Modelo de indenização vazamento de dados: petição LGPD [atualizado 2026]

Sumário

Vazamento de dados pessoais chegou à rotina do contencioso consumerista. Bancos, varejistas, planos de saúde e até órgãos públicos já figuraram como réus em ações por exposição indevida de CPF, senha, dados bancários ou de saúde. O cliente chega ao escritório com um e-mail de notificação de incidente, uma reportagem ou a simples descoberta de que seus dados circulam em fórum de vazamento.

O desafio prático é duplo: provar a falha de segurança do agente de tratamento e demonstrar (ou presumir) o dano moral sem incorrer em pedido genérico. Este guia traz a fundamentação atualizada em 2026 na LGPD, o raciocínio sobre responsabilidade civil do art. 42, e um modelo completo de petição em .docx para download.

Resposta rápida: a ação de indenização por vazamento de dados pessoais funda-se no art. 42 da LGPD (Lei 13.709/2018), que impõe ao agente de tratamento o dever de reparar dano patrimonial, moral, individual ou coletivo causado por violação à legislação de proteção de dados. Combinada com o art. 44, que qualifica como irregular o tratamento que não observa a legislação ou não fornece a segurança que o titular pode esperar, a petição deve narrar a falha de segurança, o dado exposto e, quando cabível, requerer a inversão do ônus da prova em favor do titular hipossuficiente (art. 373, § 1º, do CPC).

Quando a relação também for de consumo, soma-se a responsabilidade objetiva do art. 14 do CDC (Lei 8.078/1990) pelo defeito na prestação do serviço de guarda de dados.

O que é e quando cabe

O vazamento de dados pessoais é a exposição não autorizada de informações que identificam ou tornam identificável uma pessoa natural — nos termos do art. 5º, II, da LGPD (Lei 13.709/2018). O incidente pode decorrer de falha de segurança, ataque cibernético, erro de configuração de sistema ou compartilhamento indevido com terceiros sem base legal.

O cabimento da ação de indenização depende de três elementos: a existência do tratamento de dados pelo agente (controlador ou operador, conforme art. 5º, VI e VII, da LGPD), a ocorrência do incidente com exposição efetiva do dado, e o nexo causal entre a falha de segurança e o dano suportado pelo titular.

Hipóteses típicas de ajuizamento:

Vazamento de dados financeiros — número de cartão, senha bancária, dados de conta — que expõe o titular a fraude e uso indevido;
Vazamento de dados sensíveis de saúde — diagnóstico, prontuário, exames — de tratamento diferenciado pelo art. 11 da LGPD, por seu potencial discriminatório;
Exposição de CPF, RG e endereço em bases mal protegidas, usada posteriormente para golpes e abertura fraudulenta de contas e crediário;
Falha em plataforma de e-commerce ou aplicativo que expõe cadastro completo de clientes por erro de configuração ou ataque não mitigado;
Compartilhamento de dados com terceiros sem consentimento ou base legal válida, em desacordo com as hipóteses do art. 7º da LGPD.

O filtro de improcedência mais relevante é a ausência de exposição concreta: mero envio de notificação preventiva de incidente, sem prova de que o dado do titular específico foi de fato comprometido ou usado, tende a esvaziar o pedido. A inicial precisa demonstrar que os dados daquele titular estavam na base exposta.

Requisitos e fundamentos legais

A base normativa central é a LGPD (Lei 13.709/2018):

Art. 5º, II — define dado pessoal como informação relacionada a pessoa natural identificada ou identificável; o inciso VI define o controlador e o VII o operador, os agentes de tratamento;
Art. 42 — o controlador ou o operador que, em razão do exercício de atividade de tratamento de dados pessoais, causar a outrem dano patrimonial, moral, individual ou coletivo, em violação à legislação de proteção de dados pessoais, é obrigado a repará-lo;
Art. 44 — o tratamento de dados pessoais será irregular quando deixar de observar a legislação ou quando não fornecer a segurança que o titular dele pode esperar, considerando as circunstâncias relevantes;
Arts. 46 a 49 — impõem aos agentes de tratamento a adoção de medidas de segurança técnicas e administrativas aptas a proteger os dados de acessos não autorizados e de situações de destruição, perda, alteração, comunicação ou difusão; a inobservância dessas boas práticas é o núcleo da responsabilidade pelo incidente.

Quando a relação também é de consumo, aplica-se o CDC (Lei 8.078/1990): o art. 14 impõe responsabilidade objetiva ao fornecedor pelo defeito na prestação do serviço, aqui entendido como a falha em manter a segurança dos dados confiados pelo consumidor.

No plano processual, o CPC (Lei 13.105/2015) oferece instrumento relevante: o titular de dados costuma ser tecnicamente hipossuficiente frente ao agente de tratamento, que detém os registros de acesso, logs e histórico do incidente. Isso justifica requerer a inversão do ônus da prova com base no art. 373, § 1º, do CPC — dinâmica também aplicável quando não incide o CDC.

Vale mencionar, de forma institucional, que a Autoridade Nacional de Proteção de Dados (ANPD) é o órgão federal responsável por fiscalizar o cumprimento da LGPD e pode aplicar sanções administrativas ao agente de tratamento — via distinta e não excludente da ação indenizatória individual, que corre no juízo civil.

Estrutura da petição: o que não pode faltar

A inicial segue o art. 319 do CPC. Na ação por vazamento de dados, cada elemento tem função estratégica específica:

Endereçamento (art. 319, I): em regra, foro do domicílio do titular/consumidor (art. 101, I, do CDC, quando aplicável) ou do local do fato;
Qualificação completa das partes (art. 319, II): inclua e-mail e, para a ré, o CNPJ da entidade que efetivamente tratava os dados — muitas vezes diverso da controladora do grupo econômico;
Dos fatos: narre a relação jurídica que originou o tratamento (compra, contratação, cadastro), a data em que o titular tomou conhecimento do incidente (notificação, reportagem, verificação própria), e, sempre que possível, a prova de que o dado específico do autor constava da base exposta;
Do direito: caracterização do tratamento irregular (art. 44 da LGPD), responsabilidade civil do agente (art. 42 da LGPD) e, se cabível, responsabilidade objetiva consumerista (art. 14 do CDC);
Da natureza e sensibilidade do dado exposto: diferencie dado comum de dado sensível (art. 5º, II, da LGPD) — a gravidade e a extensão do dano variam conforme o tipo de dado vazado;
Dos pedidos (art. 319, IV): condenação em valor certo por dano moral, inversão do ônus da prova, e, se houver, dano material comprovado (gastos com monitoramento de crédito, prejuízo por fraude subsequente);
Provas (art. 319, VI) e valor da causa (art. 319, V): valor da causa igual à soma dos pedidos (art. 292, V, do CPC);
Opção pela audiência de conciliação (art. 319, VII).

Para outras peças estruturadas no mesmo padrão, veja todos os modelos de petição do blog.

Erros comuns que levam ao indeferimento

Não comprovar que o dado do próprio autor foi exposto: juntar apenas notícia genérica sobre o incidente, sem vincular o autor à base vazada, fragiliza o pedido;
Pedido genérico de arbitramento (“valor a ser fixado por Vossa Excelência”): viola o art. 292, V, do CPC e pode gerar determinação de emenda;
Tratar todo vazamento como dano automático e de igual gravidade: dado sensível de saúde não se equipara, em intensidade, a um e-mail cadastral exposto sem consequência prática; a narrativa precisa individualizar a gravidade;
Ignorar a diferença entre a via administrativa (ANPD) e a judicial: a inicial não deve depender de decisão da ANPD para existir — a ação civil é autônoma;
Confundir controlador e operador: ajuizar contra a empresa errada dentro do grupo econômico atrasa a citação e pode gerar extinção por ilegitimidade passiva;
Não requerer a inversão do ônus da prova quando o autor não tem acesso técnico aos logs e ao histórico do incidente, que ficam exclusivamente com o agente de tratamento.

Como preencher o modelo passo a passo

O modelo disponível para download traz todos os campos variáveis entre colchetes. Roteiro de personalização:

[COMARCA] / juízo: confira a competência territorial e avalie o Juizado Especial Cível para causas até 40 salários mínimos;
Qualificação: preencha os dados do autor e a razão social e CNPJ correto da empresa/entidade responsável pelo tratamento — confirme no contrato ou termo de uso, não apenas no site;
[DESCRIÇÃO DO INCIDENTE]: substitua o exemplo pela cronologia real — data da contratação/cadastro, data do vazamento (se divulgada pela ré), data em que o autor tomou conhecimento e como (notificação, imprensa, verificação própria);
[DADOS EXPOSTOS]: discrimine com precisão quais categorias de dados foram vazadas (CPF, senha, dados bancários, dados de saúde) — isso direciona a quantificação;
Fundamentação: se houver relação de consumo, mantenha a cumulação com o art. 14 do CDC; se não houver, mantenha só a LGPD;
[VALOR DO DANO MORAL]: ajuste conforme a sensibilidade do dado e eventual repercussão concreta (fraude subsequente, tentativas de golpe documentadas);
Dano material: se houver prejuízo comprovado (fraude, gastos com bloqueio de cartão, monitoramento de crédito), discrimine e junte comprovantes; senão, exclua a seção;
[VALOR DA CAUSA]: some dano moral e material pretendidos.

Baixe o modelo gratuito (.docx)

Modelo de Indenização por Vazamento de Dados Pessoais — atualizado em julho/2026

Peça completa, com fundamentação atualizada e campos prontos para preencher.

📥 Baixar modelo gratuito

Aviso: este modelo é um ponto de partida elaborado para fins educativos. Revise a vigência da legislação e da jurisprudência citadas e adapte a peça às particularidades do caso concreto antes de protocolar. Este conteúdo não constitui consultoria jurídica.

Jurisprudência e teses atuais

O tema ainda está em consolidação nos tribunais, com decisões variando conforme a gravidade do dado exposto e a prova de uso indevido. Alguns pontos consolidados e seguros para citar:

Súmula 227 do STJ — a pessoa jurídica também pode sofrer dano moral, útil quando o titular lesado é uma empresa cujos dados corporativos foram expostos;
Súmula 385 do STJ — aplicável por analogia em discussões sobre outras anotações preexistentes do titular, quando a defesa alegar ausência de dano específico decorrente do vazamento;
O entendimento dominante distingue o mero risco abstrato de exposição (que tende a não gerar indenização por si só) da exposição concreta e qualificada de dados sensíveis ou financeiros, que se aproxima do dano presumido quando a gravidade é evidente;
A discussão sobre se o dano moral em vazamento de dados é in re ipsa não está pacificada da mesma forma que em negativação indevida — a tendência é exigir a demonstração da gravidade e da sensibilidade do dado exposto, sobretudo em vazamentos massivos sem prova de uso indevido individualizado.

Não há, até a data deste conteúdo, súmula específica do STJ sobre vazamento de dados na LGPD — o entendimento segue sendo construído caso a caso. Evite citar número de processo, REsp ou data de julgamento específicos sem confirmação atual na fonte oficial.

Artigos e modelos atraem clientes — mas é no WhatsApp que eles fecham contrato. A Sábio Adv organiza a captação e o atendimento do seu escritório com IA na API Oficial do WhatsApp, respondendo leads 24/7 sem perder o toque humano. Conheça a plataforma.

Perguntas frequentes

Todo vazamento de dados gera direito à indenização?

Não automaticamente. É preciso demonstrar que houve tratamento irregular pelo agente (art. 44 da LGPD) e que o dado do titular específico foi de fato exposto. Vazamentos de dados sensíveis ou financeiros, com potencial de uso indevido, tendem a receber tratamento mais favorável ao pedido do que exposições de dados cadastrais simples sem repercussão concreta.

Quem pode ser réu na ação: o controlador, o operador ou ambos?

Depende do caso. O art. 42 da LGPD responsabiliza o agente de tratamento que causar o dano em violação à legislação; controlador e operador podem responder solidariamente quando ambos contribuírem para a falha de segurança. Confira nos termos de uso ou contrato qual entidade efetivamente tratava os dados antes de definir o polo passivo.

É possível inverter o ônus da prova nessa ação?

Sim, é recomendável requerer. Quando houver relação de consumo, com base no art. 6º, VIII, do CDC; fora dela, pela hipossuficiência técnica do titular frente ao agente de tratamento, que detém exclusivamente os logs e registros do incidente, aplicando-se o art. 373, § 1º, do CPC.

A ANPD precisa ter decidido o caso antes de eu ajuizar a ação?

Não. A atuação da Autoridade Nacional de Proteção de Dados (ANPD) é administrativa e independente da via judicial. O titular pode ajuizar a ação de indenização diretamente, sem aguardar qualquer manifestação da ANPD sobre o incidente.

Como quantificar o dano moral em caso de vazamento de dados?

Considere a sensibilidade do dado exposto (financeiro e de saúde tendem a valores mais altos que dados cadastrais simples), a extensão do vazamento, a conduta da ré após o incidente e eventual repercussão concreta, como tentativas de fraude documentadas. Indique valor certo na inicial, nos termos do art. 292, V, do CPC.

Referências

Pedro Campos — Especialista em Automação de Atendimento

Pedro Campos é especialista em automação de atendimento no Sábio Adv, desenhando fluxos de IA que respondem clientes 24/7 no WhatsApp sem perder o toque humano do escritório.