Histórico de crédito não pode ser compartilhado sem autorização do consumidor
STJ fixa entendimento e condena empresa por divulgar dados pessoais sem consentimento
O histórico de crédito e de adimplemento do consumidor não pode ser compartilhado com terceiros sem autorização prévia e expressa do titular. Esse foi o entendimento unânime da 3ª Turma do Superior Tribunal de Justiça, que determinou a condenação de uma empresa de análise de risco e crédito ao pagamento de R$ 11 mil por danos morais, em razão do compartilhamento indevido de dados pessoais.
A decisão reforça os limites legais para o uso de informações financeiras e estabelece distinções relevantes entre pontuação de crédito e gestão de bancos de dados cadastrais.
Caso analisado pelo STJ
O julgamento ocorreu no âmbito do Recurso Especial 2.242.293, interposto por uma consumidora que alegou ter tido seus dados pessoais divulgados sem autorização em plataformas administradas pela empresa, como Acerta Essencial, Acerta Intermediário, Acerta Completo e Dataplus.
Nas instâncias inferiores, a ação havia sido julgada improcedente sob o argumento de que a prática se enquadraria como credit scoring, método utilizado para atribuição de pontuação de crédito. Esse entendimento foi revertido no julgamento do recurso pelo Superior Tribunal de Justiça.
Diferença entre credit scoring e banco de dados de crédito
Ao reformar as decisões anteriores, o STJ fez uma distinção clara entre o credit scoring e a gestão de bancos de dados regulados pela Lei do Cadastro Positivo. Segundo a relatora do caso, a ministra Nancy Andrighi, o processo não tratava da simples atribuição de score, mas da disponibilização de informações cadastrais e de adimplemento a terceiros consulentes.
O tribunal destacou que o credit scoring é autorizado pela Súmula 550 e pelo entendimento consolidado no Tema 710. No entanto, essa autorização não se estende ao compartilhamento do histórico detalhado de crédito sem consentimento do consumidor.
Quando o compartilhamento de dados é permitido
De acordo com o entendimento firmado pela 3ª Turma, o gestor de banco de dados pode fornecer a terceiros apenas a pontuação de crédito do consumidor, sem necessidade de autorização prévia. Já o histórico de crédito e as informações de adimplemento somente podem ser compartilhados mediante autorização expressa do titular.
Além disso, dados cadastrais e financeiros armazenados em bancos de dados só podem ser trocados entre bancos de dados autorizados, e não disponibilizados livremente a terceiros consulentes, como empresas que realizam análises comerciais ou de risco.
Dano moral presumido e responsabilidade objetiva
Para o colegiado, o compartilhamento de informações fora das hipóteses legais configura ato ilícito. Nesses casos, o dano moral é presumido, caracterizado como in re ipsa, em razão da sensação de insegurança e violação da esfera privada do consumidor.
A decisão também estabeleceu que a responsabilidade do gestor do banco de dados é objetiva, ou seja, independe da comprovação de culpa, bastando a demonstração da conduta irregular e do nexo com o dano causado.
Determinações impostas à empresa
Além da condenação ao pagamento de indenização, o STJ determinou que a empresa cesse o compartilhamento dos dados cadastrais e de adimplemento da autora da ação com terceiros, permitindo apenas o intercâmbio dessas informações com outros bancos de dados legalmente autorizados.
A decisão reforça a proteção dos dados pessoais no contexto das relações de consumo e impõe limites claros à atuação de empresas que operam com informações sensíveis de crédito.
Impacto para consumidores e mercado de crédito
O entendimento do STJ tem impacto direto sobre o mercado de análise de risco e crédito, ao exigir maior rigor no tratamento de dados pessoais. Para o consumidor, a decisão fortalece o direito à privacidade e ao controle sobre suas informações financeiras. Para as empresas, impõe a necessidade de revisão de práticas internas e de conformidade com a legislação vigente.
O julgamento consolida um marco relevante na proteção do histórico de crédito e na responsabilização pelo uso indevido de dados pessoais no Brasil.
