LGPD: STJ Decide sobre Indenização por Dados Não Sensíveis em 2026

A mais recente movimentação de peso envolvendo a Lei Geral de Proteção de Dados (LGPD) veio do Superior Tribunal de Justiça (STJ) e mexe diretamente com a estratégia de ações indenizatórias por exposição de informações pessoais.

Em decisão divulgada em 13 de fevereiro de 2026, a Quarta Turma afirmou que a disponibilização não autorizada de dados pessoais não sensíveis no contexto do cadastro positivo não gera, por si só, dano moral presumido.

Na prática, o recado é claro: para haver indenização, será preciso demonstrar divulgação efetiva e abalo concreto aos direitos da personalidade, e não apenas apontar a existência de tratamento irregular.

O que este artigo aborda:

• O que o STJ decidiu e por que isso muda o jogo
• Onde fica a diferença entre dados comuns e dados sensíveis
• Impacto imediato para consumidores, empresas e o contencioso de LGPD
• O que observar a partir de agora: guia rápido de evidências

O que o STJ decidiu e por que isso muda o jogo

O caso analisado tratava de alegação de que dados como endereço, telefone e título de eleitor teriam sido disponibilizados e “comercializados” sem autorização em serviços vinculados ao mercado de crédito.

A relatora, ministra Isabel Gallotti, sustentou que a indenização por dano moral exige demonstração de abalo significativo, e não pode ser automática quando se trata de dados comuns.

O julgamento reforçou que a LGPD permite o tratamento de dados para proteção do crédito, com remissão à Lei do Cadastro Positivo, que define limites e hipóteses do compartilhamento nesse sistema.

Além disso, o STJ indicou que, sem prova robusta do impacto ao titular, a discussão tende a se concentrar em cessação do tratamento e correções, e não necessariamente em indenizações elevadas.

• Não basta alegar exposição: é preciso comprovar que houve disponibilização/compartilhamento indevido.
• Não basta indicar violação formal: é necessário apontar consequência concreta na vida do titular.
• Não basta citar LGPD: a análise considera a legislação específica do cadastro positivo.

Onde fica a diferença entre dados comuns e dados sensíveis

Um ponto central da decisão foi a distinção entre dados pessoais “ordinários” e dados pessoais sensíveis, que têm proteção reforçada por risco de discriminação e impacto direto na dignidade.

Segundo a lógica apresentada no julgamento, a mera circulação de dados comuns, embora possa ser irregular, não carrega automaticamente o mesmo peso indenizatório que situações envolvendo dados sensíveis.

Isso não significa “liberação” do tratamento: significa que, no campo civil, o caminho para indenização passa a depender mais de prova de dano do que de presunção.

O caso citado pelo tribunal envolveu pedido de R$ 11 mil por danos morais, mas o entendimento consolidado foi o de que a reparação exige lastro probatório específico.

O STJ também reforçou limites do recurso especial: quando o tribunal de origem conclui que não houve prova de disponibilização indevida, revisar isso pode esbarrar na vedação ao reexame de fatos e provas.

1. Se a discussão for “houve exposição?”, a prova técnica e documental ganha ainda mais peso.
2. Se a discussão for “isso me prejudicou?”, registros de fraude, negativações e impacto concreto viram centrais.
3. Se a discussão for “qual a base legal?”, cresce a importância do enquadramento na proteção do crédito.

Impacto imediato para consumidores, empresas e o contencioso de LGPD

Para consumidores, a decisão eleva a barra: ações baseadas apenas no argumento de que “meus dados apareceram” tendem a enfrentar mais resistência se não houver demonstração do prejuízo.

Para empresas que operam bases relacionadas a crédito, o recado é duplo: a base legal pode existir, mas o controle de finalidade e o limite do compartilhamento seguem como pontos de risco.

Já para o contencioso de LGPD, o efeito provável é a migração de parte das ações para pedidos focados em tutela inibitória, como exclusão de dados, bloqueio de uso e correções cadastrais.

Essa tendência conversa com o que o próprio STJ tem sinalizado em outros temas de privacidade: a proteção do dado é forte, mas a consequência jurídica depende do contexto probatório e da proporcionalidade.

O texto divulgado pelo tribunal detalha que a tese foi firmada a partir do entendimento de que a “simples disponibilização” não basta, sendo indispensável comprovação de uso indevido e abalo relevante ao titular.

O que observar a partir de agora: guia rápido de evidências

A decisão não fecha portas, mas muda o “como” litigar e como se defender. Para quem pretende acionar a Justiça, o foco passa a ser o pacote de provas.

Para quem responde a demandas, o foco tende a ser demonstrar base legal, controles e ausência de impacto individual comprovável, além de contestar o nexo causal.

• Registros de consulta indevida, logs e trilhas de auditoria.
• Provas de fraude, golpes, negativação ou uso de identidade.
• Comunicações formais: resposta a solicitações do titular e medidas de correção adotadas.
• Documentos que demonstrem a real extensão do compartilhamento (ou sua inexistência).

O caso foi noticiado pelo STJ sob o título de que a disponibilização não autorizada de dados não sensíveis no cadastro positivo não gera dano moral presumido, com referência ao REsp 2.221.650.

Na avaliação de especialistas ouvidos em disputas semelhantes, a consequência tende a ser a redução de demandas “automáticas” e o aumento de ações com prova de dano material e repercussão prática.

O tema também se conecta ao debate sobre o uso responsável de dados em sistemas digitais no Judiciário, que recentemente reuniu entendimentos em publicações institucionais sobre limites de acesso e proteção de informações.

O próprio STJ, em edição recente de Jurisprudência em Teses sobre ilicitude de acesso a dados de celular sem ordem judicial, reforçou que o ambiente digital exige parâmetros claros para evitar abusos de acesso a informações.

Do lado regulatório, a ANPD tem ampliado debates sobre proteção de grupos vulneráveis e desafios no ambiente online, como indica participação institucional em evento sobre a implementação do ECA Digital e seus desafios regulatórios, tema que dialoga com governança de dados e responsabilização.