Doxing (doxxing): exposição de dados e responsabilidade

O doxing (doxxing) ocorre quando informações que permitem identificar, localizar ou expor uma pessoa são reunidas e divulgadas, geralmente em ambiente digital, sem justificativa legítima e com potencial de atingir sua privacidade, segurança ou reputação. A prática pode envolver endereço residencial, telefone, documentos, local de trabalho, rotina familiar ou dados associados a perfis e contas.

A exposição de dados pessoais não configura automaticamente um crime específico denominado doxing. O enquadramento jurídico depende da origem das informações, do contexto da divulgação, da intenção demonstrada, dos riscos criados e das consequências verificadas. Conforme o caso, podem existir responsabilidade civil, infrações relacionadas à proteção de dados e delitos previstos na legislação penal brasileira.

O que caracteriza doxing e por que o contexto da divulgação importa?

O doxing pode ocorrer quando alguém publica o endereço de uma pessoa após uma discussão virtual, divulga seu telefone para estimular contatos abusivos ou reúne informações dispersas para facilitar sua localização por terceiros. A apresentação organizada desses elementos pode aumentar substancialmente a exposição, mesmo que uma parte deles já estivesse disponível em páginas públicas.

Entretanto, nem toda referência ao nome, à profissão ou a informações de identificação configura ilícito. Notícias de interesse público, atividades jornalísticas legítimas, exercício regular de direitos e divulgações com finalidade juridicamente adequada exigem análise distinta. A avaliação deve considerar necessidade, proporcionalidade, interesse público efetivo e eventual propósito de intimidação, sem presumir que toda divulgação não autorizada seja criminosa.

Informações disponíveis publicamente continuam merecendo proteção jurídica

A obtenção de dados em uma rede social, cadastro ou publicação acessível não confere autorização irrestrita para reproduzi-los, associá-los a outras informações ou utilizá-los para constranger alguém. Há diferença entre consultar uma informação para finalidade legítima e republicá-la de maneira a facilitar perseguição, assédio ou exposição desnecessária da vida privada.

No doxing (doxxing), é relevante examinar se a divulgação incluiu dados de familiares, localização residencial, horários de deslocamento ou informações que aumentem o risco de abordagens presenciais. Também importa verificar se a pessoa atingida já havia tornado certos dados públicos, com que finalidade isso ocorreu e se houve uma nova utilização incompatível com seus direitos.

A Constituição e o Código Civil protegem privacidade, imagem e vida privada

A Constituição Federal assegura a intimidade, a vida privada, a honra, a imagem e a proteção dos dados pessoais, observados os direitos igualmente relevantes à informação e à liberdade de expressão. Esses direitos não afastam automaticamente manifestações de interesse público, mas oferecem fundamento para questionar divulgações abusivas que exponham indevidamente uma pessoa.

O Código Civil, especialmente em seus dispositivos sobre direitos da personalidade e responsabilidade por atos ilícitos, permite examinar medidas para cessar a violação e reparar consequências comprovadas. A procedência de um pedido dependerá dos fatos, da legitimidade da divulgação, da existência de dano juridicamente relevante e do nexo causal, sem que a simples menção a dados pessoais assegure indenização automática.

A LGPD pode ser aplicável, mas não abrange indistintamente toda publicação individual

A Lei Geral de Proteção de Dados Pessoais (LGPD) disciplina o tratamento de informações relacionadas a pessoas naturais identificadas ou identificáveis. Quando uma empresa, organização ou outro agente sujeito à lei coleta, compartilha ou disponibiliza dados sem base jurídica adequada, podem ser examinados os princípios da finalidade, necessidade, adequação e segurança, além das hipóteses de responsabilização previstas na legislação.

A aplicação da LGPD exige cautela. Seu artigo 4º estabelece hipóteses de não incidência, incluindo o tratamento realizado por pessoa natural para fins exclusivamente particulares e não econômicos, além de regimes próprios para determinadas finalidades jornalísticas e artísticas. Isso não significa que qualquer divulgação praticada por pessoa física seja lícita: mesmo quando a LGPD não incidir, podem permanecer aplicáveis normas constitucionais, civis e penais.

Doxing pode estar associado a ameaça, perseguição e outros crimes

O Código Penal não estabelece, como regra geral, um tipo penal autônomo com o nome doxing. Entretanto, a divulgação de dados pode integrar condutas de ameaça, constrangimento ilegal, extorsão ou perseguição, conforme os requisitos de cada infração. No crime de perseguição do artigo 147-A, por exemplo, a reiteração da conduta e a efetiva subsunção aos elementos legais devem ser demonstradas; uma publicação isolada não autoriza presumir esse delito.

Se as informações foram obtidas mediante invasão de dispositivo informático, também poderá ser necessário analisar o artigo 154-A, sem confundir a forma de obtenção dos dados com sua posterior divulgação. Quando a publicação vier acompanhada de acusações falsas ou ofensas, podem surgir questões relativas aos crimes contra a honra. A investigação deve individualizar atos e participantes, evitando imputações genéricas baseadas apenas na repercussão da postagem.

A responsabilidade das plataformas depende da natureza do conteúdo e das providências exigíveis

O Marco Civil da Internet estabelece regras sobre direitos dos usuários, guarda de registros e responsabilidade dos provedores. O Supremo Tribunal Federal, nos Temas 987 e 533, reconheceu a inconstitucionalidade parcial do artigo 19 e definiu critérios de responsabilização das plataformas por conteúdos de terceiros, com esclarecimentos concluídos em junho de 2026. O regime aplicável varia conforme a espécie de ilícito, o tipo de serviço e outras circunstâncias.

Em situações de doxing, devem ser avaliados o conteúdo efetivamente divulgado, a clareza da denúncia, a possibilidade de identificação da publicação e as providências adotadas pelo provedor. Nas hipóteses de crimes ou ilícitos contra a honra, a tese do STF preserva regra específica relacionada ao artigo 19; outras situações podem receber tratamento distinto. A comunicação extrajudicial pode ser relevante, mas não produz, por si, reconhecimento automático de responsabilidade ou obrigação indiscriminada de retirada de conteúdo lícito.

A vítima pode solicitar remoção e medidas urgentes de proteção

Diante da divulgação de endereço residencial, dados de familiares ou informações que facilitem abordagens ameaçadoras, a prioridade é reduzir riscos concretos. A pessoa atingida pode utilizar os canais de denúncia da plataforma, solicitar a indisponibilização de publicações identificadas e, quando necessário, buscar providências judiciais. Havendo ameaça imediata à integridade física, o acionamento dos serviços policiais e de emergência deve prevalecer sobre a tentativa de produção de provas adicionais.

O Código de Processo Civil permite examinar tutela de urgência quando houver elementos que evidenciem a probabilidade do direito e o perigo de dano ou risco ao resultado útil do processo. Os pedidos devem delimitar as URLs, os conteúdos ou outros identificadores disponíveis e justificar a necessidade da medida, inclusive quando se pretender evitar novas publicações determinadas, sem formular proibição genérica de manifestações lícitas.

A preservação das provas digitais deve evitar ampliar a exposição

A pessoa afetada deve registrar, sempre que possível e de maneira segura, o endereço da publicação, nome de usuário, data, horário, texto completo, comentários relevantes, compartilhamentos e protocolos de denúncia. Arquivos originais, registros da repercussão e mensagens ameaçadoras podem ajudar a reconstruir os fatos. As orientações sobre preservação de provas em redes sociais também são pertinentes às ocorrências de exposição indevida de dados.

Quando a divulgação é realizada por conta que oculta a identidade do responsável, a análise deve diferenciar o perfil exibido da pessoa que efetivamente controlou o acesso. O uso de perfil falso nas redes sociais não comprova automaticamente crime, mas pode justificar providências de preservação e identificação quando houver indícios concretos de violação de direitos.

O artigo 22 do Marco Civil da Internet prevê requisitos para requerer judicialmente registros de conexão ou de acesso a aplicações, incluindo indícios fundados da ocorrência do ilícito, justificativa motivada da utilidade dos registros e indicação do período relevante. A obtenção e o cruzamento de informações estão sujeitos às garantias legais. Um endereço IP ou um cadastro isolado não constitui necessariamente prova conclusiva da pessoa que divulgou os dados.

A indenização depende das circunstâncias, da gravidade e dos danos demonstrados

O doxing (doxxing) pode justificar reparação civil quando a exposição configurar ato ilícito e produzir consequências juridicamente relevantes. A avaliação pode considerar o grau de intimidade dos dados, a finalidade da publicação, o alcance da divulgação, a persistência do conteúdo, a existência de ameaças e os efeitos sobre a segurança, a vida pessoal ou a atividade profissional. Também devem ser examinados os requisitos de responsabilidade de cada pessoa ou empresa envolvida.

Não há um valor indenizatório fixo para toda exposição de dados, nem se deve afirmar que qualquer divulgação gera dano moral presumido. Quando houver prejuízos patrimoniais, é importante conservar comprovantes de despesas e perdas efetivamente relacionadas aos fatos. A reparação deve observar os elementos concretos, a prova disponível e o regime jurídico pertinente, sem equiparar automaticamente a responsabilidade do autor da divulgação à de eventual plataforma intermediária.

A exposição de dados de crianças e adolescentes demanda proteção reforçada

A divulgação de endereço, escola, itinerários ou informações familiares de crianças e adolescentes pode produzir riscos particularmente graves. O Estatuto da Criança e do Adolescente estabelece proteção à dignidade, ao respeito e à integridade de pessoas em desenvolvimento. Conforme o contexto, a apuração deverá considerar também as normas de proteção de dados e de segurança em ambientes digitais.

Nessas situações, responsáveis devem evitar tornar pública a identidade da criança ou adolescente ao solicitar ajuda, inclusive em campanhas de denúncia. O registro reservado dos fatos e o acionamento dos canais de proteção pertinentes permitem avaliar medidas para conter o risco sem reproduzir ou ampliar a circulação de dados sensíveis da vítima.

Dúvidas frequentes

Divulgar endereço ou telefone de outra pessoa é sempre crime?

Não. A avaliação depende do contexto, da finalidade e dos elementos previstos nos tipos penais. Mesmo sem crime, a divulgação pode ser civilmente ilícita quando violar indevidamente privacidade, segurança ou outros direitos.

Dados encontrados em sites públicos podem ser republicados livremente?

Não necessariamente. A disponibilidade pública não elimina direitos da personalidade nem autoriza qualquer forma de tratamento ou reutilização. Devem ser consideradas a finalidade, a proporcionalidade, a legislação aplicável e o interesse público legítimo.

É possível descobrir quem divulgou os dados?

Em certas situações, sim. A identificação pode exigir a preservação de registros de acesso, diligências técnicas e pedido judicial fundamentado. O resultado dependerá dos dados existentes e das medidas legalmente cabíveis.

Conclusão

O doxing (doxxing) pode representar violação grave da privacidade quando informações pessoais são expostas para constranger, intimidar ou facilitar a localização de alguém. Contudo, o enquadramento jurídico exige distinguir divulgação legítima de ato abusivo e verificar os requisitos específicos da responsabilidade civil, das normas de proteção de dados e dos possíveis crimes envolvidos.