DECISÃO<br>Trata-se de recurso especial interposto por ANA PAULA DA SILVA, fundamentado no artigo 105, inciso III, alíneas "a" e "c", da Constituição Federal, contra acórdão proferido pelo eg. Tribunal de Justiça do Estado de São Paulo, assim ementado (e-STJ, fls. 187-188):<br>"Voto nº 44.552 EMENTA: DIREITO CIVIL E CONSUMIDOR. PRESTAÇÃO DE SERVIÇOS. AÇÃO DE CONDENAÇÃO À OBRIGAÇÃO DE FAZER CUMULADA COM INDENIZAÇÃO POR DANO MORAL. DISPONIBILIZAÇÃO DE DADOS PESSOAIS POR SISTEMA DE PROTEÇÃO AO CRÉDITO. DESCABIMENTO. RECURSO DESPROVIDO. I. CASO EM EXAME 1. Ação de condenação à obrigação de fazer cumulada com ação de indenização por dano moral na qual a autora alega que seus dados pessoais foram divulgados sem seu consentimento, resultando em violação de sua privacidade e requerendo indenização. Sentença de improcedência. Apelação interposta pela autora buscando a reforma da sentença, defendendo que houve violação à Lei Geral de Proteção de Dados (LGPD) e ao Código de Defesa do Consumidor (CDC), além de alegar que o precedente aplicável ao caso seria o REsp nº 1.758.799/MG, do Colendo Superior Tribunal de Justiça (STJ). II. QUESTÃO EM DISCUSSÃO 2. Há duas questões em discussão: (i) definir se a ré divulgou dados pessoais da parte autora de forma indevida, violando a LGPD e o CDC; (ii) estabelecer se houve dano moral indenizável decorrente da suposta divulgação indevida de dados pela ré. III. RAZÕES DE DECIDIR 3. O tratamento de dados pessoais realizado pela ré é lícito, conforme disposto no art. 7º, X, da Lei nº 13.709/2018 (LGPD), uma vez que se enquadra na proteção ao crédito, o que dispensa o consentimento prévio do titular dos dados. 4. Os dados disponibilizados pela ré são obtidos de registros públicos e utilizados em sistema de proteção ao crédito, conforme autorizado pela Lei nº 12.414/2011, sendo lícita a atividade desenvolvida. 5. O sistema de avaliação de crédito (credit scoring) utilizado pela ré foi considerado compatível com o ordenamento jurídico brasileiro pelo STJ, conforme o Tema 710 (julgamento pelo rito de recursos repetitivos) e a Súmula 550, não havendo necessidade de consentimento do consumidor para a disponibilização desses dados. 6. Não há prova de que a ré tenha comercializado ou divulgado indevidamente dados sensíveis da autora, nem de que tenha havido violação ao CDC ou à LGPD que justifique indenização por dano moral."<br>Não foram opostos embargos de declaração.<br>Em seu recurso especial, o recorrente alega violação dos seguintes dispositivos da legislação federal, com as respectivas teses:<br>(i) artigos 7, incisos I e X, 8 e §§, e 9 da Lei 13.709/2018 (LGPD), pois teria havido tratamento e compartilhamento/comercialização de dados pessoais sem consentimento e sem comunicação prévia, em hipótese que não se enquadraria na base legal de "proteção ao crédito", violando deveres de informação e de transparência.<br>(ii) artigo 43, §§ 1 e 2 do Código de Defesa do Consumidor (Lei 8.078/1990), pois teria sido aberta/ mantida base de dados de consumo sem comunicação escrita ao consumidor e com possível inclusão de informações excessivas, imprecisas ou prescritas, o que ensejaria dano moral in re ipsa.<br>(iii) artigos 3, §§ 1 e 3, inciso I, 4 e 5, inciso VII, da Lei 12.414/2011 (Lei do cadastro positivo), pois o uso de plataformas para consulta e venda de dados pessoais teria extrapolado o fim de avaliação estatística de crédito, exigindo consentimento e comunicação, bem como vedando informações sensíveis ou excessivas.<br>(iv) artigo 21 do Código Civil (Lei 10.406/2002), pois a divulgação/ comercialização de dados pessoais identificadores (como CPF, nome, endereços e telefones) sem autorização expressa teria violado direitos da personalidade, justificando tutela inibitória e reparação moral.<br>(v) artigo 3 da Lei 9.472/1997 (Lei Geral de Telecomunicações), pois a divulgação de números telefônicos associados ao consumidor, sem anuência, teria afrontado o direito do usuário à não divulgação do seu código de acesso e à preservação da privacidade.<br>Foram ofertadas contrarrazões (e-STJ, fls. 262-276).<br>É o relatório. Decido.<br>O cerne da controvérsia consiste em definir se a ré teria divulgado/comercializado dados pessoais da autora sem consentimento, em violação à Lei Geral de Proteção de Dados e ao Código de Defesa do Consumidor, e se dessa conduta adviria dano moral indenizável.<br>Delineada a controvérsia, observa-se que o Tribunal de origem excluiu a responsabilização da empresa recorrida pela disponibilização dos dados cadastrais da parte recorrente, consignando, para tanto, que os dados pessoais não sensíveis não necessitam de autorização para serem compartilhados, in verbis (e-STJ, fls. 190-194):<br>Em sua petição inicial, afirma que tomou conhecimento de que seus dados pessoais constam de cadastro da requerida e são divulgados pela ré de modo ilegal. Requer a condenação da ré para retirar de seus cadastros informações acerca dos dados do autor, além do pagamento de indenização por dano moral.<br>Os dados disponibilizados na plataforma digital mantida pela ré são obtidos de registros públicos, sem necessidade de prévio consentimento, além do que são consultados por pessoas jurídicas mediante pagamento pelo serviço prestado pela ré no âmbito do sistema de proteção ao crédito.<br>Não se olvide que, nos termos do art. 5º, II, da Lei nº 13.709/2018 (Lei geral de Proteção de Dados Pessoais - LGPD), é considerado dado pessoal sensível aquele relacionado à "origem racial ou étnica, convicção religiosa, opinião política, filiação a sindicato ou a organização de caráter religioso, filosófico ou político, dado referente à saúde ou à vida sexual, dado genético ou biométrico, quando vinculado a uma pessoa natural".<br>O art. 7º, X, da referida lei, estabelece que: "o tratamento de dados pessoais somente poderá ser realizado nas seguintes hipóteses: para a proteção do crédito, inclusive quanto ao disposto na legislação pertinente".<br>Verifica-se, portanto, que tratamento dos dados pessoais do consumidor é permitido, na hipótese de proteção ao crédito, exatamente a atividade desenvolvida pela ré. Frise-se que o serviço de proteção ao crédito difere das hipóteses previstas no inciso I do mencionado dispositivo legal, que, em outros casos, exige especificamente o consentimento do titular para a divulgação de dados.<br>Destarte, a base de dados da ré possui informações pessoais públicas, obtidas por meios lícitos, dentro de sua área de atuação de proteção ao crédito que, repita-se, não exige o consentimento do consumidor para a divulgação.<br>O serviço prestado pela ré não é de um simples banco de dados, mas sim sistema estatístico de avaliação de risco em relação à concessão de crédito aos consumidores, autorizado pela Lei nº 12.414/2011.<br>Verifica-se, portanto, que tratamento dos dados pessoais do consumidor é permitido, na hipótese de proteção ao crédito, exatamente a atividade desenvolvida pela ré.<br>Frise-se que o serviço de proteção ao crédito difere das hipóteses previstas no inciso I do mencionado dispositivo legal, que, em outros casos, exige especificamente o consentimento do titular para a divulgação de dados.<br>Destarte, a base de dados da ré possui informações pessoais públicas, obtidas por meios lícitos, dentro de sua área de atuação de proteção ao crédito que, repita-se, não exige o consentimento do consumidor para a divulgação.<br>O serviço prestado pela ré não é de um simples banco de dados, mas sim sistema estatístico de avaliação de risco em relação à concessão de crédito aos consumidores, autorizado pela Lei nº 12.414/2011.<br>(..)<br>Assim, não há qualquer irregularidade na conduta da ré. Ressalte-se, ainda, que não há qualquer prova sobre comercialização ou divulgação indevida de dados sensíveis da parte autora.<br>Consumidor ou à Lei Geral de Proteção de Dados. Não há falar, portanto, em indenização por dano moral, já que a ré que agiu em exercício regular de direito<br>Com efeito, a informação sensível vedada pela lei para disponibilização sem prévio consentimento é aquela relacionada à origem social e étnica, à constituição biogenética, orientação sexual, convicções políticas, religiosas e filosóficas, as quais, evidentemente, podem ser utilizadas por empresas e indivíduos de má-fé para promover atos ilícitos e criminosos contra a pessoa.<br>De outra parte, Informações relacionadas ao crédito, como o número de CPF, renda, endereços e números telefônicos, disponibilizados por instituições integrantes do sistema de proteção ao crédito, e obtidas por consulta a registros públicos ou disponibilizadas pela pessoa em cadastros por ela própria preenchidos (como ocorre nas relações cotidianas de compra e venda a crédito), não são consideradas confidenciais ou sensíveis, podendo ser disponibilizadas para consultas, mediante pagamento, a empresas que estejam contratando com o consumidor.<br>(..)<br>Mais: julgados sobre a referida matéria deram origem à Súmula nº 550 do Superior Tribunal de Justiça: "A utilização de escore de crédito, método estatístico de avaliação de risco que não constitui banco de dados, dispensa o consentimento do consumidor, que terá o direito de solicitar esclarecimentos sobre as informações pessoais valoradas e as fontes dos dados considerados no respectivo cálculo".<br>Por fim, as plataformas digitais mencionadas pelo autor ("Acerta essencial", "Acerta Intermediário", Acerta Completo" e "Dataplus), disponibilizadas pela Boa Vista Serviços SCPC), ora apelada, tem por finalidade fornecer dados para a avaliação de risco de concessão de crédito ao consumidor, inserindo-se no sistema "credit scoring", acessado por pessoas jurídicas interessadas em conceder crédito mediante pagamento pelos serviços prestados pelo órgão privado de proteção ao crédito.<br>Inexiste, pois, qualquer ilegalidade ou ilicitude na conduta da ré que enseje ao consumidor danos, até porque o controle de disponibilização dos dados de formação do credit scoring é feito a posteriori, mediante solicitação do consumidor, que deve demonstrar eventual abusividade cometida pela entidade privada de proteção ao crédito. (Sem grifo no original).<br>Sobre o tema, é importante destacar que, conforme dispõe a Lei Geral de Proteção de Dados, o responsável pelo banco de dados está autorizado a abrir o cadastro de informações de adimplemento sem a necessidade de consentimento prévio do titular. Todavia, o repasse dessas informações, tanto cadastrais quanto de adimplemento, deve se restringir exclusivamente a outros bancos de dados, nos termos do art. 4º, III, da referida Lei nº 12.414/2011, com redação dada pela LC nº 166/2019.<br>Caso um terceiro, não autorizado, deseje acessar as informações cadastrais de um consumidor cadastrado, mesmo que se trate de dados pessoais não sensíveis, é imprescindível que obtenha o consentimento prévio e expresso do titular.<br>Assim, é de rigor a reforma do acórdão no ponto objeto do recurso, uma vez que, no caso dos autos, inexiste aval para o compartilhamento dos dados, ainda que não sensíveis, "em observância o inciso III do art. 4º da Lei nº 12.414/2011, as informações cadastrais e de adimplemento armazenadas somente podem ser compartilhadas com outros bancos de dados, que são geridos por instituições devidamente autorizadas para tanto na forma da lei e regulamento." (REsp 2.133.261/SP, relatora Ministra NANCY ANDRIGHI, Terceira Turma, julgado em 8/10/2024, DJe de 10/10/2024.)<br>Ainda, no voto condutor do REsp 2.133.261/SP acima citado, a Relatora, eminente Ministra NANCY ANDRIGHI, adiciona importantes fundamentos a respeito da diferenciação entre a autorização para o compartilhamento da pontuação de crédito (score) e dos dados cadastrais:<br>"36. Nesse sentido, dispõe o art. 4º, IV, que o gestor de banco de dados pode "IV - disponibilizar a consulentes: a) a nota ou pontuação de crédito elaborada com base nas informações de adimplemento armazenadas; e b) o histórico de crédito, mediante prévia autorização específica do cadastrado", com redação dada pela LC nº 166/2019.<br>37. Nota-se que a hipótese da alínea "a" trata do score de crédito (pontuação de crédito) e dispensa o consentimento prévio do cadastrado, em conformidade com a Súmula 550/STJ e o Tema 710/STJ, embora anteriores à LC nº 166/2019.<br>38. A única outra informação que pode ser disponibilizada aos consulentes, além do score de crédito, é o histórico de crédito (alínea b) e, para tanto, a Lei exige a prévia autorização específica do cadastrado.<br>39. O histórico de crédito é definido pela Lei nº 12.414/2011 como o "conjunto de dados financeiros e de pagamentos, relativos às operações de crédito e obrigações de pagamento adimplidas ou em andamento por pessoa natural ou jurídica". Não abrange, portanto, informações cadastrais (dados pessoais não sensíveis) - hipótese do inciso III do art. 4º, cujo compartilhamento é autorizado apenas para outros bancos de dados."  g.n <br>Nessa linha de intelecção:<br>"CIVIL, CONSUMIDOR E PROCESSUAL CIVIL. RECURSO ESPECIAL. AÇÃO DE OBRIGAÇÃO DE FAZER C/C INDENIZAÇÃO POR DANOS MORAIS. TEMA 710 E SÚMULA 550 DO STJ. DISTINÇÃO. BANCO DE DADOS. DISPONIBILIZAÇÃO DOS DADOS DO CADASTRADO. HIPÓTESES PREVISTAS NA LEI Nº 12.414/2011. TERCEIROS CONSULENTES. RESTRIÇÃO LEGAL. DISPONIBILIZAÇÃO INDEVIDA. DANO MORAL PRESUMIDO. RESPONSABILIDADE OBJETIVA DO GESTOR DE BANCO DE DADOS. CONFIGURAÇÃO.<br>1. Ação de obrigação de fazer cumulada com compensação de danos morais.<br>2. No particular, não se aplicam o Tema 710/STJ e a Súmula 550/STJ, que tratam especificamente do credit scoring, ficando expressamente consignado que essa prática "não constitui banco de dados", sendo este regulamentado pela Lei nº 12.414/2011.<br>3. O gestor de banco de dados regido pela Lei nº 12.414/2011 somente pode disponibilizar a terceiros consulentes o score de crédito, desnecessário o consentimento prévio; e o histórico de crédito, mediante prévia autorização específica do cadastrado (art. 4º, IV).<br>Por outro lado, as informações cadastrais e de adimplemento armazenadas somente podem ser compartilhadas com outros bancos de dados (art. 4º, III). Precedentes.<br>4. O gestor de banco de dados que disponibiliza para terceiros consulentes o acesso aos dados do cadastrado que somente poderiam ser compartilhados entre bancos de dados (como as informações cadastrais e de adimplemento) deve responder objetivamente pelos danos morais causados ao cadastrado, que são presumidos, diante da forte sensação de insegurança por ele experimentada. Precedentes.<br>5. Recurso especial conhecido e provido."<br>(REsp n. 2.207.172/SP, relatora Ministra NANCY ANDRIGHI, Terceira Turma, julgado em 5/8/2025, DJEN de 15/8/2025, g.n.)<br>"CIVIL, CONSUMIDOR E PROCESSUAL CIVIL. RECURSO ESPECIAL. AÇÃO DE OBRIGAÇÃO DE FAZER C/C INDENIZAÇÃO POR DANOS MORAIS. TEMA 710 E SÚMULA 550 DO STJ. DISTINÇÃO. BANCO DE DADOS. DISPONIBILIZAÇÃO DOS DADOS DO CADASTRADO. HIPÓTESES PREVISTAS NA LEI Nº 12.414/2011. TERCEIROS CONSULENTES. RESTRIÇÃO LEGAL. DISPONIBILIZAÇÃO INDEVIDA. DANO MORAL PRESUMIDO. RESPONSABILIDADE OBJETIVA DO GESTOR DE BANCO DE DADOS. CONFIGURAÇÃO.<br>1. Ação de obrigação de fazer c/c compensação de danos morais.<br>2. No particular, não se aplicam o Tema 710/STJ e a Súmula 550/STJ, que tratam especificamente do credit scoring, ficando expressamente consignado que essa prática "não constitui banco de dados", sendo este regulamentado pela Lei nº 12.414/2011.<br>3. O gestor de banco de dados regido pela Lei nº 12.414/2011 somente pode disponibilizar a terceiros consulentes o score de crédito, desnecessário o consentimento prévio; e o histórico de crédito, mediante prévia autorização específica do cadastrado (art. 4º, IV).<br>Por outro lado, as informações cadastrais e de adimplemento armazenadas somente podem ser compartilhadas com outros bancos de dados (art. 4º, III). Precedentes.<br>4. O gestor de banco de dados que disponibiliza para terceiros consulentes o acesso aos dados do cadastrado que somente poderiam ser compartilhados entre bancos de dados (como as informações cadastrais e de adimplemento) deve responder objetivamente pelos danos morais causados ao cadastrado, que são presumidos, diante da forte sensação de insegurança por ele experimentada. Precedentes.<br>5. Recurso especial conhecido e provido."<br>(REsp n. 2.201.694/SP, relator Ministro RICARDO VILLAS BÔAS CUEVA, relatora para acórdão Ministra NANCY ANDRIGHI, Terceira Turma, julgado em 5/8/2025, DJEN de 15/8/2025, g.n.)<br>Assim, a disponibilização indevida (em ofensa aos limites legais) de dados pessoais pelos bancos de dados para terceiros, caracteriza dano moral presumido. Nesse sentido:<br>"RECURSO ESPECIAL. CONSUMIDOR. AÇÃO DE OBRIGAÇÃO DE FAZER C/C INDENIZAÇÃO POR DANOS MORAIS. CADASTRO DE CRÉDITO. TEMA Nº 710/STJ E SÚMULA Nº 550/STJ. CREDIT SCORING. DISTINÇÃO. DADOS PESSOAIS. COMERCIALIZAÇÃO. TERCEIROS CONSULENTES. DISPONIBILIZAÇÃO. DEVERES LEGAIS DE TRATAMENTO DE DADOS. INOBSERVÂNCIA. DANO MORAL PRESUMIDO. RESPONSABILIDADE OBJETIVA DO GESTOR DE BANCO DE DADOS. CONFIGURAÇÃO.<br>1. A comercialização dos dados pessoais do consumidor por meio dos serviços "Acerta Essencial", "Acerta Intermediário", "Acerta Completo" e "Dataplus", oferecidos aos clientes da recorrida, não foi enfrentada no julgamento do Tema nº 710/STJ e na Súmula nº 550/STJ, consistindo, assim, em caso de distinção (distinguishing).<br>2. A obtenção de informações cadastrais do consumidor por terceiros, ainda que sejam dados pessoais não sensíveis, exige o prévio e expresso consentimento do titular, pois não há autorização legal para que o gestor de banco de dados disponibilize tais dados a esses consulentes, ficando caracterizada, com a comercialização indevida, o dano moral presumido (in re ipsa).<br>3. Recurso especial provido."<br>(REsp n. 2.206.924/SP, relator Ministro RICARDO VILLAS BÔAS CUEVA, Terceira Turma, julgado em 9/6/2025, DJEN de 12/6/2025, g.n.)<br>Desse modo, é evidente a divergência entre o acórdão recorrido e a jurisprudência desta Corte, motivo pelo qual é impositivo o provimento do recurso especial, para a devida adequação do julgado à jurisprudência do STJ.<br>Ante o exposto, dou provimento ao recurso especial, e determino o retorno dos autos ao Tribunal de origem, para a adequação do julgado ao entendimento do STJ, nos termos da decisão supra.<br>Publique-se.<br>EMENTA