Ação coletiva por vazamento de dados contra a Serasa avança no exterior

Um dos maiores litígios coletivos de proteção de dados envolvendo brasileiros corre fora do país. Em 9 de janeiro de 2026, o escritório Mishcon de Reya protocolou na Justiça inglesa uma ação coletiva contra a Serasa Experian e outras empresas do grupo, atribuindo a elas o megavazamento revelado em 2021 que expôs dados de cerca de 223 milhões de brasileiros — CPF, nomes, endereços, renda e benefícios.

A escolha da Inglaterra decorre da estrutura societária: a controladora Experian está listada na Bolsa de Londres, o que permite processar o grupo no foro britânico aplicando a lei brasileira. Até fevereiro, cerca de 35 mil pessoas já haviam manifestado interesse em aderir, e no Brasil o Seleme Advogados passou a coordenar a adesão das vítimas.

Para quem responde por governança, o caso aciona diretamente o art. 42 da LGPD — reparação de dano individual e coletivo — e o dever de accountability do art. 6º, X, agora testado por um mecanismo de reparação em massa que ignora fronteiras.

Auxílio Brasil e Meta já pagam a conta coletiva

O litígio contra a Serasa não surge no vácuo. Desde 2023, tribunais brasileiros vêm fixando condenações coletivas relevantes por vazamento. Na ação civil pública do Auxílio Brasil (5028572-20.2022.4.03.6100), a 1ª Vara Cível Federal de São Paulo condenou União, Caixa, Dataprev e a própria ANPD a indenizar cerca de 4 milhões de titulares em R$ 15 mil cada, mais R$ 40 milhões de dano moral coletivo destinados ao Fundo de Defesa de Direitos Difusos.

No mesmo período, o TJMG condenou a Meta a R$ 20 milhões por dano moral coletivo e R$ 5 mil por usuário nos vazamentos de 2018 e 2019 de Facebook e WhatsApp, em ações do Instituto Defesa Coletiva.

A falha recorrente aparece na porta de entrada: a ACP do Instituto Sigilo contra a Serasa foi extinta sem mérito por ilegitimidade ativa, com o juízo apontando finalidade estatutária genérica e petição baseada em reportagens. A representatividade adequada, e não o mérito do vazamento, tem decidido quem senta à mesa.

STJ dividido define o tamanho da exposição

O valor final dessas condenações depende de uma controvérsia ainda aberta no STJ: o vazamento gera dano moral presumido ou exige prova do prejuízo. A Segunda Turma, no AREsp 2.130.619/SP, fixou que a exposição de dados, por si só, não configura dano indenizável sem comprovação concreta.

A Terceira Turma caminha em sentido oposto. No REsp 2.201.694/SP, reconheceu dano presumido quando o gestor de banco de dados repassa a terceiros informações cadastrais e de score sem autorização. E no REsp 2.147.374/SP, envolvendo a Eletropaulo, tratou o ataque cibernético como fortuito interno, que não afasta a responsabilidade do controlador nem o dever de informar com quem os dados foram compartilhados.

Na prática, a divergência empurra a revisão de três frentes: a atuação do encarregado (DPO), as políticas de segurança efetivamente comprovadas e o tempo de notificação do art. 48 da LGPD — porque a comunicação tardia tem sido lida como agravante, não como atenuante.

A conta que chega ao conselho

Traduzido para exposição de capital, o quadro é direto. O pedido do MPF na frente brasileira é de R$ 30 mil por pessoa afetada pela Serasa; multiplicado pela base de 223 milhões, o número que chega ao conselho sai de qualquer escala de provisão ordinária. A sanção administrativa da ANPD, limitada a 2% do faturamento e a R$ 50 milhões por infração, vira coadjuvante diante do passivo civil coletivo.

O mercado que serve de referência é o dos Estados Unidos, onde ações de vazamento já são a maior categoria isolada de acordos de consumo, segundo levantamento publicado em 3 de julho de 2026.

Só na virada de junho para julho de 2026, fecharam acordos como LastPass (US$ 8,2 milhões), Fidelity Investments (US$ 2,5 milhões), First Financial Security (US$ 1,2 milhão) e Management Association (US$ 775 mil), a maioria com faixas de US$ 50 a US$ 100 sem prova e até US$ 25 mil para prejuízo documentado. É o desenho de custo que a auditoria e o comitê de riscos precisam simular antes, não depois, do incidente.

Europa aponta para onde o risco vai

O vetor de médio prazo vem da Europa. A Diretiva de Ações Representativas (RAD), já transposta pela maioria dos Estados-membros, autoriza entidades qualificadas a mover ações coletivas de reparação por violações do GDPR, combinando os arts. 80 e 82 para litígios de massa antes inviáveis individualmente.

A jurisprudência recente do Tribunal de Justiça da UE amplia essa exposição: não há limiar mínimo de gravidade para o dano imaterial, e o simples receio fundado de uso indevido dos dados após um vazamento pode ser indenizável, mesmo sem fraude consumada.

No Brasil, a mesma pergunta sobre dano presumido segue sem tese vinculante no STJ, o que mantém a insegurança sobre o quantum e sobre a liquidação individual de sentenças coletivas. Para grupos com operação na Europa, a leitura ampla do dano não material já é o parâmetro a monitorar, porque desloca o eixo da prova para a perda de controle sobre a informação.

Serasa nega falha e contesta foro inglês

A disputa tem lados que ainda não se reconciliaram. A Serasa Experian afirma que não houve invasão de seus sistemas, que não há evidência de que o vazamento tenha origem em suas bases e que apresentou laudo pericial independente às autoridades; a empresa também repudia o que classifica como promessas de indenização sem respaldo legal ou técnico.

Do outro lado, o escritório responsável na Inglaterra sustenta a competência do foro britânico pela vinculação societária, e a Agência Pública afirma ter confirmado no sistema inglês a presença da Serasa no processo.

Há ainda quem enquadre a ação estrangeira como litígio financiado que repete um padrão contra empresas brasileiras. Ao tratar do megavazamento, o presidente do STF classificou o caso como gravíssimo e pediu providências. Entre a tese do dano presumido e a exigência de prova concreta, o desfecho definirá se a responsabilização coletiva por dados no Brasil se torna regra ou exceção.