Felipe Duque

<p><span style="font-weight: 400;">No último dia 24, a XP Investimentos <a href="https://www.jota.info/justica/xp-pode-ser-responsabilizada-na-justica-por-vazamento-de-valor-investido-por-clientes">notificou seus clientes sobre um incidente de segurança ocorrido em 22 de março</a>, envolvendo acesso não autorizado a uma base de dados hospedada em fornecedor externo. Os dados comprometidos incluem informações cadastrais (nome, telefone, e-mail, data de nascimento) e financeiras (produtos contratados, número da conta, saldo, posição e limite de crédito).</span></p>
<h3>Enquadramento jurídico dos dados vazados</h3>
<p><span style="font-weight: 400;">Para a adequada análise jurídica do caso, é crucial a classificação dos dados conforme o artigo 5º da Lei Geral de Proteção de Dados (<a href="https://www.jota.info/tudo-sobre/LGPD">LGPD</a>):</span></p>
<ol>
<li>Dados pessoais comuns (artigo 5º, I): informações que identificam a pessoa natural, como nome e e-mail; e</li>
<li>Dados pessoais sensíveis (artigo 5º, II): informações sobre origem racial, convicção religiosa, dados de saúde ou biométricos.</li>
</ol>
<p><span style="font-weight: 400;">Embora dados financeiros não sejam expressamente classificados como "sensíveis", ocupam posição peculiar no ordenamento jurídico. Como observa Anderson Schreiber, "as informações sobre a situação econômico-financeira das pessoas integram o que a doutrina denomina 'privacidade econômica', protegida pelo art. 5º, X, da CF/88". </span><span style="font-weight: 400;">Tal interpretação encontra respaldo também na Lei Complementar 105/2001, que estabelece o sigilo das operações financeiras.</span></p>
<h3>Responsabilidade civil e jurisprudência aplicável</h3>
<p><span style="font-weight: 400;">A LGPD estabelece em seu artigo 42 a responsabilidade objetiva dos agentes de tratamento, dispensando a comprovação de culpa. Este regime é reforçado pelo artigo 45 da LGPD, que remete ao Código de Defesa do Consumidor, aplicando-se também o artigo 14 do CDC ao caso.</span></p>
<p><span style="font-weight: 400;">A jurisprudência do Superior Tribunal de Justiça (<a href="https://www.jota.info/tudo-sobre/stJ">STJ</a>) tem adotado diferentes abordagens conforme a natureza dos dados:</span></p>
<ol>
<li>Vazamento de dados comuns: no AREsp 2130619-SP (relator, ministro <a href="https://www.jota.info/tudo-sobre/francisco-falcao">Francisco Falcão</a>, 2023), a 2ª Turma entendeu que "o vazamento de dados pessoais não tem o condão, por si só, de gerar dano moral indenizável", exigindo comprovação efetiva do dano; e</li>
<li>Vazamento de dados sensíveis: no REsp 2.121.904-SP (relatora, ministra <a href="https://www.jota.info/tudo-sobre/Nancy-Andrighi">Nancy Andrighi</a>, 2025), a 3ª Turma reconheceu que "o vazamento de dados sensíveis fornecidos para a contratação de seguro de vida, por si só, expõe o consumidor a riscos relevantes", caracterizando dano moral presumido (<em>in re ipsa</em>).</li>
</ol>
<p><span style="font-weight: 400;">A questão central para o caso da XP é se os dados financeiros vazados (saldos e investimentos) seriam equiparáveis a dados sensíveis para fins de caracterização do dano moral.</span></p>
<h3>Demora na notificação como elemento agravante</h3>
<p><span style="font-weight: 400;">Um fator juridicamente relevante é o lapso temporal entre a identificação do incidente (22 de março) e a notificação aos clientes (24 de abril). O artigo 48 da LGPD e a Resolução CD/ANPD 4/2023 estabelecem que a comunicação à autoridade deve ocorrer "em até dois dias úteis".</span></p>
<p><span style="font-weight: 400;">A justificativa da XP de que "a comunicação só poderia ser feita após a apuração do caso" encontra frágil amparo legal, já que o artigo 48, §1º, V, da LGPD prevê a obrigação de indicar "os motivos da demora, no caso de a comunicação não ter sido imediata".</span></p>
<h3>Obrigações independentemente da causa do vazamento</h3>
<p><span style="font-weight: 400;">No REsp 2.147.374-SP (relator, ministro <a href="https://www.jota.info/tudo-sobre/Ricardo-Villas-B%C3%B4as-Cueva">Ricardo Villas Bôas Cueva</a>, 2024), o STJ estabeleceu que "mesmo em caso de vazamento de dados pessoais não sensíveis decorrentes de ataque hacker, o agente de tratamento permanece sujeito às obrigações previstas no art. 19, II, da LGPD".</span></p>
<p><span style="font-weight: 400;">Assim, independentemente da causa do vazamento, subsiste a responsabilidade da XP de fornecer ao titular:</span></p>
<ol>
<li>Informação sobre entidades com as quais compartilhou dados (artigo 18, VII); e</li>
<li>Declaração completa contendo origem dos dados, critérios utilizados, finalidade do tratamento e cópia dos dados armazenados (artigo 19, II).</li>
</ol>
<p><span style="font-weight: 400;">A excludente de responsabilidade prevista no artigo 43, III, da LGPD (culpa exclusiva de terceiro) não afasta estas obrigações informacionais, essenciais para o exercício efetivo dos direitos dos titulares.</span></p>
<h3>Conclusão</h3>
<p><span style="font-weight: 400;">O caso da XP evidencia a complexidade jurídica dos incidentes de segurança envolvendo dados financeiros. Embora não explicitamente classificados como sensíveis pela LGPD, tais informações são protegidas pelo sigilo bancário e integram a privacidade econômica constitucionalmente garantida.</span></p>
<p><span style="font-weight: 400;">Os investidores afetados possuem meios de tutela individual (artigo 22 da LGPD) e coletiva (artigo 82 do CDC), com possibilidade de inversão do ônus da prova. <a href="https://www.jota.info/justica/xp-e-processada-por-cliente-que-teve-dados-como-saldo-e-valor-investido-vazados">Eventual responsabilização da XP por dano moral dependerá da interpretação judicial sobre a natureza dos dados financeiros vazados</a>, enquanto a demora na notificação pode configurar infração administrativa autônoma, sujeita às sanções do artigo 52 da LGPD.</span></p>
<h3><a href="https://www.jota.info/produtos/poder?utm_source=cta-site&amp;utm_medium=site&amp;utm_campaign=campanha_poder_q2&amp;utm_id=cta_texto_poder_q2_2023&amp;utm_term=cta_texto_poder&amp;utm_term=cta_texto_poder_meio_materias"><span style="font-weight: 400;">Conheça o JOTA PRO Poder, plataforma de monitoramento que oferece transparência e previsibilidade para empresas</span></a></h3>


vazamento de dados, proteção de dados, LGPD

https://images.jota.info/wp-content/uploads/2021/09/copy-of-jota-logo-high-cmyk.jpeg

JOTA

Caso evidencia complexidade jurídica de incidentes de segurança envolvendo dados financeiros

Vazamento de dados na XP: implicações jurídicas à luz da LGPD e jurisprudência do STJ

Caso de vazamento de dados na XP evidencia complexidade jurídica de incidentes de segurança envolvendo dados financeiros