Compartilhar seus dados exige base legal — e ela não se presume. Quando uma instituição repassa suas informações cadastrais ou financeiras a terceiros sem consentimento específico ou outra hipótese do art. 7º da LGPD, há ilícito. O que varia, conforme a natureza do dado, é a necessidade de provar o prejuízo para obter indenização — e é aí que a maioria dos casos se decide.
Como sei que compartilharam os meus dados?
- Enxurrada de ligações de crédito logo após abrir conta ou obter um benefício;
- Ofertas que citam dados que só a instituição tinha: valor do benefício, margem disponível, número do contrato;
- Correspondentes bancários que abordam aposentados sabendo exatamente quanto podem emprestar;
- Venda de cadastros a empresas de telemarketing e a intermediários de crédito;
- Uso de dados coletados para uma finalidade — atualização cadastral, por exemplo — em ação comercial diversa.
O ponto comum é o desvio de finalidade: o dado foi entregue para uma coisa e usado para outra. A LGPD trata finalidade específica e informada como requisito, não como detalhe.
Por que isso é mais grave com aposentados
O repasse de dados de beneficiários do INSS costuma ser o passo anterior ao consignado não autorizado: quem recebe a informação sabe o valor do benefício e a margem disponível antes de ligar. Não é coincidência — é a cadeia da fraude começando pelo vazamento.
Tenho direito a indenização? O que o STJ vem decidindo
Este é um tema em evolução, e conhecer a linha divisória evita expectativa equivocada:
- Dados sensíveis (biometria, saúde): dano moral presumido, com responsabilidade objetiva — 3ª Turma do STJ, REsp 2.121.904/SP, julgado por unanimidade em 11/02/2025 (caso de vazamento de dados de saúde; a biometria entra na mesma categoria porque o art. 5º, II, da LGPD a classifica como dado sensível).
- Dados cadastrais repassados a terceiros por gestor de banco de dados (birô de crédito) sem base legal: aqui o STJ está dividido. A 3ª Turma presumiu o dano moral (REsp 2.201.694, 2025), pela insegurança e pela perda de controle sobre o dado. A 4ª Turma, em caso parecido de cadastro positivo, exigiu prova de abalo significativo (REsp 2.221.650, fevereiro de 2026).
- Dados comuns em outras situações: prevalece a orientação de que o dano precisa ser demonstrado (AREsp 2.130.619/SP, de 2023).
Em outras palavras: não existe resposta única. O resultado depende da natureza do dado, de quem compartilhou, com que finalidade e das consequências concretas. Quem promete indenização automática em qualquer caso de compartilhamento está simplificando um cenário que os tribunais ainda estão ajustando.
Se o repasse veio de um birô de crédito, vale a lei do cadastro positivo (Lei 12.414/2011): a terceiros que consultam, o birô só pode entregar a sua nota de crédito; o histórico de crédito, apenas com autorização específica sua; e os dados cadastrais e de pagamento não podem ir direto a terceiros — o compartilhamento se limita a outros bancos de dados.
Você pode pedir o cancelamento do seu cadastro a qualquer momento, de graça e a qualquer birô, que tem até 2 dias úteis para encerrar e avisar os demais. Já a lista de com quem os seus dados foram compartilhados você pede pela LGPD (art. 18, VII). E, se o dado repassado saiu do banco — valor do benefício, margem, número do contrato —, há também quebra do sigilo bancário da Lei Complementar 105/2001.
O direito que mais ajuda: saber a origem
Os arts. 18 e 19 da LGPD permitem exigir de qualquer empresa a confirmação de que ela trata os seus dados, a origem deles e a lista de com quem foram compartilhados. A confirmação e o acesso aos seus dados, com a indicação da origem, têm de chegar em até 15 dias contados do pedido (art. 19, II). Peça sempre por escrito: a resposta identifica a fonte, e o silêncio vira prova.
O que fazer ao perceber que seus dados circularam
- Anote data, número e conteúdo das abordagens — especialmente quando citarem dados que você não forneceu;
- Exerça o direito de acesso (art. 18) junto a quem te contatou e junto à instituição suspeita da origem;
- Formalize reclamação com o encarregado de dados (DPO) e guarde o protocolo;
- Sem solução, leve à ANPD, ao Procon e ao consumidor.gov.br;
- Ative bloqueios preventivos: o BC PROTEGE+, na área logada do Meu BC (precisa de conta gov.br prata ou ouro com verificação em duas etapas), que impede que abram conta em seu nome e que incluam você como titular ou representante na conta de outra pessoa; e o bloqueio de empréstimo consignado no Meu INSS, que barra novos contratos no seu benefício. Nenhum dos dois alcança as contas e os contratos que você já tem.
Se o compartilhamento desaguou em desconto que você não autorizou, o caminho prático está em desconto indevido no INSS. Se houve exposição de dados por falha da instituição, veja vazamento de dados bancários. E se usaram sua imagem ou biometria, veja abuso de biometria facial.