LGPD e incidentes: prevenção como chave para afastar responsabilização

Tribunais e órgãos regulatórios mostram tendência à responsabilização objetiva por vazamentos, mas a LGPD e relatórios jurisprudenciais indicam que a existência de programas de segurança e medidas proporcionais pode excluir a responsabilidade — consequência imediata: empresas devem documentar e integrar governança de dados para constituir defesa técnica eficaz.

Contexto

A proteção de dados pessoais é atualmente vetor de risco operacional, reputacional e financeiro para organizações privadas. A evolução das técnicas de ataque, acelerada pela difusão de ferramentas de inteligência artificial, ampliou a frequência e a sofisticação de incidentes. No plano normativo, a Lei nº 13.709/2018 (LGPD) organizou um marco consolidado para o tratamento de dados, combinando obrigações substantivas (medidas de segurança, comunicação de incidentes) e excludentes de responsabilidade. Paralelamente, decisões judiciais e relatórios acadêmicos e institucionais apontam tensões entre a aplicação literal do regime consumerista (Código de Defesa do Consumidor) e a aplicação autônoma da LGPD em matéria de responsabilidade civil.

A controvérsia importa porque afeta não apenas o montante potencial de indenizações e multas, mas também o incentivo a investimentos em segurança: se a responsabilização for automática, reduz-se o retorno privado da prevenção; se for sempre condicionada à demonstração de culpa, reduz-se a proteção das vítimas. O equilíbrio exige critérios técnicos e probatórios que dialoguem com a lei, com a atuação da Autoridade Nacional de Proteção de Dados (ANPD) e com a jurisprudência superior.

O que foi decidido

Não se trata de um único julgado, mas de um panorama decisório e regulatório: a jurisprudência vem, em muitos casos, reconhecendo responsabilidade objetiva por vazamentos e, em determinados precedentes do Superior Tribunal de Justiça, admitindo dano moral presumido quando há exposição de dados pessoais sensíveis. Em contraste, a LGPD prevê excludentes expressos — entre eles a demonstração do cumprimento de normas e que o evento decorreu de culpa exclusiva de terceiro — que podem afastar a obrigação de indenizar.

Relatórios que compilaram milhares de decisões revelam padrão: a maioria das sentenças sobre incidentes assume responsabilidade do agente, frequentemente sem enfrentamento técnico aprofundado das medidas de segurança adotadas. Em instâncias do STJ, há decisões que, por um lado, exigem prova de dano quando se trata de dados não sensíveis e, por outro, presumem dano moral em vazamentos de dados sensíveis, criando distinções que a LGPD não ostenta de forma automática. O efeito prático é duplo: decisões mais severas geram disciplina de mercado, mas também risco de desincentivo à transparência e ao investimento se as medidas preventivas não forem consideradas no juízo de responsabilidade.

Base normativa e precedentes

• Lei nº 13.709/2018 (LGPD) — art. 42 — estabelece o dever de indenizar quando o tratamento de dados causar dano; impõe responsabilidade civil pela atividade de tratamento.
• Lei nº 13.709/2018 (LGPD) — art. 43, II e III — prevê possibilidade de exclusão da responsabilidade quando o agente comprovar que cumpriu a legislação ou que o dano decorreu de culpa exclusiva de terceiro.
• Lei nº 13.709/2018 (LGPD) — art. 44, II e III — orienta a análise dos padrões razoáveis de segurança e técnicas disponíveis para aferir conformidade.
• Lei nº 13.709/2018 (LGPD) — art. 46 e 48 — impõem medidas técnicas e organizacionais e a obrigação de comunicar incidentes relevantes à autoridade e aos titulares.
• Lei nº 13.709/2018 (LGPD) — art. 52, §1º — indica que a ANPD deve considerar programas de governança na dosimetria de sanções.
• Código de Defesa do Consumidor, Lei nº 8.078/1990 — art. 14, §1º e §3º — disciplina a responsabilidade por serviços e preceitua a necessidade de avaliação dos riscos esperados e excludentes como culpa exclusiva de terceiro.
• Resolução ANPD nº 4/2023 — art. 8º, §3º, I, "d" — aponta a sensibilidade dos dados como fator para agravar ou atenuar sanções, sem reconhecer presunção automática de dano.
• Jurisprudência do STJ — AREsp 2.130.619/SP e REsp 2.121.904/SP — precedentes que, respectivamente, negaram indenização automática por dados não sensíveis sem prova de dano e admitiram dano moral presumido para vazamentos de dados sensíveis, demonstrando divergência de critérios.

Impacto prático

• Para advogados de defesa empresarial: reforçar a produção probatória técnica sobre programas de segurança, políticas de governança, certificações, auditorias e logs de resposta a incidentes; articular a excludente do art. 43 da LGPD e a demonstração de conformidade com o art. 46.
• Para advogados de vítimas: reconhecer que a defesa técnica é central e que, dependendo do caso, a sensibilidade dos dados e a prova do dano material ou moral influenciarão o sucesso da demanda; em certos julgados, a presunção de dano em dados sensíveis facilita a tutela.
• Para empresas e compliance: prioridade na implementação de programas de governança de dados, incident response plans, contratos com fornecedores com cláusulas de segurança e prova documental de medidas adotadas; documentação passa a ser a principal linha de defesa.
• Para a ANPD e enforcement: balanço entre punição dissuasiva e reconhecimento de boas práticas; a agência já inclui programas de governança na dosimetria de sanções, o que cria incentivo regulatório à prevenção.
• Para o contencioso em curso: sentenças favoráveis à responsabilização objetiva tornam mais provável acordos e tutelas em massa; provas técnicas e perícias ganharão maior protagonismo.

O que observar

• Padrão probatório: tribunais deverão enfrentar de modo mais técnico a qualidade das medidas de segurança; perícias especializadas e demonstração documental de governança tendem a ser decisivas.
• Coexistência de regimes: a interação entre LGPD e CDC exige que se aplique a análise própria da proteção de dados no contexto consumerista, sem obliterar excludentes previstos na LGPD (art. 43) nem reduzir à aplicação automática da responsabilidade objetiva.
• Jurisprudência divergente no STJ: há espaço para uniformização, seja por súmula, seja por decisões plenárias; recursos e demandas estratégicas poderão buscar esse choque interpretativo.
• Atuação da ANPD: a agência continuará a modular sanções com base em programas de governança; monitorar decisões e resoluções da ANPD é essencial para orientar defesa e compliance.
• Risco regulatório e reputacional: mesmo quando juridicamente exonerada, a empresa pode sofrer custos relevantes; por isso, investir em prevenção e transparência operacional permanece a medida mais eficaz para mitigar riscos civis e administrativos.