O produtor que coleta nome, e-mail, CPF e dados de pagamento dos alunos é controlador de dados pela LGPD e precisa de base legal, segurança e canal para os direitos dos titulares. Vazamento de dados comuns não gera dano moral automático, segundo decisão da Segunda Turma do STJ, mas gera dever de comunicar e risco administrativo. A nota fiscal depende do modelo de venda e deve ser alinhada com a contabilidade.
O produtor como controlador de dados
A Lei Geral de Proteção de Dados alcança qualquer pessoa física ou jurídica que trate dados pessoais com finalidade econômica, e o produtor de curso trata muitos: cadastro, histórico de acesso, conversas de suporte, listas de e-mail e de WhatsApp. Cada tratamento precisa de base legal. Para entregar o curso, a base é a execução do contrato; para emitir documentos fiscais e guardar registros, o cumprimento de obrigação legal:
Lei 13.709/2018 (LGPD), art. 7º, II e V:
Art. 7º O tratamento de dados pessoais somente poderá ser realizado nas seguintes hipóteses: (...) II - para o cumprimento de obrigação legal ou regulatória pelo controlador; (...) V - quando necessário para a execução de contrato ou de procedimentos preliminares relacionados a contrato do qual seja parte o titular, a pedido do titular dos dados;
O marketing para quem não é aluno (listas de interessados, remarketing) normalmente depende de consentimento ou de legítimo interesse bem justificado, com opção simples de saída. Usar a base de alunos de um produto para vender outro é prática comum, mas deve respeitar as expectativas do titular e o direito de oposição.
Direitos dos alunos e segurança
O aluno pode pedir confirmação, acesso, correção e eliminação de dados, entre outros direitos:
Lei 13.709/2018 (LGPD), art. 18, I, II e VI:
Art. 18. O titular dos dados pessoais tem direito a obter do controlador, em relação aos dados do titular por ele tratados, a qualquer momento e mediante requisição: I - confirmação da existência de tratamento; II - acesso aos dados; (...) VI - eliminação dos dados pessoais tratados com o consentimento do titular, exceto nas hipóteses previstas no art. 16 desta Lei;
E o produtor deve adotar medidas de segurança e comunicar incidentes relevantes à ANPD e aos titulares:
Lei 13.709/2018 (LGPD), arts. 46, caput, e 48, caput:
Art. 46. Os agentes de tratamento devem adotar medidas de segurança, técnicas e administrativas aptas a proteger os dados pessoais de acessos não autorizados e de situações acidentais ou ilícitas de destruição, perda, alteração, comunicação ou qualquer forma de tratamento inadequado ou ilícito. (...) Art. 48. O controlador deverá comunicar à autoridade nacional e ao titular a ocorrência de incidente de segurança que possa acarretar risco ou dano relevante aos titulares.
Sobre a responsabilidade civil, a Segunda Turma do STJ entendeu que o vazamento de dados pessoais comuns não gera dano moral presumido: o titular precisa provar o prejuízo. Isso reduz o risco de condenação automática, mas não afasta o dever de segurança nem as sanções administrativas:
STJ, Segunda Turma, Agravo em Recurso Especial nº AREsp 2.130.619/SP, Min. Francisco Falcão, julgado em 07/03/2023 favorável ao produtor
A Segunda Turma, por unanimidade (j. 07/03/2023), conheceu do agravo e, na parte conhecida, deu provimento ao recurso especial da concessionária, que o TJSP havia condenado por vazamento de dados de cliente idosa. A ementa afirma que os dados vazados eram de natureza comum, e não sensíveis nos termos do art. 5º, II, da LGPD, e que o vazamento de dados pessoais, por si só, não gera dano moral indenizável: o dano moral não é presumido, e o titular precisa comprovar eventual dano decorrente da exposição.
Tese: Vazamento de dados pessoais comuns não gera, por si só, dano moral presumido; o titular precisa provar o prejuízo.
Partes: Eletropaulo Metropolitana Eletricidade de São Paulo S.A. (agravante) e consumidora (pessoa física, nome omitido).
Inteiro teor: processo.stj.jus.br
- Limite o acesso à base de alunos a quem precisa (equipe, afiliados, ferramentas).
- Use senhas fortes e autenticação em duas etapas nas plataformas e ferramentas de e-mail.
- Tenha um e-mail ou formulário para pedidos de titulares e responda em prazo razoável.
- Publique política de privacidade clara na página de vendas e na área de membros.
- Não exponha dados de alunos em respostas públicas, grupos ou prints de depoimentos sem autorização.
Nota fiscal e informação de preço
O CDC garante ao consumidor informação clara sobre preço e tributos incidentes:
CDC, art. 6º, III:
Art. 6º São direitos básicos do consumidor: (...) III - a informação adequada e clara sobre os diferentes produtos e serviços, com especificação correta de quantidade, características, composição, qualidade, tributos incidentes e preço, bem como sobre os riscos que apresentem;
Quanto à nota fiscal, a obrigação depende do modelo de venda e da legislação tributária do município e da atividade. Em muitas plataformas, a própria plataforma emite documento fiscal sobre a sua comissão e o produtor é responsável pela nota da venda ao aluno, mas isso varia conforme os termos de cada plataforma e o enquadramento do produtor (pessoa física, MEI, microempresa). Este é um ponto a definir com a contabilidade, e não por modelo pronto da internet.
Do ponto de vista do consumidor, a nota e o comprovante da compra também são a prova que o produtor usa em disputas de reembolso e chargeback; manter emissão organizada protege as duas pontas.
Perguntas frequentes
Preciso de política de privacidade para vender curso? Sim, é a forma de cumprir o dever de transparência da LGPD. Ela deve dizer quais dados você coleta, para quê, com quem compartilha e como o aluno exerce seus direitos.
Posso enviar e-mails de outros produtos para meus alunos? Em regra, com cuidado: respeite as expectativas do aluno e ofereça descadastro simples. Para listas de não alunos, a base legal precisa ser avaliada.
Se houver vazamento, terei de indenizar todos? A Segunda Turma do STJ entendeu que vazamento de dados comuns não gera dano moral presumido. Mas há dever de comunicar incidentes relevantes e risco de sanção pela ANPD.
Quem emite a nota fiscal: eu ou a plataforma? Depende do modelo da plataforma e do seu enquadramento. Confirme nos termos da plataforma e com seu contador.
Leia também
Conteúdo de caráter meramente informativo, em conformidade com o Provimento nº 205/2021 da OAB. Não constitui oferta, promessa de resultado ou captação de clientela. Cada caso é analisado individualmente.
Quer organizar a LGPD do seu negócio de cursos?
Análise inicial sem compromisso, direto com o advogado.
Falar no WhatsApp
Advogado, OAB/CE 49.312, Fortaleza/CE, atuação nacional em direito do consumidor e do passageiro aéreo. Atendimento 100% online para quem está em qualquer cidade do Brasil ou mora no exterior, com análise inicial do caso sem custo.
Verificar inscrição e CNPJ