Sua empresa vendeu dados pessoais sem autorização: o que fazer agora

Por que repassar dados a terceiros sem consentimento é ilegal

O art. 7º da LGPD lista as hipóteses em que o tratamento de dados pessoais é permitido, e a mais comum no dia a dia é o consentimento do titular, dado de forma livre e para uma finalidade específica. Quando uma empresa coleta seus dados para, por exemplo, emitir uma nota fiscal ou processar uma compra, ela não fica automaticamente autorizada a vender essa base para outra empresa fazer marketing. Se não houve consentimento específico para o repasse, nem outra hipótese legal que justifique a transferência, o compartilhamento é tratamento irregular de dados pessoais.

Quem responde pela venda: o vendedor e quem comprou a base

O art. 42 da LGPD obriga o controlador ou o operador a reparar o dano causado por tratamento em violação à legislação. A solidariedade, porém, não é automática: pelo § 1º, o operador responde solidariamente quando descumpre a lei ou instruções lícitas do controlador, e os controladores diretamente envolvidos no tratamento do qual resultou o dano também podem responder em conjunto. O titular ainda precisa demonstrar a participação dos agentes, a violação, o dano e o nexo aplicável ao caso.

Como reunir prova de que os dados circularam sem autorização

Print de telas, e-mails de propaganda, gravação de ligações comerciais e qualquer mensagem que cite dados que só aquela empresa original teria são provas relevantes. Vale também comparar: se você só forneceu o CPF a uma loja específica e passou a receber contato de outra empresa do mesmo ramo citando esse CPF, a coincidência reforça o indício de repasse.

Um passo útil é exercer o direito de confirmação e acesso previsto no art. 18 da LGPD, perguntando por escrito à empresa original com quem ela compartilhou seus dados e sob qual base legal.

Caminho extrajudicial antes de qualquer ação

O primeiro movimento é notificar formalmente a empresa que originou o repasse e, se identificável, a que comprou a base, exigindo a interrupção do uso e a exclusão dos dados. Reclamação no Procon e denúncia à Agência Nacional de Proteção de Dados também são canais válidos, sobretudo quando a empresa não responde ou nega a origem sem justificativa plausível.

Quando o pedido de indenização não avança

Nem todo compartilhamento de dados configura dano indenizável. Se a empresa comprovar que o repasse ocorreu dentro de uma hipótese legal — por exemplo, cumprimento de obrigação legal, execução de contrato que previa expressamente o compartilhamento, ou legítimo interesse compatível com a finalidade original — o pedido tende a não prosperar. Simples recebimento de uma oferta isolada, sem repetição e sem dado sensível envolvido, também costuma ser tratado como aborrecimento sem reparação automática; o que pesa a favor do titular é a reincidência, a resistência da empresa em parar e a natureza do dado exposto.

Quando vale levar o caso a um advogado

Quando a negociação direta não avança e a empresa continua usando a base sem autorização, reunir a documentação e procurar um advogado que atue com proteção de dados, com atendimento por WhatsApp e envio dos documentos de forma digital, costuma dar mais força à notificação formal e ao eventual pedido de indenização.