ANPD e STJ tornam o dano reputacional mais caro que a multa por vazamento
Sanção de publicização, decisões divergentes do STJ e custo crescente do vazamento reconfiguram a gestão do risco reputacional nas empresas.
A Agência Nacional de Proteção de Dados já demonstrou que a sanção de publicização da infração pode gerar dano reputacional maior do que qualquer multa, como no caso do Instituto Nacional do Seguro Social. O Superior Tribunal de Justiça, por sua vez, distingue o vazamento acidental de dado comum, que exige prova de dano, da divulgação deliberada de dado cadastral sem consentimento, que gera dano moral presumido — entendimento já alvo de divergência interna sobre seus efeitos no mercado de crédito. Levantamentos recentes mostram que o custo médio de uma violação de dados no Brasil já passa de R$ 7 milhões e que a maior parte dos consumidores evita voltar a comprar de empresas que sofreram incidentes, o que torna o risco reputacional tão relevante quanto o financeiro.
O Instituto Nacional do Seguro Social foi obrigado pela Agência Nacional de Proteção de Dados a manter, por 60 dias, um aviso sobre vazamento de dados pessoais na página inicial do site institucional e no aplicativo Meu INSS.
A determinação, confirmada pelo Conselho Diretor da Agência em julho de 2024 ao rejeitar recurso do instituto, decorreu de falha de 2022 no Sistema Corporativo de Benefícios (Sisben), que expôs CPF, data de nascimento e outras informações de aposentados e pensionistas.
A Agência rejeitou o argumento de impossibilidade técnica de identificar os titulares afetados e determinou a chamada ampla divulgação do fato em meios de comunicação — providência prevista no art. 48, § 2º, da Lei Geral de Proteção de Dados (LGPD) para os casos em que o controlador falha em comunicar adequadamente um incidente relevante.
Fabrício Lopes, coordenador de fiscalização da Agência, afirmou à Migalhas que a comunicação aos titulares é fundamental para que possam se proteger após o incidente.
O mecanismo se soma à sanção de publicização da infração, prevista no art. 52, II, da LGPD e disciplinada pelo Regulamento de Dosimetria e Aplicação de Sanções (Resolução CD/ANPD nº 4, de 24 de fevereiro de 2023): depois de apurada e confirmada a infração, a própria empresa é obrigada a expor a falha em seus canais, o que converte a sanção regulatória em dano reputacional muitas vezes mais custoso do que a própria multa.
STJ evitou reconhecer dano moral automático
Enquanto a sanção da Agência mira a reputação da empresa perante o mercado, a ação individual do titular no Judiciário segue outro critério para medir o dano.
Uma cliente da Eletropaulo teve nome, data de nascimento, endereço e número de identificação vazados e comercializados por terceiros mediante pagamento, e buscou indenização de R$ 5 mil por dano moral.
A Segunda Turma do Superior Tribunal de Justiça, em julgamento de 7 de março de 2023 relatado pelo ministro Francisco Falcão, reformou o acórdão do Tribunal de Justiça de São Paulo que havia condenado a empresa, por entender que dados classificados como comuns — sem envolver origem racial, saúde, dado genético ou biométrico, conforme a definição de dado pessoal sensível do art. 5º, II, da LGPD — não geram dano moral presumido.
Segundo o precedente, o titular precisa comprovar prejuízo efetivo decorrente do vazamento, como vitimização em golpes de phishing ou clonagem de identidade — a mera exposição do dado não basta.
Decisão do STJ reabre risco para bancos de dados
Dois anos e meio depois, a Terceira Turma do STJ tratou de um cenário distinto: a divulgação, por uma agência de informação de crédito, do telefone e de dados cadastrais de um consumidor a terceiros, sem o consentimento exigido pela Lei do Cadastro Positivo (Lei nº 12.414/2011).
Em julgamento de 5 de setembro de 2025, relatado pela ministra Nancy Andrighi, o colegiado decidiu, por 3 votos a 2, que apenas o escore de crédito pode circular sem autorização; dado cadastral e informação de adimplemento dependem de consentimento específico, e a divulgação indevida gera dano moral presumido, dispensada a prova de prejuízo concreto.
A decisão empurra bancos de dados de crédito a revisar os fluxos de consentimento que sustentam o compartilhamento de informações cadastrais com parceiros comerciais, sob risco de responder por dano presumido em cada reclamação individual.
O risco de escala já tem um exemplo em curso: o vazamento de 2021 que expôs informações de mais de 200 milhões de brasileiros na base da Serasa Experian resultou, em janeiro de 2026, em ação coletiva na Justiça inglesa — hoje com cerca de 35 mil pessoas inscritas, movida pelo escritório Mishcon de Reya —, enquanto no Brasil tramita ação civil pública que pede R$ 30 mil por pessoa impactada.
O caso mostra que empresas com controladoras no exterior podem responder pelo mesmo incidente em mais de uma jurisdição.
"são presumidos, diante da forte sensação de insegurança"— Nancy Andrighi, Superior Tribunal de Justiça (STJ) · stj.jus.br
Vazamento custa mais caro e afasta clientes
Ao custo do litígio em múltiplas jurisdições soma-se o custo direto do incidente: R$ 7,19 milhões foi o valor médio de uma violação de dados no Brasil em 2025, alta de 6,5% sobre o ano anterior, segundo o relatório Cost of a Data Breach da IBM.
O levantamento aponta o setor de saúde como o mais caro (R$ 11,43 milhões por incidente), seguido por finanças (R$ 8,92 milhões) e serviços (R$ 8,51 milhões), e mostra que quase metade das organizações afetadas planeja repassar o custo aos preços cobrados de clientes — quase um terço delas, em reajustes de 15% ou mais.
O dano reputacional aparece nos números de confiança do consumidor: estudo da PwC, que reúne a pesquisa Voz do Consumidor 2024 da própria consultoria com dados da Cisco, do Thales Group e da Cohesity, mostra que 90% dos consumidores brasileiros consideram a proteção de dados pessoais fator decisivo para confiar numa empresa, e 86% exigem garantia de que suas informações não serão compartilhadas sem autorização.
Segundo o mesmo estudo, 75% dos consumidores não comprariam de empresas que consideram pouco confiáveis (Cisco), 82% já deixaram de comprar por preocupação com o uso de seus dados (Thales Group), e mais de 90% abandonariam uma empresa após um incidente cibernético (Cohesity).
Levantamento da PSafe, realizado em 2022 com 5.546 usuários do aplicativo dfndr security, já registrava padrão semelhante: 73,2% dos entrevistados afirmaram que não voltariam a fazer negócio com uma empresa que sofreu vazamento de dados.
Prazo de três dias vira padrão de crise
Esse tipo de reação do consumidor não depende de a falha ter ocorrido dentro dos sistemas da própria empresa.
Uma falha numa plataforma de verificação de identidade usada por empresas de tecnologia expôs, no fim de agosto, 153 milhões de registros no exterior — entre documentos e fotos —, segundo reportagem publicada em 3 de setembro pelo Olhar Digital, que ainda apura se e como usuários brasileiros foram atingidos.
O episódio reforça um cenário em que parte relevante dos incidentes que afetam empresas com operação no Brasil se origina em fornecedores e plataformas terceirizadas, fora do perímetro que a área de segurança da informação costuma monitorar diretamente.
Para esse tipo de cenário, a Agência Nacional de Proteção de Dados já fixou o rito que substitui a resposta improvisada: pela Resolução CD/ANPD nº 15, de 24 de abril de 2024, o controlador tem 3 dias úteis para comunicar a Agência e os titulares após confirmar um incidente com risco ou dano relevante.
Há ainda prazo adicional de 20 dias úteis para complementar informações preliminares — e a mera notificação à Agência não substitui a comunicação direta ao titular, exigida pelo art. 48 da LGPD.
O prazo curto pressiona comitês de crise e áreas de privacidade a manter, de antemão, um protocolo pronto para acionar. O investimento começa a aparecer como diferencial: estudo da PwC aponta que 64% dos executivos brasileiros já veem a cibersegurança como fator de lealdade à marca, 63% como gerador de confiança do consumidor e 60% como oportunidade de crescimento.
Voto vencido alerta para efeito no crédito
O prazo de resposta que a Agência impõe não é o único ponto de tensão regulatória do ano: a decisão da Terceira Turma do STJ que presumiu o dano moral no caso da agência de informação de crédito também não foi unânime.
O placar terminou em 3 a 2, com os ministros Ricardo Villas Bôas Cueva e Humberto Martins vencidos, segundo reportagem da revista Consultor Jurídico (ConJur) publicada em 16 de setembro de 2025.
Para a divergência, a legislação em vigor já regula de forma suficiente a proteção dos dados usados por bancos de crédito, e restringir ainda mais o compartilhamento de informação cadastral tende a piorar o próprio sistema.
Bancos passam a avaliar risco com menos precisão, reduzem o crédito oferecido a populações de renda mais baixa e empurram esse público para o mercado informal, com juros mais altos.
Para a maioria vencedora, a exposição indevida do dado cadastral já basta para configurar o dano reputacional e a insegurança que causa ao titular, independentemente do efeito que a decisão produza sobre o mercado de crédito como um todo — contraponto que deve seguir alimentando o debate à medida que mais casos análogos cheguem ao tribunal.
Revisão editorial: Ricardo Nery
Compilado produzido com apoio de automação a partir das fontes listadas, com edição e revisão humanas antes da publicação.
Na data de 11 de setembro de 2026, momento da publicação desta notícia compilada, todos os links estavam disponíveis. Não nos responsabilizamos nem controlamos eventuais alterações, remoções das URLs ou modificações no conteúdo das fontes consultadas.