Indenização por Vazamento de Dados Bancários

Tive meus dados bancários vazados: o banco tem que me indenizar?

Depende da natureza do dado vazado. O banco responde objetivamente pela falha de segurança, porque fraude e vazamento são risco do próprio negócio (Súmula 479 do STJ). Mas o direito à indenização não é automático: quando o vazamento envolve dados sensíveis, como biometria ou informações de saúde, a 3ª Turma do STJ já reconheceu o dano moral presumido (REsp 2.121.904). Quando envolve dados comuns, como nome, CPF e endereço, a orientação predominante é que o titular precisa demonstrar o prejuízo concreto — e é exatamente essa prova que define o resultado do caso.

Como o STJ vem separando os casos

Este é um tema em construção, e conhecer a linha divisória evita tanto expectativa frustrada quanto caso abandonado sem necessidade:

Dados sensíveis (art. 5º, II da LGPD — biometria, saúde, dados genéticos): dano moral presumido, sem necessidade de provar prejuízo. Foi o que decidiu a 3ª Turma do STJ em 2025, num caso de vazamento de dados de saúde entregues a uma seguradora (REsp 2.121.904) — uma decisão de turma, que orienta os tribunais, mas ainda não os obriga.
Dados comuns vazados: é preciso demonstrar a consequência concreta (AREsp 2.130.619/SP, de 2023). O mero vazamento, isolado, não basta.
Dados cadastrais repassados a terceiros por gestor de banco de dados sem base legal: a 3ª Turma reconheceu dano presumido em agosto de 2025 (REsp 2.201.694), pela perda de controle do titular sobre o dado já disseminado.

O que continua a favor do consumidor

A responsabilidade do banco é objetiva: não se discute culpa, e sim se houve falha na segurança do serviço. Cabe à instituição comprovar que adotou as medidas de proteção exigidas — não ao cliente provar que o banco foi descuidado.

O que fazer nas primeiras 48 horas

Troque senhas de banco, e-mail e aplicativos, começando pelo e-mail, que é a chave de recuperação de tudo;
Peça por escrito à empresa, pelo canal do encarregado de proteção de dados (o contato fica na política de privacidade do site dela), a confirmação do incidente, quais dados seus foram atingidos, de onde vieram, com quem foram compartilhados e o que ela fez para reduzir o estrago. Guarde o protocolo;
Cobre os prazos: o aviso sobre o incidente tem prazo de três dias úteis (Resolução ANPD nº 15/2024), e o pedido de acesso aos seus dados tem de ser respondido de forma clara e completa em até 15 dias (arts. 18, II, e 19, II, da LGPD);
Ative o BC Protege+, na área logada do Meu BC (é preciso conta gov.br prata ou ouro, com verificação em duas etapas): com ele ligado, as instituições ficam impedidas de abrir conta no seu nome e de incluir você como titular ou representante em conta de terceiros;
Se você recebe benefício do INSS, ative também o bloqueio de empréstimo consignado no Meu INSS. Atenção: nenhum dos dois bloqueia operações nas contas que você já tem — por isso os outros passos continuam necessários;
Verifique se surgiram contratos ou consultas ao seu CPF que você não reconhece;
Exija a exclusão ou o bloqueio dos dados que estiverem sendo usados fora das regras da lei (art. 18, IV, da LGPD);
Se a empresa não responder no prazo ou responder mal, apresente depois uma petição de titular à ANPD — ela exige a prova de que você procurou a empresa antes, e é aí que o protocolo do pedido faz diferença (art. 18, § 1º, da LGPD). Esses mesmos direitos podem ser cobrados no Procon (art. 18, § 8º, da LGPD);
Guarde tudo: prints, protocolos, e-mails e mensagens suspeitas recebidas depois do incidente.

Esse registro não é burocracia: é ele que transforma um vazamento genérico — difícil de indenizar — em um caso com dano demonstrado.

Quando o vazamento vira outro problema

Raramente o vazamento é o fim da história. Ele costuma ser a etapa anterior a algo concreto:

Empréstimo aberto em seu nome — veja empréstimo que você não contratou;
Ligação com dados que só o banco tinha — veja golpe da falsa central de atendimento;
Acesso à sua conta e transferências que você não fez — veja invasão de conta bancária;
Repasse dos seus dados a terceiros sem autorização — veja compartilhamento indevido de dados.

Quando isso acontece, os dois temas andam juntos: a falha de segurança que expôs o dado e a operação fraudulenta que veio depois.

Quando a empresa precisa da sua autorização — e o que ela exige

Nem todo uso de dado depende de você autorizar. A LGPD lista dez situações que permitem o tratamento (art. 7º), e boa parte do que o banco faz se apoia no cumprimento do contrato, em obrigação legal ou na proteção do crédito — a autorização é apenas uma dessas situações, sem prioridade sobre as outras. Mas, quando é ela que sustenta o uso dos seus dados, precisa cumprir cinco exigências:

Livre

Sem pressão e sem vício: autorização genérica é nula. Se a empresa só entrega o produto ou serviço mediante o uso dos seus dados, ela é obrigada a avisar isso em destaque.

Expresso

Manifestação clara e inequívoca, sem caixas pré-marcadas ou silêncio tratado como aceite.

Esclarecido

Transparência sobre quais dados são coletados, para quê e com quem serão compartilhados.

Específico

Dado coletado para uma finalidade não pode migrar para outra — é desvio de finalidade.

Prévio

A autorização vem antes do acesso, nunca como regularização posterior.

Sinais de que seus dados circularam

Ofertas de empréstimo logo após abrir conta ou começar a receber benefício;
Ligações que citam valor do seu benefício, margem disponível ou número de contrato;
Consultas ao seu CPF por empresas com as quais você nunca teve relação;
Mensagens de golpe que acertam dados que você nunca divulgou publicamente.

Perguntas frequentes

Meus dados vazaram. Tenho direito a indenização automática?

Nem sempre, e quem promete isso está simplificando. A 3ª Turma do STJ já reconheceu o dano moral presumido em vazamento de dados sensíveis, como biometria e informações de saúde (REsp 2.121.904) — uma decisão de turma, que ainda não obriga os demais tribunais. Em dados comuns, como nome, CPF e endereço, a orientação predominante é que o titular precisa demonstrar o prejuízo concreto — uso indevido, fraude tentada, contrato aberto em seu nome ou exposição efetiva.

Qual é a diferença entre dado comum e dado sensível?

Dado comum é o que identifica você: nome, CPF, endereço, telefone, dados de conta. Dado sensível está no art. 5º, II da LGPD: biometria, saúde, dados genéticos, origem racial, convicção religiosa, opinião política, filiação sindical e vida sexual. Essa diferença muda o tratamento jurídico do vazamento, porque dado sensível exige base legal mais restrita e o STJ o protege com mais rigor.

O que eu preciso provar se o dado vazado for comum?

Que o vazamento gerou consequência concreta: empréstimo aberto em seu nome, tentativa de golpe usando informações que só o banco tinha, negativação indevida, enxurrada de abordagens comerciais iniciada logo após o incidente. Prints, protocolos, boletim de ocorrência e a resposta da empresa ao seu pedido de acesso são o que sustenta o caso.

A empresa é obrigada a me avisar que houve vazamento?

Sim, quando o incidente puder gerar risco ou dano relevante. O art. 48 da LGPD e a Resolução nº 15/2024 da ANPD obrigam a empresa a avisar você e a ANPD em até 3 dias úteis, contados de quando ela soube que o incidente atingiu dados pessoais (o prazo dobra para agentes de pequeno porte, como microempresas e startups). Empresa que descobre o incidente e silencia agrava a própria posição — e esse silêncio costuma pesar contra ela na avaliação da conduta.

Quanto tempo tenho para entrar com ação?

Não há consenso fechado. Há decisões aplicando o prazo de 5 anos do CDC (art. 27) para a reparação em relação de consumo, e discussões sobre o prazo de 3 anos do Código Civil (art. 206, § 3º, V). Atenção ao marco inicial: os cinco anos do art. 27 não contam da data do vazamento, e sim de quando você tomou conhecimento do dano e de quem o causou. Na prática, quanto antes melhor: a prova do vazamento e do uso indevido se deteriora rápido, e registros de acesso costumam ter retenção curta.

Justiça por Vazamento de Dados