Wiki Jurídica

Meus dados vazaram e viraram golpe: a conta chega para quem vazou e para o banco

Por , OAB/RJ 227191 · Revisão: Rafael Toledo · Atualizado em · 4 fontes oficiais verificadas

Existe um tipo de golpe que só funciona porque o criminoso sabe demais: chama a vítima pelo nome completo, cita o número da agência, o cartão que ela usa, às vezes a data exata de um pagamento. Ninguém adivinha esses dados — alguém os tratou mal e os deixou escapar. Quando a abordagem termina em transferência ou contratação fraudulenta, o prejuízo tem dois pais possíveis: a empresa que vazou e o banco que não barrou. A boa notícia é que o direito brasileiro alcança os dois. A Lei Geral de Proteção de Dados cuida do vazamento em si; o Código de Defesa do Consumidor e a jurisprudência do STJ cuidam da fraude que ele viabilizou.

Engenharia social com dados exatos: por que o vazamento é o elo inicial

Imagine uma aposentada que recebe ligação de um suposto funcionário do banco. A pessoa do outro lado sabe o CPF dela, os últimos lançamentos do cartão e o nome do gerente. Convencida, ela segue as instruções e autoriza uma transferência. A precisão das informações foi o instrumento do crime — sem elas, a ligação seria só mais um trote.

Juridicamente, isso importa porque a LGPD exige, no art. 46, que agentes de tratamento adotem medidas de segurança aptas a proteger os dados pessoais, e o art. 48 obriga o controlador a comunicar à Autoridade Nacional e ao titular os incidentes de segurança relevantes. O vazamento que municia o golpe é a prova viva de que essas obrigações falharam em algum ponto da cadeia.

Art. 42 da LGPD e Súmula 479: dois fundamentos que se somam

O art. 42 da LGPD é direto: quem, em razão do tratamento irregular de dados, causar dano ao titular fica obrigado a repará-lo. Se a origem do vazamento for identificada — uma loja, uma operadora, um órgão público, o próprio banco —, essa pessoa jurídica responde pelos danos decorrentes.

Já a fraude consumada dentro da conta atrai a Súmula 479 do STJ: as instituições financeiras respondem objetivamente por fraudes praticadas por terceiros no âmbito de suas operações, por se tratar de fortuito interno. Vazamento de dados de clientes bancários e golpes montados sobre eles são risco da atividade financeira. Os dois fundamentos podem conviver na mesma ação, contra réus diferentes, cada um pelo seu elo.

Rastrear a origem: pedidos de acesso, incidentes públicos e a prova do nexo

Descobrir quem vazou não é adivinhação. A LGPD dá ao titular o direito de perguntar a qualquer empresa quais dados ela mantém e com quem os compartilhou. Incidentes de segurança comunicados publicamente também ajudam a situar a época e a extensão do vazamento. Guarde os prints da abordagem do golpista: eles mostram exatamente quais dados o criminoso possuía, e é esse conjunto que se compara com o que cada empresa tratava.

O nexo causal é o ponto de batalha. Quanto mais específicos os dados usados no golpe — número de contrato, histórico de fatura, dados que só uma fonte detinha —, mais forte a ligação com aquela fonte. Dados genéricos, espalhados por muitos cadastros, enfraquecem a atribuição a uma empresa determinada.

O que os tribunais têm exigido para indenizar — e onde os pedidos falham

Aqui é preciso honestidade: o STJ já decidiu que o vazamento de dados, por si só, sem prejuízo demonstrado, nem sempre gera dano moral indenizável. O quadro muda quando o vazamento deságua em fraude consumada — aí existe dano material mensurável (o valor perdido) e o transtorno concreto que o acompanha.

Os pedidos costumam fracassar em duas situações: quando a vítima não consegue vincular os dados usados no golpe a uma fonte minimamente identificável, e quando a participação dela foi além do induzimento — por exemplo, entregar a senha e o token mesmo diante de alertas expressos do banco. Nesses cenários, a tese da culpa exclusiva do consumidor ganha força e pode absolver os réus.

Do protocolo à petição: a sequência que preserva seus direitos

Comece pelo banco: conteste formalmente as operações e peça a devolução, guardando protocolos. Acione o mecanismo de devolução do Pix quando a fraude envolver transferências instantâneas. Registre a ocorrência policial descrevendo os dados que o golpista demonstrou conhecer. Reclame no Banco Central contra a instituição e, se identificar a fonte do vazamento, notifique-a por escrito cobrando explicações com base na LGPD.

Sem solução administrativa, a ação judicial pode cumular a devolução dos valores, a reparação moral e, contra a fonte do vazamento, a obrigação de informar a extensão do incidente. Casos com múltiplos réus e discussão de nexo causal são tecnicamente densos — um advogado com prática em fraude bancária e proteção de dados monta essa engrenagem à distância, analisando seus documentos por meio digital e conduzindo o processo onde quer que os réus estejam.

Perguntas frequentes

Preciso descobrir quem vazou antes de processar o banco?

Não. A responsabilidade do banco pela fraude nas suas operações independe de saber a origem do vazamento. Identificar a fonte apenas acrescenta um segundo réu e um segundo fundamento.

Denunciar o vazamento à ANPD gera indenização para mim?

A Agência Nacional de Proteção de Dados aplica sanções administrativas à empresa, mas não paga indenização a vítimas. A reparação individual vem de acordo ou de ação judicial.

Proveniência

Conteúdo informativo; não substitui a análise individual de um advogado sobre o seu caso.

Conteúdos relacionados

Conteúdo informativo. Não substitui a análise individual de um advogado ou da Defensoria Pública sobre o seu caso.