Uma ação coletiva foi ajuizada na Justiça da Inglaterra em 9 de janeiro, em nome de brasileiros afetados pelo mega vazamento de dados pessoais revelado em 2021, que expôs informações sensíveis de mais de 200 milhões de pessoas. O processo mira empresas do grupo Serasa Experian, apontadas como responsáveis pela guarda dos dados que circularam ilegalmente na internet, e busca indenizações individuais para os titulares prejudicados.

À época da revelação, bases de dados atribuídas ao grupo Serasa Experian passaram a circular em fóruns e marketplaces digitais, contendo mais de 30 tipos de informações pessoais. Entre os dados expostos estavam CPF, nome completo, endereço, telefone, informações salariais, benefícios sociais, dados de Imposto de Renda e perfis de consumo.

Além de pessoas físicas, dados de empresas também foram expostos. No entanto, a ação proposta nos tribunais ingleses delimita seu escopo exclusivamente a indivíduos, concentrando-se nos impactos diretos sobre a privacidade e a segurança dos cidadãos brasileiros.

Riscos concretos e danos potenciais aos titulares

A exposição em larga escala gerou riscos objetivos e contínuos, como fraudes financeiras, golpes digitais, engenharia social e roubo de identidade. Especialistas apontam que vazamentos dessa magnitude produzem efeitos prolongados, uma vez que informações estruturais — como CPF e histórico de crédito — não podem ser simplesmente “trocadas” pelo titular.

Estrutura e objetivos da ação coletiva

Segundo Andrew Short, sócio do escritório responsável pelo caso, a iniciativa permite que qualquer pessoa cujos dados pessoais e sensíveis tenham sido incluídos no conjunto vazado possa aderir à ação e pleitear indenização individual por meio do modelo coletivo inglês. Para o advogado, há convicção de que as empresas do grupo Serasa Experian devem ser responsabilizadas pelo episódio.

A ação coletiva busca eficiência processual, centralizando pretensões semelhantes em um único processo, reduzindo custos, evitando decisões contraditórias e ampliando o acesso à Justiça para vítimas espalhadas por diferentes jurisdições.

Por que o caso tramita na Inglaterra

A tramitação no Reino Unido é juridicamente possível porque a Serasa integra o grupo Experian, multinacional com operações relevantes no território britânico. Além disso, a controladora do grupo está listada na Bolsa de Valores de Londres, o que estabelece vínculo societário e jurisdicional suficiente para a apreciação do caso pelos tribunais ingleses.

Os tribunais do Reino Unido já aceitaram ações semelhantes envolvendo reclamantes brasileiros e empresas britânicas, consolidando precedentes para litígios transfronteiriços relacionados a proteção de dados e responsabilidade corporativa.

Sobre o escritório responsável

A ação é conduzida pela Mishcon de Reya LLP, escritório inglês com mais de 90 anos de atuação e histórico consolidado em litígios internacionais e ações coletivas complexas. A banca possui escritórios em Londres, Hong Kong, Emirados Árabes Unidos e Singapura, com experiência em disputas contra grandes corporações globais.

Responsabilização internacional e limites da proteção de dados

O ajuizamento da ação na Inglaterra evidencia uma mudança relevante na estratégia de responsabilização de grandes grupos de dados, deslocando o debate para jurisdições com tradição em class actions e enforcement corporativo. O caso também expõe fragilidades estruturais na tutela da privacidade no Brasil, onde a reparação coletiva avança de forma mais lenta.

Do ponto de vista institucional, a iniciativa pressiona multinacionais a responderem por falhas sistêmicas de governança de dados, independentemente do país onde os titulares residem. Ao mesmo tempo, levanta discussões sobre assimetria de acesso à Justiça, já que a via internacional passa a ser vista como alternativa mais eficaz do que os mecanismos domésticos.

Por fim, o processo pode estabelecer parâmetros relevantes de indenização e compliance, com efeitos indiretos sobre práticas de mercado, políticas de segurança da informação e a própria credibilidade de bureaus de crédito, cuja atividade depende, essencialmente, da confiança dos cidadãos.

Direito de Resposta Requerido pela Serasa Experian

O Jornal Grande Bahia publica, a seguir, nota de direito de resposta encaminhada pela Serasa Experian, em relação à matéria intitulada “Ação coletiva contra o grupo Serasa Experian por mega vazamento de dados é ajuizada na Justiça inglesa”, publicada em 26 de janeiro de 2026.

A Serasa Experian informa que não foi citada na ação judicial referida.

A empresa também reitera que não houve qualquer invasão aos seus sistemas, nem evidência de que o suposto vazamento de dados tenha tido origem em suas bases. Essa conclusão, segundo a companhia, foi confirmada por análises técnicas e por um laudo de instituto pericial independente, entregue às autoridades competentes.

A Serasa Experian afirma ainda que repudia a propagação de informações enganosas, incluindo conteúdos que prometem indenizações ou compensações financeiras sem respaldo legal ou técnico.

Por fim, a empresa reforça seu compromisso com a proteção de dados pessoais, a legalidade de suas práticas e a segurança das informações sob sua guarda.

O Jornal Grande Bahia, em observância aos princípios do contraditório, da ampla defesa e da responsabilidade editorial, publica integralmente a manifestação da empresa, sem prejuízo da continuidade da apuração jornalística, do acompanhamento dos desdobramentos judiciais internacionais e da análise crítica de temas relacionados à proteção de dados, governança corporativa e responsabilização de grandes bureaus de crédito.