando o chamado fortuito interno, pelo qual a empresa responde por falha na segurança.

​

Por outro lado, o próprio Superior Tribunal de Justiça também ressalta que a responsabilidade não é automática. Para que haja condenação, é necessário verificar se existe nexo entre a atuação da empresa e o dano sofrido.

​

“Se comprovada a hipótese de vazamento de dados da instituição financeira, será dela, em regra, a responsabilidade pela reparação integral de eventuais danos . Do contrário, inexistindo elementos objetivos que comprovem esse nexo causal, não há que se falar em responsabilidade das instituições financeiras pelo vazamento de dados utilizados por estelionatários para a aplicação de golpes de engenharia social” (REsp 2.015.732/SP, julgado em 20/6/2023, DJe de 26/6/2023)

​

Quando não há elementos que indiquem que o vazamento de dados tenha decorrido de falha da empresa, pode-se afastar a responsabilidade, especialmente nas hipóteses em que o uso indevido dos dados pessoais decorre de ações externas ou indução do próprio titular a erro.

​

Dessa forma, a análise desses casos exige uma avaliação cuidadosa das circunstâncias concretas, especialmente quanto à origem dos dados pessoais utilizados e à existência de falha na segurança de quem os armazenava.

​

A proteção de dados pessoais deixou de ser apenas uma preocupação técnica e passou a ocupar papel central nas relações jurídicas. A legislação e a jurisprudência caminham no sentido de proteger o titular das informações, mas também estabelecem limites claros para a responsabilização.

​

Empresas que tratam dados pessoais no contexto de suas atividades possuem o dever legal e contratual de garantir a estrita guarda e segurança desse patrimônio digital. Falhas sistêmicas ou vulnerabilidades cibernéticas não são vistas pela jurisprudência como meros imprevistos, mas como riscos inerentes à própria atividade econômica (fortuito interno).

​

Portanto, a implementação de políticas robustas de governança de dados e conformidade digital é indispensável, sendo o caminho eficaz para mitigar a responsabilidade civil objetiva e proteger a reputação da marca perante o mercado.