Considere hipoteticamente que no dia 2 de fevereiro de 2023, um hacker invadiu o sistema informatizado de cadastro de assistência social do Município Y e copiou os dados pessoais de inúmeros assistidos (nome completo, telefone e data de nascimento) e os vendeu para uma empresa de marketing. A notícia do vazamento foi divulgada em jornais locais e alguns assistidos afirmaram estar recebendo ligações, com ofertas de produtos e empréstimos financeiros, mais do que o comum. Dentre os assistidos estava a senhora X, idosa, aposentada e hipossuficiente economicamente. Mesmo não tendo recebido nenhuma ligação de empresas de marketing, a senhora X, nervosa com a situação e com receio de que seu nome estivesse na lista (conforme correspondência recebida do Município Y em aviso geral aos assistidos, alertando sobre o ocorrido), procurou uma unidade da Defensoria Pública para ser representada em uma ação de indenização a ser proposta contra o Município Y. Acerca desses fatos, analise as conclusões a seguir. I. Os dados de natureza comum, pessoais, mas não íntimos, passíveis apenas de identificação da pessoa natural (tais como nome completo, telefone e data de nascimento), não podem ser classificados como sensíveis. II. A ocorrência do vazamento de dados pessoais, por se tratar de falha indesejável no tratamento de dados de pessoa natural por pessoa jurídica, tem o condão, por si só, de gerar dano moral indenizável; ou seja, o dano moral é presumido e passível de indenização. III. O fato de a senhora X ser uma pessoa idosa implica na classificação automática dos seus dados pessoais como sensíveis. De acordo com a Lei Geral de Proteção de Dados (LGPD), e conforme precedentes do Superior Tribunal de Justiça (STJ), está(ão) correta(s) a(s) conclusão(ões)
- A)I, apenas.
Correta, porque apenas a assertiva I está de acordo com a LGPD ao classificar nome, telefone e data de nascimento como dados pessoais comuns, e não sensíveis.
- B)II e III, apenas.
Errada, porque a II não é correta e a III também não, já que vazamento não gera dano moral automaticamente e a idade não torna o dado sensível.
- C)I, II e III.
Errada, porque a III está incorreta: ser idosa não transforma automaticamente os dados pessoais em sensíveis.
- D)I e III, apenas.
Errada, porque a III está errada e apenas a I permanece compatível com a LGPD.
- E)I e II, apenas.
Errada, porque a II não pode ser afirmada de forma automática como dano moral presumido em qualquer vazamento de dados.
Gabarito: A
A LGPD distingue dado pessoal de dado pessoal sensível. Dado pessoal é qualquer informação relacionada a pessoa natural identificada ou identificável, como nome, telefone e data de nascimento. Já os dados sensíveis são os de origem racial ou étnica, convicção religiosa, opinião política, filiação a sindicato, dado referente à saúde ou vida sexual, dado genético ou biométrico, quando vinculados a uma pessoa natural, conforme o art. 5º, II, da Lei nº 13.709/2018. Então, esses dados do enunciado são pessoais, mas não sensíveis. Também é importante lembrar que vazamento de dados, por si só, não gera automaticamente dano moral indenizável em qualquer situação. O STJ tem exigido demonstração concreta do abalo ou da lesão, especialmente quando se trata de dados cadastrais comuns e sem conteúdo íntimo. Em outras palavras, nem todo vazamento vira indenização automática - o direito não funciona no modo "copiou, colou, pagou". A terceira afirmação erra porque a idade da senhora X não transforma seus dados pessoais comuns em dados sensíveis. A LGPD protege com mais rigor dados de crianças e adolescentes em regras específicas, mas a condição de idosa, isoladamente, não muda a natureza do dado para sensível. Por isso, apenas a assertiva I está correta. O gabarito A se sustenta porque nome, telefone e data de nascimento são dados pessoais comuns, não sensíveis, e as demais conclusões extrapolam a LGPD e a jurisprudência do STJ.