Tribunal: TJMT
Processo: 1016509-24.2024.8.11.0015
Órgão julgador: DIRCEU DOS SANTOS
Órgão colegiado: Terceira Câmara de Direito Privado
Data de julgamento: 2025-09-10
Data de publicação: 2025-09-12

Ementa:
APELAÇÃO CÍVEL - AÇÃO DE OBRIGAÇÃO DE FAZER CUMULADA COM INDENIZAÇÃO POR DANOS MORAIS - ALEGAÇÃO DE VAZAMENTO DE DADOS PESSOAIS - SERASA - AUSÊNCIA DE COMPROVAÇÃO - PRINTS DE TELA INSUFICIENTES - SERVIÇO DE MONITORAMENTO DE DADOS - DANO MORAL NÃO CONFIGURADO - RECURSO CONHECIDO E DESPROVIDO.
Para a configuração da responsabilidade civil por vazamento de dados pessoais, é necessária a comprovação do dano e do nexo causal entre a conduta do agente e o resultado danoso, mesmo em se tratando de responsabilidade objetiva prevista na Lei Geral de Proteção de Dados.
A inversão do ônus da prova prevista no Código de Defesa do Consumidor não é automática, exigindo a demonstração da verossimilhança das alegações ou da hipossuficiência técnica do consumidor, requisitos não preenchidos no caso concreto.
Prints de tela, por si só, sem outros elementos corroborantes, não constituem prova suficiente para demonstrar a ocorrência de vazamento de dados pessoais, especialmente quando os próprios documentos apresentados contêm informação expressa de que a empresa "não é fonte e não possui ligação com eventuais vazamentos indicados".
O serviço denominado Serasa Premium funciona como ferramenta de monitoramento que utiliza tecnologia específica para identificar eventuais vazamentos de dados na internet, alertando os usuários sobre possíveis exposições, sem que isso implique responsabilidade da empresa pelos vazamentos eventualmente identificados.
O recebimento de ligações de números desconhecidos e mensagens indesejadas, sem comprovação de nexo causal com a conduta da empresa, não configura dano moral indenizável, tratando-se de situação comum no cotidiano que pode decorrer de diversas fontes.

Inteiro teor:
ESTADO DE MATO GROSSO

PODER JUDICIÁRIO

TERCEIRA CÂMARA DE DIREITO PRIVADO

Número Único
:

1016509-24.2024.8.11.0015
Classe:

APELAÇÃO CÍVEL (198)
Assunto:

[Direito de Imagem, Obrigação de Fazer / Não Fazer]
Relator:
Des(a).
DIRCEU DOS SANTOS

Turma Julgadora:

[DES(A). DIRCEU DOS SANTOS, DES(A). ANTONIA SIQUEIRA GONCALVES, DES(A). CARLOS ALBERTO ALVES DA ROCHA]

Parte(s):

[DIRLENE GONCALVES LOBATO - CPF: 964.625.151-04 (APELANTE), TABATA RIBEIRO BRITO MIQUELETTI - CPF: 074.460.739-69 (ADVOGADO), SERASA S.A. - CNPJ: 62.173.620/0001-80 (APELADO), RENATO CHAGAS CORREA DA SILVA - CPF: 444.850.181-72 (ADVOGADO), ERNESTO BORGES NETO - CPF: 445.515.251-20 (ADVOGADO)]

A C Ó R D Ã O
Vistos, relatados e discutidos os autos em epígrafe, a TERCEIRA CÂMARA DE DIREITO PRIVADO do Tribunal de Justiça do Estado de Mato Grosso, sob a Presidência Des(a).

CARLOS ALBERTO ALVES DA ROCHA, por meio da Turma Julgadora, proferiu a seguinte decisão:
POR UNANIMIDADE, DESPROVEU O RECURSO.

E M E N T A

APELAÇÃO CÍVEL - AÇÃO DE OBRIGAÇÃO DE FAZER CUMULADA COM INDENIZAÇÃO POR DANOS MORAIS - ALEGAÇÃO DE VAZAMENTO DE DADOS PESSOAIS - SERASA - AUSÊNCIA DE COMPROVAÇÃO -
PRINTS
DE TELA INSUFICIENTES - SERVIÇO DE MONITORAMENTO DE DADOS - DANO MORAL NÃO CONFIGURADO -
RECURSO CONHECIDO E DESPROVIDO.

Para a configuração da responsabilidade civil por vazamento de dados pessoais, é necessária a comprovação do dano e do nexo causal entre a conduta do agente e o resultado danoso, mesmo em se tratando de responsabilidade objetiva prevista na Lei Geral de Proteção de Dados.

A inversão do ônus da prova prevista no Código de Defesa do Consumidor não é automática, exigindo a demonstração da verossimilhança das alegações ou da hipossuficiência técnica do consumidor, requisitos não preenchidos no caso concreto.

Prints
de tela, por si só, sem outros elementos corroborantes, não constituem prova suficiente para demonstrar a ocorrência de vazamento de dados pessoais, especialmente quando os próprios documentos apresentados contêm informação expressa de que a empresa "não é fonte e não possui ligação com eventuais vazamentos indicados".

O serviço denominado Serasa Premium funciona como ferramenta de monitoramento que utiliza tecnologia específica para identificar eventuais vazamentos de dados na internet, alertando os usuários sobre possíveis exposições, sem que isso implique responsabilidade da empresa pelos vazamentos eventualmente identificados.

O recebimento de ligações de números desconhecidos e mensagens indesejadas, sem comprovação de nexo causal com a conduta da empresa, não configura dano moral indenizável, tratando-se de situação comum no cotidiano que pode decorrer de diversas fontes.

R E L A T Ó R I O

Trata-se de recurso de apelação interposto por DIRLENE GONÇALVES LOBATO contra sentença proferida pelo Juízo da 3a Vara Cível da Comarca de Sinop/MT, que julgou improcedentes os pedidos formulados na ação de obrigação de fazer cumulada com indenização por danos morais movida contra SERASA S.A., nos seguintes termos:

“Ante o exposto,
JULGO IMPROCEDENTE
o pedido deduzido na inicial por Dirlene Gonçalves Lobato contra Serasa S.A. e
EXTINTO
o processo com resolução do mérito, na forma do art. 487, inciso I do Código de Processo Civil.

Pelo princípio da sucumbência, com esteio no conteúdo normativo do art. 85, § 2.o do Código de Processo Civil,
Condeno
a requerente no pagamento de custas judiciais e de honorários de advogado, destinados ao patrono da parte adversa, fixados em 10% sobre o valor atualizado atribuído à causa, considerando-se o trabalho executado por parte do advogado e a natureza da demanda.

Fica suspensa a exigibilidade do pagamento das custas judiciais e honorários de advogado, destinadas ao patrono da parte adversa, infligido à requerente, dado à concessão do benefício da assistência judiciária gratuita [art. 98, § 3.o do Código de Processo Civil].”

Em suas razões recursais (Id. 303922887), a apelante argumenta que demonstrou na petição inicial que seus dados pessoais foram vazados pela apelada, conforme confirmado pelo Instituto de Proteção de Dados Pessoais (IPRODAPE), que teria verificado a circulação de suas informações na dark web. Sustenta que a sentença, ao exigir prova cabal do vazamento, desconsiderou a inversão do ônus da prova prevista no Código de Defesa do Consumidor. Alega que apresentou documentos que evidenciam o recebimento de mensagens indesejadas, ligações de números desconhecidos e mensagens de
phishing
via WhatsApp, transtornos que teriam começado após o vazamento noticiado. Defende que a exposição indevida de dados pessoais gera dano moral por violar direitos de personalidade, como a privacidade e a segurança, sem necessidade de comprovação de prejuízo material. Requer a reforma da sentença para que seja concedida a tutela inibitória e a condenação da apelada ao pagamento de indenização por danos morais no valor de R$ 30.000,00.

Em contrarrazões (Id. 303922890), a apelada sustenta, preliminarmente, a ausência dos requisitos para concessão da justiça gratuita e aponta indícios de litigância predatória por parte da patrona da apelante, informando que já recebeu mais de 200 demandas idênticas distribuídas pela mesma advogada. No mérito, defende a manutenção da sentença, argumentando que não há qualquer indício técnico de que seja responsável pelo suposto vazamento de dados mencionado. Esclarece que o serviço denominado Serasa Premium apenas indica eventuais vazamentos de dados na internet, permitindo o monitoramento do CPF em tempo real, mas não há qualquer ligação da Serasa com os vazamentos ali indicados. Afirma que a empresa sempre buscou implementar todas as medidas de segurança possíveis para evitar invasões ilícitas de terceiros aos seus sistemas, dispondo de certificações internacionais na área de segurança da informação. Sustenta, ainda, que os dados supostamente vazados são de natureza cadastral, não sendo definidos como sensíveis pela Lei Geral de Proteção de Dados.

É o relatório.

Peço dia para julgamento.

DES. DIRCEU DOS SANTOS

RELATOR

V O T O R E L A T O R

Eminentes pares.

Da preliminar de litigância predatória

Quanto à preliminar de litigância predatória suscitada pela apelada, observo que foram apresentados documentos que indicam a existência de múltiplas ações com conteúdo similar ajuizadas pela mesma patrona. A apelada juntou aos autos informações sobre mais de 200 demandas idênticas distribuídas pela advogada da apelante, além de reportagens jornalísticas e decisões judiciais anteriores que apontam para possível atuação predatória.

Contudo, para a caracterização da litigância de má-fé, é necessária a comprovação inequívoca do dolo processual, não bastando a mera similaridade de ações. A conduta descrita nos artigos 80 e 81 do Código de Processo Civil exige a demonstração clara de que a parte ou seu advogado agiram com o intuito deliberado de prejudicar a parte contrária ou obter vantagem indevida através do processo.

Ademais, a eventual conduta antiética da advogada deve ser apurada pelos órgãos competentes, como a Ordem dos Advogados do Brasil, em procedimento próprio que assegure o contraditório e a ampla defesa. No caso concreto, embora existam indícios que mereçam apuração, não há elementos suficientes nos autos para, neste momento processual, reconhecer a litigância de má-fé, sem prejuízo de posterior apuração pelos órgãos competentes.

Portanto, afasto a preliminar de litigância predatória, ressalvando a possibilidade de comunicação aos órgãos competentes para apuração dos fatos narrados pela apelada.

Do mérito

A questão central deste recurso consiste em verificar se houve efetivamente um vazamento de dados pessoais da apelante que possa ser atribuído à responsabilidade da Serasa e, em caso positivo, se tal fato ensejaria a condenação da apelada ao pagamento de indenização por danos morais.

Para a adequada análise do caso, é importante compreender o contexto jurídico em que se insere a proteção de dados pessoais no Brasil. Com a entrada em vigor da Lei Geral de Proteção de Dados (LGPD), estabeleceu-se um marco regulatório que impõe às empresas que tratam dados pessoais o dever de adotar medidas de segurança técnicas e administrativas aptas a proteger os dados pessoais de acessos não autorizados e de situações acidentais ou ilícitas de destruição, perda, alteração, comunicação ou qualquer forma de tratamento inadequado ou ilícito.

Nos termos dos artigos 42 a 45 da LGPD, o controlador ou o operador que, em razão do exercício de atividade de tratamento de dados pessoais, causar a outrem dano patrimonial, moral, individual ou coletivo, é obrigado a repará-lo. No entanto, o artigo 43 da mesma lei estabelece que os agentes de tratamento só não serão responsabilizados quando provarem que não realizaram o tratamento de dados pessoais que lhes é atribuído, que, embora tenham realizado o tratamento de dados pessoais que lhes é atribuído, não houve violação à legislação de proteção de dados, ou que o dano é decorrente de culpa exclusiva do titular dos dados ou de terceiro.

A responsabilidade civil no âmbito da proteção de dados segue, em regra, o sistema de responsabilidade objetiva, ou seja, independentemente de culpa, quando houver dano decorrente da violação à legislação de proteção de dados. No entanto, mesmo no sistema de responsabilidade objetiva, é necessária a comprovação do dano e do nexo causal entre a conduta do agente e o resultado danoso.

No caso em análise, a apelante alega que seus dados pessoais foram vazados pela Serasa, baseando-se em notícias veiculadas pela mídia sobre um suposto vazamento massivo de dados que teria afetado mais de 220 milhões de pessoas. Para comprovar sua alegação, a autora apresentou capturas de tela (
prints)
que, segundo ela, demonstrariam o vazamento de seus dados e os transtornos deles decorrentes.

Quanto à aplicação da inversão do ônus da prova prevista no Código de Defesa do Consumidor, é importante esclarecer que, embora se trate de relação de consumo, não estão presentes os requisitos para a inversão do ônus da prova previstos no artigo 6o, inciso VIII, do CDC. Isso porque a verossimilhança das alegações da apelante não foi demonstrada, uma vez que os documentos apresentados
(prints
de tela) não comprovam que a Serasa tenha sido responsável por qualquer vazamento de dados. Pelo contrário, os próprios documentos juntados pela apelante contêm informação expressa de que "A Serasa não é fonte e não possui ligação com eventuais vazamentos apontados".

Ademais, não se verifica hipossuficiência técnica que justifique a inversão, considerando que a apelante poderia ter produzido prova técnica para demonstrar o alegado vazamento, tendo, contudo, manifestado desinteresse na produção de provas adicionais quando intimada para especificar as provas que pretendia produzir.

Examinando os documentos juntados aos autos, verifico que as telas sistêmicas arquivadas no evento n° 303922424 não são suficientes para comprovar que houve um vazamento de dados da apelante que possa ser atribuído à responsabilidade da Serasa. Como bem observou o Juízo de primeiro grau, não é possível extrair dessas telas a origem das informações que supostamente indicariam o vazamento de dados, nem mesmo identificar com clareza o titular do cadastro pesquisado.

Quanto aos documentos apresentados pela apelante (prints de tela), cabe ressaltar que, embora sejam admitidos como meio de prova, sua valoração deve ser feita com cautela, considerando a possibilidade de edição e manipulação. No caso em análise, os prints apresentados não permitem identificar com clareza o titular do cadastro pesquisado, nem estabelecer nexo causal entre as informações ali contidas e eventual conduta ilícita da apelada. Ademais, conforme entendimento consolidado, prints de tela, por si só, sem outros elementos corroborantes, não constituem prova suficiente para demonstrar a ocorrência de fatos jurídicos relevantes.

Um ponto crucial a ser esclarecido é que a tela inserida na página 02 do referido documento, que pertence ao próprio sistema da Serasa, apenas informa o número de consultas ao CPF da requerente - três consultas entre os meses de junho e julho de 2022 -, quantidade que não se mostra excessiva ou apta a indicar utilização indevida de dados.

É importante esclarecer que o serviço Serasa Premium funciona como uma ferramenta de monitoramento que utiliza tecnologia específica (
CyberAgent
) para vasculhar a internet, incluindo a
dark web
, em busca de dados pessoais que possam ter sido expostos indevidamente. Ao identificar tais exposições, o serviço alerta o usuário, permitindo que ele tome medidas preventivas. Contudo, isso não significa que a Serasa seja a fonte do vazamento ou tenha qualquer responsabilidade sobre ele. Pelo contrário, a empresa atua como um mecanismo de proteção ao consumidor, alertando-o sobre possíveis riscos identificados em ambientes digitais diversos.

Isso significa que o serviço oferecido pela Serasa funciona como uma ferramenta de monitoramento que alerta os usuários sobre possíveis exposições de seus dados na internet, mas isso não implica que a própria Serasa seja a responsável por tais vazamentos. Pelo contrário, a empresa atua justamente para identificar e alertar sobre vazamentos que possam ter ocorrido em diversos ambientes digitais.

Quanto às ligações de números desconhecidos que a apelante alega ter recebido, também não há elementos nos autos que permitam estabelecer uma relação direta entre essas ligações e um suposto vazamento de dados que seria de responsabilidade da Serasa. O recebimento de ligações indesejadas é uma situação comum no cotidiano de muitas pessoas e pode decorrer de diversas fontes, não sendo possível, apenas com base nas alegações apresentadas, atribuir tal fato à conduta da apelada.

Ademais, a apelada demonstrou que adota medidas de segurança adequadas para proteger os dados pessoais sob sua responsabilidade, possuindo certificações internacionais na área de segurança da informação, como a ISO 27001 e a ISO 27701, que estabelecem padrões para sistemas de gestão de segurança da informação e de privacidade de dados pessoais. Tais certificações evidenciam que a empresa cumpre com o dever de adotar medidas técnicas e administrativas de segurança, conforme exigido pelo artigo 46 da LGPD.

Outro ponto relevante a ser considerado é que, conforme apontado pela apelada, existem campanhas na internet que prometem falsamente indenizações por supostos vazamentos de dados atribuídos à Serasa, sem qualquer comprovação técnica. Essas campanhas, como a mencionada do Instituto Sigilo, têm sido objeto de questionamento por autoridades e especialistas, inclusive pela Autoridade Nacional de Proteção de Dados (ANPD), que as classificou como "mecanismo de engano e fraude".

Diante desse contexto, entendo que a apelante não se desincumbiu do ônus de comprovar minimamente o fato constitutivo de seu direito, qual seja, a ocorrência de um vazamento de seus dados pessoais que possa ser atribuído à responsabilidade da Serasa e que tenha lhe causado danos morais indenizáveis.

Quanto ao pedido de tutela inibitória para que a Serasa se abstenha de divulgar os dados da apelante, também não vejo como acolhê-lo, uma vez que não há comprovação de que a empresa esteja divulgando indevidamente os dados da autora. Pelo contrário, a Serasa, como banco de dados cadastrais, atua dentro dos limites legais estabelecidos para sua atividade, que é expressamente autorizada pela legislação brasileira.

Por fim, no que se refere ao pedido de indenização por danos morais, é importante esclarecer que, para a configuração do dano moral indenizável, é necessária a comprovação de uma lesão a direito da personalidade que cause sofrimento significativo à vítima, ultrapassando o mero aborrecimento cotidiano. No caso em análise, não há elementos que permitam concluir pela ocorrência de tal lesão, uma vez que não foi comprovado o nexo causal entre a conduta da apelada e os transtornos alegados pela apelante.

Vejamos a jurisprudência:

“APELAÇÃO CÍVEL – AÇÃO DE OBRIGAÇÃO DE FAZER CUMULADA COM INDENIZAÇÃO POR DANOS MORAIS - PEDIDO DE EFEITO SUSPENSIVO NA APELAÇÃO – NECESSIDADE DE REQUERIMENTO AUTÔNOMO – PRELIMINAR DE CERCEAMENTO DE DEFESA REJEITADA – MÉRITO – VAZAMENTO DE DADOS PESSOAIS IMPUTADOS AO SERASA – ALEGAÇÃO DE DEFEITO DE SEGURANÇA DA INFORMAÇÃO- INEXISTÊNCIA DE COMPROVAÇÃO ACERCA DO VAZAMENTO DE DADOS PESSOAIS – DANO MORAL – NÃO CONFIGURADO – SENTENÇA MANTIDA – RECURSO DESPROVIDO.

O pedido de atribuição de efeito suspensivo ao recurso de apelação deve ser formulado em petição incidental em apartado e não no bojo da própria peça recursal, consoante disposto no Código de Processo Civil.

Quando a prova pericial requerida não se revela imprescindível ao desate da demanda, não há falar em cerceamento de defesa, sendo cabível o julgamento da lide pelo juiz.

A responsabilidade civil por vazamento de dados exige prova robusta do ato ilícito e do nexo causal. Ausência de elementos concretos impede o reconhecimento de responsabilidade da ré

O pedido de atribuição de efeito suspensivo ao recurso de apelação deve ser formulado em petição incidental em apartado e não no bojo da própria peça recursal, consoante disposto no Código de Processo Civil.

Quando a prova pericial requerida não se revela imprescindível ao desate da demanda, não há falar em cerceamento de defesa, sendo cabível o julgamento da lide pelo juiz.

A responsabilidade civil por vazamento de dados exige prova robusta do ato ilícito e do nexo causal. Ausência de elementos concretos impede o reconhecimento de responsabilidade da ré.”

(N.U 1006566-05.2024.8.11.0040, CÂMARAS ISOLADAS CÍVEIS DE DIREITO PRIVADO, ANTÔNIA SIQUEIRA GONÇALVES, Terceira Câmara de Direito Privado, Julgado em 14/06/2025, Publicado no DJE 14/06/2025)

Portanto, considerando a ausência de comprovação do vazamento de dados atribuível à responsabilidade da Serasa, bem como a inexistência de elementos que indiquem a ocorrência de dano moral indenizável, entendo que a sentença de primeiro grau deve ser mantida.

Dispositivo.

Ante o exposto, CONHEÇO do recurso e
NEGO-LHE PROVIMENTO
.

Nos termos do art. 85, §11, do CPC, majoro os honorários advocatícios para 15% (quinze por cento) sobre o valor da causa, observado o benefício da assistência judiciária.

É como voto.

Data da sessão:
Cuiabá-MT, 10/09/2025