Vazamento de dados comuns e o pedido de reparação por dano moral

O critério legal de tratamento irregular

O art. 44 da LGPD define quando o tratamento é irregular: sempre que deixar de observar a legislação ou quando não fornecer a segurança que o titular dele pode esperar, consideradas as circunstâncias relevantes, entre as quais o modo pelo qual é realizado, o resultado e os riscos que razoavelmente dele se esperam e as técnicas de tratamento disponíveis à época.

O parágrafo único fecha o raciocínio: responde pelos danos decorrentes da violação da segurança dos dados o controlador ou o operador que, ao deixar de adotar as medidas de segurança do art. 46, der causa ao dano.

Repare que o texto não distingue dado sensível de dado comum para definir a irregularidade. A natureza do dado entra na conta do risco esperado e da extensão do dano, não na existência do dever de segurança.

Por que o dano exige demonstração

Uma coisa é a empresa ter falhado; outra é você ter sofrido prejuízo por causa disso. Em vazamentos de dados cadastrais comuns, a jurisprudência brasileira tem exigido demonstração de dano concreto, recusando a tese de que o simples vazamento gera automaticamente dano moral.

A lógica é compreensível: nome, telefone e e-mail circulam em inúmeros contextos legítimos, e a exposição isolada nem sempre altera a vida de alguém. Quando o quadro muda — e ele muda com frequência —, é porque apareceram consequências.

Por isso, o esforço de prova se concentra menos no vazamento em si e mais no que veio depois dele.

O que costuma converter aborrecimento em dano

Alguns elementos mudam o resultado da discussão. O primeiro é a tentativa de fraude direcionada: mensagem que usa exatamente os dados vazados, ligação que cita seu último pedido, cobrança falsa com número de contrato correto. O segundo é o volume e a persistência do contato indesejado. O terceiro é a combinação de campos — nome com endereço e telefone permite localizar a pessoa, o que é diferente de um e-mail solto.

Situações particulares pesam bastante: vítima de violência doméstica cujo endereço foi exposto, profissional cujo contato pessoal passou a ser usado em massa, pessoa idosa alvo de golpe telefônico repetido. Nesses casos, o dado é comum, mas o efeito não é.

Exemplo: depois do vazamento de uma base de compras, o titular passa a receber ligações informando um suposto problema com a última compra e pedindo confirmação de dados bancários. O golpista acerta a data, o valor e o produto. Aqui, a ligação entre a falha de segurança e o risco concreto está desenhada.

A prova que sustenta o pedido

Reúna o comunicado de incidente enviado pela empresa ou a notícia oficial do vazamento, com data; as mensagens, e-mails e registros de ligações recebidos depois; a comparação entre os dados usados pelo fraudador e os dados que você forneceu àquela empresa; comprovantes de prejuízo material, se houver; e o registro da reclamação feita à empresa e a resposta obtida.

Um detalhe processual relevante: o art. 42, §2º permite ao juiz inverter o ônus da prova em favor do titular quando a alegação for verossímil, houver hipossuficiência probatória ou a produção de prova pelo titular for excessivamente onerosa. Você não precisa provar a arquitetura interna do sistema da empresa — precisa tornar verossímil o nexo.

Quanto ao prazo, incidentes com efeito continuado costumam gerar dúvida sobre o termo inicial. Como a contagem varia conforme a fundamentação escolhida e a relação jurídica envolvida, essa definição deve ser feita caso a caso, e não por regra geral.

Quando o pedido tende a não avançar

Alguns cenários enfraquecem a ação. Vazamento em que os dados expostos já eram públicos por vontade do próprio titular. Ausência total de consequência, com o pedido baseado apenas no incômodo de saber do incidente. Impossibilidade de vincular a fraude sofrida àquele vazamento específico, quando os mesmos dados circulavam em várias bases.

Além disso, o art. 43 lista as excludentes: o agente não responde se provar que não realizou aquele tratamento, que não houve violação à legislação de proteção de dados ou que o dano decorreu de culpa exclusiva do titular ou de terceiro.

Há ainda uma via intermediária pouco lembrada: a própria LGPD admite a conciliação direta entre controlador e titular em casos de vazamento individual e acesso não autorizado, antes da aplicação de penalidades. Tentar o acordo documentado costuma ser mais rápido que a ação.

Se as tentativas de fraude foram direcionadas e você guardou o material, vale avaliar com advogado se o caso comporta ação individual, análise que se faz a partir dos próprios comprovantes enviados digitalmente.