RECURSO ESPECIAL — REsp 2218482

Ementa oficial

RECURSO ESPECIAL. CIVIL. CONSUMIDOR. CADASTRO POSITIVO. BANCO DE DADOS. DISPONIBILIZAÇÃO DE DADOS TELEFÔNICOS A TERCEIROS CONSULENTES. DEVER DE INFORMAÇÃO E CONSENTIMENTO. DANO MORAL IN RE IPSA. I. Caso em exame 1. Recurso especial interposto por consumidor, com fundamento no art. 105, III, "a" e "c", da Constituição Federal, em ação condenatória em obrigação de fazer cumulada com indenização por danos morais e desvio de tempo útil do consumidor, ajuizada contra gestora de banco de dados de crédito, em razão da divulgação do número de telefone do autor em consultas para análise de crédito (score), na qual se pleiteia a cessação da divulgação e a compensação por danos morais. 2. Sentença de improcedência mantida pelo Tribunal de Justiça estadual, que reputou lícita a divulgação do número de telefone para fins de análise de crédito, por entender que se trata de dado pessoal não sensível, cuja manutenção em órgãos restritivos dispensaria anuência do consumidor, com majoração dos honorários nos termos do art. 85, § 11, do CPC. II. Questão em discussão 3. Há duas questões em discussão: (i) saber se o gestor de banco de dados regido pela Lei n. 12.414/2011 pode coletar, armazenar e disponibilizar dados cadastrais do consumidor, como o número de telefone, a terceiros consulentes, sem prévia comunicação e sem o consentimento expresso do titular; e (ii) saber se a disponibilização indevida de tais dados, em desacordo com o dever de informação e com a disciplina do cadastro positivo e da proteção de dados pessoais, configura dano moral presumido (in re ipsa), gerando obrigação de indenizar e de suspender a divulgação. III. Razões de decidir 4. O julgado recorrido confundiu a sistemática do credit scoring, disciplinada no Tema N. 710/STJ e na Súmula N. 550/STJ, com a gestão de banco de dados de crédito, quando, segundo a jurisprudência consolidada, o credit scoring é apenas modelo estatístico de avaliação de risco, que não constitui banco de dados e, por isso, não exige consentimento prévio, ao passo que a coleta, o armazenamento e a disponibilização de dados cadastrais pessoais sujeitam-se ao regime específico da Lei n. 12.414/2011 e da Lei n. 13.709/2018. 5. O gestor de banco de dados regido pela Lei n. 12.414/2011 pode tratar dados pessoais não sensíveis e abrir cadastro com informações de adimplemento, sem consentimento prévio do cadastrado, mas, à luz do art. 4º, IV, da referida lei, somente está autorizado a disponibilizar a terceiros consulentes o score de crédito, independentemente de consentimento, e o histórico de crédito, mediante autorização específica do cadastrado, sendo que as informações cadastrais e de adimplemento somente podem ser compartilhadas com outros bancos de dados (art. 4º, III). 6. Dados cadastrais como o número de telefone, ainda que não qualificados como dados sensíveis na acepção do art. 5º, II, da LGPD, não podem ser fornecidos a terceiros consulentes pelo gestor de banco de dados sem prévio e expresso consentimento do titular, uma vez que inexiste autorização legal para tal disponibilização. Os arts. 4º, I e § 4º, e 5º, V, da Lei n. 12.414/2011, bem como o art. 43, § 2º, do CDC, asseguram ao consumidor o direito de ser previamente informado sobre o armazenamento, o objetivo do tratamento e a identidade do gestor, podendo opor-se ao tratamento e exigir o cancelamento do cadastro. 7. A inobservância dos deveres legais vinculados ao tratamento de dados - que compreendem a coleta, o armazenamento, a comunicação prévia ao titular e a transferência a terceiros - viola direitos da personalidade do consumidor, em especial a privacidade e a intimidade, e, nos termos da jurisprudência desta Corte, faz nascer pretensão de indenização por danos morais, bem como o direito de determinar a cessação imediata da divulgação indevida dos dados. 8. A disponibilização indevida, a terceiros consulentes, de dados pessoais do cadastrado que, pela Lei n. 12.414/2011, somente podem ser compartilhados entre bancos de dados - como as informações cadastrais, inclusive telefônicas - caracteriza dano moral presumido (in re ipsa), em razão da forte sensação de insegurança e da violação à esfera privada do titular, impondo a responsabilização objetiva do gestor do banco de dados, nos termos da Lei do Cadastro Positivo e da LGPD. 9. Ao dispensar a anuência do consumidor e a comunicação prévia para a divulgação do número de telefone e reputar lícita a conduta da gestora do banco de dados, o acórdão recorrido destoou da orientação firmada pela Terceira Turma e pela Segunda Seção do STJ, que exige observância rigorosa do dever de informação e das restrições legais à disponibilização de dados pessoais a terceiros consulentes. 10. Configurada a disponibilização indevida dos dados telefônicos do recorrente, impõe-se a condenação da gestora do banco de dados à obrigação de suspender a divulgação dessas informações a terceiros consulentes, bem como ao pagamento de indenização por danos morais em valor fixado com observância aos parâmetros jurisprudenciais da Corte. Dispositivo Recurso especial conhecido e parcialmente provido.