Dados vazados usados para contratar consignado fraudulento

O que realmente precisa ser demonstrado no nexo

Ligar um vazamento a um contrato específico exige mais do que coincidência temporal. Três elementos costumam ser decisivos.

O primeiro é a correspondência entre os dados vazados e os dados usados na contratação. Se o incidente expôs número de benefício, documento de identidade e endereço, e foi exatamente esse conjunto que apareceu no contrato fraudulento — inclusive com endereço antigo, que você não usa mais —, a correspondência fala por si.

O segundo é a ordem cronológica documentada: a data do incidente, a data da comunicação e a data da contratação, com prova de cada uma.

O terceiro é a exclusão de outras origens plausíveis. Não se trata de provar o impossível, mas de demonstrar que não houve compartilhamento voluntário dos dados nem perda de documentos no período.

Um detalhe faz diferença na prática: dados desatualizados usados na fraude são a melhor pista disponível. Um endereço de cinco anos atrás ou um telefone que você não usa mais aponta para uma base de dados específica, congelada no tempo — e essa base tem dono.

A comunicação de incidente é um documento que a lei obriga a existir

É aqui que a Lei Geral de Proteção de Dados Pessoais oferece o instrumento mais concreto. Pelo art. 48 da Lei 13.709/2018, o controlador deve comunicar à autoridade nacional e ao titular a ocorrência de incidente de segurança que possa acarretar risco ou dano relevante, em prazo razoável definido pela autoridade.

O conteúdo mínimo dessa comunicação está listado no mesmo artigo e é exatamente o que interessa à sua contestação: a descrição da natureza dos dados afetados, as informações sobre os titulares envolvidos, as medidas técnicas e de segurança utilizadas, os riscos relacionados ao incidente, os motivos de eventual demora e as providências adotadas para reverter ou mitigar os efeitos.

Peça essa comunicação. Se ela existe, você tem um documento produzido pela própria empresa reconhecendo que os seus dados foram expostos. Se ela não existe, a omissão em si é descumprimento de dever legal e reforça a alegação de tratamento irregular.

Tratamento irregular e dever de segurança

A responsabilidade não depende de o titular provar negligência. O art. 44 da mesma lei define como irregular o tratamento que deixa de observar a legislação ou que não fornece a segurança que o titular dele pode esperar, consideradas o modo pelo qual é realizado, os riscos que razoavelmente se esperam e as técnicas disponíveis à época.

O art. 46 impõe aos agentes de tratamento a adoção de medidas de segurança, técnicas e administrativas, aptas a proteger os dados de acessos não autorizados. E o art. 42 fecha o desenho: quem, no exercício de atividade de tratamento, causa dano patrimonial ou moral em violação à legislação de proteção de dados é obrigado a repará-lo.

Para benefícios previdenciários há um reforço recente. A Lei 15.327/2026 inseriu na Lei 8.213/1991 dispositivo determinando que o tratamento de dados pessoais pelo Instituto Nacional do Seguro Social observe a Lei Geral de Proteção de Dados, inclusive quanto às sanções administrativas, à segurança e à vedação de compartilhamento não autorizado de dados dos beneficiários, sem prejuízo das responsabilidades penal e civil.

Duas frentes, dois prazos, dois adversários

A primeira frente é contra a instituição financeira que averbou o contrato. O pedido é de declaração de inexistência, cessação do desconto e devolução dos valores, e independe de saber de onde vieram os dados: o que se discute é a falha na verificação de identidade no momento da contratação.

A segunda frente é contra o controlador dos dados vazados, com pedido de reparação. Aqui a origem importa, e o processo tende a ser mais longo.

Há um caminho administrativo complementar: a reclamação à Agência Nacional de Proteção de Dados. Vale registrar, mas com expectativa correta — a autoridade fiscaliza e sanciona o infrator, não paga indenização ao titular. A reparação individual corre pela via judicial e não depende do resultado do processo administrativo.

O art. 206 do Código Civil dá três anos à pretensão de reparação civil — prazo que corre desde já e explica por que cada data precisa estar registrada desde o primeiro dia.

Uma frente corre contra o relógio e a outra depende de prova paciente. Conduzi-las ao mesmo tempo, sem que uma prejudique a outra, é o que costuma justificar a contratação de advogado particular — que trabalha com o comunicado de incidente e o contrato recebidos por via remota.

Quando o nexo não se sustenta

Vale conhecer as fragilidades antes de investir tempo nelas.

Vazamentos amplos e antigos, com dados que já circulam há anos em várias bases, dificultam a atribuição a um controlador específico. Quanto mais genérico o dado exposto — apenas nome e documento —, mais fraca a ligação com um contrato determinado.

Também enfraquece o pedido a existência de conduta do próprio titular no período: fornecimento de documentos a promotor de crédito desconhecido, clique em link de origem duvidosa, compartilhamento de senha. Isso não afasta a responsabilidade da instituição financeira pela contratação, mas costuma cortar o nexo com o vazamento.

Por fim, é preciso separar o que se pede de quem. Exigir do controlador dos dados a anulação do contrato bancário não funciona: ele não é parte daquele contrato. E exigir do banco a reparação pelo vazamento também não, se a falha de segurança ocorreu em outra empresa.