Meus dados vazaram: o que fazer e quando cabe indenização?

Resposta direta: se os seus dados vazaram de uma empresa, você tem três frentes de direitos: (1) ser informado — a empresa é obrigada a comunicar os titulares afetados em até 3 dias úteis quando o incidente envolve risco relevante, dizendo quais dados vazaram e o que ela está fazendo; (2) exigir providências — pela LGPD (art. 18), você pode requerer da empresa a confirmação do que ela tem sobre você, a correção e até a eliminação dos dados, além de reclamar à ANPD e aos órgãos de defesa do consumidor; e (3) buscar indenização — aqui com uma regra que precisa ser dita com honestidade: o STJ entende que o vazamento de dados comuns (nome, CPF, e-mail, telefone), por si só, não gera dano moral automático — é preciso demonstrar as consequências concretas. A presunção do dano aparece quando o vazamento envolve dados sensíveis (saúde, biometria, religião, vida sexual) ou quando a empresa disponibilizou indevidamente seus dados a terceiros.

Na prática, isso significa que os primeiros dias importam duas vezes: para se proteger dos golpes que quase sempre vêm depois do vazamento (quem tem seus dados na mão é muito mais convincente ao aplicar um golpe) e para documentar tudo o que acontecer — porque são justamente esses desdobramentos que transformam um vazamento sem indenização em um caso indenizável. Vamos ao passo a passo.

Como saber se os seus dados vazaram

• Comunicação da empresa: desde a Resolução CD/ANPD 15/2024, o controlador deve avisar os titulares em até 3 dias úteis nos incidentes com risco relevante — guarde esse e-mail ou carta, ele é a prova número um (do outro lado do balcão, explicamos essas obrigações no guia sobre vazamento de dados na empresa);
• Sinais indiretos: golpes direcionados citando seus dados corretos (nome completo, CPF, número do cartão, contratos reais), cobranças de compras que você não fez, tentativas de login, SMS de códigos que você não pediu;
• Verificações ativas: consulte o Registrato do Banco Central (mostra contas, chaves Pix e empréstimos no seu CPF), os cadastros de proteção ao crédito e ative os alertas de movimentação do seu banco.

Seus direitos perante a empresa que vazou

A LGPD dá ao titular um pacote de direitos exercíveis diretamente contra a empresa, pelo canal do encarregado (DPO) — e a resposta é obrigatória:

1. Confirmação e acesso (art. 18, I e II): saber se e quais dados ela trata sobre você;
2. Informação sobre o incidente: quais dados foram expostos, quando, e quais medidas de contenção foram tomadas;
3. Correção e eliminação (art. 18, III e VI): atualizar dados errados e eliminar os desnecessários;
4. Informação sobre compartilhamento (art. 18, VII): com quem seus dados foram compartilhados.

Se a empresa não responder ou responder mal: reclamação na ANPD (petição do titular, pelo gov.br), no consumidor.gov.br e no Procon. Esses protocolos custam minutos e valem muito: documentam o descaso — que pesa na indenização — e frequentemente destravam respostas.

Proteja-se dos golpes derivados (as primeiras 48 horas)

O prejuízo real do vazamento raramente é o vazamento em si — são os golpes que vêm depois, com criminosos usando seus dados verdadeiros para ganhar a sua confiança:

1. Troque as senhas das contas ligadas ao e-mail vazado e ative a verificação em duas etapas;
2. Se dados de cartão vazaram: bloqueie e peça segunda via;
3. Redobre a desconfiança com contatos "do banco": quem liga sabendo seus dados corretos não é mais confiável por isso — é exatamente assim que operam os golpes que detalhamos no guia do golpe do Pix;
4. Monitore o CPF (Registrato, birôs de crédito) por algumas semanas;
5. Registre boletim de ocorrência se qualquer uso indevido aparecer — ele conecta formalmente o golpe ao vazamento.

Quando cabe indenização — o que dizem os tribunais

O quadro atual no STJ, em resumo honesto:

• Dados comuns vazados, sem consequências demonstradas: em regra, não há dano moral presumido — o titular precisa provar os desdobramentos (golpes sofridos, fraudes, negativação indevida, assédio de cobranças, abalo concreto);
• Dados sensíveis (saúde, biometria, orientação sexual, religião): a exposição, por si, atinge a intimidade — o dano tende a ser presumido, sem necessidade de provar prejuízo adicional;
• Disponibilização indevida a terceiros (empresa ou gestor de banco de dados que vende ou repassa seus dados sem base legal): a jurisprudência de 2025 em diante reconhece o dano presumido pela insegurança gerada;
• Vazamento seguido de golpe: quem sofreu fraude com os dados vazados pode responsabilizar a cadeia — a empresa que vazou (falha de segurança; a responsabilidade é objetiva, e "fomos hackeados" não é defesa quando a segurança era deficiente) e, conforme o caso, o banco que processou as transações atípicas.

Além do dano moral, entram os danos materiais: valores perdidos em golpes, gastos com bloqueios e monitoramento — tudo documentado com comprovantes.

Como agir na prática

1. Monte o dossiê: comunicação do vazamento (ou notícia do incidente), protocolos com a empresa, BO, prints dos golpes recebidos, extratos e comprovantes de prejuízo;
2. Notifique a empresa exercendo os direitos do art. 18 — a resposta (ou o silêncio) integra o caso;
3. Registre nos órgãos: ANPD, consumidor.gov.br, Procon;
4. Avalie a ação individual: causas de consumo típicas correm no Juizado Especial Cível; a existência de ação coletiva sobre o mesmo vazamento não impede o seu pedido individual;
5. Aja dentro do prazo: a pretensão indenizatória tem prazo prescricional — não deixe o dossiê envelhecer.

Casos de vazamento cruzam as duas frentes do escritório: a área do consumidor (indenização, fraudes, negativação) e a área de Direito Digital (LGPD, direitos do titular, atuação perante a ANPD) — com atendimento em todo o Brasil nos casos que tramitam eletronicamente.

Se os seus dados vazaram — e principalmente se os golpes já começaram a chegar —, fale com o escritório: analisamos o seu caso e explicamos, em linguagem clara, o que dá para exigir de cada envolvido.

---

Este artigo tem caráter exclusivamente informativo e educativo, nos termos do Provimento 205/2021 da OAB, e não substitui a análise individual do seu caso. LGPD, Resolução CD/ANPD 15/2024 e jurisprudência do STJ sobre dano moral em vazamentos conferidas em julho de 2026 — o tema segue em evolução nos tribunais, e o resultado depende das provas de cada caso.