REsp 2.245.722

DIREITO DO CONSUMIDOR E PROCESSUAL CIVIL. RECURSO ESPECIAL. OBRIGAÇÃO DE FAZER E INDENIZAÇÃO POR DANOS MORAIS. TRATAMENTO E COMERCIALIZAÇÃO DE DADOS PESSOAIS. CADASTRO POSITIVO. LEI N. 12.414/2011. LEI GERAL DE PROTEÇÃO DE DADOS (LEI N. 13.709/2018). CREDIT SCORING (TEMA 710/STJ E SÚMULA 550/STJ). DISTINÇÃO DE INSTITUTOS. DISPONIBILIZAÇÃO INDEVIDA DE DADOS CADASTRAIS A TERCEIROS. VIOLAÇÃO DO DEVER DE INFORMAÇÃO E CONSENTIMENTO. DANO MORAL IN RE IPSA. LEGITIMIDADE PASSIVA DO GESTOR DE BANCO DE DADOS. RESPONSABILIDADE OBJETIVA. RECURSO ESPECIAL PROVIDO. 1. Trata-se de recurso especial interposto contra acórdão que manteve a improcedência do pedido inicial. O objetivo recursal do recorrente é reconhecer a ilicitude do compartilhamento e da comercialização de seus dados pessoais sem consentimento e comunicação prévia, com a consequente condenação à obrigação de cessar o tratamento indevido e ao pagamento de indenização por danos morais, bem como firmar a tese de que a atividade de banco de dados (cadastro) sujeita-se às regras do Código de Defesa do Consumidor, da Lei Geral de Proteção de Dados e da Lei do Cadastro Positivo sobre o dever de informação/consentimento e os limites do tratamento, distinguindo-se do credit score (Tema 710/STJ). 2. A controvérsia não se confunde com a formação e o uso do credit scoring, tratado no Tema 710/STJ e na Súmula 550/STJ, pois o caso versa sobre a disponibilização de dados pessoais cadastrais por gestor de banco de dados a terceiros, sem o devido consentimento do titular. 3. A Lei n. 12.414/2011 e a Lei n. 13.709/2018 (Lei Geral de Proteção de Dados) impõem limites à disponibilização de informações pelos gestores de bancos de dados. Conforme o art. 4º, III, da Lei n. 12.414/2011, as informações cadastrais e de adimplemento somente podem ser compartilhadas entre bancos de dados, e não diretamente com terceiros consulentes sem autorização específica. 4. Conforme precedentes desta Corte, a comercialização e o compartilhamento de dados pessoais como nome da mãe, data de nascimento, endereço, telefones, sexo, título de eleitor e renda presumida, por gestores de bancos de dados a terceiros consulentes, sem o consentimento prévio e específico do titular, configura violação do direito à privacidade e intimidade, conforme o art. 5º, X, da Constituição Federal, o art. 21 do Código Civil, os arts. 7º, I e X, 8º e parágrafos da Lei n. 13.709/2018, e os arts. 3º, §§ 1º e 3º, I e 4º e 5º, VII, da Lei n. 12.414/2011, caracterizando-se como ato ilícito. 5. A disponibilização indevida de dados pessoais pelo gestor de banco de dados a terceiros gera dano moral in re ipsa, presumido pela forte sensação de insegurança e descontrole sobre as próprias informações, sendo desnecessária a comprovação do prejuízo concreto. Precedentes. 6. Recurso especial conhecido e provido.