Quando uma empresa é processada por um vazamento, o juiz não pergunta se o ataque foi sofisticado. Pergunta se a empresa fez o que devia ter feito antes dele.

Essa mudança de pergunta é o que transformou a proteção de dados em uma frente de contencioso empresarial no Brasil, ela desloca o problema de lugar. Portanto,o que se discute em juízo não é a falha técnica do dia do incidente, é a falha sistêmica de governança que a antecedeu. A prova disso não está no log do firewall, está no arquivo do programa de privacidade, ou na ausência dele.

Os números mostram uma curva em dois tempos

A leitura combinada é o que interessa. O volume dobrou em um ano, mas quase metade das decisões ainda menciona a LGPD sem usá-la como fundamento central, ouseja,o litígio está em fase de formação de tese, não de estabilização. É exatamente nesse momento que as regras do jogo são definidas, e as empresas que chegam sem documentação são as que ajudam a formar precedentes contra si mesmas.

O segundo dado dá a dimensão do risco financeiro, em julgados analisados entre 2022 e 2025, 74% das decisões envolvendo empresas terminaram em condenação por responsabilidade civil, com pagamento de indenização.

O que mudou: três deslocamentos

Primeiro, do incidente para a conduta: O art. 44 da LGPD define tratamento irregular como aquele que não fornece a segurança que o titular dele pode esperar, consideradas as circunstâncias, o resultado e as técnicas disponíveis à época. Isso não é um teste sobre o ataque, mas um teste sobre o padrão de diligência da empresa ao longo do tempo.

Segundo, do ônus do autor para o ônus da empresa:O art. 42, §2º, permite ao juiz inverter o ônus da prova em favor do titular quando verossímil a alegação ou quando houver hipossuficiência para produção de prova. Além disso,  o art. 43, II, coloca a excludente de responsabilidade no colo da empresa. Portanto, elase exonera se provar que, tendo realizado o tratamento, não houve violação à legislação de proteção de dados. Traduzindo: cabe à empresa provar que era conforme.

Terceiro, do individual para o repetitivo e o coletivo: Ações individuais em juizado especial se multiplicam após grandes incidentes, e Ministério Público, Procons e associações passaram a usar ação civil pública para pedidos que vão além de indenização, incluindo obrigações de fazer e adequação estrutural.

A divergência do STJ e o repetitivo que vai definir o jogo

O ponto mais disputado é se o vazamento, por si só, gera dano moral, ou se o titular precisa comprovar prejuízo concreto. O STJ está dividido, e a divisão importa para quem calcula exposição:

O critério que vem separando as decisões é a natureza do dado, o dado sensível tende a atrair a presunção, comum tende a exigir prova. Mas nem essa linha é pacífica, e há crítica doutrinária relevante ao próprio critério, no sentido de que a LGPD não autoriza tratar dado pessoal comum como irrelevante.

O que muda em 2026

Em 30 de janeiro de 2026, a 2ª Seção do STJ afetou o tema ao rito dos recursos repetitivos, nos REsps 2.226.946/SP e 2.226.097/SP, ambos de relatoria do ministro Raul Araújo. A decisão foi unânime e suspendeu os processos correlatos na segunda instância e no próprio STJ.

A controvérsia foi delimitada em duas perguntas: se é lícita a disponibilização ou comercialização a terceiros de dados pessoais não sensíveis, por gestor de banco de dados de proteção ao crédito, sem prévia comunicação ou consentimento do cadastrado; e se há configuração de dano moral in re ipsa na hipótese de ilicitude da conduta.

A afetação se deu com base nos arts. 927 e 1.036 do CPC, com o objetivo declarado de produzir precedente vinculante e reduzir a assimetria decisória. O acórdão de afetação também deixa claro que a questão não se confunde com o Tema 710 nem com a Súmula 550, que tratam de credit scoring.

O ponto prático, inclusive para empresas que não atuam como bureaus de crédito, é que a tese firmada nesse julgamento poderá definir o padrão probatório aplicável à caracterização do dano moral em casos de incidentes de segurança e compartilhamento indevido de dados pessoais. Esse entendimento tende a influenciar os parâmetros de indenização, as estratégias de acordo e o volume de demandas repetitivas. Por isso, quem atua na gestão de litígios, riscos e provisionamentos deve acompanhar de perto a definição da matéria. 

Por que isso é risco de governança, não risco técnico

Aqui está a virada de chave para quem decide orçamento.

Se a defesa depende de provar conformidade, e não de provar que o ataque era imprevisível, então a peça central do processo é documental e precisa existir antes do incidente. Assim, não se produz retroativamente registro de operações, relatório de impacto ou evidência de treinamento. Ou estava lá, ou não estava.

A tabela abaixo traduz alegações típicas em provas que a empresa precisa ter em arquivo.

Nenhuma dessas linhas é uma medida de segurança da informação, todas são artefatos de governança. Por isso que tratar contencioso de dados como problema da área técnica é um erro de alocação: a área técnica reduz a probabilidade do incidente, mas é a governança que reduz a condenação.

Vale lembrar ainda que o cenário administrativo caminha junto. A ANPD publicou seu Mapa de Temas Prioritários e vem intensificando a fiscalização, o que aumenta a chance de que uma autuação administrativa vire, ela mesma, prova emprestada em ação cível. Acompanhamos esses eixos em o Mapa de Fiscalização da ANPD para 2026-2027.

Diagnóstico rápido: seu dossiê de defesa existe?

Responda com honestidade. Cada “não” é uma prova que faltará em juízo.

• [ ] O registro de operações de tratamento está atualizado e com base legal por finalidade?
• [ ] Existe RIPD para as operações de maior risco, com data e responsável identificados?
• [ ] Há evidência auditável de que os controles de segurança foram implementados e testados, não apenas aprovados em política?
• [ ] O plano de resposta a incidentes foi simulado nos últimos 12 meses, com registro do exercício?
• [ ] Os contratos com operadores têm cláusulas de segurança, notificação e responsabilidade, e a due diligence está arquivada?
• [ ] O encarregado tem atuação documentada, não apenas nomeação formal?
• [ ] Os treinamentos têm lista de presença, conteúdo e periodicidade registrados?
• [ ] A empresa consegue reconstituir, com data, o que sabia e quando soube em um incidente passado?

O último item é o que mais falha. Em litígio, a linha do tempo do conhecimento define se houve demora na comunicação, e demora não justificada é agravante tanto perante a ANPD quanto perante o juiz.

Perguntas Frequentes

O que fazer antes da citação

Contencioso de dados não é um risco que se transfere para o seguro nem se resolve com uma boa peça processual, ele. Ele se ganha ou se perde no arquivo que a empresa construiu enquanto nada estava acontecendo.

Com o repetitivo afetado e a jurisprudência ainda em formação, existe uma janela: empresas que estruturarem governança agora chegarão à tese vinculante com dossiê pronto, e não improvisando. As que esperarem vão descobrir, no meio da instrução, que a prova que precisavam tinha prazo para ser produzida e ele já passou.

Na DataGuide, é exatamente isso que estruturamos:

• DPO as a Service: encarregado atuante, registro de operações, RIPD, gestão de incidentes e a trilha documental que sustenta a defesa.
• GAP Analysis: diagnóstico do que existe, do que falta e do que não tem evidência, com plano de ação priorizado por exposição jurídica.
• ISO/IEC 27001 e 27701: sistema de gestão certificado, que transforma “nós fazemos” em “nós comprovamos”, o que muda o peso da prova.
• Pentest: evidência técnica recorrente de diligência, em parceria com a Vantico.

Se sua empresa trata dados pessoais em volume e ainda não sabe responder ao checklist acima, o momento de descobrir não é na contestação. Fale com um especialista da DataGuide.