Publicacao/Comunicacao
Intimação - Decisão
DECISÃO
APELANTE: INSTITUTO BRASILEIRO DE DEFESA DA PROTECAO DE DADOS PESSOAIS, COMPLIANCE E SEGURANCA DA INFORMACAO SIGILO ADVOGADO do(a)
APELANTE: CARLOS AUGUSTO DE LUCCA BATISTELA - SP335685-A ADVOGADO do(a)
APELANTE: VICTOR HUGO PEREIRA GONCALVES - SP185828-A
APELADO: SERASA S.A., UNIÃO FEDERAL, AUTORIDADE NACIONAL DE PROTECAO DE DADOS ADVOGADO do(a)
APELADO: RENATO CALDEIRA GRAVA BRAZIL - SP305379-A ADVOGADO do(a)
APELADO: FABIANO DE CASTRO ROBALINHO CAVALCANTI - RJ95237-S ADVOGADO do(a)
APELADO: CAETANO FALCAO DE BERENGUER CESAR - RJ135124-A ADVOGADO do(a)
APELADO: FRANCISCO DEL NERO TODESCAN - SP392530-A FISCAL DA LEI: MINISTERIO PUBLICO FEDERAL DECISÃO
PODER JUDICIÁRIO Tribunal Regional Federal da 3ª Região 6ª Turma Avenida Paulista, 1842, Bela Vista, São Paulo - SP - CEP: 01310-936 https://www.trf3.jus.br/balcao-virtual APELAÇÃO CÍVEL (198) Nº 5002936-86.2021.4.03.6100 RELATOR: MAIRAN GONCALVES MAIA JUNIOR
Cuida-se de ação civil pública, com pedido liminar, ajuizada por INSTITUTO BRASILEIRO DE DEFESA DE DADOS PESSOAIS, COMPLIANCE E SEGURANÇA DA INFORMAÇÃO - SIGILO em face de SERASA S.A., UNIÃO FEDERAL e AUTORIDADE NACIONAL DE PROTEÇÃO DE DADOS (ANPD), com o objetivo de condenar a ré SERASA ao pagamento de R$ 10.000,00 (dez mil reais) como indenização por danos morais a cada um dos titulares dos dados vazados, bem como ao pagamento de R$ 200.000.000,00 (duzentos milhões de reais) a título de condenação por danos morais coletivos - este a ser revertido ao Fundo de Defesa de Direitos Difusos previsto no art. 13 da Lei da Ação Civil Pública. Requer, ainda, a condenação da SERASA em razão de sua conduta ilícita que culminou na exposição dos dados de consumidores, com fulcro nos arts. 12, incs. II e III, do Marco Civil da Internet, e arts.42, 51 e 52 da Lei Geral de Proteção de Dados (LGPD); a condenação da SERASA na obrigação de fazer de "aplicar medidas técnicas e tecnológicas necessárias para retirar os eventuais dados vazados da internet, a fim de que cessem os prejuízos aos titulares" e a condenação da mesma ré na "publicação de edital no órgão oficial com fulcro no art. 94 do Código de Defesa do Consumidor." Aduz haver falha de segurança da informação nos servidores utilizados pela ré SERASA, fato que culminou no vazamento de dados de mais de 220 milhões de Cadastros de Pessoa Física (CPFs) em janeiro de 2021, incluídos o de alguns falecidos, com informações como fotos de rosto, endereço, e-mail, score de crédito, salário, entre outras. Em virtude da alegada omissão da ANPD em relação ao ilícito cometido, requer a condenação da autarquia federal na obrigação de realizar medidas administrativas que protejam os consumidores dos riscos de exposição de dados pessoais. Com a inicial, vieram documentos. A liminar foi indeferida, sob o fundamento de que não caberia ao Juízo, "neste momento inicial do feito, interferir no curso das investigações e apurações que estão em andamento, inclusive das que necessitam da preservação de sigilo, em especial as investigações de competência da Polícia Federal." A sentença extinguiu a ação sem resolução do mérito, com fulcro no art. 485, VI, do CPC, em razão da ilegitimidade ativa da associação INSTITUTO SIGILO. Não houve condenação das partes nos honorários advocatícios. Decisão sujeita à remessa oficial. Apela o autor, pugnando a reforma da sentença. Reafirmou sua legitimidade para figurar no polo ativo da ação. Com contrarrazões, os autos foram remetidos a esta Corte. Em parecer de mérito (id 344622253), apontou o Ministério Público Federal (MPF) um equívoco no processamento do feito, porquanto sua participação na presente ação fora considerada como a de terceiro interessado, quando, na verdade, havia pleiteado ser coautor. Por conseguinte, não seria de rigor a extinção sem resolução do mérito por ilegitimidade do INSTITUTO SIGILO, mas o prosseguimento da ação civil pública com o MPF no polo ativo. É o relatório. DECIDO. Presentes os requisitos estabelecidos na Súmula nº 568 do C. STJ e no artigo 932, incisos IV e V, do Código de Processo Civil/2015, cabível o julgamento monocrático, porquanto atende aos princípios da economia e celeridade processual e da observância aos precedentes judiciais. Insta destacar que a decisão monocrática é passível de controle por meio de agravo interno (artigo 1.021 do CPC/2015), assegurando o julgamento pelo órgão colegiado e a realização de eventual sustentação oral pela parte interessada quando julgar o mérito, nos termos do artigo 7º, §2º- B da Lei 8.906/94, salvaguardando os princípios da colegialidade e da ampla defesa. Dessa forma, passo a proferir decisão monocrática, com fulcro no art. 932, incisos IV e V, do Código de Processo Civil. Chamo o feito à ordem. Consoante apontado pelo MPF em parecer juntado posteriormente à interposição de apelação (id 344622253), a posição jurídica a ser ocupada pelo órgão ministerial não seria a de terceiro interessado, mas a de coautor (id 343848334, pp. 1 e 5). Note-se: "O MINISTÉRIO PÚBLICO FEDERAL, por sua Procuradora da República que esta subscreve, vem, com fundamento nos artigos 129, inciso III, da Constituição Federal e 5o da 7.347/1985, ingressar, como coautor, no polo ativo da presente ação, pelos fundamentos que, a seguir passa a expor: (...) Podendo, destarte, atuar e intervir, como coautor, nas ações coletivas que envolvam a sua tutela, inclusive para o fim de buscar a reparação de danos gerados em seu desfavor, serve-se o Ministério Público Federal da presente demanda para exercer a defesa dos direitos individuais homogêneos e coletivos que, no caso, restaram violados pelo vazamento de dados operado, em nível nacional, e denunciados pelo autor inaugural deste pleito." - grifos nossos Com efeito, em 28 de novembro de 2023, apresentou o MPF petição em que pleiteava se tornar coautor da ação, ocasião na qual juntou 8 documentos e realizou diversos pedidos, dentre eles a concessão de tutela de evidência e a condenação da SERASA e da corré ANPD. Destaco excerto da referida petição (id 343848334, pp. 27 a 30): "II) A CONDENAÇÃO: 1- da SERASA: a) ao pagamento de indenização por danos materiais aos detentores de dados vazados, por violação a direitos individuais homogêneos, diante da exposição ilegal de sua base de dados pessoais no meio público, sem o consentimento de seus titulares (42 da LGPD)43, no montante de R$ 30.000,00 (trinta mil reais) por indivíduo, a partir da identificação ou habilitação, na fase de liquidação de sentença, de cada uma das vítimas e dos danos sofridos a serem apurados nesta fase; b) ao pagamento de indenização por danos morais aos detentores de dados vazados, por violação a direitos individuais homogêneos, à sua dignidade, privacidade, e pelos graves riscos à reputação e honra de suas identidades, no montante de R$ 30.000,00 (trinta mil reais), para cada um dos titulares de dados vazados; c) ao pagamento de indenização por danos morais coletivos, com a aplicação de multa de até 10% (dez por cento) do seu faturamento anual no seu último exercício 44, e em valor não inferior a R$ 200.000.000,00 (duzentos milhões de reais), com fulcro no art. 6º, VI do Código de Defesa do Consumidor, combinado com o art. 12, inc. II, do Marco Civil da Internet, a ser revertido ao Fundo de Defesa de Direitos Difusos estabelecido pelo art. 13 da Lei n. 7.347/85; d) ao cumprimento da obrigação de fazer, para que a SERASA adote, em definitivo, no prazo máximo de 30 (trinta) dias após o trânsito em julgado da condenação, medidas técnicas e tecnológicas necessárias à minimização ou supressão dos danos gerados aos titulares dos dados vazados, com a cessação do compartilhamento e venda comercial de sua base de dados, procedendo à supressão da página de “Prospecção de Clientes” e “Lista PEP” em seu site institucional, bem assim desativação definitiva do sistema MOSAIC, a fim de que cesse a ilegalidade e se minimizem os prejuízos às vítimas e titulares desses dados; e) ao cumprimento da obrigação de fazer, para que a corré SERASA adote, no prazo máximo de 60 (sessenta) dias do trânsito em julgado da decisão condenatória, medidas técnicas e de segurança da informação mais aperfeiçoadas, com a adoção de política de prevenção e de mitigação de riscos de vazamento das informações, de sua recuperação e recomposição de danos gerados aos titulares dos dados armazenados; f) a instituição definitiva da pessoa física do “encarregado do tratamento de dados”, bem assim de Ouvidoria independente, com indicação pública de seu representante, dentro dos quadros da autarquia, que possa diretamente receber as reclamações ou revisões de reclamações dos titulares de dados armazenados junto ao banco da autarquia. 2- da ANPD (i) à obrigação de fazer, no sentido de instaurar e concluir, de forma definitiva, processo administrativo em face da corré SERASA no prazo máximo de 6 (seis) meses, com a devida prestação de contas a este M.M. Juízo, para o fim de: a-) apuração do vazamento noticiado nesta ação; b-) apuração da conduta de manutenção, pela SERASA, de página e sites institucionais, por meio dos quais a autarquia segue exercendo atividade negocial de Prospecção de Clientes com oferecimento de Lista Online o PEP para empresas parceiras, visando a comercialização de dados de pessoas constantes de seu banco de dados, em franco descumprimento à decisão judicial condenatória proferida pela 5a Vara Cível da Justiça do de Brasília - DF, onde foi processada em Ação Civil Pública (n. 0736634-81.2020.8.07.0001) acima referida. (ii) à obrigação de fazer, no sentido de regulamentar, no prazo máximo de 30 (trinta) dias do trânsito em julgado, a instituição de mecanismos e sistemas que, efetiva e rigorosamente, garantam, junto aos agentes de tratamento, operadores e controladores de dados, como a SERASA, o cumprimento do seu dever legal de zelar pela proteção de pessoais, preservação do segredo empresarial e do sigilo das informações; (iii) à obrigação de fazer, no sentido de editar, em seu site e nos principais jornais de circulação brasileiros, no prazo de 15 (quinze) dias da condenação transitada em julgado, em prol dos titulares de dados e dos consumidores de serviços da corré SERASA e de empresas prestadoras de serviços de consulta de dados, todas as normas e das políticas públicas adotadas pela ANPD sobre a proteção de dados pessoais e das medidas de segurança que devem ser observadas por tais entidades, de forma a promover o seu pleno público conhecimento a esse respeito; (iv) à obrigação de fazer, no sentido de apresentar ao juízo, no prazo de 20 (vinte) dias da condenação transitada em jugado, de regras e padrões que estarão sendo adotados pela ANPD para a disponibilização de serviços e produtos que facilitem o exercício de controle dos titulares sobre seus dados pessoais; (v) à obrigação de fazer, no sentido de apresentar ao juízo, no prazo de 20 (vinte) dias da condenação transitada em julgado, as formas de publicidade no tratamento de dados pessoais, que vem sido impostas ao SERASA e autarquias que detém e operam com base e compartilhamento de dados pessoais. (vi) à obrigação de fazer, no sentido de requisitar da corré SERASA, a cada 6 (seis) meses, bem como das entidades do poder público e privado que realizem operações de tratamento de dados pessoais, informe específico sobre o âmbito, a natureza dos dados e os demais detalhes do tratamento realizado (vii) à obrigação de fazer, no sentido de editar, no prazo de 60 (sessenta) dias da condenação transitada em julgado, - diretrizes, regulamento e procedimento sobre proteção de dados pessoais e privacidade e também voltados à Política Nacional de Proteção de Dados Pessoais e da Privacidade; - relatório de impacto à proteção de dados pessoais para os casos em que o tratamento representar alto risco à garantia dos princípios gerais de proteção de dados pessoais previstos nesta Lei, como, de fato representou e gerou, a partir do vazamento relatado nesta ACP; viii) à obrigação de fazer, no sentido de prestar contas a este Juízo, a cada 6 (seis) meses, pelo prazo de 2 (dois) anos, sobre suas atividades e planejamento, envolvendo a aplicação de medidas de segurança e fiscalização sobre as entidades da administração pública direta e indireta que lidem com o tratamento de dados pessoais, em especial a SERASA; ix) à obrigação de fazer no sentido de comunicar às autoridades investigadoras competentes, inclusive ao Ministério Público Federal e Estadual que detiver a correspondente atribuição, as infrações cíveis e penais das quais a ANPD tiver conhecimento, no prazo de até 10 (dez) dias de sua ocorrência, sob pena de incorrerem seus responsáveis em crime de prevaricação, sem prejuízo de outras sanções previstas na Lei 8112/90 aplicáveis aos servidores públicos; x) à obrigação de fazer, no sentido de regulamentar a implementação, no prazo de 30 (trinta) dias do trânsito em julgado da condenação, de mecanismos simplificados, inclusive por meio eletrônico, para o registro de reclamações por titulares de dados, sobre o tratamento de dados pessoais em desconformidade com esta Lei, inclusive com a instituição de uma Ouvidoria independente no âmbito da corré SERASA, que possa vir a receber ou revisar as reclamações dos titulares, relativamente aos dados seus armazenados pela SERASA. xi) à obrigação de fazer, no sentido de editar, no prazo de 60 (sessenta) dias, normas complementares sobre a definição e as atribuições do encarregado. III- A intimação da empresa PSafe Tecnoclogia Ltda, pessoa jurídica inscrita no CNPJ n. 12.501.419/0001-01, com endereço à Rua Sorocaba, 240, Botafogo, Rio de Janeiro – RJ, CEP 22272-110, nos termos do parágrafo 2o, 3o e 4o do artigo 464 do CPC. Referida empresa foi responsável pelo início das investigações e denúncias de vazamento noticiado nestes autos, a partir do banco de dados da SERASA, sendo detentora de evidências dos fatos e do vazamento denunciado em especial. Por meio desse chamamento, busca-se a produção de prova técnica simplificada, tendo em vista não ser de complexidade a constatação do referido episódio. IV- A comunicação imediata ao juízo da 5a Vara Cível de Brasília - Distrito Federal, onde foi processada em Ação Civil Pública (n. 0736634-81.2020.8.07.0001), acerca do descumprimento da liminar e do acórdão transitado em julgado proferido no âmbito da Apelação Cível n. 0736634-81.2020.8.07.0001 (Apelante Serasa, Apelado Ministério Público do DF e Territórios), tendo em vista que a corré SERASA segue na prática comercial intensa e continuada de prospecção de clientes e veiculação de Lista Online (Lista PEP), em flagrante descumprimento de ordem judicial, conforme faz prova a própria e link do SERASA ainda mantido plenamente ativo, para a adoção das medidas cíveis e criminais que entender cabíveis Requer, nos termos do artigo 43 § 2ºda LGPD, seja invertido o ônus da prova em favor dos titulares dos dados vazados, mantendo-se público o acesso aos presentes autos, por conta de possível interesse jurídico ao pleito indenizatório por parte de indivíduos e consumidores que vierem a ser identificados como vítimas das condutas infracionais descritas no âmbito desta Ação. Por fim, requer o MPF, nos termos do artigo 94 da Lei 8078/90 publicação de edital no órgão oficial acerca do ajuizamento da presente demanda, a fim de que os interessados possam intervir no processo como litisconsortes, sem prejuízo de ampla divulgação pelos meios de comunicação social por parte dos órgãos de defesa do consumidor." Duas são as possibilidades de atuação do Ministério Público em ação civil pública: na qualidade de parte (autor, coautor ou demandado) ou na de fiscal da lei. Como coautor da presente ação, sua legitimidade embasa-se no comando constitucional contido no art. 129, III, da CF/88, c.c. art. 5º. da Lei da Ação Civil Pública (LACP) e art. 81, I a III, do Código de Defesa do Consumidor (CDC). Confira-se o teor da legislação citada: "Art. 129. São funções institucionais do Ministério Público: III - promover o inquérito civil e a ação civil pública, para a proteção do patrimônio público e social, do meio ambiente e de outros interesses difusos e coletivos; Art. 5o Têm legitimidade para propor a ação principal e a ação cautelar: (Redação dada pela Lei nº 11.448, de 2007). I - o Ministério Público; Art. 81. A defesa dos interesses e direitos dos consumidores e das vítimas poderá ser exercida em juízo individualmente, ou a título coletivo. Parágrafo único. A defesa coletiva será exercida quando se tratar de: I - interesses ou direitos difusos, assim entendidos, para efeitos deste código, os transindividuais, de natureza indivisível, de que sejam titulares pessoas indeterminadas e ligadas por circunstâncias de fato; II - interesses ou direitos coletivos, assim entendidos, para efeitos deste código, os transindividuais, de natureza indivisível de que seja titular grupo, categoria ou classe de pessoas ligadas entre si ou com a parte contrária por uma relação jurídica base; III - interesses ou direitos individuais homogêneos, assim entendidos os decorrentes de origem comum." In casu, constata-se a natureza coletiva do direito pleiteado. A despeito desse fato, a potencial lesão à privacidade de dados de cidadãos brasileiros é suficiente para caracterizar a relevância social do tema. Nesse sentido, por qualquer dos ângulos que se analise a questão, a atuação do MPF como parte é legítima. Assim discorre sobre o tema a doutrina: "Concordo com a doutrina que defende a natureza de interesse social dos direitos difusos e coletivos em razão de sua transindividualidade e indivisibilidade, o que já é suficiente para que todo direito dessas espécies seja considerado indisponível. Dessa maneira, o art. 129, III, da CF, com a previsão de ampla legitimidade do Ministério Público na defesa de qualquer direito difuso ou coletivo, é plenamente compatível com o art. 127, caput, da CF, atendendo plenamente a função institucional prevista constitucionalmente. Reforço, portanto, a ideia de que nos direitos difusos e coletivos não existe “pertinência temática”, sendo irrelevantes as circunstâncias do caso concreto, entendimento compartilhado pela jurisprudência dos tribunais superiores Segundo entendimento doutrinário e jurisprudencial amplamente majoritário, a legitimidade do parquet na defesa de direito individual homogêneo depende de duas circunstâncias alternativas: (a) direito indisponível; (b) direito disponível que, por sua importância e/ou extensão, tenha repercussão social. Registre-se a existência de corrente doutrinária minoritária que defende a legitimidade somente na hipótese de direito individual homogêneo indisponível, nos termos do art. 127, caput, da CF. Se alguma dificuldade prática existe na distinção entre direito disponível e direito indisponível, tais dificuldades se potencializam na aferição concreta da relevância social exigida na hipótese de direito individual homogêneo disponível. De qualquer forma, é corrente a lição doutrinária de que a relevância social pode se manifestar pela natureza do dano (p. ex., saúde, segurança, ambiental); pelo número significativo de lesados; pelo interesse social no funcionamento de um sistema econômico, social ou jurídico (p. ex., questões referentes aos servidores públicos, poupadores, segurados)" NEVES, Daniel Amorim A. Ações Constitucionais - 2ª Edição 2013. Rio de Janeiro: Método, 2013. E-book. p.. ISBN 978-85-309-5080-4. Disponível em: https://app.minhabiblioteca.com.br/reader/books/978-85-309-5080-4/. Acesso em: 11 fev. 2026. Destarte, reconhecida nulidade capaz de gerar prejuízo ao bom andamento do processo, é medida de rigor a anulação da r. sentença para que se considere o Ministério Público coautor da presente ação civil pública, dando-se, assim, regular prosseguimento ao feito.
Ante o exposto, dou provimento à remessa oficial para anular a sentença, ficando prejudicada a apelação. Oportunamente, observadas as formalidades legais, baixem os autos à Vara de origem. Intimem-se. MAIRAN MAIA Desembargador Federal