REsp 202503780990 — STJ

PROCESSUAL CIVIL E CONSUMIDOR. RECURSO ESPECIAL. BANCO DE DADOS DE PROTEÇÃO AO CRÉDITO. TRATAMENTO DE DADOS PESSOAIS. DISPONIBILIZAÇÃO E COMERCIALIZAÇÃO DE INFORMAÇÕES CADASTRAIS A TERCEIROS CONSULENTES. LGPD (ARTS. 7, 8 E 9). LEI 12.414/2011 (ART. 4º, III E IV; ART. 16). CDC (ART. 43, §§ 1º E 2º). COMUNICAÇÃO DO CADASTRO. LIMITES LEGAIS AO COMPARTILHAMENTO. DANO MORAL IN RE IPSA. RESPONSABILIDADE OBJETIVA. TEMA 710/STJ. DISTINÇÃO. RECURSO CONHECIDO E PROVIDO. 1. Recurso especial interposto contra acórdão que manteve a improcedência de ação reparatória por alegada comercialização e divulgação de dados pessoais, sem consentimento ou comunicação prévia, por gestora de banco de dados de proteção ao crédito. 2. O objetivo recursal é decidir se (i) há violação dos arts. 5º, X, da CF; 21 do CC; 43, §§ 1º e 2º, do CDC; e dos arts. 7º, incisos I e X, 8º e seus §§, e 9º da LGPD, pela abertura e tratamento de dados pessoais sem comunicação/consentimento e pela manutenção indevida de informação; (ii) aplica-se a Lei 12.414/2011, distinguindo-se o regime do credit scoring (Tema 710/STJ), com deveres informacionais próprios; (iii) configura dano moral in re ipsa pela disponibilização/comercialização de dados cadastrais; (iv) há dissídio jurisprudencial apto à alínea c. 3. O tratamento para proteção ao crédito não autoriza a disponibilização de dados cadastrais a consulentes. O art. 4º da Lei 12.414/2011 permite, a terceiros, apenas o score de crédito (sem consentimento) e o histórico de crédito (com autorização específica); informações cadastrais e de adimplemento só podem ser compartilhadas entre bancos de dados, vedada sua oferta a consulentes. A disponibilização de dados cadastrais sem consentimento viola a Lei 12.414/2011 e a LGPD. 4. A abertura de cadastro independe de consentimento, mas exige comunicação ao cadastrado e transparência quanto aos agentes de tratamento, assegurando-se o cancelamento do cadastro e o exercício dos direitos do titular. A inobservância de deveres de tratamento, inclusive de informar, configura ilícito e enseja reparação. 5. A disponibilização indevida de dados pessoais a terceiros caracteriza dano moral presumido, pela quebra da autodeterminação informativa e pela insegurança decorrente da perda de controle sobre o uso dos dados, sendo objetiva a responsabilidade do gestor de banco de dados. 6. O Tema 710/STJ não se aplica à hipótese, que não versa sobre mera metodologia de cálculo de risco (credit scoring), mas sobre banco de dados regulado por microssistema próprio (Lei 12.414/2011, CDC e LGPD), com limites estritos ao compartilhamento de informações. 7. Recurso especial conhecido e provido, com condenação da gestora a se abster de disponibilizar dados cadastrais e de adimplemento a consulentes sem prévia autorização e ao pagamento de indenização por danos morais de R$ 11.000,00.