Art. 44 da Lei Geral de Proteção de Dados

Em linguagem simples

Define que o uso de dados é irregular quando desrespeita a lei ou não oferece a segurança que se espera diante das circunstâncias e técnicas disponíveis. Quem deixar de aplicar as medidas de segurança e der causa a prejuízos responderá pelos danos provocados.

Gerado por IA com conferência automática em fontes oficiais. Material de apoio: confira antes de usar e, para decidir sobre o seu caso, consulte um advogado.

Na jurisprudência

224 acórdãos citam o art. 44 da Lei Geral de Proteção de Dados na ementa, na nossa base de decisões dos tribunais do país. Os mais recentes:

• STJ, REsp 2176783, Rel. Min. NANCY ANDRIGHI, TERCEIRA TURMA, j. 20/05/2025

  DIREITO CIVIL. DIREITO DO CONSUMIDOR. RECURSO ESPECIAL. AÇÃO CAUTELAR PARA SUSPENSÃO DE BOLETO. ADITAMENTO. INDENIZAÇÃO POR DANOS MORAIS. FINANCIAMENTO DE VEÍCULO. QUITAÇÃO ANTECIPADA. FRAUDE. BOLETO. TRATAMENTO DE DADOS. SITE MIMETIZADO. BLOQUEIO PREVENTIVO. AUSÊNCIA DE RESPONSABILIDADE. 1. Ação de cobrança ajuizada em 23/11/2022, da qual foi extraído o presente recurso especial, interposto em 9/9/2024 e concluso ao gabinete em 23/10/2024. 2. O propósito recursal consiste em decidir sobre a responsabilidade de instituição financeira por (i) tratamento de dados; (ii) site mimetizado; e (iii) bloqueio preventivo de operações. 3. A responsabilidade da instituição financeira somente poderá ser afastada se comprovada a inexistência de defeito na prestação do serviço bancário ou a culpa exclusiva do consumidor ou de terceiros, naquilo que determina o art.14 §3º, II, do CDC. 4. O fato de terceiro somente exclui a responsabilidade do fornecedor de serviços se não guardar relação com a atividade desempenhada pela instituição financeira, situação em que se equipara ao fortuito externo. Se o fato de terceiro ocorrer dentro da órbita de atuação do fornecedor, ele se equipara ao fortuito interno, sendo absorvido pelo risco da atividade. 5. Diante do vazamento de dados sigilosos do consumidor, inequívoca é a responsabilidade do fornecedor pelo defeito no serviço prestado, nos termos dos arts. 44 e 45 da LGPD. 6. No golpe do site mimetizado, os fraudadores copiam o layout do site oficial de fornecedores variados (lojistas, instituições financeiras, telefonias, prestadores de serviços) e, utilizando a marca, passam-se por eles. Assim, o cliente que busca por seu fornecedor em provedor de pesquisa poderá ser enganado e entrar em uma página de internet falsa. 7. Diante do golpe do site mimetizado, a verificação da responsabilidade do fornecedor dependerá da existência de falha na prestação de seus serviços. 8. Essa Corte Superior já decidiu que bancos respondem por transações realizadas por meio de aplicativo de telefone celular, após a comunicação do roubo do aparelho. Precedente. 9. No recurso sob julgamento, (i) não se pode imputar a responsabilidade pela criação de site mimetizado ao banco, vez que se trata de fato de terceiro, que rompe o nexo de causalidade; (ii) não houve vazamento de dados bancários que possibilitassem a concretização da fraude; e (iii) a recorrente não comprovou ter entrado em contato com o banco para suspender a operação, antes de esta restar plenamente concretizada. 10. O recurso especial interposto pela consumidora não devolve a esta Corte Superior a responsabilidade pela abertura e administração da conta utilizada pelo fraudador, de modo que a responsabilização por tais condutas extrapola os pedidos recursais. 11. Recurso especial conhecido e desprovido.

  Publicação oficial

• STJ, REsp 2266886, Rel. Min. JOÃO OTÁVIO DE NORONHA, QUARTA TURMA, j. 24/08/2026

  DIREITO DO CONSUMIDOR. RECURSO ESPECIAL. INDENIZAÇÃO POR DANOS MATERIAIS E MORAIS DECORRENTES DE GOLPE DO FALSO FUNCIONÁRIO. CULPA EXCLUSIVA DA VÍTIMA E NECESSIDADE DE REEXAME DE PROVAS. SÚMULA N. 7 DO STJ. RECURSO ESPECIAL NÃO CONHECIDO. I. CASO EM EXAME 1. Recurso especial interposto contra acórdão em apelação cível que deu provimento ao recurso da ré e julgou improcedentes os pedidos. 2. A controvérsia versa sobre ação de indenização por danos material e moral decorrentes de golpe do falso funcionário, com pleito de ressarcimento de R$ 13.525,00 e compensação moral de R$ 5.000,00. 3. O Juízo de primeiro grau julgou procedente a ação, condenando ao pagamento dos danos materiais e morais, com correção e juros, e fixando honorários em 10% do valor da condenação. 4. A Corte de origem reformou integralmente a sentença, afastou o dano moral, reconheceu culpa exclusiva da autora, julgou improcedentes os pedidos e inverteu a sucumbência, observada a gratuidade. II. QUESTÃO EM DISCUSSÃO 5. Há seis questões em discussão: (i) saber se incide o art. 14 do CDC para reconhecer a responsabilidade objetiva por defeito do serviço; (ii) saber se há ato ilícito e responsabilidade objetiva em atividade de risco à luz dos arts. 186 e 927, parágrafo único, do CC; (iii) saber se o art. 42 da Lei n. 13.709/2018 impõe responsabilização por tratamento indevido de dados pessoais; (iv) saber se o art. 44 da Lei n. 13.709/2018 caracteriza infração e defeito do serviço pelo tratamento inadequado; (v) saber se o art. 46 da Lei n. 13.709/2018 exige medidas de segurança não observadas; e (vi) saber se há dissídio jurisprudencial com os paradigmas indicados e o Tema n. 466 do STJ. III. RAZÕES DE DECIDIR 6. Incide a Súmula n. 7 do STJ, pois o acolhimento das teses demanda reexame do quadro fático-probatório que fixou a culpa exclusiva da vítima e afastou a falha do serviço e o fortuito interno. 7. O dissídio jurisprudencial não foi demonstrado por ausência de cotejo analítico, nos termos dos arts. 1.029, § 1º, do CPC e 255, § 1º, do RISTJ, além de ficar prejudicado pela incidência dos mesmos óbices de conhecimento pela alínea a. IV. DISPOSITIVO E TESE 8. Recurso especial não conhecido. Tese de julgamento: "1. Incide a Súmula n. 7 do STJ para obstar o reexame do conjunto fático-probatório, mantida a conclusão de culpa exclusiva da vítima e afastada a falha do serviço. 2. O dissídio jurisprudencial não se conhece sem a demonstração adequada do cotejo analítico e fica prejudicado quando presentes os mesmos óbices de conhecimento pela alínea a". Dispositivos relevantes citados: CDC, art. 14, caput, §§ 1º e 3º, II; CC, arts. 186 e 927, parágrafo único; Lei n. 13.709/2018, arts. 42, 44 e 46; CPC, arts. 85, §§ 2º e 11, e 1.029, § 1º; RISTJ, art. 255, § 1º; CF, art. 105, III, a e c. Jurisprudência relevante citada: STJ, Súmula n. 7; STJ, AgInt no REsp n. 1.503.880/PE, relator Ministro Sérgio Kukina, Primeira Turma, julgado em 8/3/2018; STJ, AgInt no AREsp n. 1.904.140/SP, relator Ministro Luis Felipe Salomão, Quarta Turma, julgado em 21/2/2022; STJ, AgRg no AREsp n. 16879/SP, relator Ministro Humberto Martins, julgado em 27/4/2012; STJ, AgInt no AREsp n. 1.898.375/RS, relator Ministro Ricardo Villas Bôas Cueva, Terceira Turma, julgado em 30/6/2022; STJ, AgInt no AREsp n. 1.611.756/GO, relator Ministro Raul Araújo, Quarta Turma, julgado em 1/9/2022.

  Publicação oficial

• STJ, AgInt no REsp 2255977, Rel. Min. HUMBERTO MARTINS, TERCEIRA TURMA, j. 01/06/2026

  DIREITO CIVIL E DO CONSUMIDOR. AGRAVO INTERNO EM RECURSO ESPECIAL. AÇÃO INDENIZATÓRIA. TRANSAÇÕES BANCÁRIAS. GOLPE DA CENTRAL DE ATENDIMENTO. RESPONSABILIDADE CIVIL DA INSTITUIÇÃO FINANCEIRA. SÚMULA 7/STJ. I. CASO EM EXAME 1. O recurso. Agravo interno interposto pela parte agravante contra decisão monocrática proferida em recurso especial que buscava reformar acórdão de Tribunal de Justiça estadual em ação indenizatória relativa a transações bancárias realizadas em contexto de fraude denominada "golpe da central de atendimento". 2. Fato relevante. Na origem, em ação indenizatória por danos decorrentes de operações bancárias realizadas após contato de falso funcionário, o Tribunal estadual reformou sentença de procedência parcial para julgar improcedente a ação, ao concluir que houve inobservância do dever de cautela pelo consumidor, inexistência de falha na prestação do serviço bancário e rompimento do nexo causal, com fundamento no art. 14, § 3º, II, do Código de Defesa do Consumidor. 3. Fundamentos do agravo interno. No agravo interno, a parte agravante sustenta que não pretende o reexame de provas, mas apenas a revaloração jurídica de fatos que reputa incontroversos, afirmando que o acórdão reconheceria fraude por engenharia social, operações atípicas e movimentações incompatíveis com o perfil do correntista, o que evidenciaria defeito na prestação do serviço. Invoca a responsabilidade objetiva das instituições financeiras em fraudes bancárias, a incidência da Súmula 479/STJ, aponta suposta violação à Lei Geral de Proteção de Dados e requer o prequestionamento de dispositivos constitucionais. II. QUESTÃO EM DISCUSSÃO 4. A questão em discussão consiste em saber se, à luz do contexto fático delineado pelas instâncias ordinárias - que concluíram pela culpa exclusiva do consumidor e pela ausência de falha na prestação do serviço bancário -, é possível, em sede de recurso especial, reconhecer a responsabilidade civil da instituição financeira pelos prejuízos decorrentes da fraude bancária narrada nos autos, a título de mera revaloração jurídica dos fatos. 5. Outra questão em discussão consiste em saber se a invocação da jurisprudência relativa à responsabilidade objetiva das instituições financeiras por fraudes bancárias (inclusive Súmula 479/STJ), da Lei Geral de Proteção de Dados e de dispositivos constitucionais permite superar as premissas fáticas firmadas pelo Tribunal de origem, sem incidir na vedação de reexame do conjunto fático-probatório estabelecida pela Súmula 7/STJ. III. RAZÕES DE DECIDIR 6. O Tribunal de origem firmou, de modo expresso, a inexistência de falha na prestação do serviço e a configuração de culpa exclusiva do consumidor, ressaltando que o golpe não foi perpetrado pela instituição financeira, que não se comprovou que o contato telefônico tenha partido do banco, que as transferências foram realizadas para conta de titularidade do próprio consumidor em outra instituição bancária e que não houve prova de operações destoantes do perfil do correntista. 7. Modificar a conclusão das instâncias ordinárias quanto à culpa exclusiva da vítima, ao nexo causal e à ausência de falha na prestação do serviço bancário demandaria nova incursão no acervo fático-probatório, o que é vedado em recurso especial pela Súmula 7/STJ. 8. Não se cuida de mera revaloração jurídica de fatos incontroversos, pois a pretensão recursal busca afastar a própria moldura fática estabelecida pelo acórdão recorrido, o que ultrapassa os limites da qualificação jurídica dos fatos e configura reexame de provas. 9. A jurisprudência que reconhece a responsabilidade objetiva de instituições financeiras por fraudes eletrônicas, operações manifestamente atípicas ou falhas sistêmicas - inclusive a orientação consubstanciada na Súmula 479/STJ - somente é aplicável quando as instâncias ordinárias assentam, de forma inequívoca, premissas fáticas compatíveis com tal enquadramento, o que não ocorreu na hipótese, em que se afirmou a ausência de falha do serviço e a culpa exclusiva do consumidor. 10. A alegação de violação aos arts. 42, 43 e 44 da Lei Geral de Proteção de Dados, fundada em suposto vazamento de dados e fortuito interno, igualmente pressupõe a rediscussão de fatos, pois as instâncias ordinárias não reconheceram incidente de segurança imputável à instituição financeira, não sendo possível reexaminar tal premissa em recurso especial. 11. A apreciação de suposta afronta a dispositivos constitucionais refoge à competência do Superior Tribunal de Justiça, por ser matéria reservada ao Supremo Tribunal Federal na via do recurso extraordinário, não servindo o recurso especial como via para prequestionamento constitucional. 12. Inexistindo, no agravo interno, argumentos capazes de infirmar os fundamentos da decisão monocrática, impõe-se a manutenção integral da decisão agravada que negara seguimento ao recurso especial com base na incidência da Súmula 7/STJ. IV. DISPOSITIVO Agravo interno improvido.

  Publicação oficial

• STJ, REsp 2077278, Rel. Min. NANCY ANDRIGHI, TERCEIRA TURMA, j. 03/10/2023

  CONSUMIDOR. RECURSO ESPECIAL. AÇÃO DECLARATÓRIA DE INEXIGIBILIDADE DE DÉBITO POR VAZAMENTO DE DADOS BANCÁRIOS CUMULADA COM INDENIZAÇÃO POR DANOS MORAIS E REPETIÇÃO DE INDÉBITO. GOLPE DO BOLETO. TRATAMENTO DE DADOS PESSOAIS SIGILOSOS DE MANEIRA INADEQUADA. FACILITAÇÃO DA ATIVIDADE CRIMINOSA. FATO DO SERVIÇO. DEVER DE INDENIZAR PELOS PREJUÍZOS. SÚMULA 479/STJ. RECURSO ESPECIAL PROVIDO. 1. Ação declaratória de inexigibilidade de débito por vazamento de dados bancários cumulada com indenização por danos morais e repetição de indébito, ajuizada em 13/2/2020, da qual foi extraído o presente recurso especial, interposto em 15/2/2022 e concluso ao gabinete em 19/6/2023. 2. O propósito recursal consiste em decidir se a instituição financeira responde por falha na prestação de serviços bancários, consistente no vazamento de dados que facilitou a aplicação de golpe em desfavor do consumidor. 3. Se comprovada a hipótese de vazamento de dados da instituição financeira, será dela, em regra, a responsabilidade pela reparação integral de eventuais danos. Do contrário, inexistindo elementos objetivos que comprovem esse nexo causal, não há que se falar em responsabilidade das instituições financeiras pelo vazamento de dados utilizados por estelionatários para a aplicação de golpes de engenharia social (REsp 2.015.732/SP, julgado em 20/6/2023, DJe de 26/6/2023). 4. Para sustentar o nexo causal entre a atuação dos estelionatários e o vazamento de dados pessoais pelo responsável por seu tratamento, é imprescindível perquirir, com exatidão, quais dados estavam em poder dos criminosos, a fim de examinar a origem de eventual vazamento e, consequentemente, a responsabilidade dos agentes respectivos. Os nexos de causalidade e imputação, portanto, dependem da hipótese concretamente analisada. 5. Os dados sobre operações bancárias são, em regra, de tratamento exclusivo pelas instituições financeiras. No ponto, a Lei Complementar 105/2001 estabelece que as instituições financeiras conservarão sigilo em suas operações ativas e passivas e serviços prestados (art. 1º), constituindo dever jurídico dessas entidades não revelar informações que venham a obter em razão de sua atividade profissional, salvo em situações excepcionais. Desse modo, seu armazenamento de maneira inadequada, a possibilitar que terceiros tenham conhecimento de informações sigilosas e causem prejuízos ao consumidor, configura defeito na prestação do serviço (art. 14 do CDC e art. 44 da LGPD). 6. No particular, não há como se afastar a responsabilidade da instituição financeira pela reparação dos danos decorrentes do famigerado "golpe do boleto", uma vez que os criminosos têm conhecimento de informações e dados sigilosos a respeito das atividades bancárias do consumidor. Isto é, os estelionatários sabem que o consumidor é cliente da instituição e que encaminhou e-mail à entidade com a finalidade de quitar sua dívida, bem como possuem dados relativos ao próprio financiamento obtido (quantidade de parcelas em aberto e saldo devedor do financiamento). 7. O tratamento indevido de dados pessoais bancários configura defeito na prestação de serviço, notadamente quando tais informações são utilizadas por estelionatário para facilitar a aplicação de golpe em desfavor do consumidor. 8. Entendimento em conformidade com Tema Repetitivo 466/STJ e Súmula 479/STJ: "As instituições financeiras respondem objetivamente pelos danos gerados por fortuito interno relativo a fraudes e delitos praticados por terceiros no âmbito de operações bancárias". 9. Recurso especial conhecido e provido para reformar o acórdão recorrido e reestabelecer a sentença proferida pelo Juízo de primeiro grau.

  Publicação oficial

• TJPR, Recurso Inominado Cível 0033120-49.2025.8.16.0030, Rel. Alvaro Rodrigues Junior, 2ª Turma Recursal, j. 06/10/2026, DJEN 16/10/2026

  DIREITO DO CONSUMIDOR E RESPONSABILIDADE CIVIL. RECURSO INOMINADO. AÇÃO DE INDENIZAÇÃO POR DANOS MATERIAIS E MORAIS. FRAUDE EM BOLETO DE FINANCIAMENTO. FORTUITO INTERNO. DEVER DE SEGURANÇA. VAZAMENTO DE DADOS. AUSÊNCIA DE COMPROVAÇÃO DO NEXO CAUSAL ENTRE A CONDUTA DAS INSTITUIÇÕES FINANCEIRAS E A FRAUDE. PAGAMENTO A TERCEIRO ESTRANHO À RELAÇÃO CONTRATUAL. CULPA EXCLUSIVA NÃO CONFIGURADA, MAS AUSÊNCIA DE FALHA NA PRESTAÇÃO DOS SERVIÇOS. SENTENÇA DE IMPROCEDÊNCIA MANTIDA. RECURSO DESPROVIDO.I. CASO EM EXAME1. Recurso inominado interposto contra sentença que julgou improcedentes, com fundamento no art. 487, I, do CPC, os pedidos de indenização por danos materiais e morais decorrentes do pagamento de boleto fraudulento referente a parcela de financiamento de veículo contratado com a ré Stellantis Financiamentos S.C. O recorrente sustenta a ocorrência de fortuito interno, falha no dever de segurança, vazamento de dados, indução a erro, responsabilidade solidária das rés e existência de danos indenizáveis. No caso, o autor recebeu boleto para pagamento da parcela, quitou R$ 1.494,00 e posteriormente constatou que o documento havia sido emitido pela ré PicPay Instituição de Pagamento S.A., indicando como beneficiário titular de conta mantida na própria instituição, permanecendo em aberto a parcela do financiamento. II. QUESTÃO EM DISCUSSÃO2. Há duas questões em discussão: (i) definir se a fraude mediante boleto, diante das circunstâncias concretas, decorre de falha no dever de segurança das instituições financeiras ou de vazamento de dados a elas imputável, caracterizando fortuito interno e ensejando responsabilidade pelos danos; e (ii) estabelecer se o pagamento realizado pelo autor a terceiro estranho à relação contratual, sem comprovação da utilização de canal oficial das rés e sem demonstração do nexo causal entre a conduta das instituições e a fraude, afasta a responsabilidade civil das fornecedoras. III. RAZÕES DE DECIDIR3. As instituições financeiras respondem objetivamente pelos danos decorrentes de fortuito interno relativo a fraudes e delitos praticados por terceiros no âmbito de operações bancárias, conforme a Súmula n. 479 do STJ. 4. O dever de segurança previsto no art. 8º do CDC exige que os serviços oferecidos pelas instituições financeiras apresentem riscos razoáveis e previsíveis, sem falhas capazes de potencializar a exposição dos consumidores a danos. 5. A excludente de responsabilidade aplicável aos crimes praticados contra correntistas em via pública não incide quando a fraude decorre de riscos excessivos ou potencializados por problemas inerentes à atividade econômica da instituição financeira, especialmente diante de operações atípicas que evidenciem vulnerabilidade do sistema bancário. 6. As instituições financeiras também respondem por falhas na guarda e no tratamento de dados pessoais quando comprovado o nexo causal entre o vazamento de informações sob sua responsabilidade e os danos suportados pelo consumidor, observados o art. 14 do CDC e o art. 44 da LGPD. 7. A caracterização da responsabilidade por vazamento de dados exige a identificação dos dados que estavam em poder dos fraudadores e a demonstração de sua origem, pois os nexos de causalidade e de imputação dependem das circunstâncias concretas do caso. 8. As instituições financeiras devem verificar a regularidade e a idoneidade das transações realizadas e desenvolver mecanismos destinados a dificultar fraudes, mas a responsabilização não se configura quando inexistem elementos objetivos que demonstrem falha nos mecanismos de segurança ou nexo causal entre a atividade da instituição e o golpe. 9. No caso concreto, o autor não comprovou ter recebido o boleto por canal oficial das rés, nem demonstrou que a fraude decorreu de vazamento de dados imputável às instituições financeiras, sendo insuficiente, para esse fim, a presença de seu nome e CPF no boleto, pois tais informações poderiam ter sido obtidas por outras fontes. 10. O autor também não adotou diligências mínimas esperadas para a realização do pagamento, especialmente porque efetuou o pagamento a beneficiário diverso da instituição financeira credora, circunstância que poderia ter sido verificada no momento da operação. 11. A eventual negligência do consumidor somente afasta a responsabilidade da instituição financeira quando configurada culpa exclusiva do consumidor, mas, no caso concreto, a improcedência decorre da ausência de comprovação de falha na prestação dos serviços e de nexo causal entre a atuação das rés e a fraude. 12. Ausente prova de falha das instituições financeiras no dever de segurança ou na proteção dos dados bancários, não se configura responsabilidade civil pelos danos alegados, impondo-se a manutenção da sentença de improcedência. IV. DISPOSITIVO E TESE13. Recurso desprovido. Tese de julgamento: 1. A responsabilidade objetiva das instituições financeiras por fraudes praticadas por terceiros pressupõe a ocorrência de fortuito interno, caracterizado por falha relacionada à atividade bancária. 2. A responsabilização por vazamento de dados exige elementos objetivos que demonstrem a origem das informações utilizadas pelos fraudadores e o nexo causal entre o vazamento imputável à instituição financeira e o dano. 3. A simples presença de dados pessoais do consumidor em boleto fraudulento não comprova, por si só, que essas informações tenham sido obtidas mediante vazamento promovido pela instituição financeira. 4. A ausência de comprovação de falha no dever de segurança e de nexo causal entre a conduta das instituições financeiras e a fraude afasta a responsabilidade civil pelos danos decorrentes do pagamento de boleto fraudulento. 5. O pagamento de boleto em favor de terceiro estranho à relação contratual, sem a adoção de diligências mínimas pelo consumidor, constitui circunstância relevante para a análise da responsabilidade quando inexistente prova de falha na prestação dos serviços.Dispositivos relevantes citados: CPC, arts. 98, § 3º, 373, I, e 487, I; CDC, arts. 8º, 14 e 14, § 3º, III; LGPD, art. 44; Lei Complementar 105/2001, art. 1º; Lei Estadual 18.413/14, arts. 2º, II, e 4º; Instrução Normativa – CSJEs, art. 18.Jurisprudência relevante citada: STJ, Súmula n. 479; STJ, REsp n. 1.451.312/PR, Rel. Min. Nancy Andrighi, DJe de 18.12.2017; STJ, REsp n. 1.995.458/SP, Rel. Min. Nancy Andrighi, Terceira Turma, j. 09.08.2022, DJe de 18.08.2022; STJ, REsp n. 2.015.732/SP, j. 20.06.2023, DJe de 26.06.2023; STJ, REsp n. 2.077.278/SP, Rel. Min. Nancy Andrighi, Terceira Turma, j. 03.10.2023, DJe de 09.10.2023; STJ, AgInt no REsp n. 2.056.005/SE, Rel. Min. Humberto Martins, Terceira Turma, j. 18.03.2024, DJe de 20.03.2024

  Publicação oficial