Ter dados pessoais compartilhados sem autorização já é, por si só, motivo suficiente para indenização por dano moral, sem que a vítima precise comprovar prejuízo concreto. Assim decidiu a Terceira Turma do STJ no REsp 2.201.694/SP, sob relatoria da ministra Nancy Andrighi, em julgamento concluído em agosto de 2025.
A controvérsia girava em torno dos limites que administradoras de bancos de dados de proteção ao crédito têm para compartilhar informações de consumidores com terceiros. O colegiado estabeleceu uma distinção relevante para a prática diária dessas empresas: o escore de crédito, por si só, pode ser divulgado sem exigência de consentimento específico, mas dados cadastrais mais sensíveis e o histórico detalhado de pagamentos do consumidor demandam autorização expressa do titular, ressalvadas hipóteses legais específicas de compartilhamento entre entidades do próprio setor de proteção ao crédito.
O fundamento adotado pelos ministros dialoga diretamente com a lógica da Lei Geral de Proteção de Dados: divulgar informações pessoais fora dos parâmetros legais gera, por si só, insegurança ao titular quanto ao destino e ao uso que terceiros farão de seus dados, e essa insegurança já configura violação a direitos de personalidade, independentemente de o consumidor sofrer dano patrimonial identificável. Trata-se, portanto, de dano moral in re ipsa, presumido a partir do próprio ato ilícito de divulgação indevida.
Para empresas que operam bancos de dados e escores de crédito, a decisão funciona como um mapa de risco: divulgar apenas o escore tende a ser considerado lícito sem consentimento prévio, mas expor dados cadastrais ou histórico de pagamentos sem autorização específica abre exposição a condenações por dano moral presumido, em volume potencialmente relevante diante da quantidade de consumidores cadastrados nesses sistemas.