Venda de dados: STJ vai decidir se cabe indenização automática

Se você já recebeu ligação de banco que nunca contatou, oferta de empréstimo com seu nome completo e CPF, ou mensagem de golpista que parecia saber demais sobre a sua vida, provavelmente seus dados pessoais foram vendidos em algum momento. Essa prática, embora ilegal, virou rotina no Brasil — e agora o Superior Tribunal de Justiça (STJ) prepara uma decisão que pode mudar a forma como o consumidor é indenizado quando isso acontece.

O ponto central da discussão é simples de entender, mas tem consequências enormes: o STJ vai definir se a venda ou o compartilhamento indevido de dados pessoais, por si só, já gera direito automático a uma indenização por dano moral — ou se a pessoa precisa provar que sofreu um prejuízo concreto por causa disso. A diferença é grande no dia a dia da Justiça. Hoje, quem tem dados vazados costuma esbarrar em uma exigência dos tribunais: comprovar que houve um golpe, uma fraude ou um dano específico. Se o STJ firmar a tese do chamado 'dano moral presumido', a vítima não precisará mais dessa prova.

Este artigo explica, em linguagem direta, o que está em jogo no julgamento, o que muda para o consumidor comum, como a Lei Geral de Proteção de Dados (LGPD) trata o assunto e o que fazer se você desconfia que seus dados foram comercializados sem autorização.

O que está em julgamento no STJ sobre venda de dados pessoais

O STJ tem sido chamado a decidir uma série de recursos envolvendo empresas — bancos, operadoras, lojistas, corretoras e intermediadoras de crédito — que teriam repassado dados de clientes a terceiros sem consentimento. As vítimas ingressaram na Justiça pedindo indenização, e os tribunais estaduais divergiram: enquanto alguns entenderam que o simples uso indevido do CPF, nome, telefone ou dados financeiros já justifica a reparação, outros só condenaram as empresas quando ficou provado um golpe efetivo ou uma perda financeira concreta.

Essa divergência entre tribunais é exatamente o tipo de situação que o STJ existe para resolver. A corte é responsável por uniformizar a interpretação da lei federal em todo o país. Quando ela fixa uma tese sobre um tema repetitivo, essa orientação passa a valer como referência obrigatória para juízes de todo o Brasil.

A questão específica que se coloca é a seguinte: a comercialização de dados pessoais sem autorização configura, por si só, uma violação grave o suficiente para gerar dever de indenizar, independentemente de a pessoa ter conseguido demonstrar um prejuízo pontual?

O que é dano moral presumido e por que isso muda tudo

No direito brasileiro, existem duas formas principais de comprovar dano moral. A primeira exige que a vítima prove o sofrimento, a humilhação ou o transtorno concreto que sofreu. A segunda — chamada de dano moral 'in re ipsa' ou presumido — dispensa essa prova, porque o próprio fato já é considerado grave o bastante para violar a dignidade da pessoa. É o que acontece, por exemplo, com a inscrição indevida no cadastro de inadimplentes: quem é negativado sem dever nada não precisa provar que ficou constrangido; presume-se o dano.

Se o STJ aplicar esse mesmo raciocínio ao comércio de dados pessoais, o efeito prático será grande. Hoje, uma pessoa que descobre que seu CPF foi vendido para uma central de telemarketing precisa juntar provas específicas: gravações de ligações abusivas, tentativas de golpe, prejuízos financeiros. Sem isso, muitos processos são julgados improcedentes. Com a tese do dano presumido, bastaria comprovar que houve o compartilhamento indevido — o restante seria consequência automática.

Isso importa especialmente para dois grupos que este portal cobre de perto: aposentados e pensionistas do INSS, que são alvo constante de assédio comercial por empréstimo consignado, e trabalhadores de baixa renda, que recebem ofertas suspeitas de crédito e caem com mais frequência em golpes envolvendo FGTS, Bolsa Família e Pix. Em muitos desses casos, o vazamento de dados é o primeiro passo do golpe.

Como a LGPD trata a venda e o vazamento de dados

A Lei Geral de Proteção de Dados (Lei nº 13.709/2018) é a norma que rege o assunto no Brasil. Ela estabelece que dados pessoais — como nome, CPF, endereço, telefone, informação bancária, dados de benefício previdenciário — só podem ser tratados por empresas dentro de hipóteses específicas, sendo o consentimento do titular uma das principais.

A lei também determina que qualquer compartilhamento com terceiros exige base legal adequada, transparência e, em muitos casos, autorização expressa do titular. Vender uma base de clientes para outra empresa usar em campanhas de crédito, telemarketing ou cobrança, sem que o consumidor tenha consentido com isso, é uma violação direta da LGPD.

Além das sanções administrativas aplicadas pela Autoridade Nacional de Proteção de Dados (ANPD) — que podem incluir advertência, publicização da infração e multa —, a lei prevê que o titular tem direito a reparação por danos patrimoniais e morais quando seus dados são tratados de forma irregular.

O ponto que o STJ vai enfrentar é justamente como essa reparação deve funcionar na prática: se o dano moral é automático (basta provar que houve o compartilhamento indevido) ou se depende de comprovação individual dos transtornos. A LGPD abre espaço para as duas leituras, e é por isso que os tribunais estão divididos.

Por que essa decisão afeta quem toma consignado e recebe do INSS

O público de aposentados, pensionistas e beneficiários do INSS é um dos mais visados pelo mercado paralelo de dados. Não é coincidência: assim que uma aposentadoria é concedida, começam as ligações oferecendo empréstimo consignado, cartão consignado, portabilidade e refinanciamento. Muitas dessas abordagens são feitas por correspondentes bancários e centrais que compraram listas com CPF, nome do benefício, valor recebido e margem consignável disponível — dados que só poderiam estar na base do próprio INSS ou das instituições financeiras autorizadas.

Esse tipo de assédio abusivo já é ilegal por si só. Mas, se o STJ decidir que o simples uso indevido dos dados gera indenização automática, ficará mais fácil para o aposentado que sofre com ligações diárias e ofertas suspeitas buscar reparação sem precisar provar que caiu em um golpe.

Vale reforçar informações corretas sobre o consignado, já que muita desinformação circula em cima desses contatos abusivos. Segundo as regras vigentes do INSS, o empréstimo consignado para aposentados e pensionistas tem prazo máximo de 108 meses e margem consignável total de 40% do valor do benefício — sendo que 5% desses 40% são reservados apenas para cartão benefício e/ou cartão consignado. Assim, quem já tem algum tipo de cartão contratado fica com 35% para o empréstimo; quem não tem nenhum cartão pode usar os 40% inteiros no crédito. A primeira parcela pode vencer em até 90 dias após a contratação.

Já o consignado CLT, do trabalhador com carteira assinada, tem prazo máximo de 96 meses e margem de 35% do salário, integralmente destinada ao empréstimo, já que ainda não existe modalidade de cartão nesse formato.

Outro ponto importante: quem recebe Benefício de Prestação Continuada (BPC/LOAS) pode, sim, contratar empréstimo consignado. A lei não proíbe. O que ocorre no cenário atual, em 2026, é que, diante do grande volume de cessações e revisões desse benefício, as instituições autorizadas reduziram bastante a oferta de crédito consignado para esse público. Ou seja: é permitido pela legislação, mas a disponibilidade prática está restrita.

O que fazer se você desconfia que seus dados foram vendidos

Enquanto o STJ não define a tese, o consumidor já pode agir. Alguns passos práticos:

1. Registre reclamação junto à empresa que você suspeita ter compartilhado seus dados. A LGPD obriga o responsável pelo tratamento a responder solicitações do titular em prazo determinado, incluindo informar com quem os dados foram compartilhados.

2. Denuncie à Autoridade Nacional de Proteção de Dados (ANPD), órgão federal responsável por fiscalizar o cumprimento da LGPD. A denúncia pode ser feita pelo site oficial da ANPD (gov.br/anpd).

3. Registre boletim de ocorrência se houver tentativa de golpe, especialmente quando o criminoso demonstra conhecimento detalhado dos seus dados. Esse registro é prova importante em eventual ação judicial.

4. Monitore seu CPF e seu benefício. Aposentados e pensionistas podem acompanhar contratos consignados ativos pelo aplicativo Meu INSS. Qualquer contrato desconhecido deve ser contestado imediatamente junto ao banco e ao próprio INSS.

5. Guarde provas. Gravações de ligações abusivas, prints de mensagens, e-mails de ofertas não solicitadas — tudo isso ajuda a demonstrar o uso indevido dos dados, seja qual for a tese que o STJ venha a fixar.

O que esperar da decisão do STJ

Se o STJ firmar a tese do dano moral presumido, o Judiciário brasileiro passará a tratar a venda de dados pessoais com o mesmo peso que já dá a outras violações graves do consumidor. Empresas terão mais incentivo para investir em segurança da informação e em controles internos sobre o compartilhamento de bases, e o consumidor terá um caminho mais direto para ser reparado.

Se, por outro lado, a corte exigir prova concreta do prejuízo, a maior parte das ações continuará esbarrando na dificuldade de demonstrar o dano — o que, na prática, mantém o modelo atual, em que poucos vazamentos resultam em indenização efetiva.

A expectativa é que o julgamento sirva de referência não apenas para casos de venda de listas, mas também para os grandes vazamentos de dados que se tornaram frequentes no país, envolvendo bancos, operadoras e órgãos públicos. Enquanto a decisão não sai, o recado ao consumidor é o mesmo: seus dados têm valor, e você tem direito de saber quem os utiliza e de exigir reparação quando essa utilização é irregular.

Acompanhe este portal para atualizações sobre o julgamento e sobre as regras da LGPD que impactam o dia a dia de aposentados, pensionistas e trabalhadores.

Referências

• Jota — reportagem sobre discussão no STJ acerca de dano presumido em venda/comercialização de dados pessoais.
• STJ — acórdãos sobre comercialização de dados pessoais e LGPD.
• Dados regulatórios oficiais vigentes em 2026 sobre consignado INSS, consignado CLT e BPC/LOAS (fonte primária provida pela operação).