REsp 2.133.261-SP

Os gestores de banco de dados respondem objetivamente por danos morais causados pela disponibilização indevida de dados a terceiros. O gestor de banco de dados com a finalidade de proteção do crédito, pode realizar o tratamento de dados pessoais não sensíveis e abrir cadastro com informações de adimplemento de pessoas naturais e jurídicas, sem o consentimento prévio do cadastrado, em observância aos artigos 4º, I, da Lei n. 12.414/2011 e 7º, X, da Lei Geral de Proteção de Dados Pessoais - LGPD. Todavia, o gestor de banco de dados regido pela Lei n. 12.414/2011 somente pode disponibilizar a terceiros consulentes (I) o score de crédito (pontuação de crédito), sendo desnecessário o consentimento prévio; e (II) o histórico de crédito, mediante prévia autorização específica do cadastrado (nos moldes do Anexo do Decreto n. 9.936/2019), conforme o art. 4º, IV, a e b da referida lei. Por outro lado, em observância o inciso III do art. 4º da Lei n. 12.414/2011, as informações cadastrais e de adimplemento armazenadas somente podem ser compartilhadas com outros bancos de dados, que são geridos por instituições devidamente autorizadas para tanto na forma da lei e regulamento. Portanto, se um terceiro consulente tem interesse em obter as informações cadastrais do cadastrado, ainda que sejam dados pessoais não sensíveis, deve ele obter o prévio e expresso consentimento do titular, com base na autonomia da vontade, pois não há autorização legal para que o gestor de banco de dados disponibilize tais dados aos consulentes. Em relação à abertura do cadastro pelo gestor de banco de dados, embora não seja exigido o consentimento prévio, é necessária a comunicação ao cadastrado, inclusive quanto aos demais agentes de tratamento, podendo exigir o cancelamento do seu cadastro a qualquer momento, nos termos do art. 4º, I e § 4º, da Lei n. 12.414/2011, além de exercer os demais direitos previstos em lei quanto aos seus dados. A inobservância dos deveres associados ao tratamento (que inclui a coleta, o armazenamento e a transferência a terceiros) dos dados do titular - dentre os quais se inclui o dever de informar - faz nascer para este a pretensão de indenização pelos danos causados e a de fazer cessar, imediatamente, a ofensa aos direitos da personalidade. A disponibilização indevida de dados pessoais pelos bancos de dados para terceiros caracteriza dano moral presumido (in re ipsa) ao cadastrado titular dos dados, diante, sobretudo, da forte sensação de insegurança por ele experimentada. Dessa forma, o gestor de banco de dados que disponibiliza para terceiros consulentes o acesso aos dados do cadastrado que somente poderiam ser compartilhados entre bancos de dados - como as informações cadastrais - deve responder objetivamente pelos danos morais causados ao cadastrado, em observância aos artigos 16 da Lei n. 12.414/2011 e 42 e 43, II, da LGPD. Empresas que operam bancos de dados de crédito (cadastros/score/histórico) podem tratar alguns dados sem pedir consentimento prévio , mas isso não significa que podem “abrir” seus dados para qualquer empresa consultar o que quiser. Se o gestor entrega dados indevidamente a terceiros (especialmente dados que não poderiam ser fornecidos ao “consulente”), surge dano moral presumido ( in re ipsa ) e a responsabilidade é objetiva : o titular não precisa provar culpa, basta provar o fato e o vínculo com o dano. a) Quem é o “gestor de banco de dados” e o que ele pode fazer O gestor de banco de dados voltado à proteção do crédito (Lei 12.414/2011 ) pode: tratar dados pessoais não sensíveis e abrir cadastro com informações de adimplemento (sobre pessoas físicas e jurídicas) sem consentimento prévio , com base na Lei do Cadastro Positivo e na LGPD . Atenção (ponto essencial do STJ): “poder tratar” e “poder abrir cadastro” não é igual a “poder disponibilizar tudo para qualquer terceiro”. b) O que pode ser compartilhado com “terceiros consulentes” O STJ separa, com muita clareza, três camadas de informação: Score de crédito (pontuação) Pode ser disponibilizado ao consulente sem consentimento prévio . Histórico de crédito Só pode ser fornecido ao consulente mediante autorização prévia e específica do titular, nos moldes exigidos (padrão de autorização previsto em regulamento). Informações cadastrais e de adimplemento armazenadas (dados mais amplos) Não são “livres” para consulentes. Em regra, só podem ser compartilhadas com outros bancos de dados (isto é, com instituições autorizadas e dentro da forma legal). Portanto, se um consulente quer dados cadastrais (por exemplo: informações pessoais/identificadoras, detalhes cadastrais), ele deve obter consentimento prévio e expresso do titular, pois não há autorização legal para o gestor fornecer isso ao consulente como se fosse “consulta de crédito”. c) Dever de informar e direitos do titular Mesmo que o cadastro possa ser aberto sem consentimento, o titular deve ser comunicado , inclusive sobre os demais agentes envolvidos no tratamento. E ele pode: exigir cancelamento do cadastro; exercer os direitos previstos na legislação sobre seus dados. Quando o gestor descumpre deveres do tratamento (coleta, armazenamento, transferência), especialmente o dever de informar , nasce para o titular: o direito de cessar a ofensa (parar o compartilhamento/uso indevido), e a pretensão de indenização . d) Por que o dano moral é presumido (in re ipsa) O STJ afirma que a disponibilização indevida de dados pessoais provoca dano moral presumido , porque viola direitos da personalidade e gera forte sensação de insegurança (ex.: perda de controle sobre a circulação dos dados, risco de fraudes, uso indevido, exposição). Aqui, a lógica é: não se exige que a vítima prove “sofri ansiedade com laudo psicológico”. A violação em si já é suficiente para caracterizar dano moral. e) Por que a responsabilidade é objetiva O gestor responde objetivamente (sem necessidade de provar culpa) quando disponibiliza a terceiros dados que não poderia disponibilizar. Em termos de prova, o titular precisa demonstrar principalmente: o compartilhamento indevido (fato), e que o gestor foi o agente que permitiu /realizou a disponibilização.

Tese Jurídica Oficial

Decisões relacionadas

REsp 2.233.988-SP

CC 215.970-PR

Edição 140 - PROCESSO ADMINISTRATIVO DISCIPLINAR - III - Tese 3

Edição 140 - PROCESSO ADMINISTRATIVO DISCIPLINAR - III - Tese 6

Edição 140 - PROCESSO ADMINISTRATIVO DISCIPLINAR - III - Tese 5

Edição 140 - PROCESSO ADMINISTRATIVO DISCIPLINAR - III - Tese 1