Comercialização de dados pessoais não sensíveis: o que o STJ vai decidir no Tema 1404

Comercialização de dados pessoais não sensíveis é a prática pela qual gestores de bancos de dados de proteção ao crédito disponibilizam ou vendem a terceiros informações comuns do consumidor, como nome, endereço, histórico de pagamentos e perfil de consumo, sem que esses dados revelem origem racial, convicção religiosa, saúde, vida sexual ou outro elemento submetido a regime especial de sigilo. O tema voltou ao centro do debate porque o Superior Tribunal de Justiça afetou a questão ao rito dos recursos repetitivos, no Tema 1404, e a tese a ser fixada terá efeito vinculante sobre milhares de processos no país.

A distinção entre dado pessoal comum e dado sensível está na própria Lei Geral de Proteção de Dados (Lei 13.709/2018). Dado sensível recebe proteção reforçada justamente por seu potencial discriminatório. O dado não sensível, por outro lado, é aquele que circula com frequência em cadastros diversos, o que levou parte da jurisprudência a tratá-lo com menor rigor. Não sensível, porém, não significa de livre circulação: a LGPD continua exigindo uma base legal para cada tratamento e impõe o princípio da finalidade, que veda usar a informação para propósito diferente daquele que justificou a coleta.

A base legal por trás do cadastro de crédito

A circulação desses dados é regida por dois diplomas que se completam. A LGPD, no artigo 7º, lista as hipóteses que autorizam o tratamento, entre elas a proteção ao crédito, dispensando o consentimento em situações específicas. Já a Lei do Cadastro Positivo (Lei 12.414/2011, alterada pela Lei Complementar 166/2019) detalha os limites práticos. Depois da reforma de 2019, a abertura do cadastro passou a poder ser feita sem consentimento prévio, desde que o titular seja comunicado em prazo legal e tenha transparência sobre o uso de suas informações.

A própria lei gradua o nível de proteção conforme a sensibilidade da informação. O escore de crédito, o conhecido credit score, é método estatístico de avaliação de risco e, segundo a Súmula 550 do STJ, dispensa o consentimento do consumidor, observado o direito de obter informações sobre os dados considerados e suas fontes. O histórico de crédito, que reúne contratações, pagamentos e inadimplências, é mais invasivo e exige autorização expressa e específica, sem espaço para consentimentos genéricos. Já os dados cadastrais e de adimplemento, em regra, só podem ser compartilhados com outros bancos de dados autorizados, e não repassados livremente a qualquer consulente.

O que está em jogo no Tema 1404

A Segunda Seção do STJ definiu que vai responder, sob o rito dos repetitivos, a duas perguntas centrais. A primeira é se é lícita a disponibilização ou comercialização a terceiros de dados pessoais não sensíveis, por gestor de banco de dados de entidades de proteção ao crédito, sem prévia comunicação ou consentimento do cadastrado. A segunda é se, havendo ilicitude na conduta, o dano moral é presumido, o chamado dano moral in re ipsa, ou se depende de prova concreta do prejuízo. A controvérsia está nos recursos especiais 2.226.946/SP e 2.226.097/SP, sob relatoria do ministro Raul Araújo.

A afetação ao rito dos repetitivos não surgiu por acaso. Havia divergência clara entre julgados. Em decisão de fevereiro de 2026, a Quarta Turma entendeu que a simples disponibilização de dados não sensíveis em cadastro positivo não gera, por si só, direito a indenização, exigindo a demonstração de abalo significativo aos direitos de personalidade. Em sentido diverso, outros julgados reconheceram dano moral presumido quando a divulgação ocorre sem consentimento. Uniformizar esse entendimento é o objetivo do julgamento.

Na prática, a definição do Tema 1404 importa tanto ao consumidor quanto às empresas. Para o consumidor, está em discussão até que ponto seus dados podem ser repassados e comercializados sem que ele saiba, e qual a reparação cabível quando isso é feito de forma indevida. Para os bancos de dados, fintechs e empresas que dependem dessas informações, a tese trará segurança sobre o que é permitido, reforçando que transparência e comunicação ao titular tendem a ser exigências centrais, ainda que o consentimento prévio nem sempre seja obrigatório. Enquanto a tese não é fixada, vale acompanhar o andamento do julgamento e, diante de uso indevido de dados, buscar orientação jurídica para avaliar comunicação ao titular, correção da informação e eventual reparação.

Perguntas frequentes

O que são dados pessoais não sensíveis? São informações comuns que identificam ou se referem a uma pessoa, como nome, endereço e histórico de pagamentos, mas que não revelam aspectos protegidos por sigilo especial, como saúde, religião ou origem racial.

É preciso consentimento para comercializar esses dados? Depende do tipo. O escore de crédito dispensa consentimento, segundo o STJ; o histórico de crédito exige autorização expressa e específica. O limite exato da comercialização a terceiros sem consentimento é justamente o que o Tema 1404 vai definir.

A divulgação indevida gera indenização automática? Ainda não há resposta única. Há julgados que reconhecem dano moral presumido e outros que exigem prova do prejuízo. O STJ deve uniformizar o entendimento no julgamento do Tema 1404.