Tribunal: TJMT
Processo: 1001502-84.2024.8.11.0049
Relator(a): RUBENS DE OLIVEIRA SANTOS FILHO
Órgão julgador: RUBENS DE OLIVEIRA SANTOS FILHO
Órgão colegiado: Quarta Câmara de Direito Privado
Data de julgamento: 2026-04-29
Data de publicação: 2026-05-12

Ementa:

Inteiro teor:
ESTADO DE MATO GROSSO

PODER JUDICIÁRIO

QUARTA CÂMARA DE DIREITO PRIVADO

Número Único
:

1001502-84.2024.8.11.0049
Classe:

APELAÇÃO CÍVEL (198)
Assunto:

[Indenização por Dano Moral, Proteção da Intimidade e Sigilo de Dados, Proteção de Dados Pessoais]
Relator:
Des(a).
RUBENS DE OLIVEIRA SANTOS FILHO

Turma Julgadora:

[DES(A). RUBENS DE OLIVEIRA SANTOS FILHO, DES(A). ANGLIZEY SOLIVAN DE OLIVEIRA, DES(A). SERLY MARCONDES ALVES]

Parte(s):

[LUCAS FERNANDO ULTADO SANTOS - CPF: 045.140.979-50 (APELANTE), RENATA LIMA LISBOA - CPF: 036.457.351-19 (ADVOGADO), BANCO COOPERATIVO SICREDI S.A. - CNPJ: 01.181.521/0001-55 (APELADO), JAIR CARLOS CRIVELETTO - CPF: 488.357.499-72 (ADVOGADO), COOPERATIVA DE CREDITO DE LIVRE ADMISSAO DE ASSOCIADOS DO ARAGUAIA E XINGU - SICREDI ARAXINGU - CNPJ: 33.021.064/0001-28 (APELADO)]

A C Ó R D Ã O
Vistos, relatados e discutidos os autos em epígrafe, a QUARTA CÂMARA DE DIREITO PRIVADO do Tribunal de Justiça do Estado de Mato Grosso, sob a Presidência Des(a).

RUBENS DE OLIVEIRA SANTOS FILHO, por meio da Turma Julgadora, proferiu a seguinte decisão:
NÃO PROVIDO, UNÂNIME

E M E N T A

APELAÇÃO

CÍVEL.
AÇÃO POR FALHA NA PROTEÇÃO DE DADOS BANCÁRIOS.LGPD
.
RESPONSABILIDADE CIVIL. AUSÊNCIA DE PROVA TÉCNICA. ÔNUS PROBATÓRIO NÃO CUMPRIDO. INEXISTÊNCIA DE DANO MORAL.
RECURSO
NÃO
PROVIDO
.

I. CASO EM EXAME

Apelação cível interposta contra sentença que julgou improcedente pedido de indenização por danos morais fundado em suposto acesso indevido a dados bancários por funcionária da instituição financeira, com alegação de violação à privacidade e à Lei nº 13.709/2018 (LGPD), no valor de R$ 8.000,00.

II. QUESTÃO EM DISCUSSÃO

Há cinco questões em discussão: (i) definir se houve tratamento indevido de dados pessoais do autor pela instituição financeira; (
ii
) estabelecer se estão presentes os requisitos para inversão do ônus da prova; (
iii
) determinar se
é cabível a quebra do sigilo técnico-operacional para obtenção de logs de acesso; (
iv
) verificar a existência de dano moral indenizável; (v) apurar a responsabilidade civil da ré à luz da LGPD e do CDC.

III. RAZÕES DE DECIDIR

A inversão do ônus da prova exige verossimilhança das alegações ou hipossuficiência do consumidor, não sendo admissível quando ausentes elementos mínimos que indiquem plausibilidade dos fatos narrados.

O autor apresenta apenas mensagens trocadas com pessoa de convívio pessoal, as quais não constituem prova técnica idônea de acesso indevido a dados bancários.

A quebra de sigilo bancário, medida excepcional, depende de indícios concretos de ilicitude e de sua imprescindibilidade, requisitos não demonstrados no caso.

A responsabilização civil por violação de dados pessoais, nos termos do art. 42 da LGPD, exige comprovação de conduta ilícita, dano e nexo causal, não sendo automática.

Os dados bancários comuns não se enquadram como dados sensíveis nos termos do art. 5º, II, da LGPD, o que influencia na análise da gravidade da suposta violação.

O dano moral não se presume quando ausente a comprovação do fato constitutivo da responsabilidade civil, sendo necessária demonstração de efetivo prejuízo.

O autor não se desincumbe do ônus probatório previsto no art. 373, I, do CPC, permanecendo suas alegações no campo das conjecturas.

IV. DISPOSITIVO E TESE

Recurso
não
provido.

Tese de julgamento: 1. A inversão do ônus da prova não supre a ausência de verossimilhança das alegações, ainda que presente a hipossuficiência técnica do consumidor. 2. A quebra de sigilo bancário exige indícios concretos de ilicitude e não pode ser deferida com base em meras suspeitas. 3. A responsabilização civil por violação de dados pessoais depende da comprovação de conduta ilícita, dano e nexo causal. 4. O vazamento de dados pessoais não gera dano moral presumido quando não comprovado o fato constitutivo da responsabilidade. 5. Mensagens pessoais desacompanhadas de prova técnica não demonstram acesso indevido a dados bancários.

Dispositivos relevantes citados:
art. 6º, VIII, do CDC
;
Lei nº 13.709/2018
;
art. 373, I, do CPC
;
art. 98, §3º, do CPC
.

Jurisprudência relevante citada:

STJ -
AREsp
: 2130619 SP 2022/0152262-2, Data de Julgamento: 07/03/2023, T2 - SEGUNDA TURMA, Data de Publicação:
DJe
10/03/2023
.

TJSP - Apelação Cível: 10084496920248260007 São Paulo, Relator:
Achile

Alesina
, Data de Julgamento: 08/04/2025, 15ª Câmara de Direito Privado, Data de Publicação: 08/04/202
5.

TJPR 00025031020248160041 Alto Paraná, Relator: Manuela
Tallão
Benke, Data de Julgamento: 17/11/2025, 5ª Turma Recursal dos Juizados Especiais, Data de Publicação: 24/11/2025
.

R E L A T Ó R I O

Apelação em

Ação por Falha na Proteção de Dados Bancários
julgada improcedente
, com condenação
do autor
ao pagamento das despesas processuais e os honorários advocatícios de
10
% do valor
atualizado
da causa
,
porém suspensa a exigibilidade da obrigação nos termos do art. 98, §3º, do CPC.

O
apelante
alega
que
teve seus dados bancários acessados indevidamente por funcionária da instituição ré, com quem manteve relacionamento pessoal
e que
a referida funcionária “consultou sua conta e repassou informações sigilosas a terceiros”
.

Relata que
foram juntadas conversas que evidenciam que a funcionária possuía acesso a “documentos e dados bancários que nunca foram entregues a ela”, gerando surpresa quanto à origem das informações
.

Diz que
solicitou administrativamente os logs de acesso, tendo a instituição confirmado sua existência, porém condicionando o fornecimento à ordem judicial
.

Aduz que
mesmo após o ajuizamento da ação, a ré “não apresentou os logs, auditorias internas, relatórios de controle ou qualquer documentação técnica”
.

Informa que
a sentença de primeiro grau julgou improcedente sob fundamento de “insuficiência de provas técnicas”, desconsiderando a assimetria informacional e a posse exclusiva da prova pela instituição financeira.

Menciona que
“a funcionária mencionou documentos e dados bancários que nunca foram entregues a ela” e que a instituição “somente os forneceria mediante ordem judicial”, não
tendo apresentado “nenhum log, nenhuma auditoria, nenhum relatório de controle”.

Argumenta que
há evidente assimetria probatória, sendo impossível ao consumidor produzir prova técnica interna
e que
o ônus da prova deve ser invertido, nos termos do art. 6º, VIII, do CDC e art. 373, §1º, do CPC
.

Defende que
a instituição financeira possui dever legal de rastreabilidade e segurança, conforme a LGPD (
arts
. 6º e 42)
e que
é cabível a quebra do sigilo técnico-operacional para acesso aos logs internos, como medida proporcional e necessária à elucidação dos fatos
.

Cita que
a jurisprudência do STJ admite tanto a inversão do ônus da prova quanto a responsabilização objetiva das instituições financeiras em casos de falha na segurança.

Destaca que
o sigilo bancário não é absoluto, podendo ser relativizado judicialmente
e que
a não apresentação de documentos que estão sob posse exclusiva da ré reforça a presunção de falha na prestação do serviço
.

Sustenta que
houve cerceamento de defesa diante do julgamento antecipado sem a produção da prova técnica essencial.

Por fim, pede
a inversão do ônus da prova, determinando que a ré comprove a regularidade dos acessos
,
a quebra do sigilo técnico-operacional, com apresentação de logs, auditorias e trilhas de acesso
,
a condenação da ré ao pagamento de danos morais, caso confirmada a violação
e
o afastamento da condenação em honorários sucumbenciais.

A apelada sustent
a
que a sentença não merece reforma, argumentando que o recurso se limita a repetir os argumentos da inicial sem atacar especificamente os fundamentos da sentença. Defende a ausência de comprovação das alegações do apelante e a inexistência de dados sensíveis envolvidos
(Id
356929373
).

É o relatório.

Des. Rubens de Oliveira Santos Filho

Relator

V O T O R E L A T O R

O autor alegou na inicial que mantém conta pessoal junto às instituições financeiras requeridas e descobriu que uma funcionária do banco, com quem manteve relacionamento pessoal, teria acessado e monitorado indevidamente suas informações bancárias, repassando-as a terceiros de seu convívio. Sustentou que, ao solicitar administrativamente os logs de acesso, foi informado de que tais dados apenas seriam disponibilizados mediante ordem judicial. Argumentou violação ao direito à privacidade e à proteção de dados, pleiteando indenização por danos morais no valor de R$8.000,00.

A instituiç
ão
financeira apresentou
contestação negando a ocorrência de qualquer vazamento ou falha de segurança, sustentando que o autor não apresentou prova mínima dos fatos alegados. Adu
ziu
que não há registros de protocolo junto ao Serviço de Atendimento ao Cooperado sobre o suposto incidente, que os dados bancários comuns não configuram "dados sensíveis" nos termos da Lei nº 13.709/2018 (LGPD), e que não se comprovou dano moral.

Na
impugnação
, o autor identificou a funcionária responsável pelo acesso indevido como
Sra.
Luana Francine Andrade, sustentando que as provas juntadas aos autos, inclusive mensagens trocadas com a funcionária, comprovam o acesso irregular.

Foi proferida decisão de saneamento fixando como pontos controvertidos: (a) a existência de tratamento indevido de dados pessoais do autor pelo réu, em desacordo com as disposições da LGPD; (b) o nexo de causalidade entre a alegada violação dos dados e o dano experimentado pelo autor; (c) a existência e extensão dos danos morais alegados; (d) a eventual adoção, pelo réu, de medidas adequadas de segurança para proteção dos dados pessoais, a fim de
afastar sua responsabilidade; (e) a demonstração, pelo controlador, de que não houve falha de segurança em seus sistemas.

Designada audiência de instrução e julgamento para 23/09/2025, a parte autora e sua advogada não compareceram, razão pela qual, nos termos do art. 362, § 2º, do CPC, foi dispensada a produção de provas e encerrada a instrução (Id 356929362).

Em seguida, a patrona da parte autora apresentou petição para justificar a ausência, instruída com atestado médico que comprova seu afastamento por motivo de saúde no período de 19 a 28 de setembro de 2025, e requereu o reconhecimento da justa causa, bem como a redesignação da audiência.

As partes apresentaram alegações finais por memoriais. A autora (Id 356929367) reiterou a ocorrência de acesso indevido a seus dados bancários, sustentou a responsabilidade civil objetiva da instituição financeira, à luz da LGPD e do Código de Defesa do Consumidor, e invocou jurisprudência do STJ
sobre a
falha na prestação de serviços bancários. A ré, por sua vez (Id 356929368), reafirmou a inexistência de provas concretas da alegada violação de dados e pugnou pela total improcedência dos pedidos, ao argumento de ausência de dano, nexo causal e conduta ilícita.

O
juízo de origem
julgou improcedentes os pedidos, fundamentando que não há prova técnica ou documental idônea capaz de comprovar o alegado acesso indevido por colaboradora das rés. Destacou que as alegações permaneceram restritas a mensagens trocadas com pessoa de antigo convívio afetivo, indicando mero desentendimento pessoal, o que não se confunde com prova de violação de dados bancários. Concluiu pela ausência de comprovação do fato constitutivo, do nexo causal e do dano, condenando o autor ao pagamento de custas e honorários advocatícios.

O apelante sustenta, em síntese: a necessidade de quebra de sigilo bancário da ré para elucidação dos fatos; a inversão do ônus da prova; a responsabilidade civil da ré pela violação do sigilo
e falha na prestação de serviço; e a configuração de dano moral. Requer a reforma da sentença com a condenação da ré

ao pagamento de indenização por danos morais.

O apelante sustenta a necessidade de inversão do ônus da prova e de quebra do sigilo técnico-operacional das instituições financeiras para apresentação dos logs de acesso à sua conta bancária.

A inversão do ônus da prova, prevista no art. 6º, VIII, do CDC, exige a presença de dois requisitos alternativos: verossimilhança das alegações ou hipossuficiência do consumidor. No caso em análise, embora se reconheça a hipossuficiência técnica do consumidor para produzir provas sobre acessos internos aos sistemas bancários, a inversão do ônus probatório não pode suprir a completa ausência de elementos mínimos que indiquem a verossimilhança das alegações.

Conforme documentado nos autos, o autor apresentou apenas conversas com pessoa de seu relacionamento pessoal, sem demonstrar de forma objetiva que tais comunicações evidenciam acesso indevido a dados bancários. As mensagens juntadas, por si só, não constituem prova técnica suficiente para caracterizar violação de dados pessoais protegidos pela LGPD.

Quanto à quebra de sigilo, embora o sigilo bancário não seja direito absoluto, sua flexibilização judicial exige a demonstração de indícios concretos de ilicitude e a imprescindibilidade da medida para a apuração dos fatos. No presente caso, a ausência de elementos probatórios mínimos que indiquem a ocorrência de acesso indevido não justifica a medida excepcional de quebra de sigilo.

A Lei Geral de Proteção de Dados (Lei nº 13.709/2018) estabelece em seu art. 42 que
“o
controlador ou o operador que, em razão do exercício de atividade de tratamento de dados pessoais, causar a outrem dano patrimonial, moral, individual ou coletivo, em violação à legislação de proteção de dados pessoais, é obrigado a repará-lo
”.
Contudo, a responsabilização civil por violação
de dados pessoais não é automática, exigindo a demonstração dos elementos essenciais: conduta (tratamento irregular de dados), dano e nexo causal.

No caso sob exame, o autor não conseguiu comprovar a alegada utilização indevida de seus dados pessoais. Suas afirmações permaneceram no plano das suposições, desacompanhadas de lastro probatório mínimo apto a demonstrar acesso irregular por funcionária da instituiç
ão
financeira. Ademais, a simples existência de vínculo pessoal pretérito entre o autor e uma suposta funcionária, por si só, não basta para evidenciar violação de dados bancários.

Ademais, é importante distinguir entre dados pessoais comuns e dados sensíveis. O art. 5º, II, da LGPD define como dados sensíveis aqueles sobre
“
origem racial ou étnica, convicção religiosa, opinião política, filiação a sindicato ou a organização de caráter religioso, filosófico ou político, dado referente à saúde ou à vida sexual, dado genético ou biométrico, quando vinculado a uma pessoa natural
”
.
Os dados bancários comuns, embora mereçam proteção, não se enquadram na categoria de dados sensíveis, o que influencia na análise da extensão do dano.

A configuração do dano moral exige a demonstração de efetivo abalo à esfera da personalidade do indivíduo. Embora em determinadas situações a jurisprudência admita a presunção de dano (dano in
re

ipsa
), tal presunção não se aplica quando o próprio fato constitutivo da responsabilidade civil não restou comprovado.

No presente caso, além da ausência de comprovação da violação de dados, não há demonstração de qualquer prejuízo concreto experimentado pelo autor em decorrência dos fatos alegados.

Além disso, o
Superior Tribunal de Justiça tem entendimento de que o vazamento de dados pessoais, por si só, não gera automaticamente dano moral indenizável, sendo necessária a demonstração do prejuízo efetivamente experimentado.

A propósito:

“
PROCESSUAL CIVIL E ADMINISTRATIVO. INDENIZAÇÃO POR DANO MORAL. VAZAMENTO DE DADOS PESSOAIS. DADOS COMUNS E SENSÍVEIS. DANO MORAL PRESUMIDO. IMPOSSIBILIDADE. NECESSIDADE DE COMPROVAÇÃO DO DANO.

I - Trata-se, na origem, de ação de indenização ajuizada por particular contra concessionária de energia elétrica pleiteando indenização por danos morais decorrentes do vazamento e acesso, por terceiros, de dados pessoais.

II - A sentença julgou os pedidos improcedentes, tendo a Corte Estadual reformulada para condenar a concessionária ao pagamento da indenização, ao fundamento de que se trata de dados pessoais de pessoa idosa.

III - A tese de culpa exclusiva de terceiro não foi, em nenhum momento, abordada pelo Tribunal Estadual, mesmo após a oposição de embargos de declaração apontando a suposta omissão. Nesse contexto, incide, na hipótese, a Súmula n. 211/
STJ .
In
casu
, não há falar em prequestionamento ficto, previsão do art. 1.025 do CPC/2015, isso porque, em conformidade com a jurisprudência do STJ, para sua incidência deve a parte ter alegado devidamente em suas razões recursais ofensa ao art. 1022 do CPC/2015, de modo a permitir sanar eventual omissão através de novo julgamento dos embargos de declaração, ou a análise da matéria tida por omissa diretamente por esta
Corte .
Tal não se verificou no presente feito. Precedente:
AgInt
no REsp 1737467/SC, Rel. Ministro Napoleão Nunes Maia Filho, Primeira Turma, julgado em 8/6/2020,
DJe
17/6/2020.

IV - O
art
.
5º, II, da LGPD, dispõe de forma expressa quais dados podem ser considerados sensíveis e, devido a essa condição, exigir tratamento diferenciado, previsto em artigos específicos. Os dados de natureza comum,
pessoais
mas não íntimos, passíveis apenas de identificação da pessoa natural não podem ser classificados como sensíveis.

V - O vazamento de dados pessoais, a despeito de se tratar de falha indesejável no tratamento de dados de pessoa natural por pessoa jurídica, não tem o condão, por si só, de gerar dano moral indenizável. Ou seja, o dano moral não é presumido, sendo necessário que o titular dos dados comprove eventual dano decorrente da exposição dessas informações.

VI - Agravo conhecido e recurso especial parcialmente conhecido e, nessa parte, provido
”.
(STJ -
AREsp
: 2130619 SP 2022/0152262-2, Data de Julgamento: 07/03/2023, T2 - SEGUNDA TURMA, Data de Publicação:
DJe
10/03/2023)

A análise das provas constantes dos autos revela que o autor não se desincumbiu do ônus probatório que lhe competia, nos termos do art. 373, I, do CPC. As conversas apresentadas, ainda que demonstrem comunicação entre o autor e terceira pessoa, não constituem prova técnica ou documental idônea capaz de comprovar acesso indevido a dados bancários.

A ausência de comprovação do fato constitutivo da responsabilidade civil (tratamento indevido de dados pessoais), aliada à inexistência de demonstração de dano efetivo, impede o acolhimento dos pedidos formulados na inicial. A responsabilização civil não pode ser baseada em meras conjecturas ou suspeitas, exigindo substrato probatório mínimo que evidencie a ocorrência dos fatos alegados.

Sobre a matéria:

“
Direito Civil. Apelação. LGPD. Dados
pessoais .
Sentença de improcedência. Recurso do autor. Recurso não provido.
I .
Caso em Exame 1. Ação de reparação de
danos a direitos fundamentais e de personalidade. O autor alega ter sido vítima de golpe virtual após atualização cadastral via Whatsapp, resultando em violação à LGPD e compras não reconhecidas. Requer indenização por danos
morais .
II. Questão em Discussão 2. A questão em discussão consiste em (i) verificar a responsabilidade da ré pelo suposto vazamento de dados pessoais e (
ii
) avaliar a caracterização do dano moral.
III .
Razões de Decidir 3. A inversão do ônus da prova, prevista no art. 6
º ,
VIII do Código de Defesa do Consumidor pressupõe indícios de verossimilhança, inexistentes no caso em análise.
4 .
O autor não apresentou elementos probatórios mínimos que indicassem a efetiva ocorrência de vazamento de dados pessoais por conduta atribuível à requerida. Ausência de prova do nexo causal. 5. A alegação de dano moral "in
re

ipsa
" não se sustenta na ausência de comprovação inicial mínima dos fatos
narrados .
Não basta a simples alegação de desconforto ou sensação de insegurança para justificar a condenação ao pagamento de indenização. Na ausência de provas da conduta ilícita da requerida, inexiste o dever de indenizar. 6. Sentença
mantida .
7. Honorários majorados, nos termos do art. 85, § 2º do CPC.
IV .
Dispositivo e Tese 8. Recurso não provido. Tese de julgamento: 1. A responsabilização por vazamento de dados exige comprovação do fato, nexo de causalidade e prática de ato
ilícito .
2. Ausência de provas da conduta ilícita da ré afasta o dever de indenizar. Legislação Citada: LGPD, art. 42;
art
.
46; CPC, art. 355, I; art. 85, § 11. Jurisprudência Citada: TJSP, Apelação nº 1004685-77 .2024.8.26.0362,
Rel
.
Des. Sá Moreira de Oliveira. TJSP, Apelação Cível nº 1025181-37.2020 .8.26.0405, Rel.
Des .
Schmitt Corrêa. TJSP, Apelação Cível 1000192-50.2023.8 .26.0020, Rel.
Antonio
Celso Aguilar Cortez
”.
(TJSP - Apelação Cível:
10084496920248260007 São Paulo, Relator.:
Achile

Alesina
, Data de Julgamento: 08/04/2025, 15ª Câmara de Direito Privado, Data de Publicação: 08/04/2025)

“
AÇÃO DE INDENIZAÇÃO POR DANOS MORAIS. SUPOSTO VAZAMENTO DE DADOS PESSOAIS. AUSÊNCIA DE PROVA MÍNIMA DO ALEGADO (CPC, ART. 373, I). DANOS MORAIS NÃO CONFIGURADOS. INEXISTÊNCIA DE COMPROVAÇÃO DE EFETIVA OFENSA A DIREITOS DE PERSONALIDADE. SENTENÇA MANTIDA. Recurso conhecido e desprovido
”.
(TJPR 00025031020248160041 Alto Paraná, Relator.: Manuela
Tallão
Benke, Data de Julgamento: 17/11/2025, 5ª Turma Recursal dos Juizados Especiais, Data de Publicação: 24/11/2025)

Pelo exposto,
nego provimento ao Recurso
, mantendo integralmente a sentença recorrida pelos seus próprios e jurídicos fundamentos.

Em razão do resultado do julgamento, majoro os honorários advocatícios de 10% para
12
% sobre o valor atualizado da causa, observada a concessão da gratuidade de justiça
.

Data da sessão:
Cuiabá-MT, 29/04/2026