Até quando dá para processar por um vazamento de dados antigo?

A disputa entre o CDC e o Código Civil

Quando a relação entre o titular e a empresa é de consumo, aplica-se o art. 27 do Código de Defesa do Consumidor, que prescreve em cinco anos a pretensão de reparação por dano causado por fato do produto ou do serviço. Quando a relação não é de consumo, tende a prevalecer o art. 206, § 3º, V, do Código Civil, que fixa prazo de três anos para a pretensão de reparação civil em geral.

O termo inicial: quando começa a contar

Em ambos os regimes, a contagem do prazo costuma começar do conhecimento do dano e de sua autoria, e não da data exata do vazamento. Isso é relevante porque, em muitos casos, o titular só descobre a exposição meses ou anos depois do incidente original, seja por notícia, seja por golpe sofrido. Documentar a data em que você efetivamente tomou conhecimento — e não presumiu — do vazamento e de quem foi o responsável é decisivo para a contagem do prazo.

Por que a definição do prazo aplicável importa tanto

A diferença entre três e cinco anos pode ser exatamente o que separa um caso viável de um caso prescrito. Por isso, antes de descartar a possibilidade de agir diante de um vazamento antigo, vale reunir a documentação disponível e submeter o caso concreto a análise, já que a natureza da relação com a empresa — consumo ou não — é o que define qual prazo se aplica.

Empresa que forneceu produto ou serviço diretamente a você, como banco, operadora ou loja, normalmente configura relação de consumo, o que atrai o prazo de cinco anos. Já situações fora dessa relação direta, como vazamento em cadastro de terceiro que apenas tratou seus dados sem vínculo de consumo, tendem a puxar a discussão para o prazo geral de três anos do Código Civil.