Entenda as principais interpretações sobre o regime de responsabilidade civil da LGPD, o funcionamento dos artigos 42 a 45 e as medidas práticas para reduzir riscos.

A pergunta sobre qual foi o regime de responsabilidade civil adotado pela LGPD parece exigir uma resposta curta: objetiva ou subjetiva. Na prática, a resposta depende da leitura dos artigos 42 a 45, da relação jurídica envolvida, da conduta dos agentes e da prova produzida. Uma loja virtual que envia dados a uma plataforma de atendimento, por exemplo, pode enfrentar um acesso indevido causado por falha própria, por falha do fornecedor ou por fraude de terceiro. Cada hipótese exige uma investigação diferente. A empresa deverá reconstruir o tratamento, identificar quem tomou as decisões, verificar os deveres descumpridos, avaliar o dano e examinar se existe nexo causal entre o tratamento e o prejuízo.

Também deverá considerar normas de consumo, trabalho ou outras regras específicas. Por isso, o melhor caminho não é decorar uma etiqueta, mas compreender o método de análise e organizar previamente as evidências que poderão ser necessárias.

Principais pontos

• A LGPD não deve ser descrita, para todos os casos, como uma lei de responsabilidade civil exclusivamente objetiva ou exclusivamente subjetiva.
• Há correntes que defendem uma leitura subjetiva, uma leitura objetiva baseada no risco e uma posição intermediária, que combina a violação dos deveres legais com a análise concreta do dano e do nexo causal.
• O vazamento não gera indenização automaticamente: é necessário examinar a irregularidade, o prejuízo alegado, a relação causal e as hipóteses de exclusão previstas na própria LGPD.
• Controlador e operador têm funções diferentes, mas contrato, consentimento ou contratação de fornecedor não eliminam automaticamente a responsabilidade perante o titular.
• A ANPD exige, pela Resolução CD/ANPD nº 15/2024, comunicação de incidentes que possam causar risco ou dano relevante aos titulares, em até três dias úteis, contados da ciência pelo controlador, ressalvadas as informações ainda não disponíveis.
• Pequenas empresas devem priorizar tratamentos de maior risco, definir responsáveis, conservar evidências e escalar incidentes conforme impacto, sensibilidade dos dados e alcance do evento.

A LGPD adotou responsabilidade civil objetiva ou subjetiva?

A Lei Geral de Proteção de Dados Pessoais não contém uma declaração geral dizendo que toda responsabilidade civil nela prevista é objetiva ou que toda responsabilidade depende de culpa. O artigo 42 estabelece o dever de reparar quando controlador ou operador causar dano patrimonial, moral, individual ou coletivo a outra pessoa em razão do tratamento de dados pessoais. O dispositivo deve ser lido em conjunto com os artigos 43 e 44, com o artigo 45 e com as regras gerais do Código Civil e de outros microssistemas aplicáveis.

A doutrina costuma identificar três linhas principais. A primeira sustenta uma responsabilidade predominantemente subjetiva: a violação dos deveres de proteção, segurança, prevenção ou instrução seria examinada para verificar negligência, imprudência, imperícia ou descumprimento imputável ao agente. Nessa visão, a empresa não responderia apenas porque um evento adverso ocorreu; seria necessário demonstrar uma conduta juridicamente censurável, além do dano e do nexo.

A segunda linha defende uma responsabilidade objetiva ou fortemente orientada pelo risco. Ela parte do fato de que o tratamento de dados é uma atividade que pode gerar riscos relevantes e de que o artigo 44 considera irregular o tratamento que não oferece a segurança que o titular pode legitimamente esperar. Também relaciona a LGPD ao artigo 927, parágrafo único, do Código Civil, quando a atividade normalmente desenvolvida implicar risco para direitos de terceiros. Para essa corrente, a discussão sobre culpa perde importância em determinadas situações, sem eliminar a necessidade de provar dano e nexo.

Uma terceira posição, intermediária ou sistemática, evita transformar qualquer incidente em dever automático de indenizar. Ela considera a violação de deveres legais, o nível de risco da atividade, as medidas de segurança adotadas, a previsibilidade do evento, a atuação de cada agente e a efetiva repercussão sobre o titular. Na prática, a culpa pode assumir maior peso quando se discute a diligência da empresa; a violação ganha destaque quando há descumprimento claro de dever legal; e o risco se torna mais relevante quando a atividade cria exposição previsível e intensa para direitos fundamentais.

A jurisprudência atual não autoriza uma fórmula universal. O Superior Tribunal de Justiça tem decisões que afastam a ideia de dano moral presumido em todo e qualquer incidente ou vazamento, exigindo exame das circunstâncias e da consequência concreta para o titular. Ao mesmo tempo, os tribunais podem reconhecer reparação quando a prova demonstra exposição indevida, uso ilícito, fraude, constrangimento, discriminação ou outro prejuízo juridicamente relevante. A conclusão pode variar conforme a natureza dos dados, a relação entre as partes, a extensão do evento e a qualidade da prova.

Para o gestor, um critério prático é separar três perguntas. Se a empresa descumpriu um dever objetivo de segurança ou tratou dados fora da finalidade, a violação assume peso central. Se o evento decorreu de uma escolha operacional evitável, como credenciais compartilhadas ou ausência de controle básico, a análise da culpa se fortalece. Se a atividade envolve dados sensíveis, grande quantidade de titulares ou risco previsível de fraude, o risco inerente à operação e a adequação das salvaguardas passam a ocupar posição mais importante. Nenhum desses critérios, isoladamente, garante condenação ou afasta responsabilidade.

A documentação de conformidade ajuda a esclarecer esse quadro, mas não funciona como imunidade. Políticas, registros de acesso, avaliações de fornecedores, treinamentos e evidências de correção podem demonstrar diligência, delimitar responsabilidades e explicar a causa do evento. Responsabilidade civil e sanção administrativa também não são a mesma coisa: a ANPD pode fiscalizar e aplicar medidas administrativas, enquanto o titular ou outros legitimados podem buscar reparação em outra esfera.

Como os artigos 42 a 45 funcionam na análise de um caso concreto?

A aplicação dos artigos 42 a 45 fica mais segura quando segue uma sequência decisória, em vez de começar pela discussão abstrata sobre culpa. Primeiro, delimite o fato: qual dado foi tratado, por quem, para qual finalidade, em que período e em qual sistema ocorreu o evento. Depois, identifique o titular ou grupo afetado e registre o que já é conhecido, o que é hipótese e o que ainda precisa ser investigado.

Em seguida, classifique os agentes. Controlador é quem toma as decisões referentes ao tratamento; operador realiza o tratamento em nome do controlador. Um mesmo fornecedor pode ser operador em uma atividade e controlador em outra, especialmente quando decide finalidade própria e não apenas executa instruções. O contrato é importante para distribuir tarefas, exigir segurança, regular subcontratação e estabelecer cooperação, mas não modifica sozinho a realidade da operação nem elimina direitos do titular.

O artigo 42 fornece a base do dever de reparação. Verifique se o dano alegado decorre de tratamento de dados realizado em violação à legislação. O dano pode ser patrimonial, moral, individual ou coletivo. O parágrafo primeiro trata de situações de responsabilidade entre agentes, inclusive quando o operador descumpre obrigações legais ou deixa de seguir instruções lícitas do controlador. O dispositivo também prevê regras relacionadas à solidariedade e à defesa coletiva, que devem ser examinadas conforme a configuração do caso.

O artigo 43 apresenta hipóteses de exclusão: o agente pode buscar demonstrar que não realizou o tratamento atribuído, que não houve violação à legislação ou que o dano decorreu exclusivamente de culpa do titular ou de terceiro. A palavra exclusivamente é importante. A participação de um terceiro não afasta automaticamente a responsabilidade se também existiu falha da empresa, como ausência de autenticação adequada ou demora injustificada na contenção. A defesa depende de fatos documentados, e não apenas de uma cláusula contratual ou de uma declaração unilateral.

O artigo 44 trata do tratamento irregular. A irregularidade pode existir quando o tratamento viola a legislação ou quando o modo como é realizado deixa de oferecer a segurança que o titular pode legitimamente esperar, considerando a forma empregada, os resultados e os riscos previsíveis. Essa avaliação exige comparar o controle adotado com o contexto: uma base de dados sensíveis exige cautelas diferentes de uma lista interna de contatos, e um acesso administrativo exige controles diferentes de uma consulta limitada.

O artigo 45 determina que a responsabilidade nas relações entre agentes de tratamento e titulares deve observar também as normas de proteção do consumidor e outras regras específicas. Em uma relação de consumo, o Código de Defesa do Consumidor pode influenciar a distribuição do ônus probatório e a avaliação do defeito do serviço. Em relações de trabalho, a LGPD convive com normas trabalhistas, deveres de segurança e proteção da dignidade do empregado. A incidência conjunta não significa que toda regra será aplicada automaticamente; é preciso identificar a relação jurídica e o fato discutido.

O consentimento e o interesse legítimo entram depois dessa reconstrução, não antes. Consentimento válido precisa ser livre, informado e inequívoco, além de estar ligado a uma finalidade determinada; ele não autoriza tratamento incompatível, segurança deficiente ou violação de outros direitos. O interesse legítimo exige avaliação de finalidade, necessidade, expectativa do titular e salvaguardas. Ele não é uma permissão genérica para reutilizar dados ou dispensar transparência.

A sequência pode ser resumida assim: delimitar o fato, classificar os agentes, verificar a finalidade e a base legal, confrontar o tratamento com os deveres aplicáveis, investigar o dano alegado, estabelecer o nexo causal, testar as hipóteses do artigo 43 e conferir normas complementares. Só depois dessa sequência é adequado discutir se a culpa, o risco ou a violação deve receber maior peso argumentativo.

1. Descrever o evento e preservar a linha do tempo.
2. Identificar controlador, operador, suboperadores e terceiros envolvidos.
3. Verificar finalidade, base legal, instruções e medidas de segurança.
4. Examinar irregularidade, dano alegado e relação causal.
5. Testar as exclusões do artigo 43 e as normas específicas do artigo 45.
6. Registrar a conclusão, as incertezas e as medidas corretivas.

O que a pequena empresa deve fazer para reduzir o risco de responsabilidade civil?

A prevenção deve ser proporcional ao risco, e não baseada em prazos arbitrários ou em listas intermináveis. Uma pequena empresa pode começar identificando os tratamentos que, se interrompidos ou expostos, causariam maior impacto: dados financeiros, informações de saúde, documentos de empregados, credenciais, dados de crianças e bases usadas para decisões relevantes. O inventário deve ser atualizado quando houver mudança importante de sistema, fornecedor, finalidade ou volume, e não obrigatoriamente a cada intervalo fixo.

Defina um responsável interno, mesmo que ele acumule outras funções, e estabeleça quem pode aprovar novos compartilhamentos, contratar fornecedores e decidir pela escalada de um incidente. Para cada tratamento prioritário, mantenha evidências mínimas: finalidade e base legal, categorias de dados, sistemas envolvidos, prazo de retenção, pessoas com acesso, fornecedores, controles existentes e data da última revisão. A documentação deve refletir a operação real, não apenas reproduzir um modelo.

Fornecedores merecem uma revisão baseada em risco. Um prestador que armazena prontuários, processa pagamentos ou administra contas com privilégios elevados requer avaliação mais profunda e acompanhamento mais frequente do que um fornecedor sem acesso a dados pessoais. Confira instruções, confidencialidade, subcontratação, localização e retenção, medidas de segurança, cooperação em incidentes, devolução ou eliminação de dados e possibilidade de auditoria proporcional. A revisão pode ser anual, semestral ou acionada por mudança relevante, incidente ou sinal de deterioração; não há justificativa universal para impor uma revisão trimestral a todos.

A empresa também deve preparar uma resposta a incidentes. A Resolução CD/ANPD nº 15, de 2024, regulamenta a comunicação de incidente de segurança com dados pessoais. Quando o incidente puder causar risco ou dano relevante aos titulares, o controlador deve comunicar a ANPD e os titulares afetados no prazo de três dias úteis, contado da ciência do incidente, sem prejuízo da comunicação posterior de informações complementares. A avaliação considera, entre outros fatores, a natureza, a categoria e a quantidade de dados, a facilidade de identificação dos titulares, a gravidade dos possíveis impactos e a quantidade de titulares afetados.

A comunicação deve conter as informações exigidas pela resolução; quando algum dado ainda não estiver disponível, a empresa deve justificar e complementar depois.

Assim, a antiga referência a uma comunicação obrigatória em 24 horas não deve ser apresentada como regra geral da LGPD. Pode haver prazo contratual, regulatório ou interno diferente, e a resposta inicial deve ser imediata para preservar evidências e conter o acesso, mas o prazo regulatório geral da ANPD precisa ser distinguido dessas providências. O canal, o formulário e as orientações oficiais da ANPD devem ser consultados na página atual de comunicação de incidente de segurança, porque procedimentos eletrônicos podem ser atualizados.

O Relatório de Impacto à Proteção de Dados Pessoais é um instrumento para descrever tratamentos capazes de gerar riscos às liberdades civis e aos direitos fundamentais, avaliar esses riscos e indicar medidas de mitigação. Não é obrigatório elaborar um relatório extenso para toda atividade, mas ele pode ser adequado para tratamentos de alto risco, como monitoramento sistemático, dados sensíveis em grande escala ou decisões automatizadas relevantes. As orientações e modelos publicados pela ANPD devem ser conferidos na versão vigente.

Um plano básico pode ser executado em fases, com responsáveis e evidências objetivas. Na primeira fase, o responsável pelo tratamento deve confirmar o fato, abrir registro, preservar logs e impedir novas exposições. Na segunda, a área técnica identifica sistemas, dados e titulares potencialmente afetados, enquanto a direção avalia continuidade, contenção e comunicação. Na terceira, jurídico, encarregado ou responsável de privacidade verifica a resolução da ANPD, contratos, relação de consumo ou trabalho e eventual necessidade de comunicação a outros órgãos. Na quarta, a empresa corrige a causa, registra a decisão e testa se a correção funcionou.

A escalada deve ocorrer sempre que houver dados sensíveis, dados de crianças ou adolescentes, credenciais, risco de fraude, grande número de titulares, exposição pública, envolvimento de fornecedor, suspeita de crime, paralisação relevante ou incerteza sobre a causa. Mesmo quando o risco não alcançar o patamar de comunicação, registre a análise e a razão da decisão. Não existe uma triagem universal de 30 minutos: o tempo inicial deve ser suficiente para conter o evento e variar conforme a complexidade, sem transformar uma triagem em investigação definitiva.

As páginas oficiais da ANPD sobre regulamentações, direitos dos titulares, comunicação de incidentes, relatório de impacto e aviso de privacidade são referências úteis, mas devem ser consultadas em suas versões atuais. Um aviso de privacidade, por exemplo, só ajuda se corresponder aos fluxos reais. Da mesma forma, inteligência artificial pode apoiar o inventário ou a classificação de riscos, mas a revisão humana continua necessária, especialmente quando há dúvida jurídica ou impacto significativo sobre titulares.

1. Priorize os tratamentos por sensibilidade, volume, impacto e possibilidade de fraude.
2. Nomeie responsáveis e mantenha inventário, contratos e registros de decisão.
3. Aplique controles proporcionais, como menor privilégio, autenticação forte, cópias de segurança e segregação de ambientes.
4. Revise fornecedores conforme o acesso, o risco e mudanças relevantes, e não por calendário uniforme.
5. Mantenha um procedimento de incidente com preservação de evidências, contenção, avaliação e comunicação.
6. Escale o caso quando houver risco relevante, dados sensíveis, menores, fraude, muitos titulares ou incerteza material.

Perguntas frequentes

A LGPD adotou responsabilidade civil objetiva ou subjetiva?

A LGPD não deve ser resumida em uma classificação universal. Há interpretações subjetivas, objetivas e intermediárias. A análise concreta considera tratamento, agentes, violação, dano, nexo causal, risco da atividade, diligência e normas complementares.

Um vazamento gera indenização automaticamente?

Não necessariamente. O incidente exige contenção e investigação, mas a indenização depende da análise do dano, da irregularidade, do nexo causal e das circunstâncias do caso. Os tribunais não tratam todo vazamento como prova automática de dano moral.

Qual é a diferença entre controlador e operador?

O controlador toma as decisões referentes ao tratamento; o operador realiza o tratamento em nome do controlador. A responsabilidade depende da atuação efetiva, das instruções, dos deveres legais e das falhas de cada agente. O contrato ajuda a organizar tarefas, mas não elimina automaticamente direitos do titular.

O consentimento elimina a responsabilidade da empresa?

Não. O consentimento precisa ser válido e compatível com a finalidade informada. Ele não autoriza segurança insuficiente, uso incompatível, excesso de dados ou violação de outros deveres da LGPD.

Qual é o prazo para comunicar um incidente à ANPD?

A Resolução CD/ANPD nº 15/2024 estabelece comunicação à ANPD e aos titulares afetados em até três dias úteis, contados da ciência pelo controlador, quando o incidente puder causar risco ou dano relevante. O caso deve ser avaliado conforme os critérios da resolução, e informações faltantes podem exigir complementação.

Quais documentos ajudam a demonstrar diligência?

Inventário de tratamentos, contratos e instruções para operadores, registros de acesso, políticas, treinamentos, avaliações de fornecedores, relatórios de impacto quando adequados, registros de atendimento a titulares, plano de resposta e evidências de correção ajudam a reconstruir as decisões da empresa.

O que fazer imediatamente após identificar um incidente?

Contenha o acesso, preserve logs e outros vestígios, registre a linha do tempo, identifique dados e titulares potencialmente afetados, acione os responsáveis, avalie o risco e verifique a necessidade de comunicação. Não apague evidências nem conclua prematuramente que não houve dano.

Conclusão

A melhor resposta à pergunta sobre qual foi o regime de responsabilidade civil adotado pela LGPD é reconhecer que a lei não estabeleceu uma classificação única aplicável a todos os casos. A doutrina e a jurisprudência trabalham com leituras subjetivas, objetivas e intermediárias, mas a solução concreta depende da atividade, da relação jurídica, da atuação de controlador e operador, da violação, do dano, do nexo causal e das exclusões do artigo 43. O artigo 45 ainda exige atenção às normas de consumo, trabalho e outros regimes específicos. Para reduzir riscos, a empresa deve priorizar tratamentos relevantes, contratar e supervisionar fornecedores, conservar evidências, manter controles proporcionais e cumprir a regra vigente da ANPD para comunicação de incidentes relevantes.

Documentar diligência não garante imunidade, mas permite explicar decisões, corrigir falhas e responder com mais segurança a titulares, autoridades e tribunais.

Fontes

1. Direito dos Titulares. Agência Nacional de Proteção de Dados (ANPD). Página da ANPD que explica os direitos dos titulares de dados pessoais assegurados pela LGPD, incluindo acesso, correção e eliminação.
2. Perguntas Frequentes — Autoridade Nacional de Proteção de Dados. Agência Nacional de Proteção de Dados (ANPD). Repositório de perguntas e respostas da ANPD sobre a aplicação da LGPD e direitos dos titulares, oferecendo explicações claras e didáticas.
3. Aviso de Privacidade — ANPD. Agência Nacional de Proteção de Dados (ANPD). Exemplo oficial de como a ANPD estrutura um Aviso de Privacidade, informando sobre o tratamento de dados pessoais dos visitantes do site.
4. Relatório de Impacto à Proteção de Dados Pessoais (RIPD). Agência Nacional de Proteção de Dados (ANPD). Orientações sobre a elaboração do Relatório de Impacto à Proteção de Dados Pessoais, essencial para a conformidade com a LGPD.
5. Comunicado de Incidente de Segurança. Agência Nacional de Proteção de Dados (ANPD). Instruções sobre como comunicar incidentes de segurança que possam afetar dados pessoais, conforme exigências da LGPD.
6. Regulamentações ANPD. Agência Nacional de Proteção de Dados (ANPD). Conjunto de regulamentações e atos normativos da ANPD que orientam a aplicação da LGPD e direitos dos titulares.