Meus dados vazados estão à venda: o que fazer para remover e responsabilizar a origem

Reunir prova de cada lugar onde o pacote de dados aparece

Antes de qualquer notificação, vale documentar cada canal separadamente: print da página ou da conversa com data e hora visíveis, o link ou o nome do grupo e, quando o canal permitir, o print do próprio pedido de retirada já enviado. Guardar esse material em ordem cronológica ajuda a demonstrar que o mesmo pacote de dados circula em mais de um lugar, o que pesa tanto para acelerar a remoção quanto para uma futura ação de reparação.

Se o vazamento de origem já foi noticiado publicamente ou reconhecido pela empresa responsável, vale guardar também essa comunicação: ela costuma indicar que tipo de dado foi exposto e ajuda a demonstrar o vínculo entre a base vendida no canal e o incidente original, em vez de deixar a vítima na posição de provar sozinha de onde veio a informação.

O pedido de eliminação como primeiro instrumento contra quem revende

Quando a empresa que guardou mal os dados, ou o site que os divulga, ignora um pedido informal de retirada, é o art. 18 que abre o caminho: exigir, por escrito, a confirmação de que aquele dado é tratado, quais empresas tiveram acesso a ele por compartilhamento e a eliminação, sempre que não houver base legal para a manutenção. O pedido formal cumpre uma função prática que vai além da exigência legal: ele registra a data em que a empresa foi avisada — peça que costuma faltar quando a disputa chega à Justiça.

Esse pedido deve seguir para quem efetivamente controla o dado — nem sempre o grupo ou o site que revende é o mesmo agente que vazou a base originalmente — e a resposta, ou o silêncio, de cada um serve como prova em etapas distintas do caso.

Notificar quem hospeda o anúncio: o art. 19 do Marco Civil depois do Tema 987

A notificação direta ao grupo, ao canal ou ao site que exibe o pacote continua sendo o passo mais rápido, e é por onde começar. Só que muitos desses espaços não respondem, trocam de endereço ou escondem quem os administra — e, quando isso acontece, a forma da notificação passa a decidir o resultado.

Pela redação do art. 19 do Marco Civil, a responsabilidade civil do provedor de aplicações por publicação de outra pessoa só nascia do descumprimento de ordem judicial específica de remoção. Esse desenho não sobreviveu inteiro: no julgamento original, antes dos embargos, o Supremo Tribunal Federal declarou a inconstitucionalidade parcial do dispositivo, e com os embargos de declaração julgados em 2026 a tese do Tema 987 chegou à formulação final, com trânsito em julgado decretado na própria sessão.

Depois do Tema 987, o regime geral aplicável a conteúdo de terceiro mudou de eixo: a plataforma que toma ciência da ilicitude e permanece em omissão responde civilmente pelo dano que a inércia deixa correr. Exige-se, do aviso extrajudicial sobre conteúdo de terceiro, que ele aponte com precisão o conteúdo — a URL, o post ou a mensagem exata — e exponha a razão da ilicitude; é aqui que a lista de links e capturas montada no primeiro passo vira peça útil, e não mero desabafo. Notificada assim, a plataforma que promove a remoção diligente em tempo razoável do conteúdo de terceiro apontado deixa de estar em omissão. Havendo dúvida razoável sobre a ilicitude do material, cabe análise qualificada antes da retirada — o que explica pedidos devolvidos com exigência de esclarecimento em vez de retirada imediata.

A modulação importa para quem só agora descobre um vazamento antigo. A tese final vale desde 5 de agosto de 2025, data da publicação da ata do julgamento de mérito; atos continuados e permanentes ficam regidos pela tese final, e as decisões transitadas em julgado ficam preservadas. Como a exposição de um pacote que reaparece semana após semana é ato de efeito continuado, a régua aplicável é a formulação atual. Do encerramento do julgamento de 2026 correu ainda prazo de sessenta dias para que as plataformas implementassem as medidas estruturais de cuidado previstas na tese.

Quando nem o aviso bem formado resolve, a via judicial entra com pedido de tutela de urgência para tirar o material do ar enquanto o processo corre; a prova de que a notificação foi enviada, com data e teor, é o que sustenta tanto a urgência quanto o pedido de reparação.

Rastrear a origem: quem vazou primeiro também responde

Remover o anúncio de venda em um canal resolve o sintoma, não a causa. Quando é possível identificar a empresa ou o sistema de onde a base saiu — por falha de segurança, por funcionário que extraiu dados sem autorização ou por parceiro comercial que compartilhou indevidamente — essa origem responde de forma independente de quem revende depois. O art. 42 obriga a reparar quem, ao tratar dados pessoais, causa dano à pessoa titular, e esse dever não desaparece só porque um terceiro pegou a base pronta e passou a vendê-la separadamente.

Provar essa cadeia costuma exigir mais do que um print: a notícia do vazamento, a resposta da empresa a uma notificação formal e a comparação entre os campos vendidos — mesmos erros de digitação, mesma formatação — ajudam a ligar o pacote revendido à fonte original. Ligar esses pontos é uma investigação que rende mais nas mãos de um advogado particular, que reúne notificações, protocolos e o pedido de reparação num só processo — o atendimento roda por WhatsApp, com prints e documentos enviados pelo celular e procuração assinada eletronicamente, sem exigir comparecimento a um escritório físico para abrir o caso.

Quando a remoção emperra e o que isso muda no pedido

Nem todo canal responde a uma ordem brasileira: grupos hospedados fora do país ou administrados por perfis anônimos podem simplesmente ignorar a notificação e a decisão judicial, e a remoção acaba parcial — alguns pontos saem do ar, outros pacotes reaparecem depois sob outro nome. Isso não invalida o pedido de eliminação nem o de reparação contra a origem, mas muda a expectativa: o resultado tende a ser mais lento e a exigir notificação repetida, sem garantia de que o dado desapareça de forma definitiva da internet.

Vale também registrar boletim de ocorrência quando houver indício de crime, como invasão de dispositivo ou estelionato praticado com os dados vazados: a resposta penal segue por via própria e não depende do resultado da remoção civil.