Se os seus dados pessoais foram vazados, o primeiro passo é verificar se alguém já os usou: o Registrato, sistema do Banco Central, mostra empréstimos, contas e chaves Pix registrados no seu CPF. Em seguida, vale trocar senhas, registrar boletim de ocorrência se houver fraude e pedir explicações à empresa responsável, que é obrigada pela Lei Geral de Proteção de Dados a comunicar o incidente aos titulares e à autoridade nacional. A indenização é possível, mas o Superior Tribunal de Justiça tem decidido que, em regra, o dano moral pelo simples vazamento de dados comuns precisa ser comprovado.
Como saber se meus dados estão sendo usados por terceiros?
A ferramenta oficial é o Registrato, do Banco Central do Brasil. Segundo o próprio Banco Central, o acesso é feito com conta gov.br de nível prata ou ouro, com verificação em duas etapas habilitada, e o sistema oferece cinco relatórios:
- Empréstimos e Financiamentos (SCR): dívidas e compromissos com bancos e outras instituições financeiras;
- Contas e Relacionamentos em Bancos (CCS): em quais instituições você tem ou teve conta, investimento ou outro relacionamento;
- Chaves Pix: as chaves cadastradas, ativas ou encerradas;
- Câmbio e Transferências Internacionais;
- Cheques Sem Fundos (CCF).
Se aparecer conta, empréstimo ou chave Pix que você não reconhece, guarde o relatório: ele é um documento útil para contestar a operação no banco e, se necessário, na Justiça.
O que fazer logo depois de descobrir o vazamento?
- Troque as senhas dos e-mails, aplicativos de banco e redes sociais, e ative a verificação em duas etapas.
- Consulte o Registrato e repita a consulta nos meses seguintes.
- Se houver uso indevido (compra, empréstimo, conta aberta), registre boletim de ocorrência e avise a instituição envolvida por escrito.
- Guarde provas: e-mails da empresa, notícias sobre o incidente, prints de mensagens e protocolos de atendimento.
- Peça à empresa informações sobre o que foi vazado, usando os direitos do artigo 18 da Lei Geral de Proteção de Dados.
Que direitos a Lei Geral de Proteção de Dados me dá?
A Lei Geral de Proteção de Dados (Lei 13.709/2018) garante ao titular, entre outros, o direito de obter da empresa (o “controlador”), mediante requisição (artigo 18):
- confirmação de que ela trata seus dados e acesso a eles;
- correção de dados incompletos, inexatos ou desatualizados;
- anonimização, bloqueio ou eliminação de dados desnecessários ou tratados em desacordo com a lei;
- informação sobre com quais entidades públicas e privadas seus dados foram compartilhados.
O titular também pode apresentar petição contra a empresa perante a autoridade nacional (artigo 18, § 1º). A lei prevê que esses pedidos sejam atendidos sem custo para o titular (artigo 18, § 5º).
A empresa é obrigada a avisar sobre o vazamento?
Sim. O artigo 48 determina que o controlador comunique à autoridade nacional e ao titular a ocorrência de incidente de segurança que possa acarretar risco ou dano relevante. A comunicação deve ser feita em prazo razoável, definido pela autoridade, e informar, no mínimo, a natureza dos dados afetados, os titulares envolvidos, as medidas de segurança usadas, os riscos, os motivos de eventual demora e as providências adotadas para reverter ou reduzir o prejuízo.
A autoridade responsável é a ANPD. Com a Lei 15.452/2026, o artigo 55-A da Lei Geral de Proteção de Dados passou a denominá-la Agência Nacional de Proteção de Dados, autarquia vinculada ao Ministério da Justiça e Segurança Pública. Ela pode determinar à empresa medidas como a ampla divulgação do fato e ações para mitigar os efeitos do incidente (artigo 48, § 2º), além de aplicar sanções que vão de advertência a multa de até 2% do faturamento no Brasil, limitada a R$ 50 milhões por infração (artigo 52).
A empresa responde pelos prejuízos?
Responde quando causar dano ao violar a legislação de proteção de dados (artigo 42). As empresas devem adotar medidas de segurança técnicas e administrativas para proteger os dados contra acessos não autorizados (artigo 46), e o tratamento é considerado irregular quando não oferece a segurança que o titular pode esperar (artigo 44).
A lei facilita a prova para o titular: o juiz pode inverter o ônus da prova quando a alegação for verossímil ou quando produzir a prova for difícil ou excessivamente custoso para o titular (artigo 42, § 2º). A empresa só se livra da responsabilidade se provar que não tratou os dados, que não violou a lei ou que o dano decorreu de culpa exclusiva do titular ou de terceiro (artigo 43).
Tenho direito automático a indenização por dano moral?
Em regra, não. No julgamento do AREsp 2.130.619/SP (Segunda Turma, março de 2023), o Superior Tribunal de Justiça afirmou que o vazamento de dados pessoais comuns, por si só, não gera dano moral indenizável: o dano não é presumido, e o titular precisa comprovar o prejuízo decorrente da exposição. Em maio de 2026, a Terceira Turma manteve a mesma linha no REsp 2.211.708/PR, ao exigir prova de dano concreto.
O próprio Tribunal, porém, reconheceu situações diferentes:
- Dados sensíveis (saúde, origem racial, religião, dado genético ou biométrico, entre outros, conforme o artigo 5º, II, da lei): no REsp 2.121.904/SP (Terceira Turma, fevereiro de 2025), o vazamento de dados sensíveis fornecidos a uma seguradora de vida foi considerado dano moral presumido.
- Vazamento seguido de fraude: no REsp 2.187.854/SP (Terceira Turma, maio de 2025), o tribunal reconheceu o dano moral quando dados bancários vazados permitiram que golpistas aplicassem o “golpe do boleto” na consumidora.
O tema, portanto, não está pacificado. O resultado depende do tipo de dado exposto, do uso que se fez dele e das provas reunidas.
Perguntas frequentes
Quem pode acessar o Registrato?
Segundo o Banco Central, qualquer pessoa com conta gov.br nível prata ou ouro e verificação em duas etapas habilitada. Também é possível autorizar até cinco pessoas de confiança a consultar seus relatórios.
Recebi um e-mail dizendo que meus dados vazaram. Devo clicar no link?
Desconfie. Golpistas usam notícias de vazamento para enviar mensagens falsas. Prefira acessar diretamente o site ou aplicativo oficial da empresa.
Posso pedir que a empresa apague meus dados?
Sim, nos casos previstos no artigo 18 da Lei Geral de Proteção de Dados, como dados desnecessários, excessivos ou tratados em desconformidade com a lei, ou tratados com base no seu consentimento.
Onde reclamo se a empresa não responder?
O titular pode peticionar à Agência Nacional de Proteção de Dados (artigo 18, § 1º), além de recorrer aos órgãos de defesa do consumidor ou ao Poder Judiciário.
Vazamento de CPF e endereço gera indenização?
Segundo o AREsp 2.130.619/SP, dados comuns como esses não geram dano moral presumido; é preciso demonstrar o prejuízo concreto.
Cada vazamento tem características próprias, e a análise depende das provas disponíveis. Este conteúdo tem caráter informativo e foi preparado pela equipe de Mauricio Souza Advogados, em Campinas/SP, com base na legislação e na jurisprudência consultadas em outubro de 2026.
Para entender como essas regras se aplicam ao seu caso, conheça a página de advogado de direito do consumidor ou o atendimento jurídico online do escritório Mauricio Souza Advogados.
Fontes consultadas
- LGPD (Lei 13.709/2018), arts. 5º II, 18, 42, 43, 44, 46, 48, 52 e 55-A (redação da Lei 15.452/2026) (fonte oficial)
- Registrato (Banco Central) (fonte oficial)
- STJ, AREsp 2.130.619/SP, 2ª Turma, Rel. Min. Francisco Falcão, j. 7/3/2023, DJe 10/3/2023 — dano moral não presumido (dados comuns) — https://processo.stj.jus.br/SCON/pesquisar.jsp (pesquisa de acórdãos: vazamento e dados e dano e moral e presumido)
- STJ, REsp 2.121.904/SP, 3ª Turma, Rel. Min. Nancy Andrighi, j. 11/2/2025 — dados sensíveis em seguro de vida, dano presumido — https://processo.stj.jus.br/SCON/pesquisar.jsp (pesquisa de acórdãos: vazamento e dados e dano e moral e presumido)
- STJ, REsp 2.187.854/SP, 3ª Turma, Rel. Min. Nancy Andrighi, j. 6/5/2025 — vazamento seguido de fraude bancária — https://processo.stj.jus.br/SCON/pesquisar.jsp (pesquisa de acórdãos: vazamento e dados e dano e moral e presumido)
- STJ, REsp 2.211.708/PR, 3ª Turma, Rel. Min. Moura Ribeiro, j. 4/5/2026 — dano não presumido sem dano concreto — https://processo.stj.jus.br/SCON/pesquisar.jsp (pesquisa de acórdãos: vazamento e dados e dano e moral e presumido)