Embora indesejável no tratamento de informações pessoais, o vazamento de dados, por si só, não tem a capacidade de gerar dano moral indenizável, sendo necessária a comprovação do efetivo prejuízo gerado pela exposição dessas informações.

O entendimento foi fixado de forma unânime pela Segunda Turma do Superior Tribunal de Justiça, ao dar provimento ao Recurso Especial da Eletropaulo (AREsp 2.130.619), reformando acórdão do Tribunal de Justiça de São Paulo (TJSP) que havia condenado a concessionária a pagar indenização por danos morais de R$ 5.000,00 (cinco mil reais) a titular de dados pessoais, em virtude do vazamento de suas informações.

 Na ação de reparação de danos, a cliente alegou que foram vazados dados pessoais como nome, data de nascimento, endereço e número do documento de identificação. Segundo a consumidora, os dados foram acessados por terceiros e, posteriormente, compartilhados com outras pessoas mediante pagamento – situação que, para ela, gerava potencial perigo de fraude e importunações.  O pedido foi julgado improcedente em primeiro grau, mas o TJSP reformou a sentença por entender que o vazamento de dados da consumidora configurou falha na prestação de serviços pela Eletropaulo.

 O ministro Francisco Falcão, relator do recurso da Eletropaulo, explicou que o artigo 5º, inciso II, da Lei Geral de Proteção de Dados Pessoais (LGPD) traz um rol taxativo dos dados pessoais considerados sensíveis, os quais, segundo o artigo 11, exigem tratamento diferenciado. Entre esses dados, estão informações sobre origem racial ou étnica, convicção religiosa, opinião política, filiação a sindicato ou organização religiosa, assim como dados referentes à saúde sexual e outros de natureza íntima.

 De acordo com o ministro, o TJSP entendeu que os dados vazados da cliente deveriam ser classificados como sensíveis, porém foram indicados apenas dados de natureza comum, não de índole íntima. Deste modo, esclareceu o relator que “revela-se que os dados objeto da lide são aqueles que se fornece em qualquer cadastro, inclusive nos sites consultados no dia a dia, não sendo, portanto, acobertados por sigilo, e o conhecimento por terceiro em nada violaria o direito de personalidade da recorrida”.

 Em seu voto, o ministro relator também afirmou que, no caso dos autos, o dano moral não é presumido, sendo necessário que o titular dos dados demonstre ter havido efetivo dano com o vazamento e o acesso de terceiros. “Diferente seria se, de fato, estivéssemos diante de vazamento de dados sensíveis, que dizem respeito à intimidade da pessoa natural. No presente caso, trata-se de inconveniente exposição de dados pessoais comuns, desacompanhados de comprovação do dano”, concluiu o ministro ao acolher o recurso da Eletropaulo e restabelecer a sentença.

A decisão é relevante porque, pela primeira vez, o STJ julgou se é possível a “presunção quase que automática” de danos morais em virtude de um incidente de segurança. Não obstante, trata-se de decisão polêmica, dividindo os especialistas. Se, de um lado, a decisão leva a uma tendência de contenção do ingresso de ações judiciais especulativas em matéria de proteção de dados, desencorajando aventureiros que litigam com o fim exclusivo de obter indenizações injustificáveis, por outro, impõe ao titular a prova do dano quando seu dado é vazado, o que, embora seja tecnicamente possível, na prática, mostra-se muito difícil. 

A expectativa é que essas discussões comecem a aumentar nos tribunais pátrios.

A íntegra da decisão pode ser acessada em: https://processo.stj.jus.br/processo/pesquisa/?aplicacao=processos.ea&tipoPesquisa=tipoPesquisaGenerica&termo=AREsp%202130619  

O JCM Advogados Associados permanece atento a todas as novidades e decisões para mantê-los sempre atualizados.