REsp 2.221.650-SP

A mera exposição de dados pessoais não gera dano moral automático; é indispensável provar que a conduta do responsável pelo banco de dados causou uma lesão concreta e relevante aos direitos de personalidade do indivíduo. Cinge-se a controvérsia a saber se a simples disponibilização de dados pessoais de consumidores, sem sua prévia comunicação e consentimento, a consulentes que desejam utilizar esse banco de dados, dá ensejo à indenização por danos morais. A Lei Geral de Proteção de Dados (Lei n. 13.709/2018) remete à legislação específica a delimitação das situações em que o tratamento de dados pessoais se enquadra em atividades voltadas à proteção do crédito. Nesse sentido, a Lei do Cadastro Positivo (Lei n. 12.414/2011), que trata especificamente do sistema de credit scoring , não confere autorização para que os gestores compartilhem livremente dados pessoais de terceiros com eventuais consulentes. A Lei do Cadastro Positivo prescreve expressamente que o gestor está autorizado a compartilhar as informações cadastrais e de adimplemento armazenadas com outros bancos de dados, bem como disponibilizar a consulentes apenas a nota de crédito, não contemplando a possibilidade de repasse a terceiros de outros dados ou histórico de crédito sem a anuência expressa do titular, o que reforça o caráter restritivo e protetivo da norma. Conclui-se, então, que, embora os gestores de bancos de dados para proteção de crédito possam realizar o tratamento de dados pessoais de terceiros e, inclusive, abrir cadastro sem prévio consentimento do cadastrado, em regra, não estão autorizados a disponibilizar tais dados a terceiros sem o consentimento prévio de seus titulares. Contudo, a disponibilização de dados pessoais de terceiros, por si só, ainda que não autorizada, não gera direito à indenização por dano moral. Com efeito, diferentemente dos dados sensíveis, cuja proteção é reforçada em razão de seu potencial discriminatório, os dados pessoais correspondem às informações ordinárias, frequentemente fornecidas em cadastros diversos, inclusive em plataformas digitais de uso cotidiano, não estando, via de regra, submetidos a regime jurídico de sigilo. Assim, para que se configure dano moral nesses casos, é necessário que o titular comprove efetivamente que os seus dados pessoais foram ilegalmente disponibilizados, compartilhados ou comercializados pelos gestores de bancos de dados para proteção de crédito e que esse fato resultou em abalo significativo aos seus direitos de personalidade. Nesse sentido, a Segunda Turma do STJ também já decidiu no AREsp 2.130.619/SP, julgado em 7/3/2023, que o vazamento de informações pessoais de terceiros, por si só, não gera danos morais presumidos ( in re ipsa ). A mera exposição de dados pessoais não gera dano moral automático ; é indispensável provar que a conduta do responsável pelo banco de dados causou uma lesão concreta e relevante aos direitos de personalidade do indivíduo. O STJ analisou se a simples disponibilização de dados pessoais de consumidores a terceiros, sem prévia comunicação ou consentimento, seria suficiente para caracterizar dano moral indenizável . A Corte reconheceu que, embora a Lei Geral de Proteção de Dados (LGPD) permita o tratamento de dados para fins de proteção do crédito, essa atividade deve observar a legislação específica , notadamente a Lei do Cadastro Positivo (Lei nº 12.414/2011) . Essa lei autoriza a abertura de cadastro independentemente de consentimento prévio, mas restringe severamente o compartilhamento de informações: o gestor pode disponibilizar a nota de crédito , e não o histórico completo ou outros dados pessoais, salvo autorização expressa do titular. Apesar disso, o Tribunal afirmou que a ilicitude do compartilhamento , por si só, não implica automaticamente dano moral . Diferentemente dos dados sensíveis, cuja proteção é reforçada pelo potencial discriminatório, os dados pessoais comuns são informações ordinárias, frequentemente fornecidas em cadastros diversos, inclusive em ambientes digitais cotidianos, e não estão, em regra, submetidos a sigilo absoluto. Assim, para a configuração do dano moral, é necessário que o titular demonstre efetivamente : (i) o compartilhamento indevido; e (ii) que desse fato decorreu abalo significativo aos seus direitos de personalidade. O STJ afastou, portanto, a aplicação do dano moral in re ipsa nesses casos.

Tese Jurídica Oficial

Decisões relacionadas

REsp 2.233.988-SP

CC 215.970-PR

Edição 140 - PROCESSO ADMINISTRATIVO DISCIPLINAR - III - Tese 3

Edição 140 - PROCESSO ADMINISTRATIVO DISCIPLINAR - III - Tese 6

Edição 140 - PROCESSO ADMINISTRATIVO DISCIPLINAR - III - Tese 5

Edição 140 - PROCESSO ADMINISTRATIVO DISCIPLINAR - III - Tese 1