1 O que significa dano moral in re ipsa em vazamento de dados
Dano moral in re ipsa é aquele presumido pela própria gravidade do fato. A vítima não precisa demonstrar tristeza, angústia ou prejuízo específico, porque a ofensa, por si, já é considerada suficiente para gerar abalo indenizável.
Em incidentes de dados, a grande discussão é: toda falha de segurança já viola direito de personalidade a ponto de dispensar prova do dano, ou é preciso mostrar consequências concretas?
2 A linha do STJ que negou presunção automática
O STJ já afirmou, em caso paradigmático, que o simples vazamento de dados pessoais comuns, sem demonstração de consequência concreta, não gera dano moral automaticamente. A lógica é objetiva:
houve falha no dever de segurança, mas falha não é igual a dano indenizável
é necessário demonstrar que a exposição produziu efeito lesivo real, ou ao menos um risco qualificado que transcenda o mero aborrecimento
Na prática, nessa linha, o consumidor precisa provar algo como:
uso indevido efetivo dos dados, golpes, fraudes, abertura de contas, empréstimos
assédio persistente, spam massivo, perseguição, doxxing
negativação indevida, recusa de crédito, restrições derivadas
exposição que atingiu honra, imagem, intimidade, segurança pessoal
3 A virada que admitiu dano moral presumido em situações específicas
Mais recentemente, o STJ reconheceu hipóteses em que a disponibilização indevida de informações pessoais a terceiros, sem consentimento e em desconformidade com a base legal aplicável, já gera dano moral presumido.
Aqui o foco não é o vazamento abstrato, mas a quebra concreta de controle do titular sobre seus dados, com sensação objetiva de insegurança e perda de autodeterminação informacional.
O que costuma aproximar o caso do in re ipsa:
dados disponibilizados a terceiros de modo indevido, não apenas “expostos potencialmente”
contexto de banco de dados e compartilhamento, com reiteração ou amplitude de acesso
conteúdo com potencial lesivo relevante, como histórico de crédito, perfil financeiro, dados que aumentem risco de fraude, discriminação ou constrangimento
4 Como conciliar as duas teses sem confusão
Hoje, a forma mais segura de entender o STJ é separar três degraus de gravidade.
4.1 Degrau 1: incidente técnico com dados comuns e sem prova de uso
Tendência: não presumir dano moral.
O consumidor precisa demonstrar prejuízo ou consequência concreta.
4.2 Degrau 2: divulgação indevida a terceiros, com quebra relevante de sigilo e controle
Tendência: admitir dano moral presumido, desde que o fato e o nexo sejam provados.
A discussão deixa de ser sobre provar abalo e passa a ser sobre provar a ocorrência e a autoria.
4.3 Degrau 3: dados sensíveis, intimidade ou risco elevado por natureza
Quanto mais íntimo e perigoso o dado, maior a chance de o dano ser considerado intrínseco ao fato. Em especial quando a exposição amplia risco de violência, discriminação, fraude e violação de segurança pessoal.
5 O que o consumidor sempre precisa provar, mesmo no in re ipsa
Mesmo quando o dano é presumido, não é terra sem prova. Em geral, você ainda precisa demonstrar:
que houve efetivamente exposição ou disponibilização indevida
que seus dados estavam no incidente, ou que você foi atingido como titular
o nexo com o agente demandado, ou seja, por que aquela empresa, órgão ou plataforma é a fonte ou responsável pelo tratamento
minimamente a extensão e natureza do dado, para enquadrar gravidade
Sem isso, a ação tende a virar tese genérica, e esse é o ponto em que muitos processos caem.
6 Casos com bancos e golpes: cuidado com o nexo causal
Um ponto prático importante: quando o dano aparece como golpe aplicado por terceiros, o STJ tem material indicando que a responsabilidade do banco ou da instituição depende de prova objetiva de que os dados vazaram dali. Sem esse vínculo, o caso pode ser tratado como golpe de engenharia social sem nexo demonstrado com o fornecedor.
Em outras palavras: não basta existir o golpe. É preciso ligar o golpe ao vazamento do réu.
7 Checklist rápido para montar um caso forte
Evidência do incidente: comunicado da empresa, e-mail, aviso no app, notícia oficial, protocolo de atendimento.
Prova de que você está no lote: confirmação de dados afetados, prints do aviso, relatórios, logs disponíveis ao usuário.
Linha do tempo: data do incidente, data em que você soube, data em que surgiram consequências.
Consequências documentadas: tentativas de login, abertura de conta, cobranças, negativação, contatos suspeitos, BO, protocolos bancários.
Pedido bem desenhado: remoção, bloqueio, correção, informação, e indenização compatível com o grau de risco e a prova.
Conclusão
O consumidor nem sempre precisa provar prejuízo específico para ser indenizado por vazamento de dados. Em 2026, a tendência do STJ é dupla: quando há apenas vazamento de dados comuns sem consequência demonstrada, exige-se prova do dano concreto. Quando há disponibilização indevida a terceiros, quebra relevante de sigilo e risco qualificado, o dano moral pode ser presumido, bastando provar o fato e o nexo com o responsável pelo tratamento.