ACÓRDÃO Vistos e relatados estes autos em que são partes as acima indicadas, acordam os Ministros da Q… — AREsp AREsp 2170495

Ementa oficial

ACÓRDÃO
Vistos e relatados estes autos em que são partes as acima indicadas, acordam os Ministros da QUARTA TURMA do Superior Tribunal de Justiça, em Sessão Virtual de 23/09/2025 a 29/09/2025, por unanimidade, negar provimento ao recurso, nos termos do voto do Sr. Ministro Relator.
Os Srs. Ministros Raul Araújo, Maria Isabel Gallotti, Antonio Carlos Ferreira e Marco Buzzi votaram com o Sr. Ministro Relator.
Presidiu o julgamento o Sr. Ministro João Otávio de Noronha.
EMENTA
LEI GERAL DE PROTEÇÃO DE DADOS PESSOAIS. AGRAVO INTERNO. AGRAVO EM RECURSO ESPECIAL. VAZAMENTO DE DADOS PESSOAIS. DADOS NÃO SENSÍVEIS DO TITULAR. RESPONSABILIDADE CIVIL PROATIVA DO AGENTE DE TRATAMENTO. ATO ILÍCITO DE TERCEIRO. AUSÊNCIA DE ADOÇÃO DE MEDIDAS DE SEGURANÇA ADEQUADAS. AUSÊNCIA DE ROMPIMENTO DO NEXO CAUSAL. RECURSO DESPROVIDO.
I. CASO EM EXAME
1. Agravo interno interposto contra decisão que negou provimento ao agravo, mantendo a condenação da agravante na obrigação de apresentar informações sobre o uso compartilhado de dados pessoais do autor.
II. QUESTÃO EM DISCUSSÃO
2. A questão em discussão consiste em saber se a agravante pode ser responsabilizada pelo vazamento de dados pessoais não sensíveis do autor, mesmo alegando que o incidente decorreu de ato ilícito de terceiro.
III. RAZÕES DE DECIDIR
3. A responsabilidade do agente de tratamento de dados é mantida, mesmo em casos de vazamento por ato de terceiro, se não forem adotadas medidas de segurança adequadas.
4. A expectativa de legítima proteção dos dados pessoais não foi atendida, conforme art. 44, III, da LGPD.
5. A revisão das conclusões do TJSP demandaria reexame do acervo fático-probatório, atraindo a incidência da Súmula n. 7 do STJ.
IV. DISPOSITIVO E TESE
6. Resultado do Julgamento: Agravo interno desprovido.
Tese de julgamento:
1. Os agentes de tratamento de dados devem adotar medidas de segurança para proteger os dados pessoais de acessos não autorizados.
2. A responsabilidade do agente de tratamento não é excluída por atos de terceiros, salvo demonstração de culpa exclusiva.
Dispositivos relevantes citados:
Lei nº 13.709/2018, arts. 18, VII; 19, II; 43, II; 44, III; 46.
Jurisprudência relevante citada:
STJ, REsp n. 2.147.374/SP, relator Ministro Ricardo Villas Bôas Cueva, Terceira Turma, julgado em 3/12/2024.
RELATÓRIO
Trata-se de agravo interno interposto por ELETROPAULO METROPOLITANA ELETRICIDADE DE SÃO PAULO S. A. contra a decisão de fls. 1.656-1.661, que negou provimento ao agravo.
A parte agravante sustenta que a matéria recursal não esbarra na Súmula n. 7 do STJ, pois a questão discutida no recurso
[trecho intermediário suprimido]
de medidas de segurança técnicas e administrativas aptas a proteger os dados pessoais da recorrida de acessos não autorizados (incidentes de segurança e ataques hacker), e de qualquer forma de tratamento inadequado ou ilícito dessas informações, impõe-se a responsabilidade do agente de tratamento de dados (art. 46 da LGPD).
Nesse contexto e considerando que o Tribunal de origem analisou a controvérsia fundamentando-se na responsabilidade civil ativa ou proativa, conforme a LGPD, rever as conclusões do TJSP acerca da responsabilidade do recorrente sobre a observância, o cumprimento e a eficácia das normas de proteção de dados pessoais, demandaria o necessário reexame do acervo fático-probatório dos autos, o que atrai a incidência da Súmula n. 7 do STJ.
Portanto, a parte agravante não logrou êxito em demonstrar situação superveniente que justificasse a alteração da decisão agravada.
Ante o exposto, nego provimento ao agravo interno.
É o voto.