STJ decide que danos morais decorrentes de vazamentos de dados pessoais comuns não são presumidos
No dia 7 de março, a 2ª Turma do Superior Tribunal de Justiça (“STJ”) decidiu que danos morais decorrentes do vazamento de dados pessoais comuns não são presumidos. O entendimento foi firmado por unanimidade em acórdão de relatoria do Ministro Francisco Falcão, que reverteu decisão da 27ª Câmara de Direito Privado do Tribunal de Justiça do Estado de São Paulo (“TJ/SP”).
No caso, uma concessionária de energia elétrica comunicou seus consumidores sobre um vazamento de dados pessoais após a atividade criminosa de hackers. Então, uma consumidora cujos dados pessoais foram vazados ajuizou uma ação indenizatória contra a concessionária, alegando danos morais decorrentes do incidente de segurança.
A consumidora afirmou que seus dados pessoais teriam sido compartilhados mediante pagamento com um número indeterminado de pessoas, expondo-a a riscos de fraude e importunações. O vazamento teria envolvido os seguintes dados pessoais: nome completo, RG, gênero, data de nascimento, idade, telefone fixo, telefone celular e endereço.
Em 1º grau, a Juíza Denise Cavalcante Fortes Martins julgou a ação de indenização improcedente, apontando que “a autora não trouxe prova da utilização indevida de seus dados por terceiros”. A Juíza afirmou que o vazamento de dados pessoais decorreu da conduta criminosa dos hackers, o que eximiria a responsabilidade da concessionária nos termos do artigo 14, parágrafo 3º, inciso II do Código de
Defesa do Consumidor (“CDC”), isto é, culpa exclusiva de terceiro.
Todavia, após apelação interposta pela consumidora, a 27ª Câmara de Direito Privado do TJ/SP reverteu a sentença e condenou a concessionária ao pagamento de R$5.000,00 por danos morais. Para tanto, apontou a responsabilidade objetiva prevista no artigo 14 do CDC, afastando a culpa exclusiva de terceiro, pois “a ré não adotou medidas adequadas e efetivas para dar a segurança necessária a sua cliente”. Além disso, descreveu os referidos dados como “sensíveis” e destacou a vulnerabilidade da consumidora como pessoa idosa.
Então, a concessionária interpôs recurso especial perante o STJ, alegando que o TJ/SP não poderia ter se fundamentado exclusivamente na legislação consumerista mas, também e principalmente, na Lei Geral
de Proteção de Dados Pessoais (“LGPD”). Também reafirmou que o vazamento de dados se deu por ação de terceiro, o que justificaria a excludente de responsabilidade, e que não caberia indenização por evento incerto futuro, como o potencial dano decorrente do incidente de segurança.
A 2ª Turma do STJ concluiu que houve ofensa ao artigo 5º, inciso II da LGPD, que prevê um rol taxativo de dados pessoais considerados sensíveis: “dado pessoal sobre origem racial ou étnica, convicção religiosa, opinião política, filiação a sindicato ou a organização de caráter religioso, filosófico ou político, dado referente à saúde ou à vida sexual, dado genético ou biométrico, quando vinculado a uma pessoa natural”. Nesse sentido, afirmou que os dados em questão são meramente cadastrais, ao contrário do entendimento da 27ª Câmara de Direito Privado do TJ/SP.
Por fim, a 2ª Turma do STJ assentou que o vazamento de dados pessoais comuns não gera, por si só, danos morais indenizáveis, sendo necessário que o titular dos dados os comprove. Todavia, também traçou uma distinção em relação aos dados pessoais sensíveis: “diferente seria se, de fato, estivéssemos diante de vazamento de dados sensíveis, que dizem respeito à intimidade da pessoa natural”.
>>> Este conteúdo faz parte do Informativo de Proteção de Dados e Cybersecurity. Clique aqui para ler mais notícias. O artigo foi escrito por nossos profissionais Felipe Palhares, Fernanda Villela, Bárbara Iszlaji e Arthur Pichelli Ueda.
