STJ REsp 2206917

PROCESSUAL CIVIL, CONSUMIDOR E PROTEÇÃO DE DADOS. RECURSO ESPECIAL. AÇÃO DE OBRIGAÇÃO DE FAZER C/C INDENIZAÇÃO POR DANOS MORAIS. BANCO DE DADOS DE CRÉDITO. DISPONIBILIZAÇÃO/COMERCIALIZAÇÃO DE DADOS CADASTRAIS A TERCEIROS CONSULENTES. LEI 12.414/2011 . LGPD. TEMA 710/STJ E SÚMULA 550/STJ . DISTINÇÃO. DANO MORAL IN RE IPSA. RESPONSABILIDADE OBJETIVA. RECURSO CONHECIDO E PROVIDO. 1. Recurso especial em ação de obrigação de fazer cumulada com indenização por danos morais, interposto por consumidor contra acórdão que reputou lícita a disponibilização, em relatórios confidenciais de proteção ao crédito, de dados pessoais não sensíveis (endereço, telefones, participação societária, score e faixa estimada de renda) sem consentimento e sem comunicação prévia, afastando dano moral. 2. O objetivo recursal é decidir se (i) a disponibilização, a terceiros consulentes, de informações cadastrais e de adimplemento, em ambiente de proteção ao crédito, dispensa consentimento e comunicação prévia; (ii) a legislação específica (Lei 12.414/2011 e CDC) limita o conteúdo que pode ser disponibilizado a consulentes ao score e, mediante autorização, ao histórico de crédito; (iii) a mera disponibilização indevida de dados cadastrais configura dano moral; (iv) aplica-se, ou não, por distinção, o entendimento do Tema 710/STJ e da Súmula 550/STJ. 3. O tratamento de dados para proteção do crédito é autorizado (LGPD, art. 7º, X), mas se submete aos limites da Lei 12.414/2011: ao consulente, podem ser disponibilizados o score de crédito (sem consentimento) e, mediante autorização específica, o histórico de crédito; informações cadastrais e de adimplemento armazenadas só podem ser compartilhadas entre bancos de dados (art. 4º, III e IV). A disponibilização de dados cadastrais a consulentes, sem consentimento específico do titular, é ilícita. 4. A disponibilização/comercialização de dados cadastrais a terceiros consulentes, sem autorização específica, viola o microssistema de proteção ao crédito e a autodeterminação informativa, configurando ato ilícito e dano moral presumido, com responsabilidade objetiva do gestor (Lei 12.414/2011, art. 16; LGPD, arts. 42 e 43, II; CDC, art. 43, §§ 1º e 2º). O Tema 710/STJ e a Súmula 550/STJ, restritos ao credit scoring, não se aplicam ao fornecimento de dados cadastrais por banco de dados. 5. Recurso especial conhecido e provido. RELATÓRIO Trata-se de recurso especial interposto por Marcio Veloso Soares (MARCIO), contra acórdão do Tribunal de Justiça do Estado de São Paulo, de relatoria da Desembargadora Silvia Rocha, assim ementado: Prestação de serviços Ação de obrigação de fazer c.c. pedido indenizatório Inexistência de prova da comercialização de dados sensíveis do autor Informações destinadas à proteção de crédito, cuja divulgação independe do consentimento do consumidor Aplicação da tese fixada no julgamento do REsp 1.419.697/RS e da súmula 550/STJ Dano moral Inocorrência Recurso não provido. (e-STJ, fl. 550) Nas razões de seu apelo nobre, interposto com fundamento nas alíneas a e c do inciso III do art. 105 da Constituição Federal, MARCIO VELOSO SOARES apontou: (1) contrariedade ao art. 5º, X, da Constituição Federal e ao art. 21 do Código Civil, por suposta violação à privacidade, honra e imagem decorrente da disponibilização/comercialização de dados pessoais sem consentimento; (2) violação dos arts. 7º, I e X, 8º e seus parágrafos, e 9º da Lei nº 13.709/2018 (Lei Geral de Proteção de Dados - LGPD), sustentando a exigência de consentimento e comunicação prévia para tratamento e compartilhamento de dados pessoais, bem como a incompatibilidade da prática com os fundamentos da proteção de dados, dentre eles o respeito à privacidade e a autodeterminação informativa; (3) violação dos arts. 3º, §§ 1º e 3º, I, 4º e 5º, VII, da Lei nº 12.414/2011 (Lei do Cadastro Positivo), por entender que o compartilhamento realizado não se destina ao histórico de crédito e exige autorização expressa do cadastrado; (4) violação do art. 43, §§ 1º e 2º, do Código de Defesa do Consumidor (CDC), por ausência de comunicação escrita da abertura de cadastro e manutenção/divulgação de dados negativos para além de cinco anos, bem como pela inserção não solicitada; (5) ocorrência de dissídio jurisprudencial com julgados do Tribunal de Justiça do Distrito Federal e dos Territórios, notadamente no Agravo de Instrumento nº 0749765-29.2020.8.07.0000 e na Apelação nº 0734712-68.2021.8.07.0001; (6) pedido de reparação por danos morais, com fundamento no REsp nº 1.758.799/MG, por entender configurado dano in re ipsa na hipótese de tratamento e transferência indevida de dados pessoais a terceiros (e-STJ, fls. 565/566). Houve apresentação de contrarrazões por SERASA S.A. (SERASA) (e-STJ, fls. 587/599). É o relatório. EMENTA PROCESSUAL CIVIL, CONSUMIDOR E PROTEÇÃO DE DADOS. RECURSO ESPECIAL. AÇÃO DE OBRIGAÇÃO DE FAZER C/C INDENIZAÇÃO POR DANOS MORAIS. BANCO DE DADOS DE CRÉDITO. DISPONIBILIZAÇÃO/COMERCIALIZAÇÃO DE DADOS CADASTRAIS A TERCEIROS CONSULENTES. LEI 12.414/2011 . LGPD. TEMA 710/STJ E SÚMULA 550/STJ . DISTINÇÃO. DANO MORAL IN RE IPSA. RESPONSABILIDADE OBJETIVA. RECURSO CONHECIDO E PROVIDO. 1. Recurso especial em ação de obrigação de fazer cumulada com indenização por danos morais, interposto por consumidor contra acórdão que reputou lícita a disponibilização, em relatórios confidenciais de proteção ao crédito, de dados pessoais não sensíveis (endereço, telefones, participação societária, score e faixa estimada de renda) sem consentimento e sem comunicação prévia, afastando dano moral. 2. O objetivo recursal é decidir se (i) a disponibilização, a terceiros consulentes, de informações cadastrais e de adimplemento, em ambiente de proteção ao crédito, dispensa consentimento e comunicação prévia; (ii) a legislação específica (Lei 12.414/2011 e CDC) limita o conteúdo que pode ser disponibilizado a consulentes ao score e, mediante autorização, ao histórico de crédito; (iii) a mera disponibilização indevida de dados cadastrais configura dano moral; (iv) aplica-se, ou não, por distinção, o entendimento do Tema 710/STJ e da Súmula 550/STJ. 3. O tratamento de dados para proteção do crédito é autorizado (LGPD, art. 7º, X), mas se submete aos limites da Lei 12.414/2011: ao consulente, podem ser disponibilizados o score de crédito (sem consentimento) e, mediante autorização específica, o histórico de crédito; informações cadastrais e de adimplemento armazenadas só podem ser compartilhadas entre bancos de dados (art. 4º, III e IV). A disponibilização de dados cadastrais a consulentes, sem consentimento específico do titular, é ilícita. 4. A disponibilização/comercialização de dados cadastrais a terceiros consulentes, sem autorização específica, viola o microssistema de proteção ao crédito e a autodeterminação informativa, configurando ato ilícito e dano moral presumido, com responsabilidade objetiva do gestor (Lei 12.414/2011, art. 16; LGPD, arts. 42 e 43, II; CDC, art. 43, §§ 1º e 2º). O Tema 710/STJ e a Súmula 550/STJ, restritos ao credit scoring, não se aplicam ao fornecimento de dados cadastrais por banco de dados. 5. Recurso especial conhecido e provido.