Condenações relacionadas a vazamentos de dados chegaram a R$ 10 mil entre os mais de 60 casos analisados pela Turivius, plataforma de inteligência jurídica. O levantamento jurimétrico identificou que os valores e o reconhecimento do dano moral variam conforme o tipo de informação exposta, a ocorrência de fraude, a comprovação do incidente, o nexo causal e a repercussão concreta sobre o titular. A análise reuniu decisões sobre vazamento de dados, compartilhamento indevido, incidentes de segurança e fraudes subsequentes e apontou diferenças relevantes na forma como os tribunais avaliam a responsabilidade.
O levantamento mostra que, nos casos envolvendo dados cadastrais comuns, como nome, CPF, telefone, endereço e e-mail, prevalece o entendimento de que a exposição não gera automaticamente dano moral presumido. Tribunais como TJSP, TJMG, TJGO, TJPR, TJRS, TJSC, TJPE e o próprio Superior Tribunal de Justiça (STJ) aparecem na amostra com decisões que exigem demonstração de consequência concreta, fraude vinculada ao incidente, prejuízo ou efetiva violação a direitos da personalidade. A simples notícia de que dados foram expostos, inclusive em ambientes como a dark web, não tem sido suficiente em diversos julgados.
Os resultados do levantamento mostram que a responsabilização depende cada vez mais da capacidade de comprovar a relação entre o incidente, a origem dos dados e os prejuízos efetivamente sofridos pelo titular. Para Danilo Limoeiro, CEO e cofundador da Turivius, essa mudança de foco ajuda a explicar por que diferentes tipos de vazamento têm recebido tratamentos distintos pela Justiça. “O vazamento, isoladamente, não é tratado de forma uniforme como dano moral. O que ganha peso na jurisprudência é a capacidade de estabelecer quem teve acesso aos dados, como eles foram utilizados e quais consequências concretas decorreram desse incidente”, afirma.
Nos casos do setor financeiro, quando fraudadores utilizam informações específicas e sigilosas da relação do consumidor com a instituição, como número de contrato, parcelas, saldo devedor, dados de financiamento ou informações de benefícios, aumenta a possibilidade de reconhecimento de falha de segurança, fortuito interno e nexo causal. Em um dos precedentes analisados, o STJ reconheceu responsabilidade em fraude praticada com dados de financiamento; em outro, de 2025, a Corte reconheceu dano moral em caso de fraude precedida por vazamento de dados sigilosos.
Essa diferença aparece quando a fraude é praticada por terceiros sem evidência de que informações sigilosas tenham sido obtidas a partir do controlador. Casos envolvendo engenharia social, sites falsos ou consumidores que fornecem diretamente códigos e informações aos fraudadores podem resultar no afastamento da responsabilidade quando não há prova de vulnerabilidade atribuível à instituição. Nesses cenários, os tribunais têm recorrido a conceitos como fortuito externo, culpa exclusiva de terceiro ou ausência de nexo causal para afastar a condenação.
A análise também identificou uma categoria própria de risco envolvendo compartilhamento ou comercialização não autorizada de dados. Em decisões do Tribunal de Justiça do Ceará (TJCE), a disponibilização deliberada de informações cadastrais a terceiros, sem consentimento ou base legal demonstrada, foi considerada suficiente para reconhecer dano moral presumido. Em um dos casos, a indenização foi mantida em R$ 3 mil; em outro, elevada de R$ 3 mil para R$ 5 mil. A diferença em relação aos vazamentos comuns está na comprovação da circulação não autorizada dos dados, e não apenas na possibilidade abstrata de exposição.
Embora ainda não haja volume suficiente para estabelecer uma orientação estatística uniforme para todos os casos envolvendo dados sensíveis, os precedentes encontrados indicam maior gravidade quando há exposição de prontuários, exames, informações médicas ou outros dados relacionados à intimidade. Em um caso do TJRS, por exemplo, envolvendo acesso indevido a prontuário médico, houve condenação de R$ 5 mil; no TJMG, a exposição de informações médicas sensíveis resultou em indenização de R$ 1,5 mil.
Considerando apenas casos em que foi possível identificar o valor final e estabelecer relação específica com incidente de dados, a pesquisa encontrou condenações que vão de aproximadamente R$ 1,2 mil a R$ 10 mil. A faixa mais recorrente ficou concentrada entre R$ 3 mil e R$ 8 mil, enquanto casos envolvendo dados de saúde, prontuários e fraudes de maior gravidade chegaram a R$ 10 mil. A mediana prática da amostra de condenações individuais identificáveis ficou aproximadamente entre R$ 4 mil e R$ 5 mil, no entanto, os valores não constituem parâmetro nacional de arbitramento.
A evolução temporal também aponta para um aumento da presença de decisões relacionadas ao tema no acervo consultado. A pesquisa identificou maior concentração de julgados a partir de 2023, com crescimento de casos envolvendo fraude bancária, boletos falsos, engenharia social, dados contratuais e portabilidade. Em 2024 e 2025, aparecem com maior frequência discussões relacionadas a crédito, dark web, compartilhamento de dados, saúde e incidentes financeiros. O levantamento, contudo, ressalta que essa evolução representa o volume de decisões materialmente pertinentes localizado no acervo e pode refletir fatores como maior litigiosidade, indexação e amadurecimento da aplicação da LGPD, não permitindo inferir crescimento nacional do número de ações.
Entre os elementos que mais pesam para reconhecer ou afastar a responsabilidade está a prova técnica do nexo causal. Logs de acesso, rastreabilidade de compartilhamentos, relatórios de incidentes, cronologia entre o vazamento e eventual fraude, especificidade dos dados utilizados pelo fraudador, notificações aos titulares e registros dos controles de segurança podem ser determinantes para demonstrar a origem da exposição e sua relação com o dano alegado. A ausência de elementos mínimos, por outro lado, aparece de forma recorrente nas decisões de improcedência.
O estudo aponta, assim, quatro cenários principais de exposição judicial. Nos casos de dados comuns com alegação genérica ou alerta de dark web, a tendência predominante é de improcedência quando não há prova da fonte, do nexo ou de prejuízo concreto. Já o compartilhamento ou comercialização comprovadamente não autorizados podem abrir espaço para dano moral presumido. Fraudes posteriores envolvendo informações financeiras específicas aumentam o risco de responsabilização quando o nexo é demonstrado, enquanto a exposição comprovada de dados sensíveis, especialmente informações médicas, apresenta maior potencial de reconhecimento de dano moral.
Para empresas, o cenário reforça a necessidade de tratar a resposta a incidentes também como uma estratégia de gestão de risco jurídico. Além da adoção de medidas técnicas e administrativas de segurança, a documentação do ocorrido, a preservação de evidências, a rastreabilidade dos acessos e compartilhamentos e a comunicação adequada aos titulares podem influenciar a capacidade de demonstrar diligência e delimitar responsabilidades. Entre os cenários de maior exposição identificados estão dados sensíveis, informações financeiras detalhadas, fraude consumada, prejuízo patrimonial, falhas documentadas nos controles e compartilhamento não autorizado com terceiros.
Na avaliação de Limoeiro, a preparação pode ser decisiva para reduzir a exposição jurídica das empresas e delimitar responsabilidades quando um vazamento acontece. “Entre os precedentes analisados, a principal mensagem é que a LGPD não criou uma regra segundo a qual todo vazamento resulta automaticamente em indenização. A jurisprudência está diferenciando o incidente em si das consequências concretas que ele produz. Isso significa que prevenção, rastreabilidade e capacidade de produzir evidências são fundamentais não apenas para reduzir a ocorrência de incidentes, mas também para administrar a exposição jurídica quando eles acontecem”, conclui o CEO.
