Vazamento de dado sensível muda o valor da indenização?

O que a lei chama de dado sensível (art. 5º, II, e art. 11)

O art. 11 da Lei 13.709/2018 estabelece regras mais rígidas para o tratamento de dados sensíveis — saúde, biometria, origem racial ou étnica, convicção religiosa, orientação sexual e opinião política, entre outros. A exigência de base legal específica para tratar esse tipo de dado é mais estreita do que a exigida para dado cadastral comum, e isso já sinaliza a importância que a lei dá a essa categoria.

Por que o risco concreto costuma ser maior

Dado sensível exposto abre porta para discriminação, constrangimento e uso indevido de forma mais direta do que nome e CPF isolados. Um histórico de saúde vazado pode ser usado contra o titular em processo seletivo, negociação de plano ou mesmo em situações pessoais; biometria vazada não pode ser "trocada" como uma senha.

Esses fatores tornam mais fácil demonstrar o risco relevante que justifica tanto a comunicação obrigatória à ANPD quanto, num eventual processo, a gravidade da falha do controlador.

O que ainda precisa ser demonstrado

A natureza sensível do dado facilita o argumento, mas não substitui a demonstração de que houve falha do controlador nos termos do art. 42 da LGPD. Vale reunir o mesmo tipo de prova de qualquer caso de vazamento: a confirmação de que o dado era mesmo seu, a data do incidente e qualquer repercussão concreta sentida depois, ainda que o simples caráter sensível do dado já pese na análise da gravidade.

Vale registrar também o contexto em que o dado sensível chegou ao controlador: um exame pedido por convênio médico exige nível de segurança diferente de um formulário de cadastro genérico que, por descuido, coletou informação de saúde sem necessidade. Esse contexto ajuda a avaliar se a exposição decorreu de coleta excessiva, o que reforça o argumento do titular.

O peso do dado sensível na hora de fixar o valor

Na quantificação de um pedido de indenização por dano moral, o juízo não trabalha com tabela: o valor é arbitrado caso a caso, e a natureza sensível da informação vazada funciona como fator de majoração. Uma biometria facial que escapa não pode ser redefinida como uma senha, e um histórico de saúde revelado carrega potencial de estigma e discriminação que um cadastro comum não tem — essa perenidade e esse risco costumam justificar reparação mais alta do que a fixada para a exposição de um dado meramente cadastral.

Isso não torna o montante automático. Dimensionar o pedido de uma ação de indenização exige olhar para o caso concreto: quais dados sensíveis foram expostos, que prova sustenta a falha nos termos do art. 42 e qual repercussão o titular efetivamente sofreu. Montar esse conjunto antes de definir o valor da causa evita tanto um pedido subdimensionado quanto uma pretensão sem lastro para sustentar a quantia pleiteada.