Banco de dados de crédito: disponibilização/comercialização de dados cadastrais a terceiros consulentes

PROCESSUAL CIVIL, CONSUMIDOR E PROTEÇÃO DE DADOS. RECURSO ESPECIAL. AÇÃO DE OBRIGAÇÃO DE FAZER C/C INDENIZAÇÃO POR DANOS MORAIS. BANCO DE DADOS DE CRÉDITO. DISPONIBILIZAÇÃO/COMERCIALIZAÇÃO DE DADOS CADASTRAIS A TERCEIROS CONSULENTES. LEI 12.414/2011 . LGPD. TEMA 710/STJ E SÚMULA 550/STJ . DISTINÇÃO. DANO MORAL IN RE IPSA. RESPONSABILIDADE OBJETIVA. RECURSO CONHECIDO E PROVIDO.

1. Recurso especial em ação de obrigação de fazer cumulada com indenização por danos morais, interposto por consumidor contra acórdão que reputou lícita a disponibilização, em relatórios confidenciais de proteção ao crédito, de dados pessoais não sensíveis (endereço, telefones, participação societária, score e faixa estimada de renda) sem consentimento e sem comunicação prévia, afastando dano moral.

2. O objetivo recursal é decidir se (i) a disponibilização, a terceiros consulentes, de informações cadastrais e de adimplemento, em ambiente de proteção ao crédito, dispensa consentimento e comunicação prévia; (ii) a legislação específica (Lei 12.414/2011 e CDC) limita o conteúdo que pode ser disponibilizado a consulentes ao score e, mediante autorização, ao histórico de crédito; (iii) a mera disponibilização indevida de dados cadastrais configura dano moral; (iv) aplica-se, ou não, por distinção, o entendimento do Tema 710/STJ e da Súmula 550/STJ.

3. O tratamento de dados para proteção do crédito é autorizado (LGPD, art. 7º, X), mas se submete aos limites da Lei 12.414/2011: ao consulente, podem ser disponibilizados o score de crédito (sem consentimento) e, mediante autorização específica, o histórico de crédito; informações cadastrais e de adimplemento armazenadas só podem ser compartilhadas entre bancos de dados (art. 4º, III e IV). A disponibilização de dados cadastrais a consulentes, sem consentimento específico do titular, é ilícita.

4. A disponibilização/comercialização de dados cadastrais a terceiros consulentes, sem autorização específica, viola o microssistema de proteção ao crédito e a autodeterminação informativa, configurando ato ilícito e dano moral presumido, com responsabilidade objetiva do gestor (Lei 12.414/2011, art. 16; LGPD, arts. 42 e 43, II; CDC, art. 43, §§ 1º e 2º). O Tema 710/STJ e a Súmula 550/STJ, restritos ao credit scoring, não se aplicam ao fornecimento de dados cadastrais por banco de dados.

5. Recurso especial conhecido e provido.