Tribunal: TJDFT
Processo: 0701362-73.2023.8.07.0016
Órgão julgador: DANIEL FELIPE MACHADO
Órgão colegiado: TERCEIRA TURMA RECURSAL
Data de julgamento: 2023-12-11
Data de publicação: 2024-01-22

Ementa:
CONSUMIDOR. PRETENSÃO DE REPARAÇÃO POR DANOS MORAIS – PROVEDOR DE APLICAÇÕES DE INTERNET – REDE SOCIAL (“INSTAGRAM”) – PERFIL “HACKEADO” – EXCLUSÃO DO USUÁRIO – FALHA DO DEVER DE SEGURANÇA – RISCO DA ATIVIDADE – ATIVIDADE COMERCIAL “ON LINE” – ABALO NA PERSONALIDADE – DANOS MORAIS CONFIGURADOS – VALOR ADEQUADO E PROPORCIONAL. RECURSO CONHECIDO IMPROVIDO.

1. Trata-se de recurso inominado interposto pelo réu contra sentença que o condenou ao pagamento de reparação por danos morais (R$ 3.000,00) em razão de suposta falha na segurança da plataforma digital (Instagram) que permitiu que fraudador hackeasse o perfil regularmente cadastrado da autora na rede social, utilizado para o desempenho de atividade comercial, “@rramos.nataliapersonal” (serviço de “personal trainner”).

2. Aplicável à hipótese dos autos o CDC, especialmente, a inversão do ônus da prova em razão da verossimilhança das alegações da autora e de sua hipossuficiência.

3. A controvérsia posta nos autos (responsabilização do réu pelo dano extrapatrimonial sofrido pela autora em decorrência de suposta falha de segurança de seu sistema, que permitiu ao golpista “hackear” a conta do perfil da autora) chama também a aplicação da lei no 13.709/2018 (Lei Geral de Proteção de Dados Pessoais – LGPD), que em seu art. 6o, VI e VII dispõem que as atividades de tratamento de dados pessoais deverão observar a boa-fé e, dentre outros, os princípios da segurança e proteção[1].

4. O art. 42 do mesmo regramento estatui ainda: “o controlador ou o operador que, em razão do exercício de atividade de tratamento de dados pessoais, causar a outrem dano patrimonial, moral, individual ou coletivo, em violação à legislação de proteção de dados pessoais, é obrigado a repará-lo”.

5. É incontroverso nos autos que a autora utiliza seu perfil na rede social Instagram, “@rramos.nataliapersonal” para divulgar sua profissão de educadora física, fato não impugnado pelo requerido, portanto, considerado como verdadeiro. Diz, ainda, na inicial que tal perfil teria sido “hackeado”, com a alteração das informações do seu perfil (que conta com mais de 1.000 seguidores), apresentando-a como uma agente financeira que realizava investimentos (ID Num. 53366056 - Pág. 1). Narra que perdeu o acesso à sua conta. Diz também que com a fraude perpetrada lhe acarretou prejuízos com a perda de contatos e de novos alunos; além de receber ligações de terceiros (vítimas dos golpes efetuados utilizando-se a dita conta), ofendendo-a e a ameaçando[2], por suporem que a autora participou da fraude.

6. Sobressai no caso concreto a falha no dever de segurança do requerido, que deixou de adotar “medidas técnicas e administrativas aptas a proteger os dados pessoais de acessos não autorizados e de situações acidentais ou ilícitas de destruição, perda, alteração, comunicação ou difusão”. De acordo com o teor do art. 44 da LGPD, “o tratamento de dados pessoais será irregular quando deixar de observar a legislação ou quando não fornecer a segurança que o titular dele pode esperar, consideradas as circunstâncias relevantes, entre as quais: [...] II - o resultado e os riscos que razoavelmente dele se esperam”. Grifo nosso.

7. O parágrafo único do art. 44 ainda enuncia que “responde pelos danos decorrentes da violação da segurança dos dados o controlador ou o operador que, ao deixar de adotar as medidas de segurança previstas no art. 46 desta Lei, der causa ao dano”.

8. O requerido incumbiria fazer prova de fato constitutivo, impeditivo ou modificativo do direito do autor, mas não se desincumbiu deste ônus, mesmo. Na medida em que o recorrente é o detentor dos dados e realiza seu tratamento de maneira descuidada, deve ser responsabilizado pelos danos que advierem da violação daqueles dados. Trata-se da aplicação da Teoria do Risco da Atividade – razão pela qual deve reparar os prejuízos causados aos usuários, por se cuidar de fortuito interno (art. 14, §3o, II, CDC).

9. Diante das conversas via DM (“Direct Message”) (ID Num. 53366057 - Pág. 1 a ID Num. 53366057 - Pág. 8) se denota algumas das consequências danosas para a autora, notadamente, ameaça à sua integridade física.

10. Nesse cenário, resta demonstrada a falha da segurança do réu, sem provas nos autos acerca das providências adotadas pela empresa para resolver o imbróglio, seja pelo próprio aplicativo ou mesmo por e-mail.

11. Merece destaque também a dificuldade da usuária que teve a conta invadida e que, mesmo adotando rapidamente providências para a comunicação do fato à plataforma (ID Num. 53366054 - Pág. 1, ID Num. 53366059 - Pág. 1 e ID Num. 53366061 - Pág. 1), para as medidas devidas, não dispôs de canal efetivo e rápido para tal finalidade, permitindo que a invasão do perfil perdurasse no tempo e o fraudador agisse desimpedido. É a conjugação de falha de segurança do sistema informático do réu aliada à desídia no atendimento de demanda urgente de usuário lesado. Por tais motivos, não é correto apontar culpa exclusiva da vítima.

12. Considerando todas essas circunstâncias, constata-se que o episódio narrado influiu sobremaneira na vida profissional da autora e no seu meio social de modo a caracterizar a ofensa à sua honra objetiva (nome, boa fama, credibilidade) a justificar o reconhecimento de danos morais. Ademais, o valor de R$ 3.000,00 atende prontamente aos critérios de razoabilidade e proporcionalidade, além de atender ao caráter pedagógico-punitivo da medida. Irretocável a sentença proferida que condenou o réu à reparação por danos morais.

13. RECURSO CONHECIDO E IMPROVIDO.

14. Diante da sucumbência, nos termos do artigo 55 da Lei dos Juizados Especiais (Lei no 9.099/95), condeno o recorrente ao pagamento das custas processuais e honorários advocatícios, estes fixados em 20% (vinte por cento) do valor da condenação. Contrarrazões (ID Num. 53882605 - Pág. 1) tempestivas, conforme registro no PJE na aba “Expedientes” (“Data limite prevista para manifestação: 27/11/2023 23:59:59).

[1] Art. 6o As atividades de tratamento de dados pessoais deverão observar a boa-fé e os seguintes princípios:

[...]

VII - segurança: utilização de medidas técnicas e administrativas aptas a proteger os dados pessoais de acessos não autorizados e de situações acidentais ou ilícitas de destruição, perda, alteração, comunicação ou difusão;

VIII - prevenção: adoção de medidas para prevenir a ocorrência de danos em virtude do tratamento de dados pessoais;

[2] “Vou buscar vcs até no inferno. Mexeu com a pessoa errada. Se for esperto manda de volta. Ou não manda se acha que essa merreca aí vale sua vida. PCC. Vou corta sua cabeça pra aprende”.

Inteiro teor:
CONSUMIDOR. PRETENSÃO DE REPARAÇÃO POR DANOS MORAIS – PROVEDOR DE APLICAÇÕES DE INTERNET – REDE SOCIAL (“INSTAGRAM”) – PERFIL “HACKEADO” – EXCLUSÃO DO USUÁRIO – FALHA DO DEVER DE SEGURANÇA – RISCO DA ATIVIDADE – ATIVIDADE COMERCIAL “ON LINE” – ABALO NA PERSONALIDADE – DANOS MORAIS CONFIGURADOS – VALOR ADEQUADO E PROPORCIONAL. RECURSO CONHECIDO IMPROVIDO.

1. Trata-se de recurso inominado interposto pelo réu contra sentença que o condenou ao pagamento de reparação por danos morais (R$ 3.000,00) em razão de suposta falha na segurança da plataforma digital (Instagram) que permitiu que fraudador hackeasse o perfil regularmente cadastrado da autora na rede social, utilizado para o desempenho de atividade comercial, “@rramos.nataliapersonal” (serviço de “personal trainner”).

2. Aplicável à hipótese dos autos o CDC, especialmente, a inversão do ônus da prova em razão da verossimilhança das alegações da autora e de sua hipossuficiência.

3. A controvérsia posta nos autos (responsabilização do réu pelo dano extrapatrimonial sofrido pela autora em decorrência de suposta falha de segurança de seu sistema, que permitiu ao golpista “hackear” a conta do perfil da autora) chama também a aplicação da lei no 13.709/2018 (Lei Geral de Proteção de Dados Pessoais – LGPD), que em seu art. 6o, VI e VII dispõem que as atividades de tratamento de dados pessoais deverão observar a boa-fé e, dentre outros, os princípios da segurança e proteção[1].

4. O art. 42 do mesmo regramento estatui ainda: “o controlador ou o operador que, em razão do exercício de atividade de tratamento de dados pessoais, causar a outrem dano patrimonial, moral, individual ou coletivo, em violação à legislação de proteção de dados pessoais, é obrigado a repará-lo”.

5. É incontroverso nos autos que a autora utiliza seu perfil na rede social Instagram, “@rramos.nataliapersonal” para divulgar sua profissão de educadora física, fato não impugnado pelo requerido, portanto, considerado como verdadeiro. Diz, ainda, na inicial que tal perfil teria sido “hackeado”, com a alteração das informações do seu perfil (que conta com mais de 1.000 seguidores), apresentando-a como uma agente financeira que realizava investimentos (ID Num. 53366056 - Pág. 1). Narra que perdeu o acesso à sua conta. Diz também que com a fraude perpetrada lhe acarretou prejuízos com a perda de contatos e de novos alunos; além de receber ligações de terceiros (vítimas dos golpes efetuados utilizando-se a dita conta), ofendendo-a e a ameaçando[2], por suporem que a autora participou da fraude.

6. Sobressai no caso concreto a falha no dever de segurança do requerido, que deixou de adotar “medidas técnicas e administrativas aptas a proteger os dados pessoais de acessos não autorizados e de situações acidentais ou ilícitas de destruição, perda, alteração, comunicação ou difusão”. De acordo com o teor do art. 44 da LGPD, “o tratamento de dados pessoais será irregular quando deixar de observar a legislação ou quando não fornecer a segurança que o titular dele pode esperar, consideradas as circunstâncias relevantes, entre as quais: [...] II - o resultado e os riscos que razoavelmente dele se esperam”. Grifo nosso.

7. O parágrafo único do art. 44 ainda enuncia que “responde pelos danos decorrentes da violação da segurança dos dados o controlador ou o operador que, ao deixar de adotar as medidas de segurança previstas no art. 46 desta Lei, der causa ao dano”.

8. O requerido incumbiria fazer prova de fato constitutivo, impeditivo ou modificativo do direito do autor, mas não se desincumbiu deste ônus, mesmo. Na medida em que o recorrente é o detentor dos dados e realiza seu tratamento de maneira descuidada, deve ser responsabilizado pelos danos que advierem da violação daqueles dados. Trata-se da aplicação da Teoria do Risco da Atividade – razão pela qual deve reparar os prejuízos causados aos usuários, por se cuidar de fortuito interno (art. 14, §3o, II, CDC).

9. Diante das conversas via DM (“Direct Message”) (ID Num. 53366057 - Pág. 1 a ID Num. 53366057 - Pág. 8) se denota algumas das consequências danosas para a autora, notadamente, ameaça à sua integridade física.

10. Nesse cenário, resta demonstrada a falha da segurança do réu, sem provas nos autos acerca das providências adotadas pela empresa para resolver o imbróglio, seja pelo próprio aplicativo ou mesmo por e-mail.

11. Merece destaque também a dificuldade da usuária que teve a conta invadida e que, mesmo adotando rapidamente providências para a comunicação do fato à plataforma (ID Num. 53366054 - Pág. 1, ID Num. 53366059 - Pág. 1 e ID Num. 53366061 - Pág. 1), para as medidas devidas, não dispôs de canal efetivo e rápido para tal finalidade, permitindo que a invasão do perfil perdurasse no tempo e o fraudador agisse desimpedido. É a conjugação de falha de segurança do sistema informático do réu aliada à desídia no atendimento de demanda urgente de usuário lesado. Por tais motivos, não é correto apontar culpa exclusiva da vítima.

12. Considerando todas essas circunstâncias, constata-se que o episódio narrado influiu sobremaneira na vida profissional da autora e no seu meio social de modo a caracterizar a ofensa à sua honra objetiva (nome, boa fama, credibilidade) a justificar o reconhecimento de danos morais. Ademais, o valor de R$ 3.000,00 atende prontamente aos critérios de razoabilidade e proporcionalidade, além de atender ao caráter pedagógico-punitivo da medida. Irretocável a sentença proferida que condenou o réu à reparação por danos morais.

13. RECURSO CONHECIDO E IMPROVIDO.

14. Diante da sucumbência, nos termos do artigo 55 da Lei dos Juizados Especiais (Lei no 9.099/95), condeno o recorrente ao pagamento das custas processuais e honorários advocatícios, estes fixados em 20% (vinte por cento) do valor da condenação. Contrarrazões (ID Num. 53882605 - Pág. 1) tempestivas, conforme registro no PJE na aba “Expedientes” (“Data limite prevista para manifestação: 27/11/2023 23:59:59).

[1] Art. 6o As atividades de tratamento de dados pessoais deverão observar a boa-fé e os seguintes princípios:

[...]

VII - segurança: utilização de medidas técnicas e administrativas aptas a proteger os dados pessoais de acessos não autorizados e de situações acidentais ou ilícitas de destruição, perda, alteração, comunicação ou difusão;

VIII - prevenção: adoção de medidas para prevenir a ocorrência de danos em virtude do tratamento de dados pessoais;

[2] “Vou buscar vcs até no inferno. Mexeu com a pessoa errada. Se for esperto manda de volta. Ou não manda se acha que essa merreca aí vale sua vida. PCC. Vou corta sua cabeça pra aprende”.