Ação de obrigação de fazer com danos morais por descumprimento a LGPD

A ação de obrigação de fazer com danos morais por descumprimento da LGPD serve para obrigar a empresa a parar de usar ou repassar seus dados e para pedir indenização. Desde 2023, o STJ tem exigido que o autor prove o dano concreto quando o caso é vazamento de dados comuns.

Falar com o advogado no WhatsApp

Este modelo foi revisado em outubro de 2026. A versão de 2021 sustentava dano moral presumido em qualquer situação, não incluía a indenização no rol de pedidos e citava a LGPD com o ano errado. Tudo isso foi corrigido abaixo.

O que o STJ decidiu sobre dano moral e dados pessoais

Não existe uma regra única. O resultado depende do que aconteceu com os dados e de quem os colocou em circulação.

No caso do modelo, a empresa contratada repassou os dados do cliente a parceiros comerciais, que passaram a ligar e mandar mensagens. Isso é diferente de um vazamento acidental: houve compartilhamento intencional, com finalidade comercial e sem base legal.

Mesmo assim, a petição descreve o dano concreto, com datas e números. Como o STJ separa vazamento de repasse e o enquadramento depende dos fatos, esse é o caminho mais seguro para o autor.

Definição: ação de obrigação de fazer é o pedido para que o juiz ordene à empresa que faça ou deixe de fazer algo, como excluir dados ou parar de compartilhá-los, sob pena de multa diária (arts. 497 e 537 do Código de Processo Civil).

Antes de entrar com a ação

A força da petição está nas provas reunidas antes do protocolo. Estes passos fazem diferença:

• Peça à empresa, por escrito, a lista de com quem ela compartilhou seus dados (art. 18, VII, da LGPD) e a eliminação deles (art. 18, VI). A resposta, ou o silêncio, vira prova.
• Guarde prints de mensagens, histórico de chamadas com data e hora, e-mails e protocolos de atendimento.
• Se quiser reforçar o histórico, registre reclamação na ANPD (art. 18, § 1º) ou no Procon.
• Defina o valor da indenização pedida, porque ele entra no valor da causa (art. 292, V e VI, do CPC).

A ANPD também tem sido procurada pelos titulares. Em 2025, a agência respondeu a 12.701 requerimentos de titulares e abriu 81 processos de fiscalização, segundo o seu 1º Relatório Integrado de Gestão, divulgado em maio de 2026.

A reclamação administrativa e a ação judicial não se excluem. A ANPD pode punir a empresa, mas só o Judiciário fixa indenização para o titular.

Modelo de petição

Os trechos entre parênteses são instruções. Adapte os fatos ao seu caso e apague as instruções antes de protocolar.

AO JUÍZO DA ___ VARA CÍVEL DA COMARCA DE [CIDADE/UF]

(No Juizado Especial: AO JUÍZO DO ___ JUIZADO ESPECIAL CÍVEL DA COMARCA DE [CIDADE/UF].)

[NOME COMPLETO], [nacionalidade], [estado civil], [profissão], inscrito(a) no CPF sob o nº [número], endereço eletrônico [e-mail], residente e domiciliado(a) na [endereço completo com CEP], por seu advogado, com procuração anexa, vem propor

AÇÃO DE OBRIGAÇÃO DE FAZER E DE NÃO FAZER CUMULADA COM INDENIZAÇÃO POR DANOS MORAIS, COM PEDIDO DE TUTELA DE URGÊNCIA

com fundamento nos arts. 6º, 7º, 18, 42 e 44 da Lei 13.709/2018 (LGPD), nos arts. 6º, VI e VIII, 14 e 39, I, do Código de Defesa do Consumidor, nos arts. 186, 475 e 927 do Código Civil e nos arts. 300, 497 e 537 do Código de Processo Civil, em face de:

[EMPRESA X], pessoa jurídica de direito privado, inscrita no CNPJ sob o nº [número], com sede na [endereço com CEP], endereço eletrônico [e-mail];

(Se houver segunda ré.) [EMPRESA Y], pessoa jurídica de direito privado, inscrita no CNPJ sob o nº [número], com sede na [endereço com CEP], endereço eletrônico [e-mail];

pelos fatos e fundamentos a seguir expostos.

I. Dos fatos

1. Em [data], o(a) autor(a) contratou a [Empresa X] para [descrever o serviço], com prazo de execução de [período] (contrato anexo, doc. [nº]).

2. Para a contratação, forneceu nome, CPF, endereço, telefone pessoal e e-mail. Nenhuma cláusula do contrato autoriza o repasse desses dados a terceiros.

3. Cerca de [X] semanas depois do início do serviço, o(a) autor(a) passou a receber ligações e mensagens de WhatsApp da [Empresa Y], oferecendo materiais ligados justamente ao serviço contratado.

4. Ao perguntar como a [Empresa Y] havia obtido seus dados, ouviu que ela é parceira da [Empresa X] e que os clientes desta costumam comprar materiais com ela (gravação ou print anexo, doc. [nº]).

5. Em [data], o(a) autor(a) pediu por escrito à [Empresa X] que não repassasse seus dados e informasse com quem os havia compartilhado (doc. [nº]). Não houve resposta. (Se houve resposta, descreva o que foi dito.)

6. As abordagens continuaram. Entre [data] e [data], foram [número] ligações e [número] mensagens, inclusive em fins de semana e durante o expediente, conforme histórico anexo (doc. [nº]).

7. As ligações no horário de trabalho geraram [descrever o efeito concreto: advertência do superior, interrupção de atendimentos, outro reflexo] (doc. [nº]).

8. Depois que o(a) autor(a) se recusou a comprar os materiais da [Empresa Y], a [Empresa X] interrompeu o serviço, que segue inacabado, embora o pagamento tenha sido feito integralmente (comprovantes, doc. [nº]).

9. Em [data], o(a) autor(a) passou a receber contatos de uma terceira empresa, [nome], também parceira da [Empresa X] (doc. [nº]).

(Quanto mais datas, números e documentos, melhor. É isso que demonstra o dano concreto exigido pelo STJ.)

II. Do direito

II.1 Da relação de consumo e da inversão do ônus da prova

10. O(a) autor(a) é consumidor(a) e a [Empresa X] é fornecedora (arts. 2º e 3º do CDC), e a vulnerabilidade do consumidor é reconhecida pelo art. 4º, I, do CDC.

11. A prova de como os dados chegaram às empresas parceiras está em poder das rés. Requer-se a inversão do ônus da prova com base no art. 6º, VIII, do CDC e no art. 42, § 2º, da LGPD, que a autoriza quando a alegação for verossímil ou a prova for excessivamente onerosa para o titular.

II.2 Do compartilhamento sem base legal

12. A LGPD só permite o tratamento de dados pessoais nas hipóteses do art. 7º. Os dados do(a) autor(a) foram coletados para executar o contrato (art. 7º, V). Repassá-los a parceiros para oferta de produtos é finalidade nova, que não se enquadra nessa hipótese.

13. Não houve consentimento (art. 7º, I). Ainda que houvesse cláusula contratual, ela precisaria estar destacada das demais (art. 8º, § 1º), o que não ocorre no contrato anexo.

14. A conduta viola a boa-fé e os princípios da finalidade, da adequação e da necessidade (art. 6º, caput e incisos I a III, da LGPD).

15. O tratamento é irregular quando deixa de observar a legislação (art. 44), e o controlador que, em violação à lei, causar dano moral a outrem é obrigado a repará-lo (art. 42).

16. Respondem solidariamente os controladores diretamente envolvidos no tratamento do qual decorreu o dano (art. 42, § 1º, II). A [Empresa Y], que recebeu e usou os dados em abordagens comerciais, deve integrar o polo passivo.

II.3 Do dano moral

17. O(a) autor(a) não pede indenização pelo simples fato de os dados terem circulado. O dano está documentado: [número] ligações e mensagens indesejadas, em horários impróprios, com reflexos no trabalho, mesmo depois de pedido expresso para que cessassem.

18. No AREsp 2.130.619/SP (2ª Turma, julgado em 7/3/2023), o STJ entendeu que o vazamento de dados pessoais comuns não gera, por si só, dano moral presumido, cabendo ao titular demonstrar o prejuízo. O presente caso atende a essa exigência.

19. Há ainda uma diferença relevante: não se trata de vazamento acidental, e sim de repasse deliberado com finalidade comercial. Nessa hipótese, a 3ª Turma do STJ reconhece dano moral presumido quando informações pessoais são disponibilizadas a terceiros sem comunicação ou consentimento do titular (REsp 1.758.799/MG, 2019, e REsp 2.201.694, 2025).

20. A indenização deve considerar a extensão do dano, a reiteração da conduta depois do pedido do(a) autor(a), a finalidade lucrativa do repasse e a capacidade econômica das rés, em valor não inferior a R$ [valor].

(Insira aqui precedentes do tribunal do seu estado em casos parecidos. Prefira decisões recentes e confira o inteiro teor antes de citar.)

II.4 Da venda casada e do contrato inacabado

21. A [Empresa X] recebeu o pagamento integral e interrompeu o serviço depois que o(a) autor(a) recusou a compra com a parceira. Condicionar o serviço à compra de produto de terceiro é venda casada, vedada pelo art. 39, I, do CDC.

22. Diante do inadimplemento, o(a) autor(a) pode exigir o cumprimento do contrato, com indenização por perdas e danos (art. 475 do Código Civil).

II.5 Da tutela de urgência

23. A probabilidade do direito está demonstrada pelos documentos anexos. O perigo de dano decorre da continuidade das abordagens e da circulação dos dados entre novas empresas (art. 300 do CPC).

24. Requer-se, em caráter liminar, que as rés cessem qualquer contato com o(a) autor(a) e suspendam o compartilhamento de seus dados, sob pena de multa diária (art. 537 do CPC).

III. Dos pedidos

Diante do exposto, requer:

• a) a concessão de tutela de urgência para que as rés se abstenham de contatar o(a) autor(a) por telefone, WhatsApp, SMS ou e-mail e de compartilhar seus dados, sob pena de multa diária de R$ [valor];
• b) a citação das rés para, querendo, apresentar contestação;
• c) a inversão do ônus da prova (art. 6º, VIII, do CDC e art. 42, § 2º, da LGPD);
• d) a confirmação da tutela e a condenação da [Empresa X] a informar com quem compartilhou os dados do(a) autor(a) (art. 18, VII, da LGPD) e a eliminá-los, ressalvadas as hipóteses legais de guarda (art. 16);
• e) a condenação da [Empresa X] a concluir o serviço contratado em [X] dias, com materiais escolhidos pelo(a) autor(a), sob pena de multa diária, ou, alternativamente, a restituir R$ [valor], com correção monetária e juros;
• f) a condenação solidária das rés ao pagamento de indenização por danos morais de R$ [valor];
• g) a expedição de ofício à Agência Nacional de Proteção de Dados (ANPD), para ciência dos fatos e eventual apuração na esfera administrativa;
• h) a condenação das rés ao pagamento de custas processuais e honorários advocatícios;
• i) a produção de todas as provas admitidas, especialmente documental, testemunhal e depoimento pessoal dos representantes das rés.

O(a) autor(a) [tem / não tem] interesse na audiência de conciliação (art. 319, VII, do CPC).

Dá-se à causa o valor de R$ [valor], correspondente à soma dos pedidos (art. 292, VI, do CPC).

Nestes termos, pede deferimento.

[Cidade], [data].

[Nome do advogado], OAB/[UF] nº [número].

O que mudou nesta versão do modelo

A revisão de 2026 corrigiu pontos que podiam enfraquecer a ação ou levar à improcedência:

• A LGPD é a Lei 13.709/2018, e não de 2019, como constava na qualificação.
• O pedido de indenização por danos morais entrou no rol de pedidos. Antes, ele aparecia só no corpo da petição.
• A tese de dano presumido em qualquer caso deu lugar à prova do dano concreto, com a distinção entre vazamento e repasse.
• Foram incluídos tutela de urgência, multa diária e o pedido de informação sobre o compartilhamento (art. 18, VII).
• A venda casada (art. 39, I, do CDC) passou a fundamentar o pedido sobre o serviço inacabado.
• A responsabilidade solidária agora cita o dispositivo correto (art. 42, § 1º, II, da LGPD).
• A ANPD recebe ofício para ciência, e não ordem para aplicar sanção, que é competência administrativa dela.

Perguntas frequentes

Vazamento de dados dá direito a indenização?

Pode dar, mas não de forma automática. Para dados comuns, o STJ exige que o titular mostre o prejuízo concreto (AREsp 2.130.619/SP). Golpes, cobranças, contatos insistentes e perda de tempo bem documentados sustentam o pedido.

A empresa pode repassar meus dados porque assinei um contrato?

Só se houver base legal para isso. Executar o contrato não autoriza repassar dados a parceiros para venda de outros produtos. Se a base for o consentimento, ele precisa estar em cláusula destacada das demais (art. 8º, § 1º, da LGPD).

Preciso de advogado para entrar com essa ação?

No Juizado Especial Cível, causas de até 20 salários mínimos dispensam advogado. Entre 20 e 40 salários mínimos, a assistência é obrigatória. Acima disso, o caso vai para a Justiça comum (Lei 9.099/1995, arts. 3º e 9º).

Posso reclamar na ANPD em vez de ir à Justiça?

Sim. O titular pode peticionar à ANPD contra o controlador (art. 18, § 1º, da LGPD). A agência pode aplicar sanções à empresa, mas não fixa indenização para o titular. Para receber reparação, o caminho é o Judiciário.

Ajuda em casos de dados pessoais

Cada caso de dados pessoais depende das provas e do tipo de dado envolvido. O escritório atua tanto para titulares quanto para empresas que precisam responder a esse tipo de ação. Fale com a equipe.

Este modelo é informativo e deve ser adaptado ao caso concreto. Ele não substitui a análise de um advogado.

Fontes consultadas

• STJ: titular de dados vazados deve comprovar dano efetivo (AREsp 2.130.619/SP)
• STJ: disponibilização indevida de dados gera dano moral presumido (REsp 2.201.694)
• Lei 13.709/2018 (LGPD), Planalto
• Poder360: ANPD abriu 81 processos de fiscalização em 2025 (1º Relatório Integrado de Gestão)
• Código de Defesa do Consumidor, Planalto
• Código de Processo Civil, Planalto

Leituras relacionadas

• Vazamento de dados: o que fazer nas primeiras horas
• Anonimização e pseudonimização de dados na LGPD
• O que é a LGPD e por que sua empresa precisa se adequar

Revisado e atualizado por Diego Castro, advogado especialista em Direito Digital (OAB/PI 15.613). Última atualização: 8 de outubro de 2026.