Quem responde pelo vazamento de dados de uma empresa?

Resposta rápida: responde, em primeiro lugar, a empresa que decide como e para que os dados são usados — o controlador, na linguagem da LGPD. E ela responde de um jeito rigoroso: pela lógica do risco, ou seja, mesmo sem culpa comprovada, cabendo a ela provar que adotou toda a segurança adequada para se eximir. Quem apenas processa dados a mando do controlador — o operador (uma empresa de TI, um serviço em nuvem contratado) — também pode responder, especialmente se descumpriu as instruções ou as normas de segurança. Além da reparação às vítimas, a ANPD (a autoridade de proteção de dados) fiscaliza e aplica sanções à empresa. E há um agravante: se vazaram dados sensíveis (saúde, biometria, financeiros), o dano moral é presumido pelo STJ. Em suma: a responsabilidade é da empresa que trata os dados — e ela não escapa alegando apenas que "foi hackeada".

Controlador e operador: os dois responsáveis

A LGPD define dois papéis no tratamento de dados, e entender a diferença é a chave. O controlador é quem toma as decisões sobre o tratamento — a empresa que coleta seus dados e define para que servem (a loja, o banco, o app, o hospital). O operador é quem realiza o tratamento em nome do controlador, seguindo suas ordens (a empresa de tecnologia contratada, o provedor de nuvem, o serviço de processamento). Quando há um vazamento, a regra geral é que o controlador responde perante o titular — é ele que decidiu coletar e guardar os dados e que tinha o dever de protegê-los. O operador responde solidariamente quando descumpriu as instruções do controlador ou as obrigações legais de segurança. Ou seja, a vítima pode buscar reparação do controlador (que é o rosto visível do serviço), e este, depois, pode buscar ressarcimento do operador que falhou. O importante: sempre há um responsável — o dever de proteger os dados não some porque a empresa terceirizou a operação.

A lógica do risco: responder mesmo sem culpa

O ponto que mais assusta as empresas — e mais protege as vítimas — é como essa responsabilidade funciona. A jurisprudência do STJ tem orientado a responsabilidade do controlador pela lógica do risco: quem lucra com o tratamento de grandes volumes de dados assume o risco dos danos que essa atividade pode causar. No REsp 2.147.374/SP, o STJ firmou que cabe ao controlador comprovar que adotou as medidas de segurança adequadas e eficazes — não é a vítima que precisa provar a "culpa" da empresa; é a empresa que precisa provar que fez tudo certo. A mera alegação de que "sofreu um ataque de hackers" não exime automaticamente a empresa: se a segurança era deficiente, se os dados estavam mal protegidos, se não havia as salvaguardas exigidas, a responsabilidade permanece. E, quanto à extensão do dano, o STJ diferencia: o vazamento de dados cadastrais simples (nome, CPF) exige prova do prejuízo concreto para gerar dano moral, mas o de dados sensíveis (saúde, financeiros, biometria) gera dano moral presumido. Ou seja, quanto mais sensível o dado vazado, mais forte a responsabilidade.

A ANPD e a punição da empresa

Além de reparar as vítimas, a empresa que vaza dados responde perante o Estado. A ANPD — a Autoridade Nacional de Proteção de Dados — fiscaliza o cumprimento da LGPD e pode aplicar sanções administrativas: advertência, multa de até 2% do faturamento (limitada a R$ 50 milhões por infração), publicização da infração, bloqueio ou eliminação dos dados envolvidos. A empresa também tem o dever de comunicar o incidente à ANPD e aos titulares afetados em prazo curto (Resolução CD/ANPD nº 15/2024) — e a omissão ou a demora nessa comunicação agrava a punição. Na dosimetria, a ANPD considera a gravidade, a boa-fé, as medidas de segurança que a empresa tinha (ou não), a cooperação e a adoção de correções. Isso cria um duplo incentivo: proteger bem os dados antes e agir com transparência depois de um incidente. Para o titular lesado, portanto, há duas frentes: buscar a reparação civil (do controlador e, se for o caso, do operador) e denunciar à ANPD, que pune a empresa administrativamente.

Base normativa e precedentes

• LGPD (Lei 13.709/18), art. 42: dever de reparação pelo controlador e pelo operador que, no tratamento, causem dano — patrimonial, moral, individual ou coletivo.
• LGPD, art. 43: hipóteses de exclusão de responsabilidade — cabe ao agente provar que não realizou o tratamento, que não houve violação, ou a culpa exclusiva de terceiro/vítima.
• LGPD, art. 52: sanções da ANPD — advertência e multa de até 2% do faturamento (teto de R$ 50 milhões por infração).
• STJ, REsp 2.147.374/SP: responsabilidade do controlador pela lógica do risco, cabendo a ele comprovar a diligência de segurança; dano moral presumido no vazamento de dados sensíveis.
• Resolução CD/ANPD nº 15/2024: dever de comunicar o incidente à ANPD e aos titulares — a omissão agrava a sanção.

Em resumo: pelo vazamento responde a empresa que trata os dados (o controlador, e o operador que falhou), pela lógica do risco — mesmo sem culpa comprovada, se não provar que se protegeu. A ANPD ainda multa por cima, e dados sensíveis vazados presumem o dano moral. Ser "hackeada" não isenta a empresa.