A proteção de dados pessoais no Brasil atravessou uma mudança de paradigma significativa com a vigência da Lei Geral de Proteção de Dados Pessoais (LGPD). O que antes era tratado de forma difusa pelo ordenamento jurídico, agora possui um microssistema próprio que dialoga diretamente com o Código Civil e o Código de Defesa do Consumidor.
No centro desse debate, encontra-se a responsabilidade civil decorrente do tratamento inadequado de informações. A questão nevrálgica para os operadores do Direito não é apenas a ocorrência do vazamento ou do uso indevido, mas a caracterização do dano indenizável.
A doutrina e a jurisprudência têm se debruçado sobre a natureza do dano moral em casos de violação de dados. A grande discussão gira em torno da necessidade de comprovação efetiva do prejuízo anímico ou se este decorre da própria gravidade do fato, configurando o chamado dano *in re ipsa*.
Entender essa distinção é vital para a advocacia contemporânea. O tratamento não autorizado de dados, especialmente quando envolve fins lucrativos ou informações sensíveis, desafia os conceitos clássicos da responsabilidade civil subjetiva e objetiva.
Para compreender a extensão do dano, é preciso primeiro qualificar o objeto da violação. A LGPD (Lei nº 13.709/2018) elevou o dado pessoal à categoria de bem jurídico tutelado, intrinsecamente ligado aos direitos da personalidade.
O artigo 5º da referida lei estabelece uma distinção crucial entre dado pessoal e dado pessoal sensível. Enquanto o primeiro se refere a informações que identificam ou tornam identificável uma pessoa natural, o segundo carrega um potencial discriminatório muito maior.
Dados sensíveis incluem origem racial ou étnica, convicção religiosa, opinião política, filiação a sindicato, dado referente à saúde ou à vida sexual, dado genético ou biométrico. A legislação impõe um rigor muito maior para o tratamento dessas categorias.
A violação de dados sensíveis atinge o núcleo duro da dignidade da pessoa humana. Não se trata apenas de uma exposição de nome ou CPF, mas de aspectos íntimos que podem gerar segregação, constrangimento e preconceito.
Essa diferenciação é fundamental para a análise do dano moral. O judiciário tende a graduar a severidade da ofensa com base na natureza do dado vazado ou comercializado indevidamente.
O conceito de dano moral *in re ipsa* refere-se à lesão que prescinde de prova do prejuízo concreto. O dano é presumido pela simples ocorrência do fato ilícito, dada a sua gravidade e a certeza de que tal conduta viola direitos fundamentais.
Na responsabilidade civil clássica, a vítima precisa demonstrar o nexo causal entre a conduta e o sofrimento suportado. Contudo, em certas situações, a jurisprudência entende que exigir essa prova seria impor um ônus diabólico ao ofendido.
No contexto da proteção de dados, a aplicação dessa teoria tem sofrido oscilações interpretativas. Inicialmente, havia uma tendência a considerar qualquer vazamento como gerador de dano presumido.
Entretanto, o entendimento amadureceu para distinguir incidentes de segurança de menor potencial ofensivo daquelas condutas que revelam um desrespeito flagrante aos direitos de personalidade. O simples vazamento de dados cadastrais básicos, por vezes, tem sido visto como mero aborrecimento se não houver consequências fáticas como fraudes.
Por outro lado, a comercialização ou o uso não autorizado de dados sensíveis muda completamente o cenário jurídico. Aqui, a violação transcende o mero risco e adentra a esfera da exploração indevida da intimidade alheia.
Para advogados que buscam se aprofundar nas nuances da reparação de danos neste cenário digital, o estudo contínuo é indispensável. Cursos focados como a Pós-Graduação em Prática da Responsabilidade Civil e Tutela dos Danos oferecem o arcabouço teórico necessário para argumentar essas distinções nos tribunais.
Quando o tratamento indevido de dados envolve a comercialização, adiciona-se à equação o elemento do lucro ilícito. A empresa ou indivíduo que vende bases de dados sem consentimento não está apenas sendo negligente; está monetizando a privacidade alheia.
Essa conduta agrava a culpabilidade do agente e reforça a tese do dano moral *in re ipsa*. A lógica jurídica é que a transformação da vida privada em mercadoria, sem autorização, constitui uma violação autônoma e severa.
O artigo 42 da LGPD é claro ao determinar que o controlador ou o operador que causar dano a outrem, em violação à legislação de proteção de dados, é obrigado a repará-lo. A responsabilidade, neste microssistema, tende a ser objetiva, baseada no risco da atividade.
A comercialização de dados sensíveis, especificamente, demonstra uma falha grave no dever de lealdade e boa-fé que deve reger as relações de consumo e o tratamento de dados. O titular dos dados perde o controle sobre informações que podem definir sua reputação e vida social.
A jurisprudência superior tem sinalizado que, em casos de uso de dados sensíveis para fins econômicos sem lastro legal, o dano moral independe da comprovação de dor ou sofrimento psicológico. A própria violação da autodeterminação informativa é o dano.
A aplicação da LGPD não exclui a incidência do Código de Defesa do Consumidor (CDC). Pelo contrário, as normas se complementam em um diálogo das fontes, fortalecendo a proteção do titular dos dados, que muitas vezes é equiparado a consumidor.
O artigo 14 do CDC estabelece a responsabilidade objetiva do fornecedor de serviços. Isso significa que ele responde pela reparação dos danos causados aos consumidores por defeitos relativos à prestação dos serviços, bem como por informações insuficientes ou inadequadas sobre sua fruição e riscos.
A segurança dos dados é considerada uma expectativa legítima do consumidor. Quando uma empresa falha em garantir essa segurança, especialmente permitindo o comércio paralelo de informações sensíveis, ocorre um “defeito no serviço”.
Essa falha de segurança quebra a confiança depositada na relação contratual. A vulnerabilidade do consumidor digital é acentuada, pois ele raramente possui meios técnicos para auditar como seus dados são manuseados.
Portanto, a tese do dano *in re ipsa* ganha força quando se alinha a proteção de dados aos princípios consumeristas da vulnerabilidade e da hipossuficiência técnica.
A LGPD define os agentes de tratamento como o Controlador (quem decide sobre o tratamento) e o Operador (quem realiza o tratamento em nome do controlador). Ambos possuem responsabilidades solidárias em diversas situações, conforme o artigo 42, §1º, II.
O dever de indenizar surge da violação da norma. Não é necessário que o agente tenha a intenção de causar dano (dolo), bastando que sua atividade de tratamento tenha gerado o prejuízo ou que ele tenha negligenciado as medidas de segurança (culpa).
Contudo, a grande questão prática para a advocacia é a quantificação desse dano. Se o dano é *in re ipsa* pelo comércio de dados sensíveis, como o magistrado deve fixar o *quantum* indenizatório?
Os critérios geralmente envolvem a capacidade econômica do ofensor, a extensão do dano (alcance da comercialização), a natureza dos dados (sensíveis ou não) e o caráter pedagógico-punitivo da condenação. O objetivo é desestimular a prática de lucrar com a ilegalidade.
Profissionais que atuam na defesa de empresas ou de titulares precisam dominar não apenas a lei seca, mas as teorias de responsabilidade civil aplicadas às novas tecnologias. A Certificação Profissional em Responsabilidade Civil e as Novas Tecnologias é um exemplo de qualificação que permite compreender como os tribunais estão precificando essas violações imateriais.
É importante notar que a responsabilidade na LGPD, embora rigorosa, não é absoluta. O artigo 43 elenca as hipóteses de excludente de responsabilidade.
Os agentes de tratamento não serão responsabilizados quando provarem que não realizaram o tratamento de dados pessoais que lhes é atribuído, ou que, embora o tenham realizado, não houve violação à legislação de proteção de dados.
Outra excludente relevante é a culpa exclusiva do titular dos dados ou de terceiro. No entanto, em casos de comercialização de dados por parte de quem os detinha legitimamente, é difícil sustentar a culpa de terceiro ou do titular.
Se a empresa coletou dados sensíveis e estes foram posteriormente vendidos, o ônus de provar que a venda não ocorreu ou que foi feita mediante consentimento inequívoco e específico recai sobre o controlador.
A inversão do ônus da prova, prevista tanto no CDC quanto na LGPD (artigo 42, § 2º), coloca o titular em posição de vantagem processual. Cabe à empresa demonstrar a total conformidade de suas práticas de governança de dados.
A base para o reconhecimento do dano moral presumido reside no princípio da autodeterminação informativa. Este princípio assegura ao indivíduo o controle sobre seus próprios dados pessoais, decidindo o que, como e por quem suas informações podem ser utilizadas.
Quando dados sensíveis são comercializados sem autorização, aniquila-se a autodeterminação informativa. O indivíduo torna-se objeto de transações comerciais alheias à sua vontade, ferindo sua dignidade.
O Supremo Tribunal Federal, ao reconhecer a proteção de dados como um direito fundamental autônomo, reforçou a ideia de que a violação desse direito não pode ser tratada como um mero dissabor cotidiano.
A comercialização clandestina de perfis comportamentais, históricos de saúde ou orientações políticas tem potencial para influenciar processos democráticos, acesso a empregos e contratação de seguros. O dano é sistêmico e individual ao mesmo tempo.
Um ponto crucial que o jurista deve observar é a distinção entre a falha de segurança que resulta em vazamento (ataque hacker, por exemplo) e a conduta ativa de comercializar dados.
No primeiro caso, discute-se se a empresa adotou as melhores práticas de segurança. Se adotou e mesmo assim foi vítima, a responsabilidade pode ser mitigada ou afastada dependendo da interpretação judicial sobre o fortuito interno ou externo.
No segundo caso, o comércio não autorizado, há uma conduta voluntária e ilícita. Não há “acidente”. Há uma escolha deliberada de violar a lei para obter lucro. Nestes casos, a jurisprudência é muito mais severa e a tese do dano *in re ipsa* torna-se quase irrefutável quando envolve dados sensíveis.
O elemento volitivo (vontade) de transacionar o dado sensível agrava a reprovabilidade da conduta. Isso justifica uma resposta enérgica do Poder Judiciário para evitar a banalização da privacidade.
A tendência é que o rigor na aplicação da LGPD aumente à medida que a cultura de proteção de dados se consolide no Brasil. O reconhecimento do dano moral *in re ipsa* para o comércio de dados sensíveis é um passo importante para a efetividade da lei.
Sem a ameaça de condenações pecuniárias significativas, o custo de conformidade (compliance) poderia ser visto por algumas empresas como superior ao risco de serem penalizadas. A responsabilização civil atua, portanto, como um vetor de governança corporativa.
Advogados devem estar preparados para instruir processos com provas técnicas, demonstrando a natureza dos dados, o fluxo de tratamento e a ausência de consentimento. A mera alegação genérica de violação pode não ser suficiente se não houver a correta categorização dos dados como sensíveis.
A análise detalhada de cada caso, verificando se houve efetiva comercialização ou apenas exposição, será determinante para o sucesso da demanda judicial. A expertise técnica jurídica se torna o diferencial competitivo nesse mercado.
Quer dominar a Responsabilidade Civil no âmbito digital e se destacar na advocacia? Conheça nosso curso Certificação Profissional em Responsabilidade Civil e as Novas Tecnologias e transforme sua carreira.
Quem ensina aqui atua na área — professores com banca, cátedra e prática.
Ver as pós em Direito