A reforma que já foi feita sem votação

Por Leonardo Corrêa* – Tramita no Senado a reforma do Código Civil (Projeto de Lei 4/2025), que trata da responsabilidade civil no ambiente digital e por vazamentos de dados. Definir quem suporta o risco de um ataque cibernético é escolha de política legislativa. Cabe ao Congresso decidir, não ao Judiciário, que interpreta a lei existente.

O debate chega atrasado. Antes de o Congresso votar, os tribunais já vinham construindo, por presunção, um regime que a lei em vigor não instituiu. Nada disso está consolidado: trata-se de precedente de uma Turma, sem súmula, repetitivo ou última palavra do Superior Tribunal de Justiça (STJ). Precisamente por isso ainda há tempo.

O projeto exige medidas compatíveis com a segurança esperada. O artigo 927-B condiciona a responsabilidade sem culpa à atividade que induza risco “especial e diferenciado” e manda considerar estatística, prova técnica e eventual classificação regulatória. Nada ali autoriza deduzir responsabilidade do simples êxito de um ataque.

O texto, porém, endurece ao admitir o fortuito apenas quando o fato gerador do dano não for conexo à atividade. É opção deliberada e discutível, como devem ser essas escolhas. O debate segue aberto no Senado. A Emenda 211 propõe afastar o dever de indenizar, mesmo em fortuito interno, quando comprovado que o agente adotou de boa-fé as medidas ao seu alcance para evitar e mitigar o dano. A Emenda 209 condiciona a responsabilidade dos prestadores digitais à demonstração de “falha ou omissão” quanto a medidas compatíveis e tecnicamente razoáveis.

O acórdão que serve de referência merece atenção. No REsp 2.121.904/SP, sob relatoria da ministra Nancy Andrighi, julgado em fevereiro de 2025 pela Terceira Turma do STJ, assentou-se por unanimidade que, em contrato de seguro de vida, o vazamento de dados sensíveis do segurado acarreta responsabilidade objetiva da seguradora e dano moral presumido. A preocupação é legítima: invasões cibernéticas criam perigos reais e informações de saúde merecem proteção rigorosa. A dificuldade está no percurso.

O acórdão transcreve o artigo 44 da Lei Geral de Proteção de Dados (LGPD), segundo o qual o tratamento é irregular quando não fornece a segurança que o titular pode esperar, considerados os riscos razoavelmente esperados e as técnicas disponíveis à época. Depois, porém, o artigo 44 desaparece da fundamentação, como também os artigos 43 e 46. O texto foi citado, mas não aplicado. O artigo 44 não é ornamento: enquanto o artigo 42 exige violação e o artigo 43 abre as excludentes, é ele que fixa o padrão pelo qual a irregularidade se mede. E esse padrão é contextual, não absoluto.

Randy Barnett, em The Structure of Liberty, identifica três problemas que nenhuma sociedade elimina: conhecimento, interesse e poder. O conhecimento relevante em segurança cibernética é técnico, disperso e mutável. Não se substitui pela clareza retrospectiva de quem já sabe como o ataque terminou. Foi contra essa tentação que o artigo 44 mandou considerar as técnicas disponíveis à época.

A conclusão sobre a falha do serviço também pede exame. A seguradora sustentou ter adotado protocolos de segurança, e o Tribunal de origem respondeu que a empresa não apresentou elementos capazes de esclarecê-los. A companhia, porém, havia requerido essa prova e teve o pedido indeferido. Indefere-se a prova e, depois, cobra-se da parte não a ter produzido. A inversão do ônus prevista no artigo 42 serve justamente para permitir que o fornecedor apresente relatórios forenses, protocolos e registros de acesso. Falha de segurança é matéria técnica e depende de perícia que identifique a vulnerabilidade explorada, os controles existentes à época e a solução disponível que não foi adotada.

Responsabilidade objetiva não é responsabilidade automática. O Código de Defesa do Consumidor incide na relação securitária, e o artigo 14 exige dano decorrente de defeito relacionado ao serviço. Dispensa-se a culpa, mas não o defeito, o dano e o nexo. Se o êxito da invasão “prova” o defeito, a natureza dos dados “prova” o dano e o nexo decorre dessas presunções, chega-se à responsabilidade por risco integral, reservada a hipóteses excepcionais.

A LGPD desenhou outra sequência. O artigo 42 impõe reparação a quem causar dano em violação à lei; o artigo 43 permite demonstrar que não houve violação ou que o dano decorreu de culpa exclusiva do titular ou de terceiro; e o artigo 44 exige que a ausência das medidas de segurança tenha dado causa ao dano. Seja qual for a natureza atribuída ao regime, esses pressupostos permanecem. O nexo, contudo, é o que menos tem sido examinado: não se identificou qual informação daquele segurado foi acessada, se chegou a terceiros e que consequência dela decorreu.

Outro problema está no conceito de dado pessoal sensível. O artigo 5º, II, da LGPD enumera as categorias abrangidas. No julgamento de 2025, porém, os dados sensíveis foram apresentados como informações capazes de gerar discriminação, “sobretudo” as previstas na lista legal. Uma enumeração fechada torna-se, assim, exemplificativa. Se a categoria se expande conforme o risco imaginado em cada processo, o controlador deixa de saber, antes do incidente, quais dados exigem salvaguardas reforçadas.

Não foi o que a própria Corte decidiu dois anos antes. No AREsp 2.130.619/SP, julgado em março de 2023 pela Segunda Turma, sob relatoria do ministro Francisco Falcão, afirmou-se que o artigo 5º, II, traz “rol taxativo” dos dados pessoais sensíveis. Rol taxativo em 2023, exemplificativo em 2025, sem que uma vírgula da lei houvesse mudado.

No caso mais recente, consideraram-se sensíveis informações fiscais, bancárias e de saúde. As duas primeiras não constam do artigo 5º. Quanto à saúde, o comunicado da seguradora informava apenas que as propostas atingidas poderiam conter informações dessa natureza. A possibilidade genérica acabou convertida em fato incontroverso relativo àquele segurado.

Há ainda confusão entre risco e dano. O acórdão afirma que o vazamento expõe o consumidor a riscos à honra, imagem, intimidade, patrimônio e segurança e, em seguida, conclui pela existência de dano moral presumido. A própria LGPD, no artigo 48, fala em “risco ou dano relevante”. Risco é possibilidade de lesão; dano é lesão produzida. Risco reclama comunicação e mitigação. Dano reclama reparação.

O capítulo dos incentivos é igualmente importante. O artigo 48 foi desenhado para que o controlador comunicasse depressa o incidente à autoridade e aos titulares. A jurisprudência inverte o sinal: quem comunica produz a principal prova das ações que virão, enquanto quem silencia raramente é demandado porque o incidente não se torna público. A lei manda comunicar; a jurisprudência ensina quanto custa comunicar. Quanto mais diligente a empresa, mais rápido o comunicado e maior a exposição.

Nada disso oferece imunidade. Vulnerabilidade conhecida e negligenciada, ausência de controles elementares ou descumprimento de padrões técnicos vigentes demonstram falha e contribuição causal. Nessas hipóteses, a reparação é devida. O que se pede é investigação.

O desfecho do REsp 2.121.904/SP resume o problema. A sentença condenou a seguradora a informar ao autor quais dados haviam sido violados e a pagar R$ 10 mil. O Tribunal de origem afastou a obrigação de informar e elevou a indenização para R$ 15 mil – o STJ manteve ambas. O segurado recebe o dinheiro e segue sem saber o que vazou.

A atribuição do Judiciário é dizer o que a lei é, não o que ela deveria ser. A responsabilidade objetiva por vazamento de dados me parece má política legislativa. Mas essa é uma opinião, e opiniões em democracia precisam ganhar votos.

Quem pensa o contrário que leve a proposta ao Senado. O que não se pode admitir é que a mudança já esteja valendo antes da votação, e em termos mais severos do que os do próprio projeto. Entre a indiferença diante de uma invasão e a responsabilidade integral existe o caminho que a LGPD escreveu. Ele continua ali, no texto, à espera de que os tribunais voltem a percorrê-lo.

*Leonardo Corrêa é é sócio de 3C LAW | Corrêa & Conforti Advogados, com LL.M pela University of Pennsylvania (EUA), cofundador e presidente da Lexum.