ACÓRDÃO<br>Vistos e relatados estes autos em que são partes as acima indicadas, acordam os Ministros da TERCEIRA TURMA do Superior Tribunal de Justiça, em Sessão Virtual de 14/10/2025 a 20/10/2025, por unanimidade, dar provimento ao recurso, nos termos do voto do Sr. Ministro Relator.<br>Os Srs. Ministros Daniela Teixeira, Nancy Andrighi, Humberto Martins e Ricardo Villas Bôas Cueva votaram com o Sr. Ministro Relator.<br>Presidiu o julgamento o Sr. Ministro Humberto Martins.<br>EMENTA<br>PROCESSUAL CIVIL. AÇÃO DE OBRIGAÇÃO DE FAZER C.C. COM INDENIZATÓRIA. LEI GERAL DE PROTEÇÃO DE DADOS (LGPD). CONSULTA DE DADOS DO CONSUMIDOR POR TERCEIROS. CONSENTIMENTO. NECESSIDADE. DANOS MORAIS PRESUMIDOS. RECURSO ESPECIAL CONHECIDO E PROVIDO.<br>1. A comercialização de dados do consumidor, para consulta por terceiros, como no caso em exame, não se enquadra no que foi decidido no julgamento do Tema nº 710/STJ e no teor da Súmula nº 550/STJ.<br>2. As informações cadastrais e de adimplemento do consumidor somente podem ser compartilhadas com outros bancos de dados, sendo necessário o prévio e expresso consentimento do titular para consulta de terceiros, ainda que sejam dados pessoais não sensíveis.<br>3. A comercialização indevida de dados do consumidor, ainda que não sensíveis, gera dano moral de forma presumida (in re ipsa).<br>4. Recurso especial conhecido e provido.

RELATÓRIO<br>Trata-se de recurso especial interposto por ALINE CRISTINA TANAKA MURGI (ALINE), com fundamento no art. 105, III, alíneas a e c, da CF, contra acórdão proferido pelo Tribunal de Justiça de São Paulo, nos termos do relatório do Desembargador Mario Daccache, assim ementado:<br>Prestação de serviço - Autora alega que a ré comercializa seus dados pessoais sem autorização - Ação de obrigação de fazer cumulada com pedido indenizatório - Sentença de improcedência - Dados fornecidos não são classificados como sensíveis pelas Leis nº 12.414/2011 (Lei do Cadastro Positivo) e nº 13.709/2018 (Lei Geral de Proteção de Dados) - Prática comercial lícita, conforme entendimento do Superior Tribunal de Justiça (Tema Repetitivo nº 710) - Inexistência de ato ilícito que justifique os pedidos formulados - Desprovimento da apelação. (e-STJ, fl. 292).<br>Os embargos de declaração opostos por ALINE foram rejeitados (e-STJ, fls. 312-315).<br>Nas razões de seu apelo nobre, ALINE alegou (1) violação do art. 5º, inciso X e XII, da CF; (2) afronta ao art. 43, §§ 1º e 2º, do CDC; (3) violação dos arts. 21 do CC/2002, 7º, incisos I e X, 8º, e seus §§, e 9º da Lei n. 13.709/1918, e 3º, §§ 1º e 3º, inciso I, 4º e 5º, inciso VII, da Lei n. 12.414/11, sob o fundamento de que a divulgação de dados pessoais sem autorização prévia constitui ato ilícito, violando a privacidade do indivíduo; e (4) divergência jurisprudencial sobre a comercialização de dados pessoais sem o consentimento do titular.<br>Foram apresentadas contrarrazões.<br>É o relatório.<br>EMENTA<br>PROCESSUAL CIVIL. AÇÃO DE OBRIGAÇÃO DE FAZER C.C. COM INDENIZATÓRIA. LEI GERAL DE PROTEÇÃO DE DADOS (LGPD). CONSULTA DE DADOS DO CONSUMIDOR POR TERCEIROS. CONSENTIMENTO. NECESSIDADE. DANOS MORAIS PRESUMIDOS. RECURSO ESPECIAL CONHECIDO E PROVIDO.<br>1. A comercialização de dados do consumidor, para consulta por terceiros, como no caso em exame, não se enquadra no que foi decidido no julgamento do Tema nº 710/STJ e no teor da Súmula nº 550/STJ.<br>2. As informações cadastrais e de adimplemento do consumidor somente podem ser compartilhadas com outros bancos de dados, sendo necessário o prévio e expresso consentimento do titular para consulta de terceiros, ainda que sejam dados pessoais não sensíveis.<br>3. A comercialização indevida de dados do consumidor, ainda que não sensíveis, gera dano moral de forma presumida (in re ipsa).<br>4. Recurso especial conhecido e provido.<br>VOTO<br>O inconformismo merece prosperar.<br>No presente caso, as instâncias ordinárias afastaram a ilicitude da disponibilização a terceiros dos dados da autora, ora recorrente, em razão de se caracterizarem como dados não sensíveis, dispensando, portanto, o seu consentimento para tanto.<br>Confira-se a fundamentação da sentença:<br>Cuida-se de ação em que a Parte Autora, alega, em suma, que estaria havendo a guarda e comercialização indevida e não autorizada de seus dados pessoais pela Parte Ré junto a terceiros por meio dos serviços "ACERTA Essencial", "ACERTA Intermediário", "ACERTA Completo" e "DATAPLUS", pretendendo cessar tais atividades, com reparação por danos morais.<br>Os pedidos são improcedentes.<br>As informações cadastrais pessoais são acessadas apenas por terceiros que possuem contrato com a Serasa ou Boa Vista e aderem às disposições expressas da finalidade do serviço, sendo vedado o uso para fim diverso ou a transferência dos dados a terceiros.<br>Além disto, é necessário que a empresa indique o CPF da pessoa consultada para obter o relatório, o que presume a existência de uma relação com o consultado, pois o serviço é pago.<br>As hipóteses em tela são autorizadas pela Lei Geral de Proteção de Dados (n.º 13.709/18), independentemente de consentimento ou comunicação do titular (inteligência do art. 7º, X, da referida Lei).<br>(..)<br>Assim, as informações às quais a Parte Requerida tem acesso, embora pessoais, não podem ser classificadas como sensíveis, porque não guardam pertinência com as liberdades individuais: origem social e étnica, patrimônio genético ou orientação sexual. Limitam-se a dados objetivos e claros, voltados exclusivamente à avaliação da situação econômica e à análise de risco pertinente à Parte Autora, sob a perspectiva de concessão de crédito.<br>Além do amparo na proteção ao crédito, a verificação e confirmação de dados cadastrais concede maior segurança nas negociações, auxiliando a prevenção de fraudes, outra hipótese que permite o tratamento de dados pela LGPD (art. 11, II, "g").<br>O acórdão recorrido confirmou a sentença de improcedência dos pedidos com as seguintes considerações:<br>Por sua vez, a autora insiste que é indevida a divulgação de dados que extrapolam o contexto financeiro (como endereço e número de telefone), em afronta às Leis nº 12.414/2011 (Lei do Cadastro Positivo) e nº 13.709/2018 (Lei Geral de Proteção de Dados), fato que lhe acarretou aborrecimentos capazes de ensejar o direito indenizatório extrapatrimonial.<br>Porém, a Lei nº 13.709/18 (Lei Geral de Dados Pessoais) define como "dados sensíveis" aqueles de natureza "pessoal sobre origem racial ou étnica, convicção religiosa, opinião política, filiação a sindicato ou a organização de caráter religioso, filosófico ou político, dado referente à saúde ou à vida sexual, dado genético ou biométrico, quando vinculado a uma pessoa natural" (artigo 5º, inciso II), enquanto a Lei nº 12.414/11 (Lei do Cadastro Positivo) faz referência aos dados "pertinentes à origem social e étnica, à saúde, à informação genética, à orientação sexual e às convicções políticas, religiosas e filosóficas" (artigo 3º, inciso II).<br>Assim, os dados fornecidos pela ré, como se vê, não são classificados como sensíveis. Além disso, a manutenção de dados pessoais, de natureza não sensível, nos órgãos restritivos, dispensa a anuência ou a aprovação do consumidor. Sobre o tema, ainda, veja-se:<br>(..)<br>Logo, não verificada a utilização de informações excessivas ou sensíveis, tampouco de recusa injustificada de crédito por uso de dados incorretos ou desatualizados do consumidor, não há qualquer ato ilícito que justifique os pedidos formulados.<br>(..)<br>E não prospera a tentativa da autora de distinguir o R Esp nº 1.419.697/RS, mencionado acima, do R Esp nº 1.758.799/MG, o qual definiu a diferença entre o sistema de credit score e bancos de dados. Para os últimos, há necessidade de comunicação prévia do consumidor, à luz do § 2º do art. 43 do Código de Defesa do Consumidor. No entanto, o relatório de p. 34/35 está essencialmente vinculado ao sistema credit scoring, que não se pode confundir com um puro cadastro ou banco de dados propriamente dito.<br>Portanto, a sentença deu ao caso solução razoável, justa e jurídica e deve, por isso, ser mantida.<br>Referida conclusão, entretanto, não encontra respaldo na orientação desta Turma a respeito do tema.<br>Inicialmente, deve ser reconhecido que a comercialização de dados a terceiros, como no caso em exame, não se enquadra no que foi decidido no julgamento do Tema nº 710/STJ e no teor da Súmula nº 550/STJ.<br>Nesses casos, o entendimento foi firmado no sentido de que as informações cadastrais e de adimplemento do consumidor armazenadas somente podem ser compartilhadas com outros bancos de dados, sendo necessário o prévio e expresso consentimento do titular para consulta de terceiros, ainda que sejam dados pessoais não sensíveis.<br>Confiram-se, nesse sentido, os seguintes precedentes:<br>RECURSO ESPECIAL. CONSUMIDOR. AÇÃO DE OBRIGAÇÃO DE FAZER C/C INDENIZAÇÃO POR DANOS MORAIS. CADASTRO DE CRÉDITO. TEMA Nº 710/STJ E SÚMULA Nº 550/STJ. CREDIT SCORING. DISTINÇÃO. DADOS PESSOAIS. COMERCIALIZAÇÃO. TERCEIROS CONSULENTES. DISPONIBILIZAÇÃO. DEVERES LEGAIS DE TRATAMENTO DE DADOS. INOBSERVÂNCIA. DANO MORAL PRESUMIDO. RESPONSABILIDADE OBJETIVA DO GESTOR DE BANCO DE DADOS. CONFIGURAÇÃO.<br>1. A comercialização dos dados pessoais do consumidor por meio dos serviços "Acerta Essencial", "Acerta Intermediário", "Acerta Completo" e "Dataplus", oferecidos aos clientes da recorrida, não foi enfrentada no julgamento do Tema nº 710/STJ e na Súmula nº 550/STJ, consistindo, assim, em caso de distinção (distinguishing).<br>2. A obtenção de informações cadastrais do consumidor por terceiros, ainda que sejam dados pessoais não sensíveis, exige o prévio e expresso consentimento do titular, pois não há autorização legal para que o gestor de banco de dados disponibilize tais dados a esses consulentes, ficando caracterizada, com a comercialização indevida, o dano moral presumido (in re ipsa).<br>3. Recurso especial provido.<br>(REsp n. 2.206.924/SP, relator Ministro Ricardo Villas Bôas Cueva, Terceira Turma, julgado em 9/6/2025, DJEN de 12/6/2025)<br>CIVIL, CONSUMIDOR E PROCESSUAL CIVIL. RECURSO ESPECIAL. AÇÃO DE OBRIGAÇÃO DE FAZER C/C INDENIZAÇÃO POR DANOS MORAIS. TEMA 710 E SÚMULA 550 DO STJ. CREDIT SCORING. DISTINÇÃO. BANCO DE DADOS REGIDO PELA LEI Nº 12.414/2011. TRATAMENTO E ABERTURA DO CADASTRO SEM CONSENTIMENTO. POSSIBILIDADE. COMUNICAÇÃO. NECESSIDADE. DISPONIBILIZAÇÃO DOS DADOS DO CADASTRADO. HIPÓTESES PREVISTAS NA LEI Nº 12.414/2011. INFORMAÇÕES CADASTRAIS E DE ADIMPLEMENTO. POSSIBILIDADE DE COMPARTILHAMENTO APENAS A OUTROS BANCOS DE DADOS. RESTRIÇÃO LEGAL QUANTO AOS DADOS QUE PODEM SER DISPONIBILIZADOS A TERCEIROS CONSULENTES. INOBSERVÂNCIA QUANTO AOS DEVERES LEGAIS DE TRATAMENTO DE DADOS PELO GESTOR DE BANCO DE DADOS. DISPONIBILIZAÇÃO INDEVIDA DE DADOS DO CADASTRADO. DANO MORAL PRESUMIDO. RESPONSABILIDADE OBJETIVA DO GESTOR DE BANCO DE DADOS. CONFIGURAÇÃO.<br>1. Ação de obrigação de fazer c/c indenização por danos morais, da qual foi extraído o presente recurso especial, interposto em 9/5/2023 e concluso ao gabinete em 19/12/2023.<br>2. O propósito recursal é decidir se (I) o gestor de banco de dados para formação de histórico de crédito pode disponibilizar informações cadastrais (dados pessoais não sensíveis) dos cadastrados a terceiros consulentes, sem a sua comunicação e prévio consentimento; e (II) essa prática configura dano moral ao cadastrado.<br>3. O Tema 710/STJ e a Súmula 550/STJ tratam especificamente do credit scoring, ficando expressamente consignado que essa prática "não constitui banco de dados", o qual é regulamentado pela Lei nº 12.414/2011, que "disciplina a formação e consulta a bancos de dados com informações de adimplemento, de pessoas naturais ou de pessoas jurídicas, para formação de histórico de crédito".<br>4. O gestor de banco de dados com a finalidade de proteção do crédito, pode realizar o tratamento de dados pessoais não sensíveis e abrir cadastro com informações de adimplemento de pessoas naturais e jurídicas, sem o consentimento prévio do cadastrado, em observância aos arts. 4º, I, da Lei nº 12.414/2011 e 7º, X, da LGPD.<br>5. Todavia, o gestor de banco de dados regido pela Lei nº 12.414/2011 somente pode disponibilizar a terceiros consulentes (I) o score de crédito, sendo desnecessário o consentimento prévio; e (II) o histórico de crédito, mediante prévia autorização específica do cadastrado (nos moldes do Anexo do Decreto nº 9.936/2019), conforme o art. 4º, IV, "a" e "b" da referida lei.<br>6. Por outro lado, em observância o inciso III do art. 4º da Lei nº 12.414/2011, as informações cadastrais e de adimplemento armazenadas somente podem ser compartilhadas com outros bancos de dados, que são geridos por instituições devidamente autorizadas para tanto na forma da lei e regulamento.<br>7. Portanto, se um terceiro consulente tem interesse em obter as informações cadastrais do cadastrado, ainda que sejam dados pessoais não sensíveis, deve ele obter o prévio e expresso consentimento do titular, com base na autonomia da vontade, pois não há autorização legal para que o gestor de banco de dados disponibilize tais dados aos consulentes.<br>8. Em relação à abertura do cadastro pelo gestor de banco de dados, embora não seja exigido o consentimento prévio, é necessária a comunicação ao cadastrado, inclusive quanto aos demais agentes de tratamento, podendo exigir o cancelamento do seu cadastro a qualquer momento, nos termos do art. 4º, I e § 4º, da Lei nº 12.414/2011, além de exercer os demais direitos previstos em lei quanto aos seus dados.<br>9. A inobservância dos deveres associados ao tratamento (que inclui a coleta, o armazenamento e a transferência a terceiros) dos dados do titular - dentre os quais se inclui o dever de informar - faz nascer para este a pretensão de indenização pelos danos causados e a de fazer cessar, imediatamente, a ofensa aos direitos da personalidade. Precedente.<br>10. A disponibilização indevida de dados pessoais pelos bancos de dados para terceiros caracteriza dano moral presumido (in re ipsa) ao cadastrado titular dos dados, diante, sobretudo, da forte sensação de insegurança por ele experimentada.<br>11. O gestor de banco de dados que disponibiliza para terceiros consulentes o acesso aos dados do cadastrado que somente poderiam ser compartilhados entre bancos de dados - como as informações cadastrais - deve responder objetivamente pelos danos morais causados ao cadastrado, em observância aos arts. 16 da Lei nº 12.414/2011 e 42 e 43, II, da LGPD.<br>12. No recurso sob julgamento, foram disponibilizadas indevidamente as informações cadastrais e de adimplemento da recorrente a terceiros consulentes, os quais, contudo, somente poderiam ter acesso ao score de crédito e, mediante prévia autorização, do histórico de crédito.<br>13. Recurso especial conhecido e parcialmente provido para julgar parcialmente procedentes os pedidos formulados na inicial, a fim de condenar a ré (SERASA S.A) a (I) se abster de disponibilizar, de qualquer forma, os dados da autora (informações cadastrais e de adimplemento), sem a sua prévia autorização, para terceiros consulentes, com exceção de outros bancos de dados; e (II) pagar a autora o valor de R$ 11.000,00, a título de indenização por danos morais.<br>(REsp n. 2.115.461/SP, relatora Ministra Nancy Andrighi, Terceira Turma, julgado em 8/10/2024, DJe de 14/10/2024)<br>No caso em tela, é incontroversa a divulgação dos dados a terceiros e, conforme se verifica nos julgados citados, a comercialização sem o prévio consentimento do consumidor gera dano moral de forma presumida (in re ipsa).<br>Nessas condições, DOU PROVIMENTO ao recurso especial para julgar procedentes os pedidos e, assim, determinar que a ré se abstenha de divulgar ou permitir o acesso de terceiros aos dados da autora sem o seu consentimento, ainda que não sensíveis, e condená-la ao pagamento de indenização por dano moral fixada em R$ 5.000,00 (cinco mil reais). Em consequência, arcará a ré com o pagamento das custas processuais e dos honorários sucumbenciais, que ora fixa-se em 20% sobre o valor da condenação.<br>É o voto.<br>Por fim, advirta-se que eventual recurso interposto contra este julgado estará sujeito às normas do NCPC, inclusive no que tange ao cabimento de multa (art. 1.026, § 2º).