Uso indevido de dado pessoal aparece de formas banais: a ligação de uma empresa com quem nunca se contratou nada, o cadastro criado por terceiro, a foto usada em publicidade sem autorização, a informação de saúde compartilhada com quem não deveria tê-la.
Quando o tratamento é irregular
O artigo 44 da Lei 13.709/2018 define que o tratamento de dados pessoais é irregular quando deixa de observar a legislação ou quando não fornece a segurança que o titular dele pode esperar, consideradas as circunstâncias relevantes, entre elas o modo pelo qual é realizado, o resultado e os riscos que razoavelmente se esperam.
Na prática, três situações concentram os casos: tratamento sem qualquer base legal do artigo 7º ou do artigo 11; tratamento que extrapola a finalidade informada ao titular, violando os princípios da finalidade e da adequação do artigo 6º; e compartilhamento com terceiros sem fundamento.
Situações frequentes
Cada uma delas tem providência específica, e nem sempre a judicial é a primeira.
- Ligações e mensagens de empresa com quem nunca se contratou: pedido de informação sobre a origem do dado e de eliminação, com base nos artigos 18 e 19.
- Cadastro ou contrato aberto por terceiro em nome da vítima: declaração de inexistência do vínculo, além do registro criminal por fraude.
- Uso de imagem ou de nome em publicidade sem autorização: reparação por violação de direito da personalidade, com base nos artigos 20 e 21 do Código Civil.
- Dados de saúde compartilhados sem autorização: dado sensível, com regime mais restrito no artigo 11.
- Exposição pública de dados em site ou rede social: pedido de remoção, com fundamento no Marco Civil da Internet.
Reparação
O artigo 42 estabelece que o controlador ou o operador que, em razão do exercício de atividade de tratamento, causar a outrem dano patrimonial, moral, individual ou coletivo, em violação à legislação de proteção de dados, é obrigado a repará-lo.
O § 2º do mesmo artigo permite ao juiz inverter o ônus da prova a favor do titular quando, a seu juízo, for verossímil a alegação, houver hipossuficiência para fins de produção de prova, ou quando a produção de prova pelo titular resultar excessivamente onerosa.
Quanto ao valor, aplicam-se os critérios gerais de fixação do dano moral. É importante registrar que a jurisprudência tem afastado a presunção de dano em vazamento de dados meramente cadastrais, exigindo demonstração de repercussão concreta, o que torna a documentação do prejuízo parte essencial do pedido.
Quando também é crime
Uso indevido de dados costuma ser o insumo de fraudes. O artigo 154-A do Código Penal pune a invasão de dispositivo informático; o artigo 171, § 2º-A, a fraude eletrônica; e o artigo 307, a falsa identidade.
A Lei 12.965/2014, o Marco Civil da Internet, permite requerer judicialmente a guarda e a disponibilização de registros de conexão e de acesso a aplicações, o que é frequentemente a única via para identificar o responsável.
Conduzir as duas frentes de forma articulada evita o problema comum de a medida cível pedir a remoção do conteúdo antes que a prova tenha sido preservada.
Perguntas frequentes
- Recebo ligações de empresa que nunca contratei. O que posso exigir?
- Informação sobre a origem do dado, sobre o uso compartilhado e a eliminação do registro, com base no artigo 18 da Lei 13.709/2018, dirigida ao encarregado do controlador.
- Usaram minha foto sem autorização. Cabe indenização?
- Os artigos 20 e 21 do Código Civil protegem a imagem e a vida privada, e a Súmula 403 do Superior Tribunal de Justiça dispensa a prova do prejuízo na utilização de imagem de pessoa com fins econômicos ou comerciais sem autorização.
- Vazamento de dados cadastrais dá direito a indenização?
- Não automaticamente. A jurisprudência tem exigido demonstração de dano concreto quando os dados são apenas cadastrais. Havendo dado sensível, fraude consumada ou exposição pública, a análise costuma ser distinta.
- Como descobrir quem usou meus dados?
- Pelo direito de informação sobre uso compartilhado, do artigo 18, e, quando o uso ocorreu em ambiente digital, pelo pedido judicial de guarda e fornecimento de registros previsto no Marco Civil da Internet.
Base legal
- Lei 13.709/2018, artigos 6º, 7º, 11, 18, 42, 43 e 44.
- Código Civil, artigos 20 e 21.
- Súmula 403 do Superior Tribunal de Justiça.
- Lei 12.965/2014, artigos 10 a 23.
- Código Penal, artigos 154-A, 171, § 2º-A, e 307.
Atendimento em Mogi das Cruzes e São Paulo
O Monacelli Fachinetti atende em proteção de dados e lgpd presencialmente em Mogi das Cruzes e em São Paulo, e atua em processos de todo o Brasil, inclusive nos tribunais superiores.
Redação e revisão jurídica
Vitor Monacelli Fachinetti Júnior, OAB/SP 93.574. Advocacia criminal e cível desde 1988.
Última revisão em 25 de agosto de 2026.
Este conteúdo tem caráter geral e informativo e não constitui consulta jurídica. A aplicação de cada regra depende dos fatos do caso concreto, e prazos e requisitos podem variar conforme a situação e a jurisprudência aplicável.
Precisa de orientação sobre um caso concreto?
Falar com o escritórioEste texto integra o conteúdo de Proteção de Dados e LGPD.