Atualizado em 07/07/2026 · Fundamentado em jurisprudência de STJ
Em regra, sim. O STJ decidiu, em precedente divulgado em informativo de jurisprudência, que o ataque hacker, por si só, não livra o agente de tratamento de dados de suas obrigações. Se a empresa não provar que o vazamento decorreu exclusivamente do incidente de segurança causado por terceiro, não se aplica a excludente do art. 43, III, da LGPD.
A proteção de dados pessoais é direito fundamental (art. 5º, LXXIX, da Constituição, incluído pela EC 115/2022), e as empresas que tratam dados têm obrigação legal de adotar as medidas de segurança que o titular pode legitimamente esperar, seguindo padrões de boas práticas, governança e conformidade com a LGPD.
O tratamento é considerado irregular quando deixa de fornecer a segurança esperada pelo titular, consideradas as técnicas disponíveis à época (art. 44, III, da LGPD). A alegação genérica de ataque hacker não basta: cabe à empresa comprovar que o vazamento ocorreu exclusivamente por culpa de terceiro para invocar a excludente de responsabilidade.
No precedente, que envolvia vazamento de dados não sensíveis, o STJ manteve a condenação da empresa a cumprir deveres de transparência: informar as entidades públicas e privadas com as quais compartilhou os dados (art. 18, VII) e fornecer declaração completa sobre origem, critérios e finalidade do tratamento, além de cópia dos dados do titular (art. 19, II).
A extensão da responsabilidade em cada vazamento, inclusive quanto a eventual indenização, depende das provas sobre a falha de segurança e a conduta da empresa, o que os tribunais examinam caso a caso.
“É passível a imputação das obrigações previstas no art. 19, II, da Lei Geral de Proteção de Dados Pessoais (LGPD), ao agente de tratamento de dados, na ocasião de vazamento de dados pessoais não sensíveis do titular, decorrente de atividade alegadamente ilícita (ataque hacker) .”
Selecionadas automaticamente na nossa base e atualizadas com frequência.
T3 - TERCEIRA TURMA · Rel. HUMBERTO MARTINS · j. 30/06/2026
DIREITO PROCESSUAL CIVIL. AGRAVO INTERNO. RECURSO ESPECIAL. DEFICIÊNCIA DE FUNDAMENTAÇÃO (SÚMULA 284/STF). REEXAME DE PROVAS (SÚMULA 7/STJ).I. CASO EM EXAME1. Agravo interno interposto contra decisão monocrática que conheceu do agravo para não conhecer do recurso especial, em razão dos óbices da Súmula 284 do STF e da Súmula 7 do STJ.2. Recurso especial fundado no art. 105, III, a, da Constituição Federal, dirigido contra acórdão que, em demanda de responsabilidade civil com …
T6 - SEXTA TURMA · Rel. NILSONI DE FREITAS (DESEMBARGADORA CONVOCADA DO TJDFT) · j. 16/06/2026
DIREITO PENAL E PROCESSUAL PENAL. AGRAVO REGIMENTAL NO AGRAVO EM RECURSO ESPECIAL. CONDENAÇÃO POR EXTORSÃO DIGITAL (ART. 158, CAPUT, C/C O ART. 71, CAPUT, AMBOS DO CÓDIGO PENAL). RÉU QUE ENVIOU E-MAILS À EMPRESA DE TRANSPORTE DA VÍTIMA ALEGANDO TER INVADIDO SEU SISTEMA DE E-COMMERCE E OBTIDO DADOS PESSOAIS SENSÍVEIS E DE CARTÃO DE CRÉDITO DE 103 MIL CLIENTES. EXIGÊNCIA DE PAGAMENTO MEDIANTE AMEAÇA DE VAZAMENTO DESSAS INFORMAÇÕES. RECURSO ESPECIAL INADMITIDO EM RAZÃO DOS ÓBICE…
T3 - TERCEIRA TURMA · Rel. HUMBERTO MARTINS · j. 08/06/2026
RECURSO ESPECIAL. CIVIL. CONSUMIDOR. CADASTRO POSITIVO. BANCO DE DADOS. DISPONIBILIZAÇÃO DE DADOS TELEFÔNICOS A TERCEIROS CONSULENTES. DEVER DE INFORMAÇÃO E CONSENTIMENTO. DANO MORAL IN RE IPSA.I. Caso em exame1. Recurso especial interposto por consumidor, com fundamento no art. 105, III, "a" e "c", da Constituição Federal, em ação condenatória em obrigação de fazer cumulada com indenização por danos morais e desvio de tempo útil do consumidor, ajuizada contra gestora de banc…
T2 - SEGUNDA TURMA · Rel. TEODORO SILVA SANTOS · j. 27/05/2026
PROCESSUAL CIVIL E TRIBUTÁRIO. AGRAVO INTERNO NO AGRAVO EM RECURSO ESPECIAL. CONTRIBUIÇÕES AO PIS E À COFINS. REGIME DA NÃO CUMULATIVIDADE. CREDITAMENTO. DESPESAS COM IMPLEMENTAÇÃO DA LEI GERAL DE PROTEÇÃO DE DADOS (LEI N. 13.709/2018). CONCEITO DE INSUMO. TEMA N. 779 DO STJ. CRITÉRIOS DA ESSENCIALIDADE E DA RELEVÂNCIA. DESPESAS OPERACIONAIS DECORRENTES DE IMPOSIÇÃO LEGAL GENÉRICA. AUSÊNCIA DE VINCULAÇÃO DIRETA COM A ATIVIDADE-FIM DA EMPRESA. PREMISSAS FÁTICAS ASSENTADAS PELA…
T4 - QUARTA TURMA · Rel. RAUL ARAÚJO · j. 18/05/2026
CONSUMIDOR E PROCESSUAL CIVIL. AGRAVO EM RECURSO ESPECIAL. AÇÃO DE OBRIGAÇÃO DE FAZER E INDENIZATÓRIA. FRAUDE BANCÁRIA. VAZAMENTO DE DADOS BANCÁRIOS SENSÍVEIS. AGRAVO CONHECIDO. RECURSO ESPECIAL DESPROVIDO.1. "Uma vez comprovada a hipótese de vazamento de dados por culpa da instituição financeira, será dela, em regra, a responsabilidade pela reparação integral de eventuais danos" (REsp 2.229.519/DF, Relator Ministro RICARDO VILLAS BÔAS CUEVA, Terceira Turma, julgado em 7/10/2…
T3 - TERCEIRA TURMA · Rel. MOURA RIBEIRO · j. 04/05/2026
PROCESSUAL CIVIL E CONSUMIDOR. RECURSO ESPECIAL. AÇÃO REVISIONAL DE FINANCIAMENTO COM ALIENAÇÃO FIDUCIÁRIA. CAPITALIZAÇÃO DIÁRIA DE JUROS. DEVER DE INFORMAÇÃO. AUSÊNCIA DE TAXA DIÁRIA. ABUSIVIDADE E NULIDADE PARCIAL DA CLÁUSULA. RECÁLCULO. SEGURO PRESTAMISTA. VENDA CASADA. TEMA 972/STJ. NECESSIDADE DE PROVA DE IMPOSIÇÃO. ÓBICES DAS SÚMULAS 5 E 7/STJ. LGPD. COMPARTILHAMENTO DE DADOS. CONSENTIMENTO E BASES LEGAIS. DANO MORAL NÃO PRESUMIDO. NECESSIDADE DE DANO CONCRETO. RECURSO …
Busque decisões sobre este e outros temas em dezenas de tribunais brasileiros.
Pesquisar jurisprudênciaAs citações são conferidas contra a nossa base de jurisprudência antes da publicação, e a lista de decisões recentes é gerada automaticamente a partir dela. Este conteúdo tem caráter informativo e não constitui aconselhamento jurídico; para um caso concreto, procure um advogado.