Vazamento de dados em órgão público: contra quem dirigir a cobrança

A responsabilidade objetiva do art. 37, §6º, da Constituição

O art. 37, §6º, da Constituição Federal estabelece que as pessoas jurídicas de direito público respondem pelos danos que seus agentes, nessa qualidade, causarem a terceiros, assegurado o direito de regresso contra o responsável em caso de dolo ou culpa. Essa é a responsabilidade objetiva: para o cidadão, não é preciso provar que o órgão agiu com culpa, basta demonstrar o dano e o nexo entre ele e a atuação estatal.

Isso muda a dinâmica da prova em relação a um caso contra empresa privada, em que, mesmo com inversão do ônus, a discussão sobre culpa costuma aparecer com mais força.

A LGPD também se aplica ao Poder Público

O art. 31 da Lei 13.709/2018 prevê que, havendo infração à LGPD por órgão público, a ANPD pode enviar informe com medidas cabíveis para fazer cessar a violação. O regime sancionatório da LGPD para entes públicos difere do aplicado a empresas privadas: em vez de multa pecuniária, a ANPD tende a atuar por meio de recomendações e determinações de correção, o que não impede a reparação civil ao cidadão pela via própria.

Documentos que sustentam o pedido contra o órgão público

Reúna o comunicado oficial do vazamento, se houver, ou a notícia que revelou o incidente; o protocolo de eventual reclamação feita ao órgão; provas de que os dados vazados eram realmente seus, como print de sistema ou documento; e qualquer prejuízo concreto sofrido depois — tentativa de fraude, negativa de benefício por erro de cadastro, entre outros.

O caminho é a Fazenda Pública, não o servidor individualmente

A ação de reparação deve ser movida contra a pessoa jurídica de direito público — União, Estado, Distrito Federal ou Município, conforme o ente responsável pelo sistema vazado — e não contra o servidor que eventualmente cometeu a falha. O direito de regresso contra o agente, em caso de dolo ou culpa, é interno, entre o Estado e o servidor, e não altera o polo passivo da ação do cidadão.

Prazo e rito processual diferenciados

Ações contra a Fazenda Pública seguem rito com prazos processuais próprios, prazo em dobro para a Fazenda se manifestar e, em geral, tramitam nos Juizados Especiais da Fazenda Pública quando o valor da causa está dentro do limite de competência, ou na vara cível comum da Fazenda Pública para valores maiores. Vale mapear qual órgão da Justiça é competente antes de protocolar.

Quando o pedido enfrenta mais resistência

Alegações genéricas de exposição, sem prejuízo concreto demonstrado, tendem a encontrar resistência mesmo com a responsabilidade objetiva do Estado, porque ainda é preciso provar o dano. Também pesa contra o pedido a ausência de nexo claro entre o vazamento específico e o sistema do órgão apontado como responsável, especialmente quando o cidadão teve dados também sob custódia de empresas privadas na mesma época.

Um exemplo hipotético de sistema estadual

Imagine um cidadão que descobre, por notícia veiculada na imprensa, que o sistema de agendamento de uma secretaria estadual de saúde expôs cadastro com CPF, endereço e histórico de atendimento de milhares de pessoas. Semanas depois, ele passa a receber ligações de suposta central de saúde pedindo confirmação de dados bancários para "liberar" um procedimento.

Nesse cenário, a reportagem e as datas das ligações suspeitas formam o início da prova. O passo seguinte é notificar formalmente a secretaria, pedindo confirmação de que os dados constavam do incidente, e reunir o histórico das tentativas de golpe antes de decidir entre reclamação administrativa e ação contra o Estado.