Vazamento de dados: alegar ataque hacker não afasta, por si só, a responsabilidade da empresa
Atualizado: há 4 horas
Durante anos, a reação padrão de muitas empresas após um vazamento de dados foi atribuir toda a responsabilidade a criminosos: "fomos vítimas de hackers". A jurisprudência do Superior Tribunal de Justiça mostra que esse argumento, sozinho, não basta.
Este artigo explica o que o STJ decidiu, como os tribunais vêm tratando o dano moral nesses casos e quais práticas de governança fazem diferença quando um incidente acontece.
Em resumo
No REsp 2.147.374/SP (3ª Turma, dezembro de 2024), o STJ entendeu que a empresa que não prova que o vazamento decorreu exclusivamente de ataque hacker não pode invocar a excludente de culpa exclusiva de terceiro (art. 43, III, da LGPD).
O tratamento de dados é irregular quando não oferece a segurança que o titular pode esperar (art. 44 da LGPD).
Para dados comuns, o STJ já decidiu que o vazamento, por si só, não gera dano moral presumido; para dados sensíveis, há decisão reconhecendo dano presumido.
Segundo a IBM, o custo médio de uma violação de dados no Brasil chegou a R$ 7,19 milhões em 2025.
O que o STJ decidiu no REsp 2.147.374/SP
O caso envolvia uma concessionária de energia que teve dados não sensíveis de uma consumidora expostos após um ataque hacker. A empresa alegou culpa exclusiva de terceiro, hipótese que, pelo art. 43, III, da LGPD, afasta a responsabilidade do agente de tratamento.
A Terceira Turma, por unanimidade, rejeitou o argumento. Como a empresa não provou que o vazamento decorreu exclusivamente do incidente de segurança, não era possível aplicar a excludente. O tribunal também reconheceu o dever da empresa de prestar ao titular as informações previstas no art. 19, II, da LGPD sobre os dados tratados.
A mensagem central é que o ataque de terceiros não encerra a discussão: a empresa precisa demonstrar que adotou medidas de segurança adequadas e proporcionais ao risco.
E o dano moral?
A jurisprudência do STJ distingue a natureza dos dados expostos:
Dados pessoais comuns: no AREsp 2.130.619/SP (2ª Turma, 2023), o STJ entendeu que o vazamento, por si só, não gera dano moral presumido; o titular precisa demonstrar o prejuízo.
Dados sensíveis: no REsp 2.121.904/SP (3ª Turma, 2025), envolvendo dados de saúde em contrato de seguro, o tribunal reconheceu a responsabilidade objetiva e o dano moral presumido.
Na prática, o risco jurídico depende do tipo de dado, das circunstâncias do incidente e, sobretudo, da capacidade da empresa de comprovar suas medidas de segurança e a resposta ao incidente.
O tamanho do risco financeiro
O relatório Cost of a Data Breach 2025, da IBM, apontou que o custo médio de uma violação de dados no Brasil chegou a R$ 7,19 milhões, alta de 6,5% em relação ao ano anterior. Esse valor considera, entre outros itens, investigação forense, paralisação de operações, notificações, gestão de crise e perda de negócios. O contencioso judicial e administrativo pode se somar a esse custo.
Quatro pilares de governança que reduzem o risco
Política de segurança documentada e aplicada
Não basta ter o documento: a política precisa ser conhecida pelos colaboradores, treinada, auditável e atualizada.
Contratos com operadores e fornecedores
Provedores de nuvem, sistemas e ferramentas de análise tratam dados em nome da empresa. Os contratos devem prever deveres de segurança, comunicação de incidentes e divisão de responsabilidades.
Plano de resposta a incidentes testado
Simulações periódicas, com áreas jurídica, de tecnologia, comunicação e diretoria, encurtam o tempo de reação e ajudam a cumprir os deveres de comunicação à ANPD e aos titulares.
Encarregado (DPO) atuante antes do incidente
O encarregado mapeia riscos, orienta contratos, treina equipes e mantém a documentação de conformidade, que é justamente o que a empresa precisará apresentar se for questionada.
Perguntas frequentes
A LGPD prevê responsabilidade mesmo quando há ataque hacker?
O art. 43, III, da LGPD afasta a responsabilidade quando o dano decorre de culpa exclusiva do titular ou de terceiro. Para usar essa excludente, porém, a empresa precisa provar que o vazamento decorreu exclusivamente da ação do terceiro e que não houve falha na sua segurança.
Todo vazamento gera indenização por dano moral?
Não necessariamente. Para dados comuns, o STJ exige a demonstração do prejuízo; para dados sensíveis, há precedente reconhecendo dano presumido. Cada caso depende das suas circunstâncias.
O que a empresa deve fazer logo após um incidente?
Conter o incidente, avaliar o risco aos titulares, preservar evidências e comunicar a ANPD e os titulares quando o incidente puder acarretar risco ou dano relevante, nos termos do art. 48 da LGPD e da regulamentação da ANPD.
Base legal e jurisprudência
Lei nº 13.709/2018 (LGPD), arts. 19, 42 a 46 e 48.
STJ, REsp 2.147.374/SP, 3ª Turma, julgado em 3/12/2024.
STJ, AREsp 2.130.619/SP, 2ª Turma, julgado em 7/3/2023.
STJ, REsp 2.121.904/SP, 3ª Turma, julgado em 11/2/2025.
IBM, Cost of a Data Breach Report 2025.
Este artigo tem caráter exclusivamente informativo e não substitui a orientação jurídica sobre o caso concreto. Atualizado em novembro de 2026.
Almeida, Costa e Silva Advogados Associados · Sede em Brasília/DF, atendimento em todo o Brasil · Registro OAB/DF nº 11.207/25.
Dúvidas sobre o tema? Escreva para falecomacs.adv@gmail.com ou envie mensagem pelo WhatsApp (61) 99872-5586.
Comentários