STF confirma indenização por vazamento de dados sensíveis de segurado

Decisão em síntese: O Supremo Tribunal Federal confirmou a condenação imposta pelo Superior Tribunal de Justiça a uma seguradora que teve vazamento de dados de um segurado, reconhecendo a responsabilidade objetiva do fornecedor e a existência de dano moral presumido. A condenação pecuniária fixada em instâncias ordinárias (R$ 15 mil) transitou em julgado e está em fase de execução.

Contexto

O caso trata do tratamento e proteção de dados pessoais fornecidos em contrato de seguro de vida e da responsabilização da empresa quando esses dados são indevidamente acessados por terceiros em incidente de cibersegurança. A controvérsia articula princípios do direito do consumidor (vulnerabilidade e hipossuficiência do contratante), as regras de proteção de dados pessoais da Lei Geral de Proteção de Dados (Lei 13.709/2018) e a responsabilidade civil das prestadoras de serviço. Há uma tendência consolidada na jurisprudência superior de reconhecer a aplicabilidade do Código de Defesa do Consumidor (CDC, Lei 8.078/1990) a contratos de seguro quando presentes elementos de vulnerabilidade, bem como de admitir a responsabilização objetiva dos fornecedores por falhas na prestação de serviço que exponham dados sensíveis.

A discussão ganha relevância prática diante do aumento de incidentes de segurança e da natureza especialmente delicada dos dados exigidos para contratar seguros de vida (informações sobre saúde, beneficiários, bens e dados bancários), que trazem riscos implicativos que vão além do mero aborrecimento, atingindo honra, patrimônio e até segurança pessoal.

O que foi decidido

A terceira instância do STJ reconheceu que a relação contratual entre seguradora e segurado configura relação de consumo e aplicou o regime do CDC, que prevê responsabilidade objetiva do fornecedor por falhas na prestação de serviço. A relatoria no STJ entendeu que a obrigação de segurança abrange a proteção dos dados pessoais, exigindo autorização expressa para qualquer divulgação e impondo deveres complementares decorrentes da LGPD.

No encaminhamento ao Supremo, o recurso extraordinário interposto pela seguradora foi conhecido e teve seguimento negado monocraticamente pelo relator do caso no STF; posteriormente, o plenário do STF manteve essa decisão por unanimidade, recusando prover o agravo regimental e, assim, consolidando a manutenção da condenação original. Com isso, restou definitivamente sancionada a responsabilização objetiva do fornecedor pelo vazamento e o reconhecimento do dano moral presumido em razão do acesso indevido a dados sensíveis.

Os fundamentos centrais que sustentaram a condenação foram: (i) a caracterização da relação de consumo e, por consequência, a aplicação do CDC; (ii) a natureza sensível das informações divulgadas, que atinge intimidade e integridade pessoal; (iii) a responsabilidade objetiva do fornecedor por falha na prestação de serviço — independe de culpa; e (iv) a proteção suplementar conferida pela LGPD, que impõe deveres de transparência e segurança no tratamento de dados.

Base normativa e precedentes

• Art. 14, CDC (Lei 8.078/1990) — previsão de responsabilidade objetiva do fornecedor por fato do serviço; base para indenização sem necessidade de demonstração da culpa.
• Art. 43, §2º, CDC — imposição de deveres relativos aos registros e aos relatórios de consumidores, restrições à divulgação sem autorização.
• Lei 13.709/2018 (LGPD), art. 6º — consagra princípios de tratamento de dados, incluindo transparência e informação clara aos titulares sobre operações de tratamento.
• Jurisprudência consolidada do STJ — entendimento reiterado de que contratos de seguro podem configurar relação de consumo em razão da vulnerabilidade do segurado e da assimetria informacional; reconhecimento de dano moral nos vazamentos de dados sensíveis.

Impacto prático

• Para seguradoras e fornecedores de serviços financeiros: reforço da obrigação de adotar políticas de segurança adequadas e demonstráveis; risco de responsabilização objetiva em face de incidentes que exponham dados sensíveis.
• Para advogados de consumidores: possibilidade objetiva de pleitear indenização por dano moral presumido quando comprovado vazamento de dados sensíveis, com maior probabilidade de êxito sem necessidade de provar prejuízo concreto.
• Para departamentos de compliance e TI: necessidade de documentação robusta das medidas de proteção, planos de resposta a incidentes e mecanismos de consentimento/controle; simples alegação de que o ataque foi obra de terceiro não afasta a responsabilidade do fornecedor.
• Para o contencioso em curso: decisões de primeira e segunda instância confirmadas pelo Judiciário superior indicam maior segurança para cobrança de quantias arbitradas; casos semelhantes provavelmente seguirão a tendência de condenação, salvo demonstração contundente de impossibilidade de prevenção ou mitigação.

O que observar

• Prova das medidas técnicas e organizacionais: embora a responsabilidade seja objetiva, a demonstração de que a empresa adotou protocolos de segurança adequados pode influenciar na redução do quantum indenizatório ou em eventual discussão sobre excludente de responsabilidade, dependendo do caso concreto.
• Direito de informação e mitigação: o tribunal não imputou, em instância anterior, obrigação de fornecer todas as informações solicitadas pelo consumidor, questão que pode demandar maior balanceamento entre transparência e segredos comerciais; os contornos dessa obrigação permanecem sensíveis a futura delimitação jurisprudencial.
• Modulação de efeitos e repercussão geral: no caso em apreço não houve modulação de efeitos; contudo, decisões posteriores com repercussão social ampla poderiam levar o STF a modular efeitos em matéria de proteção de dados.
• Estratégia processual das seguradoras: além de aprimorar segurança, será cada vez mais relevante investir em mecanismos contratuais e operacionais de resposta que permitam demonstrar diligência, bem como políticas de comunicação ao titular e autoridades ao surgir incidente.

Em resumo, a decisão reforça a prevalência do regime consumerista e da proteção pela LGPD em incidentes que envolvam dados sensíveis de segurados, consolidando a presunção de dano moral nesses vazamentos e impondo às seguradoras um patamar elevado de diligência e responsabilidade.