Serasa Experian é acionada na Justiça britânica por megavazamento de dados de 223 milhões de brasileiros

Uma corte no outro lado do mundo decide o destino dos dados de 223 milhões de brasileiros

Quando o maior vazamento de dados da história do Brasil veio à tona, em janeiro de 2021, poucos imaginavam que o desfecho jurídico do caso chegaria a ser disputado em Londres. Cinco anos depois, é exatamente isso que está acontecendo: a Serasa Experian e outras empresas do grupo britânico Experian respondem a uma ação coletiva protocolada na Justiça inglesa, em nome de milhões de cidadãos brasileiros cujos dados pessoais foram expostos em fóruns clandestinos da internet. Em maio de 2026, os réus foram formalmente citados pela corte — marco que confirma que o processo ultrapassou a fase preliminar e segue em frente.

O vazamento que chocou o país

O incidente foi detectado pela empresa de cibersegurança Psafe, que identificou pacotes de dados circulando em fóruns da dark web no começo de 2021. O acervo era assustador: CPFs, nomes completos, endereços, números de telefone, endereços de e-mail, grau de instrução, renda, histórico de crédito, dados de carteira de identidade, datas de nascimento e até informações sobre o FGTS de aproximadamente 220 a 223 milhões de brasileiros — um número que supera a própria população do país, já que inclui registros de pessoas falecidas. O caso foi enquadrado como o maior vazamento de dados da história brasileira.

A estratégia britânica

A ação foi protocolada em 9 de janeiro de 2026 pelo escritório internacional Mishcon de Reya, com sede em Londres. O sócio responsável pelo caso, Andrew Short, criou previamente um site para reunir vítimas interessadas em integrar o litígio coletivo — e o número de adesões já supera 25 mil pessoas. A escolha do foro inglês não é acidental: a Experian, controladora da Serasa, tem sede no Reino Unido, o que fornece base jurisdicional para que os tribunais britânicos julguem a questão. A estratégia também mira especificamente quem ainda não ingressou com ações individuais nos tribunais brasileiros.

Segundo informações apuradas pelo Migalhas, os valores de indenização a serem pagos às vítimas ainda serão definidos pelo próprio julgamento da corte inglesa, sem montante preestabelecido na petição inicial.

O que aconteceu no Brasil

A trajetória das tentativas de responsabilização no âmbito doméstico foi menos promissora. Uma ação civil pública ajuizada pelo Instituto Sigilo perante a Justiça Federal brasileira foi extinta sem resolução de mérito: o juiz federal responsável reconheceu que a entidade não tinha legitimidade processual para representar as vítimas coletivamente. O insucesso da via nacional reforça o apelo da estratégia adotada pela Mishcon de Reya, que encontrou no sistema jurídico inglês uma porta de entrada alternativa — e, aparentemente, mais receptiva.

O que vem pela frente

A citação formal dos réus em maio de 2026 representa uma virada concreta no processo: a Serasa Experian e as demais empresas do grupo agora precisarão apresentar defesa perante a corte britânica. Para os 25 mil brasileiros que já manifestaram interesse em participar da ação coletiva, e para os milhões de potenciais afetados que ainda não se inscreveram, a decisão final pode representar um precedente inédito — o de que violações de privacidade em larga escala, mesmo ocorridas no Brasil, podem encontrar reparação além das fronteiras nacionais. O ritmo da Justiça é lento, mas o caso já percorreu um longo caminho desde que aqueles arquivos apareceram pela primeira vez nos fóruns sombrios da web.

Fonte: Paraná Portal | Corroborado por Migalhas e Agência Pública.