CJEU e STJ: ausência de danos morais presumidos em incidentes de segurança

Recentemente, o Tribunal de Justiça da União Europeia (Court of Justice of the European Union — CJEU) proferiu importante decisão acerca do direito de indenização por danos morais decorrente de violação ao Regulamento Geral sobre a Proteção de Dados no Case 300/21 (UI v. Österreichische Post). A decisão visa a definição da correta interpretação do artigo 82 [1] do GDPR, que trata do direito ao recebimento de indenização por violação ao regulamento, buscando esclarecer se o dano capaz de configurar o dever de indenizar seria, ou não, presumido.

A título de exemplo, o Superior Tribunal de Justiça já reconheceu a configuração do dano presumido nas hipóteses de 1) de inscrição indevida em cadastro de inadimplentes, 2) de contaminação de alimento com corpo estranho, independentemente da efetiva ingestão do alimento, já que o dano emanaria da mera aquisição do produto insalubre (REsp n° 1.899.304 [2]) e 3) de violência contra a mulher no âmbito doméstico e familiar, pois compreendeu que a própria atuação ilícita do agressor já carregaria os efeitos de menosprezo à dignidade da vítima sendo, em si, suficiente a comprovar o dano (Tema 983 [3]).

Em março de 2023, a 2ª Turma do STJ teve a oportunidade de enfrentar o tema da aplicabilidade do dano moral in re ipsa em demandas movidas com fundamento no vazamento de dados pessoais.  Na ocasião, o tribunal reformou acórdão proferido pelo TJ-SP (Tribunal de Justiça do Estado de São Paulo) que, em 2ª instância, adotara o dano moral in re ipsa em um caso de exposição de dados pessoais não sensíveis. No entendimento do tribunal superior, "incidentes de privacidade envolvendo dados pessoais não sensíveis não geram danos morais presumidos de forma automática".

O STJ posicionou-se pela inexistência de presunção de prejuízo de ordem moral apenas pela mera ocorrência de um incidente de privacidade e vinculou a modalidade do dano moral in re ipsa às hipóteses de disponibilização descuidada ou inescrupulosa de dados pessoais sensíveis, como aqueles relativos à origem racial ou étnica, à saúde, vida sexual, de caráter religioso, dentre outros dispostos expressamente no artigo 5°, II, da LGPD.

A turma entendeu que, apesar de indesejável, o incidente de segurança que resulta no vazamento de dados pessoais não classificados como sensíveis, por si só, não seria capaz de gerar dano moral indenizável. Além disso, esclareceu que o artigo 5º, II, da LGPD apresenta um rol taxativo daquilo que pode ser entendido como dados pessoais sensíveis, sendo certo que o vazamento de dados de natureza comum — como CPF e RG — e o simples conhecimento por terceiro, não violaria o direito de personalidade do titular dos dados.

O acórdão ainda aponta que o incômodo decorrente do recebimento de mensagens — a exemplo do e-mail marketing — não merece desprezo, mas o reparo deve ser dirigido aos causadores e não necessariamente à empresa em que teve origem o incidente de segurança. 

A decisão é oportuna e explora pontos importantes. Em primeiro lugar, destaca que os dados pessoais são costumeiramente fornecidos em estabelecimentos comerciais, portarias de acesso a imóveis, sites, dentre outros. Em razão disto, sua divulgação por meio de incidente não estaria apta a violar automaticamente a privacidade ou intimidade do indivíduo, sendo por isto necessária a demonstração da lesão a qualquer dos componentes da dignidade da pessoa humana.

Por outro lado, dá a entender que, ao contrário dos dados pessoais, os dados pessoais sensíveis teriam o poder de presumir o dano moral. Sobre esse ponto, o tribunal superior não foi tão feliz. Por serem passíveis de gerar discriminação, a LGPD atribui uma proteção extra aos dados pessoais sensíveis, o que não significa que, obrigatoriamente, o tratamento de tais dados trará resultados discriminatórios e sim que, por haver, comparativamente, uma possibilidade maior de que isso aconteça e, observado o impacto que tal violação poderia causar, a Lei estabelece que só poderão ser tratados em ocasiões específicas, definidas no artigo 11.

É evidente que a avaliação da gravidade de qualquer incidente envolvendo dados pessoais deve considerar a categoria dos dados envolvidos e as informações extraídas deles. Essa interpretação é inclusive compartilhada pela Autoridade Nacional de Proteção de Dados em relação à necessidade de comunicar incidentes de segurança aos titulares e à própria ANPD, além de ser considerada na aplicação de sanções administrativas, razão pela qual não deve ser negligenciada durante a análise dos danos morais.

Por outro lado, a categoria dos dados não deve ser o único critério observado no momento de definir a existência ou não de dano moral, ainda que seja um bom indicativo. É certo que devem ser também observados outros critérios como, por exemplo, o contexto do tratamento, não só para definição da existência de dano moral, mas também para arbitrar seu valor. Pode- se dizer então, que um incidente que envolva essa categoria de dados pessoais representa, naturalmente, um risco maior de dano aos titulares e deve ser passível de repressão, o que não significa que a exposição desses dados necessariamente causará tais danos.

Sobre o tema, na Europa, devido ao aumento significativo das demandas de indenização com base no artigo 82 da GDPR, havia grande expectativa em relação ao julgamento do UI v. Österreichische Post, que teve origem em uma demanda decidida pela Suprema Corte da Áustria, na qual a causa de pedir estava relacionada ao tratamento de dados de usuários do serviço postal para a categorização dos interesses políticos dos cidadãos sem consentimento.

Assim como o artigo 42 [4] da LGPD, o artigo 82 do GDPR não deixa claro se, para a configuração do dever de indenizar, basta a violação aos dispositivos da Lei ou se seriam necessários outros elementos. Ao analisar, a CJEU estabeleceu parâmetros para a aplicação do artigo 82. Ficou definido então que a mera violação da GDPR não seria suficiente para configurar danos morais. Para isso, seria necessário que o indivíduo demonstrasse a existência de três condições cumulativas: 1) a violação da GDPR, 2) a ocorrência de dano – material ou moral – decorrente da violação; e 3) o estabelecimento de um nexo de causalidade entre o dano e a violação.

A CJEU também concluiu que o artigo 82 da GDPR não exigiria nenhum grau de seriedade específico para os danos morais suportados, motivo pelo qual deveria ficar sob a responsabilidade dos tribunais domésticos dos Estados-Membros a apreciação, caso a caso, do cabimento de indenização por mero aborrecimento decorrente da perda do controle do titular sobre seus dados pessoais.

Tanto a decisão proferida pela CJEU, quanto aquela proferida pelo STJ, revelam um avanço para as discussões acerca do espectro de ilicitude do tratamento de dados pessoais e as suas consequências. Em ambas as decisões, com a definição de que não se aplicam danos morais in re ipsa na hipótese de vazamento de dados pessoais, revela-se um pequeno passo em direção à construção de um arcabouço jurisprudencial consistente, que garanta vinculação e segurança jurídica em um cenário macro e, por outro lado, desestimule o ajuizamento de demandas por titulares que buscam obter vantagem econômica sem qualquer demonstração de dano ou prejuízo efetivo decorrente de eventual violação.

Contudo, no tocante aos dados pessoais sensíveis, observamos que interpretação dada pelo tribunal superior brasileiro acerca da presunção de dano moral in re ipsa exige amadurecimento. É certo que a questão será enfrentada novamente e, quando isto acontecer, espera-se que a discussão leve em conta o impacto efetivamente causado à dignidade da pessoa humana e não a simples aplicação de fórmulas reducionistas, sob pena de prejuízos à adequada proteção dos direitos dos titulares de dados pessoais e de assistirmos o aumento da banalização dos processos judiciais infundados.