Judicialização da LGPD bate recorde e encontra os gatilhos regulatórios de 2026

De 854 documentos no primeiro ciclo da pesquisa, em 2020-2021, para 24.634 entre outubro de 2024 e outubro de 2025: a curva de cinco anos do Painel LGPD nos Tribunais mede a consolidação da Lei Geral de Proteção de Dados no contencioso brasileiro. O volume desta edição, divulgada em maio de 2026 pelo Cedis/IDP e pelo Jusbrasil, com apoio do PNUD, é 55% superior ao da edição anterior e marca o recorde da série.

Do total coletado, 5.555 decisões de alta relevância foram analisadas em profundidade — 70,1% sentenças e 29,9% acórdãos. A leitura já não gira em torno de consentimento e bases legais em abstrato, mas de dano, dever de segurança e prestação de contas (accountability) dos agentes de tratamento.

O retrato chega no momento em que dois gatilhos regulatórios de 2026 devem alimentar o próximo ciclo: o ECA Digital, em vigor desde março, e a atualização da agenda regulatória da Agência Nacional de Proteção de Dados.

Setor financeiro e birôs lideram o polo passivo

A responsabilidade civil é o tema dominante do levantamento: 2.179 decisões, cerca de 39% das analisadas, discutem reparação por falha no tratamento de dados. Os arts. 42 e 44 da LGPD, que fixam o dever de indenizar e o conceito de tratamento irregular, aparecem articulados ao art. 14 do Código de Defesa do Consumidor, que trata da responsabilidade do fornecedor por defeito na prestação de serviço.

No polo passivo concentram-se bancos, financeiras e administradoras de cartão, birôs de crédito e provedores de internet; no ativo, quase sempre a pessoa física. Entre os precedentes mais citados está o REsp 2.077.278/SP (STJ, Terceira Turma, rel. min. Nancy Andrighi, 2023), que introduziu a lógica de responsabilidade objetiva por vazamento em instituição financeira.

Direitos dos titulares aparecem em 2.107 decisões (38%), com destaque para a revisão de decisões automatizadas do art. 20 — o dispositivo mais invocado, com jurisprudência ainda oscilante mesmo após o REsp 2.135.783/DF, julgado pelo STJ em 2024.

Três leituras do STJ sobre dano presumido

Três turmas do Superior Tribunal de Justiça sustentam entendimentos distintos sobre o dano moral em vazamento de dado não sensível — a divergência que trava o provisionamento das empresas. A Segunda Turma, no AREsp 2.130.619/SP (rel. min. Francisco Falcão, 2023), exige prova de prejuízo concreto: o vazamento, por si só, não geraria dano indenizável.

Em sentido oposto, a Terceira Turma reconheceu, em 2025, no REsp 2.201.694/SP (rel. min. Nancy Andrighi), o dano moral presumido (in re ipsa) na disponibilização indevida de dados cadastrais a terceiros, ancorada na autodeterminação informativa e na Emenda Constitucional nº 115/2022, que inscreveu a proteção de dados entre os direitos fundamentais.

A Quarta Turma abriu um terceiro caminho: no REsp 2.221.650/SP, em novembro de 2025, condicionou a indenização à prova de abalo efetivo. Sem uniformização pela Segunda Seção, o risco financeiro do mesmo incidente varia conforme a turma que julgar.

ECA Digital começa a cobrar verificação de idade

Desde 17 de março de 2026 está em vigor a Lei nº 15.211/2025, o ECA Digital, que impõe às plataformas mecanismos confiáveis de aferição de idade e proíbe a autodeclaração pela criança ou adolescente. A norma restringe as bases legais para tratamento de dados desse público e transfere à Agência Nacional de Proteção de Dados a competência de regulamentar e fiscalizar.

O cronograma da Agência avança por etapas. A primeira monitora lojas de aplicativos e sistemas operacionais — Apple, Google e Microsoft foram chamadas a enviar, até julho, documentação sobre arquitetura de sistemas e fluxos de verificação. A segunda começa em agosto de 2026, com orientações definitivas; a fiscalização efetiva está prevista para janeiro de 2027.

O guia de aferição de idade passou por tomada de subsídios na plataforma Brasil Participativo, com contribuições até 9 de julho. Cada método admitido — biometria, análise de documento ou estimativa por inteligência artificial — abre uma frente própria de litígio sobre necessidade e minimização de dados de menores.

Proteção ao crédito entra na régua da ANPD

Pela Resolução CD/ANPD nº 31, de 22 de dezembro de 2025, a Agência Nacional de Proteção de Dados atualizou sua agenda regulatória do biênio 2025-2026. Entre os itens está a regulamentação da base legal de proteção ao crédito — o esforço de fixar diretrizes sobre o tratamento de dados para análise de risco de crédito, equilibrando a privacidade do titular e o acesso das instituições financeiras à informação.

A mesma leva de deliberações trouxe o Mapa de Temas Prioritários para 2026-2027, que orienta onde a fiscalização vai incidir, e incorporou temas do ECA Digital e o aprimoramento das regras de fiscalização, sanção e produção normativa.

A proteção ao crédito não é item acessório: o art. 7º, X, da LGPD, que autoriza o tratamento para proteção ao crédito, foi um dos dispositivos mais citados nas decisões mapeadas pelo Painel, o que coloca a futura norma no centro do contencioso do setor financeiro.

Repetitivos que vão redesenhar o crédito

Dois recursos afetados pela Segunda Seção do STJ em dezembro de 2025 — os REsps 2.226.946/SP e 2.226.097/SP, rel. min. Raul Araújo — vão definir, sob o rito dos repetitivos, se é lícita a comercialização de dados pessoais não sensíveis por gestor de banco de dados de proteção ao crédito sem comunicação ou consentimento do titular, e se há dano moral in re ipsa na conduta ilícita. A afetação suspendeu processos correlatos.

No mesmo eixo corre o Tema Repetitivo 1.264, que examina a exigibilidade extrajudicial de dívida prescrita, inclusive em plataformas de renegociação de débitos. A tese vinculará todos os tribunais do país.

O relatório aponta os dois julgamentos como definidores do próximo ciclo. A decisão sobre birôs e cadastro positivo tende a padronizar o cálculo de exposição de um setor que já ocupa o topo do polo passivo do contencioso de proteção de dados.