Os meus dados foram expostos numa fuga de dados: posso pedir indemnização?

Os seus dados foram expostos numa fuga de dados de uma empresa? Pode obter os factos no prazo de um mês e pedir indemnização ao abrigo do artigo 82.º do RGPD, se provar que sofreu danos.

Atualizado em 31 de outubro de 2026 · 5 min de leitura

Um email curto a dizer que "os seus dados podem ter sido afetados" é onde a maioria das pessoas fica. Não tem de ser assim. Na UE e no Reino Unido, o RGPD permite-lhe perguntar à empresa exatamente o que aconteceu, e a empresa tem de responder no prazo de um mês. Se a violação lhe causou danos, pode pedir indemnização ao abrigo do artigo 82.º. Isso abrange o dinheiro que perdeu e os danos imateriais, incluindo o receio de que os seus dados sejam utilizados de forma abusiva. A violação, por si só, não basta: tem de provar os danos.

O que a empresa lhe deve após uma fuga de dados

Quando uma violação for suscetível de implicar um elevado risco para si, a empresa tem de o informar sem demora injustificada, em linguagem clara e simples. A comunicação tem de indicar as consequências prováveis, as medidas que tomou em relação à violação e um contacto a quem se possa dirigir, como o encarregado da proteção de dados.

Tem também de notificar a violação à autoridade de proteção de dados no prazo de 72 horas após ter tido conhecimento dela, a menos que não seja provável que daí resulte um risco.

Depois, pode pedir mais. Ao abrigo do artigo 15.º, pode obter uma cópia dos dados que a empresa tem sobre si, saber com quem foram partilhados e de onde vieram. A empresa tem de responder no prazo de um mês. Pode prorrogar esse prazo por dois meses em pedidos complexos, mas tem de o informar dentro do primeiro mês e explicar porquê.

Quando pode pedir indemnização

O Tribunal de Justiça da UE definiu o critério em 2023. São precisas três coisas em conjunto:

Uma infração ao RGPD, como medidas de segurança insuficientes para proteger os seus dados.
Danos: dinheiro que perdeu, ou danos imateriais.
Um nexo entre os dois: os danos resultaram da violação.

Não existe um limiar mínimo de gravidade para os danos imateriais. Mas o tribunal foi claro: uma violação, por si só, não dá direito a indemnização. Tem de mostrar o efeito que teve em si.

"Fomos atacados" não encerra o assunto

As empresas respondem muitas vezes que foram vítimas de um ataque criminoso. O tribunal analisou precisamente essa situação em dezembro de 2023, após um ataque informático à administração fiscal búlgara.

O receio conta. O receio de uma possível utilização abusiva dos seus dados pode constituir, por si só, um dano imaterial.
O ónus da prova é da empresa. A empresa tem de provar que as suas medidas de segurança eram adequadas.
Um ataque informático não prova nada, num sentido ou noutro. Não demonstra, por si só, que a segurança da empresa falhou, nem a iliba.

Nos termos do artigo 82.º, n.º 3, a empresa só fica isenta de responsabilidade se provar que não é de modo algum responsável.

No Reino Unido, o UK GDPR tem o mesmo artigo 82.º, mas os tribunais britânicos não estão vinculados a estes acórdãos da UE, pelo que definem o critério por si próprios.

A quem apresentar queixa

Pode apresentar queixa à autoridade de proteção de dados do país onde vive, onde trabalha ou onde ocorreu a violação.

País	Autoridade de proteção de dados
França	CNIL
Alemanha	A autoridade de proteção de dados do seu estado federado (o BfDI a nível federal)
Espanha	AEPD
Itália	Garante per la protezione dei dati personali
Portugal	CNPD
Países Baixos	Autoriteit Persoonsgegevens
Polónia	UODO
Bélgica	APD-GBA
Irlanda	Data Protection Commission
Reino Unido	Information Commissioner's Office (ICO)

A autoridade pode investigar e ordenar à empresa que tome medidas. Não atribui indemnizações. Essas vêm da empresa ou de um tribunal.

Como reclamar, passo a passo

Proteja-se primeiro. Altere as palavras-passe que foram expostas, ative a autenticação em dois passos e avise o seu banco se estiverem em causa dados do cartão ou da conta bancária.
Guarde tudo. A comunicação da violação, todos os SMS fraudulentos, chamadas ou tentativas de início de sessão desde então, e os recibos de qualquer despesa.
Mantenha um pequeno diário. A data, o que fez, quanto tempo demorou e como isso o afetou. É a sua prova dos danos imateriais.
Escreva ao encarregado da proteção de dados. Pergunte o que foi afetado, quando, o que a empresa fez e se notificou a violação. Peça uma cópia dos seus dados.
Peça a indemnização na mesma mensagem. Invoque o artigo 82.º, descreva os danos e indique o montante que pede. O montante é escolha sua: baseie-o nos seus recibos e num relato honesto do efeito que a violação teve em si.
Indique um prazo. Um mês, como exige o artigo 12.º, n.º 3.

A mensagem a enviar

Assunto: Notificação de violação de dados pessoais de 14 de outubro de 2026: pedido de informação e de indemnização

Sou vosso cliente (número de cliente 4471920). O vosso email de 14 de outubro de 2026 informa que os meus dados pessoais foram afetados por uma violação dos vossos sistemas.

Ao abrigo dos artigos 15.º e 34.º do RGPD, peço que me indiquem exatamente que dados meus foram afetados, quando ocorreu a violação e quando dela tiveram conhecimento, que medidas tomaram para a conter e se, e quando, a notificaram à autoridade de proteção de dados. Peço também que me enviem uma cópia dos dados pessoais que têm sobre mim.

Desde a violação, recebi quatro SMS de phishing com o meu nome e os dados das minhas encomendas, e passei cerca de quatro horas a alterar palavras-passe e a verificar as minhas contas. Ao abrigo do artigo 82.º do RGPD, peço uma indemnização de €300 pelos transtornos e pelo tempo que isto me custou.

Peço que respondam no prazo de um mês, até 14 de novembro de 2026, como exige o artigo 12.º, n.º 3.

Substitua pelos seus dados. Anexe a comunicação da violação e as suas capturas de ecrã.

Prazos e o que fazer se recusarem

Sem resposta ao fim de um mês: envie um lembrete curto com um prazo final de 14 dias.
Uma recusa ou uma oferta baixa: apresente uma reclamação formal. Cite o artigo 82.º, n.º 3, e os acórdãos do tribunal de 2023, e peça a posição final da empresa por escrito.
Mesmo assim, recusam: apresente queixa à autoridade de proteção de dados e, para obter a indemnização, recorra ao tribunal. Pode intentar a ação onde a empresa está estabelecida ou onde vive. Para montantes mais baixos existem processos para ações de pequeno montante, e o processo europeu para ações de pequeno montante abrange empresas de outro país da UE.
Os prazos para recorrer a tribunal são fixados pela lei de cada país. Confirme os do seu antes de deixar passar demasiado tempo.

Se foram afetadas muitas pessoas, pergunte a uma associação de defesa do consumidor se já existe uma ação coletiva.

Em resumo

Pergunte à empresa o que aconteceu aos seus dados e obtenha uma cópia no prazo de um mês. Se a violação lhe custou dinheiro, tempo ou tranquilidade, peça indemnização ao abrigo do artigo 82.º, com as suas provas. "Fomos atacados" não é, por si só, uma defesa. Se recusarem, apresente queixa à autoridade de proteção de dados e leve o pedido a tribunal.

Os meus dados foram expostos numa fuga de dados: posso pedir indemnização? — Guardar este guia

Perguntas

Quanto posso receber de indemnização por uma fuga de dados?

O RGPD não fixa montantes, por isso são os tribunais de cada país que decidem. Os seus custos reais contam na totalidade e, quanto aos transtornos, o montante depende do que conseguir provar sobre o efeito que a violação teve em si.

A empresa diz que ninguém utilizou ainda os meus dados de forma abusiva. Posso, mesmo assim, pedir indemnização?

Sim. O Tribunal de Justiça da UE decidiu que o receio de uma possível utilização abusiva dos seus dados pode constituir, por si só, um dano imaterial, mas continua a ter de provar que o sofreu.

A autoridade de proteção de dados consegue obter-me uma indemnização?

Não. A autoridade pode investigar e ordenar à empresa que tome medidas, mas a indemnização vem da própria empresa ou, se esta recusar, de um tribunal.

Ofereceram-me monitorização de crédito gratuita. Devo aceitar?

É uma proteção útil, mas não é uma indemnização pelos danos que já sofreu. Leia primeiro a proposta: se disser que encerra o seu pedido, aceitá-la põe fim ao pedido.

Informação geral, não aconselhamento jurídico. As regras mudam e dependem do local onde vive: confirme na fonte oficial antes de confiar numa data ou num montante.

Fontes

O pack para este caso

Fuga de dados: pedir indemnização (UE e Reino Unido)$12Peça indemnização depois de uma fuga de dados numa empresa ter exposto os seus dados. Apura todos os factos, escreve o pedido ao abrigo do RGPD ou do UK GDPR e a queixa se recusarem.