STJ REsp 2222983

Direito DO CONSUMIDOR. Recurso Especial. Cadastro de dados pessoais. Divulgação sem autorização. Dano moral presumido. I. Caso em exame 1. Recurso especial interposto contra acórdão do Tribunal de Justiça do Estado de São Paulo que manteve sentença de improcedência em ação de obrigação de fazer cumulada com pedido de indenização por danos morais, na qual se alegou a divulgação de dados pessoais do autor, como CPF, nome completo, nome da mãe, data de nascimento, endereço, números de telefone, título de eleitor e estimativa de renda, sem autorização ou notificação prévia. 2. O Juízo de primeiro grau julgou a ação improcedente, entendendo que a disponibilização de dados se destinava exclusivamente à proteção do crédito, sendo autorizada pela Lei n. 12.414/2011 e pela LGPD, sem necessidade de consentimento ou comunicação do titular, desde que não se tratasse de dados sensíveis. 3. O Tribunal de Justiça do Estado de São Paulo negou provimento à apelação, considerando que os dados disponibilizados não eram sensíveis ou excessivos e que a prática estava em conformidade com a legislação aplicável, aplicando o entendimento do Tema Repetitivo n. 710 e a Súmula n. 550 do STJ. 4. O recorrente sustenta que a disponibilização e comercialização de dados pessoais sem consentimento ou comunicação prévia ao consumidor configura ato ilícito e enseja indenização por danos morais presumidos, diferenciando o caso do sistema de credit scoring. II. Questão em discussão 5. Há duas questões em discussão: (i) saber se o gestor de banco de dados para formação de histórico de crédito pode disponibilizar informações cadastrais, especificamente o número de telefone, dos cadastrados a terceiros consulentes, sem a sua comunicação prévia; e (ii) saber se essa prática, em caso de ilegalidade, configura dano moral indenizável ao titular dos dados. III. Razões de decidir 6. A gestão de banco de dados deve observar o dever de informar o consumidor sobre o armazenamento e tratamento de seus dados pessoais, conforme previsto no art. 43, § 2º, do Código de Defesa do Consumidor e nos arts. 4º, § 4º, e 5º, V, da Lei n. 12.414/2011. 7. A Lei n. 12.414/2011 estabelece que informações cadastrais e de adimplemento podem ser compartilhadas apenas com outros bancos de dados, enquanto a disponibilização de dados pessoais identificáveis a terceiros consulentes exige prévia autorização específica do titular. 8. A ausência de comunicação prévia ao consumidor sobre a abertura de cadastro e a finalidade do tratamento de seus dados pessoais caracteriza violação dos deveres legais de informação e transparência. 9. A disponibilização indevida de dados pessoais a terceiros consulentes fora das hipóteses legalmente previstas configura ato ilícito e gera dano moral presumido (in re ipsa), sendo desnecessária a demonstração de prejuízo concreto. 10. A exposição indevida de dados pessoais compromete a privacidade e a autodeterminação informativa do titular, gerando sensação de insegurança apta a configurar o abalo moral indenizável. 11. O valor da indenização por danos morais deve observar os princípios da razoabilidade e proporcionalidade, sem implicar enriquecimento indevido. IV. Dispositivo Recurso especial provido. RELATÓRIO O EXMO. SR. MINISTRO HUMBERTO MARTINS (relator): Cuida-se de recurso especial interposto por VALDO SOARES, com fundamento no artigo 105, inciso III, alíneas a e c da Constituição Federal, contra acórdão proferido pelo Tribunal de Justiça do Estado de São Paulo assim ementado (fls. 311): Prestação de serviços - Obrigação de fazer cc indenizatória - Dados cadastrais do autor constantes do serviço Acerta Essencial disponibilizado pela SCPC Boa Vista - Informações não enquadradas dentre as legalmente definidas como sensíveis ou excessivas, nos termos do art. 5º, II da Lei nº 13.709/2018 e art. 3º, § 3º da Lei nº 12.414/11 - Improcedência mantida - Improvimento. Na origem, o recorrente ajuizou ação condenatória de obrigação de fazer cumulada com indenização por danos morais e tutela de urgência contra BOA VISTA SERVICOS S.A. Alegou que a recorrida, na qualidade de gestora de banco de dados, coleta e comercializa suas informações pessoais sem prévia comunicação ou autorização para tanto. As informações em questão seriam seu CPF, nome completo, nome da mãe, data de nascimento, endereço, números de telefone, título de eleitor e estimativa de renda, por meio dos serviços "ACERTA Cadastral", "ACERTA Básico", "ACERTA Intermediário", "ACERTA Completo" e "DATAPLUS". Sustentou que tal prática viola o disposto no art. 43, § 2º, do Código de Defesa do Consumidor, na Lei n. 12.414/2011 (Lei do Cadastro Positivo) e na Lei Geral de Proteção de Dados, configurando ato ilícito que enseja o dever de indenizar os danos morais sofridos, os quais seriam in re ipsa. O J uízo de primeiro grau julgou a ação improcedente (fls. 217-223). Fundamentou sua decisão na tese de que a disponibilização de dados se destina exclusivamente à proteção do crédito. Essa hipótese seria autorizadora do tratamento de dados prevista na Lei n. 12.414/2011 e independeria de consentimento ou comunicação do titular quando não se trata de dados sensíveis. O magistrado considerou, ainda, que as informações não se mostram abusivas e que a questão se amoldaria ao entendimento do STJ sobre a matéria. Interposta apelação pelo autor, o Tribunal de Justiça do Estado de São Paulo negou provimento ao recurso. O acórdão recorrido entendeu que a atividade desenvolvida pela ré, ao disponibilizar dados cadastrais (telefone, data de nascimento, nome da mãe, renda, score) sem prévia notificação, não é proibida, pois tais dados não se enquadram como sensíveis ou excessivos. Consignou, ademais, a observância da Lei Geral de Proteção de Dados e da Lei do Cadastro Positivo, aplicando ao caso o Tema Repetitivo n. 710 e a Súmula n. 550 do STJ, concluindo pela ausência de ato ilícito a ser reparado (fls. 310-318). Em suas razões de recurso especial, o recorrente aponta dissídio jurisprudencial e violação dos arts. 43, §§ 1º e 2º, do Código de Defesa do Consumidor; arts. 3º, §§ 1º e 3º, I, 4º e 5º, VII, da Lei n. 12.414/2011; arts. 7º, I e X, 8º e 9º, da Lei n. 13.709/2018 (LGPD), além do art. 21 do Código Civil. Argumenta, em suma, que a hipótese dos autos distingue-se do sistema de credit scoring, tratando-se de comercialização de dados pessoais sem o consentimento ou a devida comunicação prévia ao consumidor. Defende que a abertura de cadastro com dados pessoais exige a prévia comunicação ao consumidor, e que a ausência de tal providência configura ato ilícito e gera dano moral presumido, citando precedente desta Corte (REsp 1.758.799/MG). Foram apresentadas contrarrazões pela recorrida (fls. 368-388), nas quais pugna pelo não conhecimento do recurso e, no mérito, pelo seu desprovimento. O recurso especial foi admitido na origem (fls. 389-391) e remetido a esta Corte Superior para análise do mérito. É, no essencial, o relatório. EMENTA Direito DO CONSUMIDOR. Recurso Especial. Cadastro de dados pessoais. Divulgação sem autorização. Dano moral presumido. I. Caso em exame 1. Recurso especial interposto contra acórdão do Tribunal de Justiça do Estado de São Paulo que manteve sentença de improcedência em ação de obrigação de fazer cumulada com pedido de indenização por danos morais, na qual se alegou a divulgação de dados pessoais do autor, como CPF, nome completo, nome da mãe, data de nascimento, endereço, números de telefone, título de eleitor e estimativa de renda, sem autorização ou notificação prévia. 2. O Juízo de primeiro grau julgou a ação improcedente, entendendo que a disponibilização de dados se destinava exclusivamente à proteção do crédito, sendo autorizada pela Lei n. 12.414/2011 e pela LGPD, sem necessidade de consentimento ou comunicação do titular, desde que não se tratasse de dados sensíveis. 3. O Tribunal de Justiça do Estado de São Paulo negou provimento à apelação, considerando que os dados disponibilizados não eram sensíveis ou excessivos e que a prática estava em conformidade com a legislação aplicável, aplicando o entendimento do Tema Repetitivo n. 710 e a Súmula n. 550 do STJ. 4. O recorrente sustenta que a disponibilização e comercialização de dados pessoais sem consentimento ou comunicação prévia ao consumidor configura ato ilícito e enseja indenização por danos morais presumidos, diferenciando o caso do sistema de credit scoring. II. Questão em discussão 5. Há duas questões em discussão: (i) saber se o gestor de banco de dados para formação de histórico de crédito pode disponibilizar informações cadastrais, especificamente o número de telefone, dos cadastrados a terceiros consulentes, sem a sua comunicação prévia; e (ii) saber se essa prática, em caso de ilegalidade, configura dano moral indenizável ao titular dos dados. III. Razões de decidir 6. A gestão de banco de dados deve observar o dever de informar o consumidor sobre o armazenamento e tratamento de seus dados pessoais, conforme previsto no art. 43, § 2º, do Código de Defesa do Consumidor e nos arts. 4º, § 4º, e 5º, V, da Lei n. 12.414/2011. 7. A Lei n. 12.414/2011 estabelece que informações cadastrais e de adimplemento podem ser compartilhadas apenas com outros bancos de dados, enquanto a disponibilização de dados pessoais identificáveis a terceiros consulentes exige prévia autorização específica do titular. 8. A ausência de comunicação prévia ao consumidor sobre a abertura de cadastro e a finalidade do tratamento de seus dados pessoais caracteriza violação dos deveres legais de informação e transparência. 9. A disponibilização indevida de dados pessoais a terceiros consulentes fora das hipóteses legalmente previstas configura ato ilícito e gera dano moral presumido (in re ipsa), sendo desnecessária a demonstração de prejuízo concreto. 10. A exposição indevida de dados pessoais compromete a privacidade e a autodeterminação informativa do titular, gerando sensação de insegurança apta a configurar o abalo moral indenizável. 11. O valor da indenização por danos morais deve observar os princípios da razoabilidade e proporcionalidade, sem implicar enriquecimento indevido. IV. Dispositivo Recurso especial provido.