A venda de dados pessoais por birôs de crédito, sem autorização do consumidor, aguarda uma decisão do Superior Tribunal de Justiça. A 2ª Seção adiou o julgamento do Tema 1.404, que vai definir se a comercialização de informações como nome, CPF e telefone é ilícita e se gera dano moral presumido. Enquanto a decisão não vem, a LGPD já garante caminhos para você saber o que fazem com seus dados. A seguir, este artigo explica o que está em jogo e o que fazer agora.
O que aconteceu: STJ adia o julgamento do Tema 1.404
Na quinta-feira, 8 de outubro de 2026, a 2ª Seção do STJ encerrou a sessão sem analisar os recursos repetitivos do Tema 1.404. Por isso, não há nova data definida para o julgamento. A afetação ao rito dos repetitivos ocorreu em dezembro de 2025, o que demonstra a relevância nacional da discussão.
Vale dizer: os recursos representativos são o REsp 2.226.946/SP e o REsp 2.226.097/SP, relatados pelo ministro Raul Araújo. A questão submetida tem duas partes. Primeiro, os ministros vão definir se é lícita a disponibilização ou a comercialização de dados pessoais não sensíveis por gestores de bancos de dados de proteção ao crédito. Depois, vão decidir se a ilicitude gera dano moral presumido.
Enquanto isso, o andamento pode ser acompanhado na página dos temas repetitivos do STJ. Além disso, a decisão vai orientar processos semelhantes em todo o país.
O que os birôs de crédito fazem com seus dados
Birôs de crédito reúnem informações sobre a vida financeira de milhões de consumidores. Em geral, esses bancos de dados guardam nome, CPF, endereço, telefone e histórico de pagamentos. Além disso, fornecem essas informações a bancos, lojas e financeiras.
O processo principal do Tema 1.404 envolve uma consumidora e a Boa Vista Serviços, empresa adquirida pela Equifax. Segundo o caso, a empresa repassou os dados da consumidora sem autorização prévia. Por isso, a discussão virou a referência nacional sobre a venda de dados pessoais por birôs.
Dados não sensíveis x dados sensíveis
Ou seja, o julgamento trata apenas de dados não sensíveis, como nome e endereço. Já os dados sensíveis, como saúde e origem racial, seguem regras mais rígidas da LGPD (Lei 13.709/2018). Dessa forma, a decisão do Tema 1.404 não alcança essa segunda categoria.
O que a lei já permite: cadastro positivo e score
A Lei 12.414/2011 criou o cadastro positivo, um banco de dados com o histórico de pagamentos do consumidor. Vale dizer: a adesão ocorre de forma automática, no modelo chamado opt-out, e o consumidor pode pedir a exclusão. Além disso, a lei impõe deveres de comunicação ao titular.
Por sua vez, o score de crédito tem regra própria no STJ. A Súmula 550 diz: “A utilização de escore de crédito, método estatístico de avaliação de risco que não constitui banco de dados, dispensa o consentimento do consumidor”. Ou seja, o cálculo da pontuação não exige autorização prévia.
No mesmo sentido, o Tema 710 (REsp 1.419.697/RS e REsp 1.457.199/RS, transitado em julgado) confirmou que o credit scoring é um método lícito, com amparo nos arts. 5º, IV, e 7º, I, da Lei 12.414/2011. No entanto, o tribunal alertou: o uso de dados incorretos ou registros indevidos caracteriza abuso e gera dano moral.
Venda de dados pessoais: por que é diferente do score
Aqui mora o ponto central da discussão. Uma coisa é o birô calcular sua pontuação de crédito. Outra, bem diferente, é vender a base de dados a terceiros. Portanto, a Súmula 550 não resolve a questão do Tema 1.404.
| Aspecto | Score de crédito | Venda da base de dados |
|---|---|---|
| O que acontece | Cálculo estatístico interno de risco | Comercialização dos dados a terceiros |
| Consentimento | Dispensado pela Súmula 550 do STJ | Em discussão no Tema 1.404 |
| Base legal invocada | Arts. 5º, IV, e 7º, I, da Lei 12.414/2011 | Confronto entre LGPD e Lei do Cadastro Positivo |
| Consequência se houver ilicitude | Dano moral por dados incorretos (Tema 710) | Possível dano moral presumido, conforme o julgamento |
Em resumo, o score usa os dados para gerar uma nota. Já a venda de dados pessoais transfere as informações em si a terceiros. Por isso, autorizar um não significa autorizar o outro.
As posições em confronto: Gaets e Febraban
O Gaets, grupo de atuação estratégica das Defensorias Públicas nos tribunais superiores, defende a tese mais protetiva. Para o grupo, portanto, a venda dos dados sem autorização é ilícita e deve gerar dano moral presumido. Nesse sentido, a comercialização violaria os direitos da personalidade do consumidor.
Por outro lado, a Febraban sustenta a tese dos agentes de crédito. Segundo a federação, a disponibilização de dados não sensíveis tem respaldo legal para a avaliação de risco e a prevenção a fraudes. Assim, a prática não configuraria ilicitude.
Além dessas entidades, outros atores acompanham o julgamento. Dessa forma, o resultado vai orientar processos suspensos em todo o país. Por isso, a tese vencedora terá impacto direto na rotina dos birôs e dos consumidores.
Dano moral presumido: a divergência que o STJ vai pacificar
O dano moral presumido, chamado tecnicamente de in re ipsa, dispensa a prova do prejuízo. Em outras palavras, bastaria demonstrar a conduta ilícita. Contudo, essa presunção não é pacífica hoje na comercialização de dados.
Em fevereiro de 2026, a Quarta Turma do STJ afastou o dano moral presumido em caso de disponibilização não autorizada de dados não sensíveis em cadastro positivo. Por outro lado, a Terceira Turma reconheceu a presunção em outro recorte, em julgamento de 2025. Ou seja, é exatamente essa divergência que a 2ª Seção vai pacificar no Tema 1.404.
Atenção: enquanto o STJ não decide, não existe regra que garanta indenização automática pela simples venda dos dados. Por isso, desconfie de promessas de valores certos.
O que o consumidor pode fazer agora
Mesmo assim, você não está desprotegido, ainda que a decisão do STJ não tenha saído. A LGPD já garante direitos contra os birôs. Por isso, vale adotar quatro medidas práticas.
Quatro medidas para exercer seus direitos hoje
Peça informações ao birô
O art. 18 da LGPD garante saber quais dados a empresa trata e com quem os compartilha.
Confira seu cadastro positivo
Em seguida, verifique se seus dados constam dos cadastros e se as informações estão corretas.
Documente o uso indevido
Além disso, guarde protocolos, prints e mensagens que indiquem compartilhamento sem autorização.
Busque orientação jurídica
Por fim, uma análise individual mostra quais medidas cabem no seu caso concreto.
Essas medidas valem para qualquer consumidor, independentemente do resultado do Tema 1.404. Além disso, elas criam um histórico útil caso seja necessário discutir reparação no futuro.
Venda de dados x vazamento de dados
Venda e vazamento de dados são situações diferentes. No vazamento, a informação escapa do controle da empresa, muitas vezes por ataque hacker. Por outro lado, na venda, o repasse é deliberado. Por isso, as regras de responsabilidade não são idênticas.
Nos casos de vazamento, o STJ já decidiu que dados cadastrais comuns exigem prova do prejuízo (AREsp 2.130.619/SP). Por outro lado, o vazamento de dados sensíveis gerou dano moral presumido (REsp 2.121.904/SP). Além disso, o ataque hacker não exclui a responsabilidade sem prova da excludente (REsp 2.147.374/SP).
Para entender quando o vazamento gera indenização, leia nosso artigo sobre vazamento de dados e indenização no STJ. Assim, você compara os dois cenários com mais clareza.
E em Aracaju e Sergipe?
A discussão é nacional, mas seus efeitos chegam direto a Aracaju e ao interior de Sergipe. Afinal, consumidores sergipanos constam das mesmas bases de dados dos grandes birôs. Por isso, a tese que o STJ fixar vai valer também para os processos julgados aqui.
Na prática, quem mora em Aracaju pode exercer os direitos da LGPD sem sair de casa. Os canais de atendimento dos birôs funcionam pela internet. Além disso, os protocolos e as respostas servem como prova em uma eventual reclamação.
Se você suspeita que seus dados foram comercializados sem autorização, organize os documentos antes de buscar atendimento. Além disso, uma sequência clara dos fatos facilita a análise. Assim, a orientação jurídica identifica com precisão os caminhos cabíveis.
Perguntas frequentes
Vender dados pessoais é crime?
A discussão do Tema 1.404 é civil, não criminal. O STJ vai decidir se a comercialização sem autorização é ilícita e se gera indenização. Contudo, condutas específicas podem ter outras consequências, conforme o caso concreto.
Posso pedir indenização se meus dados foram vendidos?
A resposta depende do caso. Hoje há divergência entre as turmas do STJ sobre o dano moral presumido. Por isso, cada situação exige análise das provas e do contexto. Não existe pagamento automático enquanto o tema não é pacificado.
Como saber se meus dados foram vendidos?
O art. 18 da LGPD garante o direito de pedir informações ao birô sobre o tratamento e o compartilhamento dos seus dados. Além disso, guarde protocolos e respostas. Com efeito, eles ajudam a documentar a situação.
Score de crédito é a mesma coisa que venda de dados pessoais?
Não. O score é um cálculo estatístico de risco, dispensado de consentimento pela Súmula 550 do STJ. Por outro lado, a venda de dados pessoais transfere a base a terceiros, e é exatamente isso que o Tema 1.404 vai julgar.
Vazamento e venda de dados têm o mesmo tratamento?
Não. No vazamento, os dados escapam do controle da empresa. Na venda, o repasse é deliberado. Portanto, os precedentes sobre vazamento não resolvem automaticamente a discussão sobre comercialização.
Suspeita que seus dados foram comercializados sem autorização?
O Amadeus & Santos analisa questões de Direito Digital e proteção de dados. Atendimento em Aracaju/SE e Brasília/DF. Para informações sobre atendimento, fale com a equipe.
Dr. Andress Amadeus
Advogado especialista em Direito Digital. Integra o Amadeus & Santos Advogados Associados. Ver perfil completo.
Este conteúdo tem caráter informativo e não substitui a análise individual de um advogado. Cada caso exige avaliação técnica de suas particularidades. Normas e entendimentos citados vigentes em outubro de 2026.
