Incidentes de segurança e responsabilidade civil: por que a prevenção deve contar
A segurança de dados pessoais é prioridade para consumidores, empresas e reguladores. No setor privado, incidentes afetam operações, reputação e finanças, com custo médio estimado de R$ 7,19 milhões no Brasil.
O avanço da Inteligência Artificial (IA) permite ataques mais frequentes e sofisticados. Em 2025, os gastos mundiais com segurança da informação chegaram a US$ 213 bilhões.
Investimentos em sistemas, políticas e certificações de segurança e proteção de dados mitigam riscos operacionais e jurídicos. Empresas que adotam padrões elevados esperam que sua diligência seja considerada pelas autoridades em casos de incidente.
A Lei Geral de Proteção de Dados (LGPD) valoriza a prevenção. Não prevê punição automática para quem sofre vazamentos: exige análise individualizada, conforme as expectativas razoáveis de segurança e as técnicas disponíveis (art. 44, II e III), e afasta a responsabilidade quando o dano decorre de culpa exclusiva de terceiro (art. 43, III). Incidentes nem sempre podem ser evitados; deve-se avaliar se o agente adotou medidas razoáveis ou facilitou a ação criminosa por negligência.
Se a empresa mantém programa de segurança adequado e sofre ataque que não poderia ser evitado, não há necessariamente violação à LGPD. Ainda assim, decisões judiciais vêm equiparando agentes com diferentes níveis de diligência. Precedentes do Superior Tribunal de Justiça (STJ) aplicam responsabilidade objetiva e, conforme o caso, dano moral presumido, sem aprofundar a análise do padrão técnico de segurança adotado.
A própria LGPD oferece parâmetros para avaliar a conduta dos agentes. Há dever de indenizar quando o tratamento viola a lei e causa dano (art. 42), mas o agente pode se eximir se provar que cumpriu a legislação (art. 43, II). A lei exige medidas de segurança (art. 46) e comunicação de incidentes relevantes (art. 48). Na dosimetria de sanções, a Agência Nacional de Proteção de Dados (ANPD) considera a conduta do infrator e a adoção de programas de governança (art. 52, § 1º), entre outros fatores. Portanto, a atuação antes e depois de um vazamento importa.
O Relatório Painel LGPD nos Tribunais 2026, que examinou 5.555 decisões que mencionam a lei, aponta que a jurisprudência frequentemente adota responsabilidade objetiva sem aprofundar a qualidade das medidas de segurança dos controladores. Entre 2.405 decisões sobre incidentes, apenas 21% mencionaram o dever de segurança (art. 46), muitas vezes genericamente. As excludentes por ausência de violação à lei (art. 43, II) e culpa exclusiva de terceiro (art. 43, III) apareceram, cada uma, em cerca de 4% das 2.179 decisões sobre responsabilidade civil; mais da metade citou o dever de indenizar (art. 42).
No STJ, os precedentes também deixam lacunas. No AREsp 2.130.619/SP, a Corte decidiu que o vazamento de dados pessoais não sensíveis não basta, por si só, para gerar indenização: é preciso comprovar dano efetivo. Não examinou, porém, se a adoção de medidas de segurança pode afastar a responsabilidade.
Já no REsp 2.121.904/SP, reconheceu dano moral presumido no vazamento de dados pessoais sensíveis, criando tratamento distinto sem previsão expressa na LGPD. A lei e a ANPD não estabelecem presunção automática de dano nesses casos. A natureza sensível dos dados é fator para dosar eventual sanção (Resolução ANPD nº 4/2023, art. 8º, § 3º, I, “d”), não para caracterizar automaticamente uma infração.
O relatório também mostra que a maioria das decisões cíveis analisadas foi classificada como consumerista, combinando o Código de Defesa do Consumidor (CDC) com a LGPD e favorecendo a aplicação da responsabilidade objetiva. Mas o próprio CDC exige avaliar os riscos esperados à época do fornecimento (§ 1º, II e III, do art. 14) e afasta a indenização quando não há defeito no serviço (§ 3º, I) ou há culpa exclusiva de terceiro (§ 3º, II). A leitura conjunta das leis permite reconhecer que a empresa que adota medidas robustas, mitiga riscos proporcionais e comunica incidentes não oferece necessariamente serviço defeituoso.
A prevenção absoluta é utópica. A LGPD admite que o agente se exonere ao demonstrar que cumpriu seus deveres e adotou medidas proporcionais aos riscos. Quando um hacker supera essas barreiras, a empresa também pode ser vítima de fato de terceiro. Não se deve tratar todo ataque como fortuito interno nem responsabilizar automaticamente quem observou os padrões legais de segurança.
Ainda que a LGPD (art. 45) determine que violações ocorridas em relações de consumo serão submetidas à legislação pertinente, esse comando não autoriza desconsiderar o restante da norma. A LGPD estabelece deveres e excludentes específicos, e não faria sentido que o legislador criasse tais mecanismos apenas para afastá-los em casos consumeristas.
Cabe à doutrina aprofundar a discussão sobre a LGPD como eixo normativo próprio de responsabilidade civil, que deve ser aplicado em diálogo com demais normas sem ser desconsiderado. Mesmo nas relações de consumo, a análise do defeito do serviço deve avaliar o padrão de segurança e excludentes previstos na LGPD.
A aplicação isolada do regime consumerista esvazia as regras específicas da LGPD e pode desestimular investimentos em prevenção. Equiparar empresas diligentes e negligentes pode transmitir a mensagem de que melhorar a segurança não faz diferença no julgamento. Isso tem o potencial de prejudicar também os consumidores, ao reduzir o incentivo para fortalecer a proteção de dados. Para empresas com recursos limitados, o efeito pode ser especialmente relevante: programas consistentes de segurança exigem investimentos que nem todas conseguem fazer.
A atuação da ANPD oferece outro caminho. O Regulamento de Comunicação de Incidente de Segurança (RCIS) prevê o encerramento de casos quando o agente adota todas as medidas para mitigar ou reverter os efeitos do incidente ou cumpre as providências exigidas pela LGPD (art. 23, IV e V). O regulamento também esclarece que as medidas determinadas durante a comunicação não constituem sanções (art. 22). Assim, comunicar um incidente não equivale a confessar automaticamente uma infração; a agência estimula a transparência quando a empresa demonstra ter feito o possível para proteger os dados.
Desde 2021, a ANPD recebeu mais de duas mil comunicações de incidentes, 74% provenientes do setor privado, e não sancionou empresas privadas vítimas de ataques cibernéticos até o momento. Essa abordagem favorece uma relação de confiança e a valorização de programas de segurança qualificados. Em contraste, a comunicação à agência quase não aparece na análise dos processos judiciais examinados.
A jurisprudência que atribui a responsabilidade sem examinar devidamente a prevenção pode acabar enfraquecendo a proteção que pretende garantir. Ao não considerar a qualidade dos controles e a conduta do agente, desestimula investimentos e amplia a insegurança jurídica, sobretudo em incidentes com dados sensíveis, para os quais o STJ reconhece dano moral presumido mesmo sem prova de prejuízo pelo titular.
Há, contudo, espaço para reorientar essa prática. A ANPD demonstra ser possível avaliar a conduta de cada agente e fiscalizar de forma responsiva. Cabe à agência avançar na definição de padrões técnicos mínimos de segurança da informação (art. 46, § 1º, da LGPD) – tema incluído na Agenda Regulatória 2025/2026, ainda pendente de conclusão. Critérios claros poderiam ajudar empresas a direcionar investimentos e permitiriam que reguladores e Judiciário dispusessem de critérios objetivos para diferenciar falhas evitáveis de ataques que atingem até organizações diligentes.