Vazamentos de dados pessoais deixaram de ser um risco distante e passaram a ser rotina no noticiário brasileiro: bancos, redes de varejo, operadoras de plano de saúde, prefeituras e até órgãos públicos já expuseram nomes, CPFs, endereços, telefones e outras informações de milhões de pessoas. Para quem advoga na área de direito digital ou consumidor, isso significa uma demanda crescente de clientes que descobrem — muitas vezes por notícia na imprensa, e-mail da própria empresa ou consulta em sites especializados — que seus dados caíram nas mãos de terceiros sem autorização.
A Lei Geral de Proteção de Dados Pessoais (LGPD, Lei 13.709/2018) deu ao titular de dados uma base jurídica sólida para buscar reparação quando uma empresa (controladora ou operadora) falha em proteger essas informações. Mas transformar essa base legal em uma petição inicial bem fundamentada exige atenção a detalhes que, se ignorados, custam a causa: nexo causal entre o vazamento e o dano, prova da titularidade dos dados expostos e demonstração de que a falha é atribuível ao réu.
Neste artigo você encontra o raciocínio jurídico por trás da ação de indenização por vazamento de dados pessoais, os requisitos que o Judiciário tem exigido, os erros mais comuns que levam ao indeferimento ou à improcedência, e um modelo gratuito para adaptar ao caso concreto.
Resposta rápida: cabe ação de indenização por vazamento de dados pessoais quando uma empresa (controladora ou operadora de dados, nos termos do art. 5º, VI e VII, da LGPD) expõe, sem consentimento e por falha de segurança, dados pessoais do titular a terceiros, causando dano moral e/ou material. A responsabilidade civil está prevista nos arts. 42 a 45 da Lei 13.709/2018 (LGPD), que também admite a inversão do ônus da prova em favor do titular em determinadas hipóteses (art. 42, §2º). O pedido pode ser cumulado com pedido de exclusão dos dados, adequação de práticas e, em ações coletivas, obrigação de fazer.
A ação de indenização por vazamento de dados pessoais é a via judicial pela qual o titular busca reparação — moral, material ou ambas — quando uma empresa que trata seus dados pessoais (o controlador, que decide as finalidades do tratamento, ou o operador, que realiza o tratamento em nome do controlador) permite, por ação ou omissão, que essas informações sejam acessadas, copiadas ou divulgadas sem autorização.
Cabe a ação sempre que houver: (i) um incidente de segurança comprovado (vazamento, invasão, falha de configuração, venda irregular de banco de dados); (ii) dados pessoais do autor efetivamente expostos nesse incidente; e (iii) um dano decorrente — que na jurisprudência majoritária tem sido reconhecido como dano moral presumido (in re ipsa) em casos de exposição de dados sensíveis ou de uso indevido comprovado, e como dano moral a depender de prova concreta em casos de mera exposição sem repercussão demonstrada, conforme o entendimento do tribunal.
Não cabe, em regra, quando o dado exposto já era público por natureza (ex.: nome em lista telefônica pública antiga) ou quando a empresa demonstra que adotou as medidas de segurança compatíveis com o estado da técnica e que o incidente decorreu de culpa exclusiva de terceiro ou do próprio titular (art. 43, LGPD).
A base normativa central é a Lei 13.709/2018 (LGPD), especialmente:
Além da LGPD, aplica-se subsidiariamente o Código Civil (arts. 186, 187 e 927) e, quando a relação for de consumo, o Código de Defesa do Consumidor, que reforça a responsabilidade objetiva do fornecedor e admite a facilitação da defesa dos direitos do consumidor, inclusive com inversão do ônus da prova (art. 6º, VIII, CDC).
A inicial deve observar os requisitos gerais do art. 319 do Código de Processo Civil (endereçamento, qualificação das partes, causa de pedir, pedido, valor da causa, provas), mas o ponto que mais diferencia esse tipo de ação é a prova da ocorrência do vazamento e da exposição dos dados do autor especificamente. Sem isso, a petição corre risco real de improcedência por ausência de nexo causal.
Documentos que costumam sustentar a narrativa:
É recomendável narrar cronologicamente: (1) a relação do autor com o réu (cliente, usuário, paciente etc.); (2) a ocorrência do incidente, com data e fonte; (3) a comprovação de que os dados do autor estavam entre os expostos; (4) os danos concretos ou o abalo moral decorrente da exposição.
1. Preencha o endereçamento com a Vara Cível competente (geralmente do domicílio do autor, por se tratar de relação de consumo, conforme art. 101, I, CDC, quando aplicável).
2. Qualifique completamente autor e réu, incluindo CNPJ do réu — dado essencial para citação correta.
3. Na seção dos fatos, descreva a relação prévia com a empresa, a data em que tomou conhecimento do vazamento e a fonte dessa informação (comunicado oficial, imprensa, ferramenta de verificação).
4. Detalhe quais dados especificamente foram expostos (nome completo, CPF, endereço, telefone, e-mail, dados bancários etc.) e se houve consequência concreta (tentativas de fraude, cobranças indevidas, contatos suspeitos).
5. Na fundamentação jurídica, cite os artigos da LGPD pertinentes e, se for relação de consumo, o CDC.
6. Formule os pedidos: declaração da responsabilidade do réu, indenização por dano moral (e material, se houver), e, quando cabível, exclusão dos dados do autor de bases irregulares e comprovação de adequação às práticas de segurança.
7. Junte todos os documentos que comprovem o vínculo, o incidente e o dano, e calcule o valor da causa com base no montante pretendido.
Modelo de Ação de Indenização por Vazamento de Dados Pessoais (LGPD) — atualizado em 2026
Peça completa, com fundamentação atualizada e campos prontos para preencher.
📥 Baixar modelo gratuitoAviso: este modelo é um ponto de partida elaborado para fins educativos. Revise a vigência da legislação e da jurisprudência citadas e adapte a peça às particularidades do caso concreto antes de protocolar. Este conteúdo não constitui consultoria jurídica.
Os tribunais estaduais têm, de forma recorrente, reconhecido dano moral em casos de vazamento de dados pessoais quando comprovado o nexo entre o incidente e a exposição dos dados do autor, especialmente quando há uso indevido subsequente (tentativas de fraude, abertura de contas ou empréstimos não autorizados). Por outro lado, decisões mais recentes também têm exigido prova mínima de repercussão do dano em casos de mera exposição sem consequência concreta, evitando a banalização do instituto do dano moral. Como a jurisprudência sobre LGPD ainda está em consolidação e varia conforme o tribunal e a gravidade do incidente, evite citar número de processo, órgão julgador ou data específica sem confirmar a fonte no momento da elaboração da peça — mantenha a pesquisa jurisprudencial atualizada nos repositórios oficiais dos tribunais.
O controlador dos dados (empresa que decide como e por que os dados são tratados) e, quando participou do incidente, também o operador (empresa contratada para tratar os dados em nome do controlador). A LGPD prevê responsabilidade solidária entre eles quando ambos concorrerem para o dano.
Depende do caso. Em situações de exposição de dados sensíveis ou uso indevido comprovado, parte da jurisprudência reconhece o dano moral como presumido (in re ipsa). Já em casos de mera exposição sem repercussão demonstrada, alguns tribunais exigem prova mínima do abalo sofrido — por isso é recomendável reunir o máximo de evidências do impacto sofrido.
Aplica-se, em regra, o prazo geral de prescrição para reparação civil, de 3 anos, contado a partir do conhecimento do dano e de sua autoria (art. 206, V, e art. 189, Código Civil). Analise o caso concreto para confirmar o termo inicial da contagem.
Não necessariamente. A LGPD, no art. 43, prevê hipóteses em que a empresa pode se eximir da responsabilidade, como comprovar que adotou todas as medidas de segurança cabíveis e que o incidente decorreu de culpa exclusiva de terceiro ou do próprio titular dos dados.
Em muitos casos sim. Notificar formalmente a empresa e, se aplicável, registrar reclamação junto à Autoridade Nacional de Proteção de Dados (ANPD) pode gerar prova adicional sobre a conduta do réu e, eventualmente, viabilizar acordo sem necessidade de processo judicial.
Artigos e modelos atraem clientes — mas é no WhatsApp que eles fecham contrato. A Sábio Adv organiza a captação e o atendimento do seu escritório com IA na API Oficial do WhatsApp, respondendo leads 24/7 sem perder o toque humano. Conheça a plataforma.
Encontre outros modelos de peças jurídicas na nossa página de Modelos de Petições.
Seu arquivo começou a baixar. Se não iniciou, clique aqui. Você será redirecionado em instantes…
Pedro Campos é especialista em automação de atendimento no Sábio Adv, desenhando fluxos de IA que respondem clientes 24/7 no WhatsApp sem perder o toque humano do escritório.
Conquiste clientes na pré-venda e fidelize na pós-venda, tudo com a agilidade e eficiência da IA diretamente no seu WhatsApp.
Leave A Reply Now