Fiscalização da ANPD e precedente do STJ elevam o custo da LGPD nas seguradoras

A ANPD colocou o núcleo do negócio de seguros dentro do seu plano de fiscalização. O Mapa de Temas Prioritários para o biênio 2026-2027, aprovado pela Resolução CD/ANPD nº 30/2025, elege quatro frentes de atuação — direitos dos titulares, proteção de crianças e adolescentes, Poder Público e inteligência artificial — e, no eixo de direitos dos titulares, dá enfoque especial ao tratamento de dados biométricos, de saúde e financeiros, com dez atividades de fiscalização previstas especificamente para essas categorias. Seguradoras operam exatamente nesse cruzamento: subscrição de vida e saúde depende de dados sensíveis, e a precificação, de dados financeiros. A adequação à LGPD para seguradoras deixa de ser projeto interno e vira item de exposição regulatória mapeada.

O contexto institucional mudou junto. A ANPD foi transformada em agência reguladora, com autonomia técnica e decisória, e vem convertendo princípios da lei em parâmetros objetivos de conformidade aplicados em investigações reais — como fez em notas técnicas recentes ao tratar da omissão ou insuficiência de salvaguardas de segurança como afronta direta ao princípio da segurança. Para o jurídico e o compliance de uma seguradora, isso significa que a fiscalização não pergunta mais se existe política de privacidade, e sim se há evidência de que ela funciona.

STJ fixou dano presumido em vazamento no seguro de vida

O setor já tem um precedente com nome e valor. Desde fevereiro de 2025, no REsp 2.121.904, a 3ª Turma do STJ reconheceu, por unanimidade, que o vazamento de dados sensíveis fornecidos para contratação de seguro de vida gera dano moral presumido e responsabilização objetiva da seguradora. No caso, que envolveu a Prudential, o incidente expôs propostas de seguro com nome, CPF, endereço, dados de saúde, bens, beneficiários e, em parte dos registros, conta e agência bancária; a indenização foi fixada em R$ 15 mil por titular, e a relatora, ministra Nancy Andrighi, afastou a tese de culpa exclusiva de terceiros.

Os incidentes que alimentam esse contencioso continuam ocorrendo em organizações que, como as seguradoras, concentram grandes bases cadastrais. Em junho de 2026, o iFood confirmou a exposição de dados de cerca de 1,2 milhão de usuários em incidente ocorrido em dezembro de 2025, e a falha nos sistemas do INSS operados pela Dataprev, identificada em abril, alcançou estimativas de até 1,7 milhão de segurados, com nome, data de nascimento e histórico laboral acessíveis por meio de requerimentos de benefício. O padrão que emerge desses casos é o que o precedente do seguro de vida transforma em passivo: base sensível, controle de acesso frágil e comunicação tardia.

Da Circular 638 ao Open Insurance, a régua dupla da SUSEP

A camada regulatória setorial se soma à da ANPD e cobra revisão de ferramentas concretas. Desde 2021, a Circular SUSEP nº 638 impõe às supervisionadas política de segurança cibernética, classificação de dados por relevância e diretrizes para terceirização de processamento — norma que deve ser lida em conjunto com a LGPD. A Resolução CNSP nº 471/2024 incorporou o risco cibernético à autoavaliação de risco e solvência (ORSA), com prazos de adequação até 31 de dezembro de 2025 para o segmento S1, na maior parte dos dispositivos, e até 31 de dezembro de 2026 para o S2 — ou seja, o ciclo está em curso agora.

No Open Insurance, a Resolução CNSP nº 415/2021 condiciona qualquer compartilhamento a consentimento eletrônico, livre, informado, prévio e inequívoco, com finalidades determinadas, e veda o compartilhamento de dados sensíveis e de escores de crédito ou comportamento. Na prática, a matriz de riscos táticos da operação precisa refletir três frentes ao mesmo tempo: jornada de consentimento auditável, gestão de risco cibernético integrada ao capital e RIPD atualizado para tratamentos de alto risco. O sandbox regulatório da SUSEP reforça o recado ao tratar conformidade com a LGPD e rastreabilidade de decisões algorítmicas como requisito de entrada, mesmo em regime experimental.

R$ 2,8 bilhões em IA e a conta de risco que chega ao conselho

Os números que interessam à alta administração já estão publicados. Estudo da CNseg com a EY indica que as seguradoras brasileiras projetam investir R$ 2,8 bilhões em inteligência artificial em 2026 — R$ 2 bilhões acima do aportado no ano anterior — e que 80% das companhias, responsáveis por cerca de R$ 210 bilhões de faturamento, já implementaram soluções de IA. No mesmo levantamento, apenas 15% citam reforço de segurança e gestão de risco como motivação do investimento: o descompasso entre adoção e controle é o dado que justifica levar o tema à pauta de auditoria e riscos.

A exposição financeira tem parâmetros conhecidos. A multa da LGPD chega a 2% do faturamento, limitada a R$ 50 milhões por infração, com previsão de multa diária e de publicização da infração — sanção reputacional que, no setor que vende confiança, tende a custar mais que a pecuniária. Levantamento da CNseg mostra que a arrecadação do seguro de riscos cibernéticos cresceu 880% entre 2019 e 2023, de R$ 20,7 milhões para R$ 203,3 milhões, sinal de que o próprio mercado precifica a materialização desses eventos. Análise publicada pela AASP acrescenta a dimensão pessoal: com a Resolução CD/ANPD nº 15/2024 exigindo comunicação de incidentes relevantes em até três dias úteis, a jurisprudência passa a tratar governança de dados como parte do dever de diligência dos administradores previsto no art. 153 da Lei das S.A.

Adequação com a UE e IA definem o próximo ciclo regulatório

Os sinais do que vem a seguir já foram emitidos. Em 26 de janeiro de 2026, a Resolução CD/ANPD nº 32 reconheceu a União Europeia como organismo com grau adequado de proteção de dados, permitindo transferências internacionais sem mecanismos adicionais — efeito direto para grupos seguradores e operações de resseguro com matrizes ou contrapartes europeias, que hoje dependem de cláusulas contratuais. A decisão será reavaliada em quatro anos, o que condiciona o benefício à manutenção da conformidade doméstica.

No plano normativo, a Agenda Regulatória 2025-2026 atualizada pela ANPD prevê entregas sobre direitos dos titulares, relatório de impacto e segurança, e o Mapa de Temas Prioritários programa a intensificação da fiscalização sobre sistemas de inteligência artificial a partir de 2027 — antes, portanto, de o marco legal da IA (PL 2338/2023, relatado pelo senador Eduardo Gomes) virar obrigação consolidada, como discutido pelo setor no Fórum de Seguros França-Brasil. No 2º Fórum Brasil-Reino Unido de Seguros, em 23 de junho, subscritores relataram que a IA já altera a avaliação de risco cibernético dos clientes e defenderam o fortalecimento da capacidade de resposta da ANPD a incidentes envolvendo a tecnologia. Quem trata o intervalo até 2027 como prazo de preparação chega à fiscalização com evidências prontas; quem trata como trégua chega como alvo.

Turmas do STJ divergem sobre quando o vazamento gera dano

A tese do dano presumido não é pacífica dentro do próprio STJ, e a divergência importa para o cálculo do passivo. A 2ª Turma firmou que o vazamento de dados pessoais, por si só, não gera dano moral indenizável, exigindo do titular a comprovação do prejuízo — entendimento criticado por parte da doutrina, para quem esse ônus recai sobre danos de difícil prova, como risco futuro de fraude ou discriminação. A 3ª Turma, por sua vez, presume o dano quando o vazamento envolve dados sensíveis, como no precedente do seguro de vida, e, no REsp 2.147.374, rejeitou a excludente de culpa de terceiro quando o agente não comprova diligência adequada.

O caso XP Investimentos, incidente de março de 2025 que expôs dados cadastrais e financeiros de clientes, ilustra a zona cinzenta: parte das sentenças de primeiro grau negou dano moral a investidores notificados, considerando suficientes as medidas de contenção e comunicação adotadas, enquanto analistas sustentam que dados financeiros detalhados se aproximam da categoria sensível pela potencialidade lesiva. Para as seguradoras, o desfecho dessa disputa define se cada incidente multiplica indenizações automáticas por titular ou exige prova individual — diferença que separa um evento administrável de um passivo em escala de carteira.