A Lei Geral de Proteção de Dados Pessoais (LGPD – Lei 13.709/2018) marcou um divisor de águas na regulação do tratamento de informações no Brasil.
Para estudantes e profissionais do Direito, compreender esse microssistema jurídico é essencial, uma vez que os dados pessoais tornaram-se, ao mesmo tempo, o maior ativo econômico e o maior risco operacional da atualidade.
O cenário jurídico foi transformado pela Emenda Constitucional nº 115/2022, que elevou a proteção e o tratamento de dados ao patamar de direito fundamental, incluído no rol do art. 5º da Constituição (inciso LXXIX).
A mudança abriu um novo capítulo na tutela da autodeterminação informativa, ou seja, o direito de o titular conhecer e controlar o destino de suas próprias informações.
Nesse ambiente de forte vigilância regulatória, os vazamentos de dados (data leaks) geram enorme insegurança jurídica, especialmente para gestores públicos e empresas privadas que administram grandes volumes de informações.
Surge, então, a pergunta prática: se um vazamento ocorre em razão de ataque externo (como a invasão de um hacker), pode o agente de tratamento invocar a culpa exclusiva de terceiro para se isentar de responsabilidade?
O Superior Tribunal de Justiça (STJ), por meio da 3ª Turma, enfrentou essa questão no julgamento do REsp 2.147.374/SP. É sobre isso que iremos conversar neste artigo!
A rejeição da culpa exclusiva de terceiro
O caso teve origem em ação ajuizada contra a Eletropaulo (atual Enel) após incidente cibernético que expôs dados pessoais não sensíveis de clientes, como nome, RG, CPF, endereço e telefone.
A defesa da empresa apoiou-se no art. 43, III, da LGPD, sustentando que o dano resultara de culpa exclusiva de terceiro (o hacker).
O STJ, porém, rejeitou a tese.
Para o relator, Ministro Ricardo Villas Bôas Cueva, cabia à empresa, na condição de agente de tratamento, comprovar que adotara todas as medidas de segurança exigidas pela LGPD. Só assim poderia afastar o nexo causal. A ausência dessa prova robusta impediu o reconhecimento da excludente.
A lógica é semelhante à adotada no âmbito financeiro, assim como bancos respondem objetivamente por fraudes de terceiros (Súmula 479 do STJ), também o gestor de dados deve assumir que incidentes de segurança são fortuito interno da atividade.
O conceito de “responsabilidade civil proativa”
O acórdão reforça que a responsabilidade civil sob a LGPD se orienta por uma lógica de risco e confiança. A falha no dever de segurança caracteriza o tratamento irregular.
A decisão adota a noção de “expectativa legítima de proteção”, considera-se irregular o tratamento quando o titular não recebe a segurança que razoavelmente poderia esperar, diante das técnicas disponíveis à época (art. 44, III, da LGPD).
Esse entendimento concretiza o princípio da responsabilização e prestação de contas (accountability) (art. 6º, XVII).
O sistema, que a doutrina denomina responsabilidade civil proativa, impõe mais do que cumprimento formal da lei: exige a comprovação da efetividade dos programas de conformidade.
Logo, não basta que a empresa afirme que adota boas práticas, é preciso demonstrar documentalmente que medidas eficazes de prevenção, supervisão e mitigação de riscos foram implementadas (art. 46 da LGPD).
O ônus da prova, neste caso, recai sobre o controlador ou operador.
O dever de segurança objetiva e distinção de dados
Na prática, a responsabilidade civil por danos patrimoniais ou morais decorrentes de vazamento de dados é objetiva.
A regra encontra paralelo no CDC (art. 14), segundo o qual o fornecedor responde por falhas na prestação do serviço independentemente de culpa.
A LGPD, além disso, faculta ao juiz a inversão do ônus da prova em favor do titular (art. 42, § 2º), reforçando sua posição de vulnerabilidade.
No caso do REsp 2.147.374/SP, tratava-se de dados não sensíveis.
O TJSP havia exigido comprovação de prejuízo concreto para configurar dano moral.
Contudo, o STJ já consolidou posição mais severa em hipóteses de dados sensíveis, no REsp 2.121.904/SP, entendeu que o dano moral é presumido em casos de exposição de informações altamente vulneráveis, como aquelas de contratos de seguro de vida.
A tendência, porém, é que o foco da proteção se desloque do conteúdo do dado para as possibilidades e finalidades do seu processamento.
Afinal, qualquer vazamento compromete a autodeterminação informativa e a confiança depositada no agente de tratamento.
Dever de transparência imediata
O STJ não se limitou a reconhecer a responsabilidade da empresa.
Ainda, no REsp 2.147.374/SP, manteve-se as condenações em obrigação de fazer, assegurando os direitos de transparência e acesso do titular.
A ré foi obrigada a:
- Informar todas as entidades públicas e privadas com as quais realizou compartilhamento dos dados (art. 18, VII).
- Fornecer declaração completa sobre a origem dos dados, a finalidade do tratamento e cópia integral das informações referentes à titular (art. 19, II).
A medida concretiza o princípio da transparência (art. 6º, XIII), reafirmando que, mesmo antes da indenização, o titular tem direito de saber exatamente o destino de suas informações.
Oportunidades profissionais: da teoria à prática de mercado
Para a advocacia privada, o domínio da LGPD abre portas em escritórios que atuam com consultoria preventiva, contencioso estratégico e due diligence digital em operações societárias e contratuais.
Cada vez mais, empresas buscam advogados capazes de elaborar políticas internas, estruturar programas de governança de dados e representar clientes em litígios envolvendo vazamentos e uso indevido de informações.
No setor corporativo, cresce a procura por profissionais que possam assumir posições como Data Protection Officer (DPO), compliance officer em privacidade ou gestores de riscos digitais.
O conhecimento jurídico aliado a competências tecnológicas é hoje diferencial competitivo, especialmente em mercados regulados como saúde, finanças, telecomunicações e energia.
No setor público, a LGPD exige que órgãos da Administração adotem práticas transparentes de tratamento de dados, abrindo espaço para carreiras em assessorias legislativas, agências reguladoras e procuradorias, onde o desafio é compatibilizar o interesse público com os direitos fundamentais à privacidade.
Há, ainda, oportunidades no campo acadêmico e de pesquisa, com a expansão de linhas de investigação sobre direitos digitais, inteligência artificial e regulação de plataformas.
Universidades e centros de pesquisa demandam juristas capazes de pensar soluções inovadoras para problemas como desinformação, vieses algorítmicos e impacto da IA no processo judicial.
O curso de pós-graduação em Direito Digital, Dados e Inteligência Artificial do IDP prepara o profissional para transitar em todas essas frentes, abordando desde fundamentos constitucionais e o Marco Civil da Internet, até práticas de compliance em LGPD, jurisdição internacional de dados e regulação de plataformas digitais.
Com corpo docente de excelência, formado por ministros, advogados renomados, professores e especialistas que atuam diretamente no mercado, o IDP proporciona ao aluno não apenas conhecimento técnico, mas também networking valioso e inserção qualificada no mercado de trabalho.
O recado é claro: a próxima década será marcada por disputas jurídicas e políticas em torno da privacidade, da transparência e da inteligência artificial.
Estar pronto significa estar um passo à frente, capaz de transformar desafios regulatórios em vantagens competitivas e consolidar uma carreira de prestígio.
Seja no escritório, na empresa ou na academia, a hora de se posicionar é agora.
O profissional que investir no conhecimento certo será lembrado como referência em Direito Digital e Privacidade, não apenas como quem acompanhou a revolução, mas como quem a conduziu.
Quer aprofundar?
Três leituras essenciais em Direito Digital:
Guilherme Magalhães Martins & João Victor Rozatti Longhi, Direito Digital: Direito Privado e Internet – 6ª ed. (2025): Atual e completo, aborda os principais desafios jurídicos da internet e da regulação privada no ambiente digital.
Tarcisio Teixeira, Direito Digital e Processo Eletrônico – 9ª ed. (2025): Fundamental para compreender o impacto do processo eletrônico e da tecnologia nas práticas forenses.
Landolfo Andrade de Souza & Américo Ribeiro Magro, Manual de Direito Digital – 5ª ed. (2025): Didático e direto, serve como guia prático para profissionais e estudantes que querem se orientar nas bases do tema.
