Responsabilidade Civil por Vazamento de Dados e a LGPD: o que decidiu o STJ no caso Enel (REsp 2.147.374/SP)
- Thayana Macêdo
- 5 de abr. de 2025
- 4 min de leitura
LGPD, vazamentos e a responsabilidade das empresas
Desde a entrada em vigor da Lei Geral de Proteção de Dados (LGPD), empresas de todos os portes passaram a enfrentar o desafio de garantir a segurança e a privacidade dos dados pessoais sob sua responsabilidade. A norma prevê não apenas princípios de tratamento e direitos dos titulares, mas também sanções administrativas e a possibilidade de responsabilização civil em caso de incidentes.
Uma das decisões mais relevantes nesse campo foi proferida pelo Superior Tribunal de Justiça (STJ), em dezembro de 2024, no julgamento do Recurso Especial n.º 2.147.374/SP, envolvendo a empresa Enel Distribuição São Paulo (antiga Eletropaulo). O caso reacende uma discussão importante: uma empresa é civilmente responsável por vazamento de dados causado por ataque hacker?
O caso Enel e o Recurso Especial no STJ
A controvérsia analisada pela 3ª Turma do STJ girava em torno de um incidente de segurança envolvendo a Enel, empresa do setor elétrico que teve seu sistema invadido por terceiros, resultando na exposição de dados pessoais de consumidores.
A empresa sustentava que o vazamento fora causado por atividade ilícita de terceiros (hackers), o que configuraria excludente de responsabilidade, com base no art. 43, III, da LGPD. Segundo esse dispositivo, não se considera ilícito o tratamento de dados quando houver culpa exclusiva do titular ou de terceiros.
Contudo, o STJ negou provimento ao recurso da empresa, afirmando que a simples alegação de culpa de terceiros não afasta, por si só, a responsabilidade do controlador. O relator, Ministro Ricardo Villas Bôas Cueva, destacou que cabe ao controlador o dever de adotar medidas técnicas e organizacionais adequadas para proteger os dados pessoais, conforme exigido pelo art. 46 da LGPD.
Fundamentos legais da decisão: LGPD e responsabilidade objetiva
A decisão se apoiou em dois pilares da LGPD:
Art. 46 – que obriga os agentes de tratamento a adotar medidas de segurança apropriadas para proteger os dados contra acessos não autorizados, perdas e incidentes acidentais ou ilícitos.
Art. 19, II – que estabelece a necessidade de comunicação ao titular e à Autoridade Nacional de Proteção de Dados (ANPD) em caso de incidentes, bem como a adoção de providências para mitigar danos.
O STJ entendeu que a responsabilidade do controlador é objetiva, nos termos do Código de Defesa do Consumidor e da própria LGPD. Assim, a empresa só estaria isenta se comprovasse a adoção de todas as salvaguardas adequadas e eficazes para evitar o incidente — o que não foi demonstrado no processo.
A excludente do art. 43, III, da LGPD só se aplica quando houver comprovação robusta de que o dano decorreu única e exclusivamente da ação de terceiros, sem qualquer falha ou omissão do controlador. Como isso não ocorreu, a responsabilidade foi mantida.
Decisão do STJ e seus efeitos jurídicos e estratégicos
A 3ª Turma do STJ, portanto, confirmou a condenação da Enel, reforçando que o risco do negócio inclui a gestão responsável dos dados pessoais. Essa decisão estabelece um precedente importante para o Judiciário e para o mercado, ao fixar que incidentes de segurança, ainda que causados por agentes externos, não afastam automaticamente a responsabilização civil, especialmente quando a empresa não comprova a efetiva adoção de mecanismos de proteção adequados.
Além disso, a decisão dialoga diretamente com o princípio da responsabilização e prestação de contas (accountability) previsto no art. 6º, X, da LGPD, exigindo que os agentes de tratamento não apenas adotem medidas de segurança, mas também sejam capazes de demonstrar sua eficácia em caso de incidentes.
Implicações para empresas e profissionais de proteção de dados
O julgamento do STJ serve como um marco interpretativo para o setor público e privado, especialmente em um contexto em que ataques cibernéticos se tornam mais frequentes e sofisticados.
A mensagem é objetiva:
não basta alegar que o vazamento foi causado por um hacker. A empresa precisa demonstrar que fez tudo o que estava ao seu alcance para proteger os dados sob sua guarda.
Para os profissionais que atuam com compliance, segurança da informação e privacidade de dados, esse precedente reforça a importância de:
manter programas de segurança da informação atualizados e testados;
revisar e auditar processos de tratamento de dados com frequência;
documentar medidas preventivas, planos de resposta a incidentes e registros de tratamento;
treinar equipes e conscientizar colaboradores sobre riscos e condutas esperadas.
A LGPD exige prevenção, não apenas reação
A jurisprudência do STJ está contribuindo para consolidar uma cultura de responsabilidade digital no Brasil, em que os dados pessoais deixam de ser mero ativo de marketing e passam a ser tratados como um bem jurídico de elevado valor estratégico.
Mais do que uma norma burocrática, a LGPD é uma diretriz de governança. Decisões como essa evidenciam que o Judiciário está atento à efetividade da proteção de dados no país.
_____________________________
Processo: REsp 2.147.374/SP
Órgão: Superior Tribunal de Justiça – 3ª Turma
Relator: Ministro Ricardo Villas Bôas Cueva
Data do Julgamento: 03/12/2024
Resultado: Empresa condenada – responsabilidade objetiva confirmada por falha na proteção dos dados vazados em ataque hacker.
Comentários