Quando uma conta de Instagram ou Facebook é invadida ou desativada e o usuário fica sem conseguir recuperar o acesso pelos canais oficiais da plataforma, surgem duas discussões diferentes — e que precisam ficar separadas desde o início.
Uma é a esfera criminal: identificação do autor da invasão, boletim de ocorrência, eventual ação penal. Esse caminho é conduzido pela autoridade policial e pelo Ministério Público. Não é o foco deste artigo.
A outra é a esfera cível: indenização contra a plataforma pela falha de segurança, pela demora na recuperação do acesso ou pelos danos resultantes. Essa é a discussão que mudou de patamar com a decisão do Supremo Tribunal Federal sobre o Tema 987, em junho de 2025.
Sua conta de Instagram ou Facebook foi hackeada?
Um advogado especialista em direito digital pode esclarecer quais são os seus direitos na esfera cível. Você pode entrar em contato com a nossa equipe clicando no botão abaixo.
Falar com advogado no WhatsAppA virada de 2025: STF declara inconstitucionalidade parcial do Marco Civil
Em junho de 2025, o Supremo Tribunal Federal concluiu o julgamento do Tema 987, que tinha como objeto a interpretação do artigo 19 do Marco Civil da Internet (Lei 12.965/2014).
O artigo 19, na redação original, exigia ordem judicial específica para que a plataforma fosse responsabilizada por conteúdo de terceiros. O STF declarou esse dispositivo parcialmente inconstitucional e ampliou o dever das plataformas em casos de falha sistêmica de segurança.
Na prática, isso significa que a plataforma pode ser responsabilizada civilmente em situações específicas, sem necessidade de ordem judicial prévia, quando há demonstração de que o sistema de segurança falhou no dever de cuidado esperado de uma operação de grande porte.
A base legal que sustenta o pedido
A discussão cível contra a Meta (Facebook e Instagram) por hack de conta combina vários marcos legais. Os principais fundamentos usados pela jurisprudência são os seguintes.
- Código de Defesa do Consumidor (Lei 8.078/1990) — a relação usuário–plataforma é de consumo. Aplica-se a responsabilidade objetiva por defeito do serviço (artigo 14) e o dever de informação adequada (artigo 6º, III).
- Marco Civil da Internet (Lei 12.965/2014) — o artigo 7º, inciso I, garante ao usuário o direito à inviolabilidade e ao sigilo das comunicações privadas. O artigo 10 estabelece dever de guarda de registros com segurança.
- Lei Geral de Proteção de Dados (LGPD, Lei 13.709/2018) — o artigo 46 exige medidas técnicas e administrativas adequadas para proteger dados pessoais. O artigo 44 trata de irregularidades. O artigo 42 estabelece responsabilidade do controlador.
- STF, Tema 987 (junho de 2025) — declara parcial inconstitucionalidade do artigo 19 do Marco Civil e amplia o dever das plataformas em casos de falha sistêmica.
- Código Civil, artigos 186, 187, 422 e 927 — fundamentam a responsabilidade civil pelos danos decorrentes do ato ilícito ou abuso de direito.
O que diz a jurisprudência mais recente
Os tribunais brasileiros têm decidido com frequência crescente em favor de usuários cujas contas foram invadidas e que não conseguiram recuperar o acesso pelos canais oficiais. Os exemplos abaixo ilustram a linha que vem se consolidando.
- STF, Tema 987 (junho de 2025) — leading case que destrava a responsabilidade civil das plataformas em casos de falha sistêmica de segurança, sem necessidade de ordem judicial prévia.
- STJ, dezembro de 2024 — o tribunal entendeu que ataques de hackers não excluem a responsabilidade da plataforma pela proteção de dados pessoais. A presença de invasão criminosa por terceiros não afasta o dever da empresa de demonstrar que tomou as medidas adequadas.
- TJDFT, agosto de 2025 — Facebook condenado por demora injustificada na recuperação de acesso a perfil pessoal invadido. A 7ª Turma reconheceu falha na prestação de serviço.
- TJSP, 2024-2025 (segundo Conjur, mai/2025) — os tribunais paulistas registraram aumento de mais de 600% nas ações contra redes sociais em 2024 frente a 2023, com tendência crescente de procedência.
- Caso TJSP — Meta Brasil, 2024 — Meta condenada a pagar indenização por não reativar perfil profissional indevidamente bloqueado, com base em falha sistêmica e descumprimento do dever de motivação.
A linha argumentativa principal aceita pelos tribunais combina falha sistêmica de segurança + dano moral in re ipsa + demora na reativação caracterizada como falha na prestação de serviço (CDC artigo 14 + Marco Civil + LGPD).
Quando a plataforma pode ser responsabilizada
A discussão jurídica não é automática. Nem toda invasão gera direito a indenização contra a Meta. Os cenários em que a responsabilização tem maior chance de prosperar são os seguintes.
- Falha sistêmica de segurança comprovada — vazamento de dados, ataque coordenado a múltiplos usuários, falha na verificação em duas etapas;
- Demora injustificada na recuperação do acesso — usuário aciona os canais oficiais, segue todos os procedimentos, e a plataforma demora dias ou semanas para responder;
- Recusa em fornecer informações sobre o que aconteceu, em violação ao dever de transparência da LGPD;
- Manutenção do perfil clonado ou invadido ativo, mesmo após o titular comprovar a invasão e pedir bloqueio;
- Reincidência — usuário recupera o acesso e perde novamente em curto intervalo, sem que a plataforma adote medidas adicionais.
Quando NÃO é caso de ação cível contra a plataforma
Listar os cenários em que a discussão judicial tende a ser mais difícil é importante para uma avaliação realista do caso. Os principais sinais de baixa viabilidade são os seguintes.
- Phishing puro — usuário entregou voluntariamente a senha em página falsa, sem invasão técnica do sistema da plataforma. A discussão fica mais frágil porque a falha foi do próprio usuário, não do sistema;
- Senha fraca ou compartilhada sem ativação da verificação em duas etapas. A plataforma pode argumentar que o usuário descumpriu deveres básicos de segurança;
- Recuperação rápida pelo canal oficial — quando a Meta restaura o acesso em poucos dias, o dano costuma ser considerado mínimo;
- Ausência de prejuízo concreto — quando a conta é pessoal sem uso comercial e o usuário não consegue demonstrar dano material ou exposição negativa;
- Discussão criminal já em curso contra terceiro identificado como autor da invasão — neste caso, a esfera cível pode esperar o resultado da apuração penal.
Em qualquer um desses cenários, a discussão precisa ser feita com cuidado. A análise prévia da documentação ajuda a calibrar a viabilidade antes de qualquer ação.
O que costuma ser pedido em juízo
A ação cível contra a Meta (Facebook ou Instagram) costuma reunir três núcleos de pedidos. A combinação exata depende do tipo de invasão, do tempo de demora na recuperação e do impacto concreto.
- Reativação ou exclusão da conta clonada em sede de tutela de urgência (artigo 300 do CPC), com fixação de multa diária por descumprimento;
- Indenização por dano moral, com fundamento no CDC, na LGPD e no entendimento de falha sistêmica de segurança. Os valores variam conforme o tempo de exposição, o porte do dano e o tipo de uso da conta (pessoal ou comercial);
- Indenização por danos materiais comprovados, quando a invasão gerou prejuízos específicos — golpes financeiros aplicados a contatos do titular, perda de oportunidades comerciais, dano à reputação profissional documentado.
Para conversar sobre uma situação específica
Você pode entrar em contato com a nossa equipe pelo WhatsApp clicando no botão abaixo.
Falar com advogado no WhatsAppPerguntas frequentes
Onde encontrar mais informações
Para um conteúdo específico sobre desbloqueio de WhatsApp, Facebook e Instagram, com etapas de recuperação pelos canais oficiais, leia Desbloqueio de contas em redes sociais.
Para a visão geral sobre todos os tipos de plataforma digital cobertos pelo escritório, acesse conta bloqueada em plataforma digital. Para falar com a equipe sobre o seu caso, use o WhatsApp pelo botão acima ou acesse a página de contato.
