Um vazamento de dados de cartão de crédito ou débito — nome completo, número, validade, CVV ou dados vinculados a uma conta bancária — expõe a vítima a fraudes financeiras, compras não autorizadas e um desgaste emocional real. Quando o vazamento decorre de falha de segurança de uma instituição financeira, administradora de cartão, e-commerce ou qualquer outro fornecedor que trata esses dados, a legislação brasileira oferece caminhos claros para responsabilização.
Este artigo explica quando cabe ação de indenização, quais são os fundamentos legais aplicáveis (LGPD e CDC), como estruturar a petição corretamente e traz um modelo gratuito para adaptação ao caso concreto.
O objetivo é ajudar advogados a montar uma peça técnica, sem prometer resultado — cada caso depende das provas produzidas e do entendimento do juízo competente.
Resposta rápida: cabe ação de indenização por vazamento de dados de cartão quando uma empresa (banco, administradora de cartão, loja virtual, etc.) falha em proteger dados pessoais sob sua responsabilidade e essa falha expõe o consumidor a risco ou dano concreto, com base na Lei Geral de Proteção de Dados (Lei 13.709/2018, arts. 42 a 45) combinada com o Código de Defesa do Consumidor (responsabilidade objetiva do fornecedor, arts. 14 e 6º, VI). O dano moral, nesses casos, costuma ser reconhecido quando há efetiva exposição do titular a risco elevado — não bastando o mero descumprimento formal da lei.
A ação de indenização por vazamento de dados de cartão é a via judicial para responsabilizar civilmente a empresa que, por falha em seus sistemas ou processos de segurança, permitiu o acesso não autorizado a dados de cartão de pagamento do titular. Cabe quando há um nexo entre a falha de segurança da empresa e o vazamento — por exemplo, invasão a banco de dados, venda de informações por terceiros mal-intencionados, exposição pública de arquivos, ou fraude decorrente de brecha em sistema de pagamento.
O ponto central para o cabimento não é apenas “houve vazamento”, mas se esse vazamento gerou exposição relevante do titular — uso indevido do cartão, tentativas de fraude, inclusão em listas de dados vazados na internet, ou mero risco elevado e concreto de dano futuro. Vazamentos que resultam em transações não reconhecidas, cobranças indevidas ou necessidade de cancelamento e reemissão do cartão reforçam o pedido de indenização material e moral.
A Lei Geral de Proteção de Dados (Lei 13.709/2018), em seus arts. 42 a 45, estabelece que o agente de tratamento de dados (no caso, a instituição financeira, administradora de cartão ou fornecedor de e-commerce) responde pelos danos patrimoniais, morais, individuais ou coletivos causados em razão do descumprimento da legislação de proteção de dados. O art. 44 da LGPD ainda prevê que o tratamento de dados será irregular quando não fornecer a segurança que o titular pode esperar, considerando as circunstâncias relevantes.
Paralelamente, o Código de Defesa do Consumidor reforça a responsabilidade objetiva do fornecedor (art. 14), ou seja, não é necessário provar culpa da empresa — basta demonstrar o defeito no serviço (falha de segurança) e o dano dele decorrente. O art. 6º, VI, do CDC assegura ao consumidor a efetiva reparação de danos patrimoniais e morais.
Requisitos para a ação: (i) comprovação de que os dados do titular estavam sob a guarda ou tratamento da empresa ré; (ii) evidência do vazamento, geralmente via comunicado oficial da própria empresa, notícia de imprensa, ou notificação da ANPD; (iii) nexo causal entre o vazamento e o dano alegado (fraude, exposição, transtorno relevante); (iv) ausência de excludentes de responsabilidade previstas no art. 43 da LGPD (prova de que não realizou o tratamento, de que não houve violação, ou de culpa exclusiva do titular ou de terceiro).
A petição inicial deve observar os requisitos do art. 319 do Código de Processo Civil: endereçamento correto, qualificação completa das partes, causa de pedir detalhada, pedidos certos e determinados, valor da causa e indicação das provas que se pretende produzir.
No mérito do vazamento de dados, é essencial instruir a petição com: (a) comunicado oficial da empresa informando o incidente de segurança, quando disponível; (b) prints, e-mails ou notificações recebidas pelo titular sobre o vazamento; (c) extrato bancário ou fatura de cartão evidenciando cobranças indevidas, se houver fraude decorrente; (d) boletim de ocorrência registrado, especialmente quando houve uso fraudulento do cartão; (e) protocolos de reclamação e tentativas de solução extrajudicial junto à empresa; (f) print de eventual consulta em sites de verificação de vazamento de dados (quando aplicável e confiável).
Primeiro, identifique corretamente a vara competente — em geral, o foro do domicílio do consumidor, por se tratar de relação de consumo. Preencha a qualificação completa do autor (nome, CPF, endereço, e-mail) e da empresa ré (razão social, CNPJ, endereço para citação).
Na seção de fatos, narre cronologicamente: quando o titular foi comunicado ou tomou conhecimento do vazamento, quais dados foram expostos, se houve uso fraudulento subsequente e quais medidas foram tomadas (bloqueio de cartão, boletim de ocorrência, contato com a empresa). Na fundamentação jurídica, cite a LGPD e o CDC conforme os fundamentos legais explicados acima, adaptando à narrativa fática. Nos pedidos, especifique o valor pretendido a título de dano moral (e material, se houver prejuízo comprovado) e requeira a produção de provas pertinentes. Revise sempre a jurisprudência atualizada do tribunal local antes de protocolar.
Modelo de Ação de Indenização por Vazamento de Dados de Cartão — atualizado em julho/2026
Peça completa, com fundamentação atualizada e campos prontos para preencher.
📥 Baixar modelo gratuitoAviso: este modelo é um ponto de partida elaborado para fins educativos. Revise a vigência da legislação e da jurisprudência citadas e adapte a peça às particularidades do caso concreto antes de protocolar. Este conteúdo não constitui consultoria jurídica.
O Superior Tribunal de Justiça tem se posicionado no sentido de que o mero descumprimento de obrigações legais relacionadas à proteção de dados, por si só, não gera automaticamente dever de indenizar por dano moral — é necessária a demonstração de efetiva exposição do titular a risco concreto e relevante, como uso indevido dos dados ou fraude decorrente. Tribunais estaduais, por sua vez, vêm reconhecendo com mais frequência o dano moral quando o vazamento de dados de cartão resulta em transações fraudulentas comprovadas, cobranças indevidas ou necessidade de providências relevantes por parte da vítima (cancelamento de cartão, contestação de compras, acompanhamento de fatura). Como a jurisprudência sobre LGPD ainda está em consolidação, é recomendável verificar precedentes recentes do tribunal competente antes de definir a estratégia da ação.
Em regra, o réu é a empresa que tinha a guarda ou o tratamento dos dados no momento do vazamento — banco, administradora de cartão, loja virtual ou qualquer fornecedor que armazenava as informações. Se o vazamento ocorreu por falha de um terceiro contratado pela empresa (processador de pagamentos, por exemplo), a empresa contratante geralmente responde de forma solidária.
Não necessariamente, mas a existência de fraude comprovada (compras não reconhecidas, tentativas de uso do cartão) fortalece significativamente o pedido. Quando não há fraude efetiva, o pedido de dano moral depende da demonstração de exposição relevante e risco concreto, não bastando o simples fato do vazamento ter ocorrido.
O prazo prescricional para ações de reparação civil é, em regra, de três anos, contados a partir do conhecimento do dano e de sua autoria, conforme art. 206, §3º, V, do Código Civil. É recomendável verificar o marco inicial exato conforme as particularidades do caso.
Sim, é possível pleitear apenas dano moral quando o vazamento expôs dados sensíveis do titular a risco relevante, mesmo sem prejuízo financeiro imediato — por exemplo, quando os dados ficaram disponíveis publicamente na internet. O valor da indenização, nesses casos, tende a ser fixado conforme a gravidade concreta da exposição.
Não automaticamente. O art. 43 da LGPD prevê excludentes de responsabilidade em hipóteses específicas, mas a empresa precisa demonstrar que adotava medidas de segurança adequadas e que o ataque não decorreu de falha em seus sistemas. A simples alegação de “ataque externo” não afasta, por si só, o dever de indenizar.
Artigos e modelos atraem clientes — mas é no WhatsApp que eles fecham contrato. A Sábio Adv organiza a captação e o atendimento do seu escritório com IA na API Oficial do WhatsApp, respondendo leads 24/7 sem perder o toque humano. Conheça a plataforma.
Confira também outros modelos de petição prontos para adaptar em Modelos de Petições.
Pedro Campos é especialista em automação de atendimento no Sábio Adv, desenhando fluxos de IA que respondem clientes 24/7 no WhatsApp sem perder o toque humano do escritório.
Conquiste clientes na pré-venda e fidelize na pós-venda, tudo com a agilidade e eficiência da IA diretamente no seu WhatsApp.
Comentarios encerrados