A responsabilidade civil por incidentes de segurança na LGPD: uma análise à luz da jurisprudência do Superior Tribunal da Justiça

Abstract

A Lei Geral de Proteção de Dados (LGPD), nº 13.709/2018, atribuiu responsabilidades aos agentes de tratamento (controladores e operadores) no que se refere aos danos causados aos titulares de dados pessoais, notadamente em incidentes de segurança (vazamentos ou uso indevido de informações). A responsabilidade civil é um dos principais temas da judicialização dessa lei no país, em especial nas ações movidas por consumidores que buscam reparação material e moral. Contudo, embora o art. 45 da lei preveja que violações de direitos do titular no âmbito das relações de consumo “se sujeitam às regras de responsabilidade previstas no CDC”, em claro indicativo de adoção do regime de responsabilidade civil objetiva, havia grande divergência doutrinária e jurisprudencial acerca da matéria, muitos optando pelo regime subjetivo, mesmo em matéria consumerista. Além disso, as cláusulas gerais de responsabilidade da LGPD (arts. 42 a 44) não indicaram, de forma expressa, a adoção por um ou outro regime (subjetivo ou objetivo). Era necessário, portanto, aguardar a manifestação dos Tribunais Superiores, sobretudo do Superior Tribunal de Justiça. Desde 2023, o STJ tem se posicionado em julgamentos de grande repercussão, específicos sobre esse assunto. Esta pesquisa acadêmica busca, portanto, investigar as premissas iniciais da jurisprudência brasileira, no âmbito do Tribunal, sobre o regime de responsabilidade civil dos agentes de tratamento, em casos concretos de incidentes de segurança de dados pessoais.

The General Data Protection Law – LGPD (No. 13.709/2018) assigned responsibilities to data processing agents (controllers and operators) regarding damages caused to personal data holders, especially in security incidents (leaks or misuse of information). Civil liability is one of the main topics of judicialization of this law in the country, especially in lawsuits filed by consumers seeking material and moral compensation. However, although Article 45 of the law provides that violations of the data subject's rights in consumer relations "are subject to the liability rules set forth in the Consumer Protection Code," clearly indicating the adoption of the objective civil liability regime, there was significant divergence in doctrine and case law on the matter, with many opting for the subjective regime, even in consumer matters. Furthermore, the general liability clauses of the LGPD (Articles 42 to 44) did not expressly indicate the adoption of one or the other regime (subjective or objective). Therefore, it was necessary to await the ruling of the Higher Courts, especially the Superior Court of Justice. Since 2023, the Superior Court of Justice has taken a position in high-profile judgments, specifically on this subject. This academic research therefore seeks to investigate the initial premises of Brazilian jurisprudence within the scope of the Court on the regime of civil liability of data processing agents, in specific cases of personal data security incidents.