O problema não está apenas em entregar um dado. Está no que pode ocorrer quando essas informações começam a circular
Flávio Cheim Jorge – Advogado nas áreas do direito cível, empresarial e administrativo, é Mestre e Doutor pela PUC/SP, sendo ainda, Professor Titular na Ufes
Artigo publicado na coluna Flávio Cheim Jorge no Folha Vitória dia 15/08/26
“Qual é o seu CPF?” A pergunta tornou-se tão comum que quase nunca desperta outra, igualmente simples: por quê? CPF na farmácia. Telefone na loja. Data de nascimento em um cadastro. E-mail para acessar um serviço. Endereço para fazer uma compra.
Informações pessoais são fornecidas diariamente, muitas vezes sem que se saiba exatamente por que são necessárias ou o que acontecerá com elas depois.
O problema não está apenas em entregar um dado. Está no que pode ocorrer quando essas informações começam a circular. Isoladamente, podem parecer banais. Reunidas, entretanto, identificam uma pessoa com enorme precisão.
Acrescentem-se profissão, renda aproximada, hábitos de consumo, compras realizadas, locais frequentados ou serviços contratados e já se torna possível construir um perfil bastante detalhado.
As consequências dessa circulação já fazem parte da vida cotidiana e, muitas vezes, somente são percebidas quando surge um problema concreto.
Há pessoas que descobrem contas bancárias abertas em seu nome que jamais solicitaram, empréstimos que nunca contrataram ou serviços registrados com seus dados.
Em outras situações, informações pessoais são utilizadas para a emissão de boletos falsos, clonagem de cartões, invasão de contas digitais ou outras modalidades de fraude.
Há ainda um efeito menos evidente, mas igualmente preocupante. Quanto mais informações verdadeiras alguém possui sobre determinada pessoa (nome completo, CPF, telefone, endereço, data de nascimento, relações comerciais ou hábitos de consumo) maior é a possibilidade de construir uma abordagem aparentemente legítima. A informação verdadeira passa, assim, a servir de instrumento para conferir credibilidade à fraude.
O ponto relevante é que a circulação e a concentração de dados pessoais ampliam as consequências potenciais quando essas informações chegam a quem não deveria possuí-las.
É por isso que a proteção de dados não se resume à privacidade. Informação pessoal, quando indevidamente utilizada, pode produzir consequências patrimoniais e pessoais muito sérias.
A Lei Geral de Proteção de Dados procurou enfrentar esse problema. Entre seus princípios estão a finalidade e a necessidade: quem trata dados deve ter propósito legítimo e utilizar apenas as informações necessárias para alcançá-lo. Também existem deveres de transparência, segurança e prevenção.
A regra contém uma lógica que deveria estar mais presente no cotidiano: o fato de ser possível coletar uma informação não significa que seja necessário fazê-lo.
Por que uma determinada compra exige a data de nascimento? Por que fornecer o CPF? O telefone é indispensável àquele serviço? Para que será utilizado posteriormente?
Há ainda outro problema. Depois que o dado é fornecido, seu titular normalmente perde a capacidade de acompanhar seu percurso. A informação pode ser armazenada, compartilhada legitimamente em determinadas circunstâncias ou, ilicitamente, disponibilizada a terceiros. Pode também ser objeto de incidente de segurança ou vazamento.
Nesse ponto surge uma das questões jurídicas mais difíceis.
Se uma pessoa forneceu seu CPF, telefone e data de nascimento a dezenas de empresas e, algum tempo depois, essas informações aparecem sendo utilizadas indevidamente, como descobrir de onde vieram?
A pergunta é fundamental para a responsabilidade civil. Para responsabilizar alguém, não basta saber que o dado circulou. É preciso identificar a conduta juridicamente relevante e estabelecer sua relação com o dano. Mas o cidadão dificilmente possui meios técnicos para reconstruir o caminho percorrido por uma informação que entregou, ao longo dos anos, a inúmeros agentes.
E essa dificuldade não é apenas teórica. Os tribunais têm decidido sobre essa questão, e, na maioria das vezes, contra quem pede a reparação. Não porque considerem lícito o vazamento, mas porque não se conseguiu provar de onde o dado saiu.
Há entendimento de que a simples notoriedade de um grande vazamento não basta, tampouco a ocorrência de uma fraude em nome da vítima: é preciso demonstrar o vínculo entre a falha de um agente específico e o prejuízo sofrido.
A prova mais difícil, portanto, recai justamente sobre quem tem menos condições de produzi-la. E aqui o problema deixa de ser sobre indenização e passa a ser sobre algo anterior: sem reconstruir o caminho da informação, não há a quem responsabilizar.
O Superior Tribunal de Justiça ainda está construindo respostas para parte desse problema. Há decisões distintas sobre as consequências indenizatórias da disponibilização indevida de dados pessoais não sensíveis.
A controvérsia levou o Tribunal a instaurar o Tema Repetitivo 1.404, destinado a definir questões relativas à disponibilização ou comercialização dessas informações por gestores de bancos de dados e à existência de dano moral em caso de ilicitude.
O julgamento será importante, mas não eliminará uma dificuldade anterior: antes de discutir quem deve indenizar, muitas vezes será necessário descobrir quem permitiu que aquela informação chegasse onde não deveria.
A sociedade digital tornou inevitável o tratamento de dados pessoais. Não parece razoável imaginar uma vida sem cadastros, aplicativos, comércio eletrônico ou serviços digitais. Isso não significa, contudo, que fornecer informações deva tornar-se um ato irrefletido.
Dinheiro, cartões, documentos e senhas são naturalmente tratados como bens que merecem proteção. Os dados pessoais ainda não recebem o mesmo cuidado, embora possam abrir caminho para consequências igualmente relevantes.
Talvez seja hora, portanto, de adquirir um novo hábito. Diante da pergunta aparentemente inocente (qual é o seu CPF?) — antes de responder, fazer outra:
Por quê?
Colunista
Advogado nas áreas do direito cível, empresarial e administrativo, é Mestre e Doutor pela PUC/SP, sendo ainda, Professor Titular na Universidade Federal do Espírito Santo (Ufes). Já exerceu o cargo de Juiz Eleitoral Titular – classe dos Juristas – no Tribunal Regional Eleitoral do Espírito Santo (TRE-ES)