Tribunal: TJDFT
Processo: 0707982-34.2023.8.07.0006
Órgão julgador: MARILIA DE AVILA E SILVA SAMPAIO
Órgão colegiado: SEGUNDA TURMA RECURSAL
Data de julgamento: 2023-09-25
Data de publicação: 2023-10-04

Ementa:
JUIZADO ESPECIAL CÍVEL. RECURSO INOMINADO. BANCÁRIO. CARTÃO DE CRÉDITO. ENGENHARIA SOCIAL. SPOOFING. FORNECIMENTO DE CÓDIGO ENVIADO POR SMS PARA CONFIRMAÇÃO DA COMPRA. DEVER DE SEGURANÇA. COMPRAS NÃO RECONHECIDAS PELA CORRENTISTA. NÃO DISPONIBILIZAÇÃO DE SENHA. FRAUDE. VAZAMENTO DE DADOS – ARTS. 42 E 43 DA LGPD. FALHA NA PRESTAÇÃO DO SERVIÇO. FORTUITO INTERNO. RESPONSABILIDADE OBJETIVA. SÚMULA 479 DO STJ. PRELIMINARES REJEITADAS. RECURSO CONHECIDO E NÃO PROVIDO.
1. Trata-se de recurso interposto pelo Banco, em face da sentença que julgou parcialmente procedentes os pedidos iniciais, condenando-o a ressarcir à autora o valor relativo aos débitos contestados (R$1.994,50, R$430,00 e R$100,00). Em suas razões, pede a concessão de efeito suspensivo. Suscita preliminar de error in judicando. No mérito, sustenta que a própria recorrida fragilizou seus dados, que não houve prática de ato ilícito, e que é o caso de culpa exclusiva da vítima. Pede a reforma da sentença. 2. Recurso próprio e tempestivo. Preparo devidamente recolhido. Foram apresentadas contrarrazões, id 51107521.
3. Efeito suspensivo. Nos Juizados Especiais o recurso tem efeito meramente devolutivo. Somente se concede o efeito suspensivo em caso de possibilidade de dano irreparável (art. 43 da Lei 9.099/95), o que não foi demonstrado no caso em exame. Indefiro o pedido de efeito suspensivo.
4. Preliminar de error in judicando. Pela leitura da sentença verifica-se que foram observados os requisitos formais pertinentes à prática do ato, bem como as questões de direito material objeto do pedido da recorrida, aplicando-se a norma ao caso concreto. O simples inconformismo com o resultado do julgamento, não tem o condão de invalidar a sentença. Deste modo, verifico inexistir vício processual no julgamento de 1a instância. Preliminar rejeitada.
5. A relação jurídica estabelecida entre as partes é de natureza consumerista, devendo a controvérsia ser solucionada sob o prisma do sistema jurídico autônomo instituído pelo Código de Defesa do Consumidor (Lei Federal no 8.078/90), protetor da parte vulnerável da relação de consumo. Aliás, o art. 4o, inciso I do CDC – A Política Nacional das Relações de Consumo tem como princípio que se deve reconhecer a vulnerabilidade do consumidor no mercado de consumo, pois está em posição de inferioridade se comparado ao status do fornecedor. No ambiente não presencial essa vulnerabilidade é agravada, pois há que se reconhecer que em matéria de evolução tecnológica e de usos de dispositivos digitais, e de razoavelmente controlar tais domínios é responsabilidade do fornecedor, ofertando a segurança legitimamente esperada pelos correntistas quanto a proteção de seu patrimônio.
6. De acordo com o enunciado da Súmula 479 do Superior Tribunal de Justiça, as instituições financeiras respondem objetivamente pelos danos gerados por fortuito interno, relativo a fraudes e delitos praticados por terceiros no âmbito de operações bancárias. Na hipótese, pelo que se observa, a autora recebeu contato pretensamente da Instituição recorrente, cujo preposto dispunha de seus dados pessoais e bancários, informando sobre compra suspeita, e pedindo o fornecimento do código enviado por SMS para cancelar as referidas compras. Ocorre que, após o ocorrido, foram constatadas três compras por ela não reconhecidas.
7. Importa esclarecer que a ação fraudulenta de terceiro não tem o condão de romper o nexo causal entre a conduta da instituição financeira e os danos experimentados pelos consumidores, por se tratar de fortuito interno, inerente ao risco da atividade que o requerido exerce, a teor do que dispõe também o art. 14 do CDC. Ademais, a excludente mencionada no citado dispositivo, capaz de elidir a responsabilidade objetiva do fornecedor de produtos ou serviços, é somente aquela classificada como fortuito externo, o que não é o caso dos autos.
8. Nos últimos anos houve um aumento exponencial das atividades bancárias executadas de forma on-line, sendo os clientes/consumidores levados a utilizar cada vez mais os serviços digitais e, na mesma proporção, sendo expostos a riscos de perdas financeiras decorrentes de acessos irregulares, fraudes e operações irregulares. Nesse passo, a instituição financeira há de ser responsabilizada pela segurança contra fraudes na prestação de serviços bancários, tendo em vista que, na mesma proporção em que os Bancos investem em ferramentas de segurança da atividade e atendimento ao cliente, de igual modo os fraudadores buscam meios de burlar os sistemas, restando evidenciado que as atividades executadas no ambiente digital têm enorme potencial de acarretar danos ao consumidor.
9. Convém esclarecer que o dever de segurança dos bancos implica ciência dos riscos decorrentes da própria atividade. Assim, em que pese sejam irrefreáveis, inexoráveis e inegavelmente úteis tanto ao fornecedor, como ao consumidor e, portanto, lícitas (sendo seu uso às vezes obrigatório), são permeadas por riscos inerentes, o parâmetro de cuidado exigido dos bancos quanto ao crédito e à administração financeira do consumidor é maior do que aquele exigido para ferramentas digitais que não tratem de interesses imprescindíveis aos usuários. Para mais, a boa-fé e o dever de cuidado impõem aos bancos a obrigação de garantirem a segurança dos produtos e serviços oferecidos, preservando o patrimônio do consumidor, e pondo-o a salvo de práticas que representem prejuízo. Registre-se que o art. 8o do CDC prescreve um dever geral de segurança, mandatório e de ordem pública, ao estabelecer que "os produtos e serviços colocados no mercado de consumo não acarretarão riscos à saúde ou segurança dos consumidores, exceto os considerados normais e previsíveis em decorrência de sua natureza e fruição, obrigando-se os fornecedores, em qualquer hipótese, a dar as informações necessárias e adequadas a seu respeito". O aludido artigo estabelece os limites de aceitação dos riscos impostos aos consumidores por parte dos fornecedores de serviços, quais sejam, a previsibilidade e a normalidade do risco. A previsibilidade é um conceito objetivo, mas normalidade não. Trata-se de um conceito jurídico indeterminado, que deverá ser interpretado na concretude da vida diária, sendo que cada sociedade admite os riscos que achar cabíveis. O maior dos riscos é aquele que o consumidor não vê.
10. Na hipótese, resta evidente a comprovação dos fatos pela recorrida, tendo em vista que a existência de senha pessoal não impede a ação de fraudadores, o que comprova fragilidade do sistema operacional da Instituição Financeira, e configura falha no sistema de segurança do recorrente, porquanto as instituições financeiras devem zelar pela segurança de seus softwares. Não bastassem tais ponderações, destaque-se que a Lei Geral de Proteção de Dados, nos art. 42 e 43, trata da responsabilidade civil dos agentes de tratamento, impondo-lhes o dever de reparar os danos que causarem, em violação ao dever de segurança relacionado aos dados disponibilizados.
11. Nessa perspectiva, a despeito da alegação do recorrente de que não tem responsabilidade pelo ocorrido, o simples fato de terceiros serem capazes de violar os sistemas de segurança dos bancos atrai a responsabilidade pelos prejuízos suportados pelos consumidores. Acrescente-se, ainda, que no contato feito pelos fraudadores por meio de spoofing (conduta maliciosa que consiste em efetuar um ataque cibernético como se partisse de fonte confiável), no qual a consumidora visualizava o número do Banco constante no verso do cartão de crédito (021 11 40043535), que segundo informação na internet trata-se do número da central de relacionamento do Banco recorrente), sendo que o interlocutor dispunha de todos os seus dados (dados bancários e do cartão de crédito da autora, tais como movimentações de compras recentes, data de validade do cartão de crédito, número do seu CPF, nome completo e data de nascimento).
12. Nesse cenário, correta a sentença que determinou o ressarcimento das operações realizadas mediante fraude.
13. Recurso CONHECIDO. PRELIMINARES REJEITADAS. NO MÉRITO, NÃO PROVIDO.
14. Condeno o recorrente ao pagamento de honorários de sucumbência, que fixo em 10% sobre o valor da condenação (art. 55 da Lei 9099/95).
15. A súmula de julgamento servirá de acórdão, a teor do que dispõe o art. 46 da Lei 9099/95.

Inteiro teor:
JUIZADO ESPECIAL CÍVEL. RECURSO INOMINADO. BANCÁRIO. CARTÃO DE CRÉDITO. ENGENHARIA SOCIAL. SPOOFING. FORNECIMENTO DE CÓDIGO ENVIADO POR SMS PARA CONFIRMAÇÃO DA COMPRA. DEVER DE SEGURANÇA. COMPRAS NÃO RECONHECIDAS PELA CORRENTISTA. NÃO DISPONIBILIZAÇÃO DE SENHA. FRAUDE. VAZAMENTO DE DADOS – ARTS. 42 E 43 DA LGPD. FALHA NA PRESTAÇÃO DO SERVIÇO. FORTUITO INTERNO. RESPONSABILIDADE OBJETIVA. SÚMULA 479 DO STJ. PRELIMINARES REJEITADAS. RECURSO CONHECIDO E NÃO PROVIDO.
1. Trata-se de recurso interposto pelo Banco, em face da sentença que julgou parcialmente procedentes os pedidos iniciais, condenando-o a ressarcir à autora o valor relativo aos débitos contestados (R$1.994,50, R$430,00 e R$100,00). Em suas razões, pede a concessão de efeito suspensivo. Suscita preliminar de error in judicando. No mérito, sustenta que a própria recorrida fragilizou seus dados, que não houve prática de ato ilícito, e que é o caso de culpa exclusiva da vítima. Pede a reforma da sentença. 2. Recurso próprio e tempestivo. Preparo devidamente recolhido. Foram apresentadas contrarrazões, id 51107521.
3. Efeito suspensivo. Nos Juizados Especiais o recurso tem efeito meramente devolutivo. Somente se concede o efeito suspensivo em caso de possibilidade de dano irreparável (art. 43 da Lei 9.099/95), o que não foi demonstrado no caso em exame. Indefiro o pedido de efeito suspensivo.
4. Preliminar de error in judicando. Pela leitura da sentença verifica-se que foram observados os requisitos formais pertinentes à prática do ato, bem como as questões de direito material objeto do pedido da recorrida, aplicando-se a norma ao caso concreto. O simples inconformismo com o resultado do julgamento, não tem o condão de invalidar a sentença. Deste modo, verifico inexistir vício processual no julgamento de 1a instância. Preliminar rejeitada.
5. A relação jurídica estabelecida entre as partes é de natureza consumerista, devendo a controvérsia ser solucionada sob o prisma do sistema jurídico autônomo instituído pelo Código de Defesa do Consumidor (Lei Federal no 8.078/90), protetor da parte vulnerável da relação de consumo. Aliás, o art. 4o, inciso I do CDC – A Política Nacional das Relações de Consumo tem como princípio que se deve reconhecer a vulnerabilidade do consumidor no mercado de consumo, pois está em posição de inferioridade se comparado ao status do fornecedor. No ambiente não presencial essa vulnerabilidade é agravada, pois há que se reconhecer que em matéria de evolução tecnológica e de usos de dispositivos digitais, e de razoavelmente controlar tais domínios é responsabilidade do fornecedor, ofertando a segurança legitimamente esperada pelos correntistas quanto a proteção de seu patrimônio.
6. De acordo com o enunciado da Súmula 479 do Superior Tribunal de Justiça, as instituições financeiras respondem objetivamente pelos danos gerados por fortuito interno, relativo a fraudes e delitos praticados por terceiros no âmbito de operações bancárias. Na hipótese, pelo que se observa, a autora recebeu contato pretensamente da Instituição recorrente, cujo preposto dispunha de seus dados pessoais e bancários, informando sobre compra suspeita, e pedindo o fornecimento do código enviado por SMS para cancelar as referidas compras. Ocorre que, após o ocorrido, foram constatadas três compras por ela não reconhecidas.
7. Importa esclarecer que a ação fraudulenta de terceiro não tem o condão de romper o nexo causal entre a conduta da instituição financeira e os danos experimentados pelos consumidores, por se tratar de fortuito interno, inerente ao risco da atividade que o requerido exerce, a teor do que dispõe também o art. 14 do CDC. Ademais, a excludente mencionada no citado dispositivo, capaz de elidir a responsabilidade objetiva do fornecedor de produtos ou serviços, é somente aquela classificada como fortuito externo, o que não é o caso dos autos.
8. Nos últimos anos houve um aumento exponencial das atividades bancárias executadas de forma on-line, sendo os clientes/consumidores levados a utilizar cada vez mais os serviços digitais e, na mesma proporção, sendo expostos a riscos de perdas financeiras decorrentes de acessos irregulares, fraudes e operações irregulares. Nesse passo, a instituição financeira há de ser responsabilizada pela segurança contra fraudes na prestação de serviços bancários, tendo em vista que, na mesma proporção em que os Bancos investem em ferramentas de segurança da atividade e atendimento ao cliente, de igual modo os fraudadores buscam meios de burlar os sistemas, restando evidenciado que as atividades executadas no ambiente digital têm enorme potencial de acarretar danos ao consumidor.
9. Convém esclarecer que o dever de segurança dos bancos implica ciência dos riscos decorrentes da própria atividade. Assim, em que pese sejam irrefreáveis, inexoráveis e inegavelmente úteis tanto ao fornecedor, como ao consumidor e, portanto, lícitas (sendo seu uso às vezes obrigatório), são permeadas por riscos inerentes, o parâmetro de cuidado exigido dos bancos quanto ao crédito e à administração financeira do consumidor é maior do que aquele exigido para ferramentas digitais que não tratem de interesses imprescindíveis aos usuários. Para mais, a boa-fé e o dever de cuidado impõem aos bancos a obrigação de garantirem a segurança dos produtos e serviços oferecidos, preservando o patrimônio do consumidor, e pondo-o a salvo de práticas que representem prejuízo. Registre-se que o art. 8o do CDC prescreve um dever geral de segurança, mandatório e de ordem pública, ao estabelecer que "os produtos e serviços colocados no mercado de consumo não acarretarão riscos à saúde ou segurança dos consumidores, exceto os considerados normais e previsíveis em decorrência de sua natureza e fruição, obrigando-se os fornecedores, em qualquer hipótese, a dar as informações necessárias e adequadas a seu respeito". O aludido artigo estabelece os limites de aceitação dos riscos impostos aos consumidores por parte dos fornecedores de serviços, quais sejam, a previsibilidade e a normalidade do risco. A previsibilidade é um conceito objetivo, mas normalidade não. Trata-se de um conceito jurídico indeterminado, que deverá ser interpretado na concretude da vida diária, sendo que cada sociedade admite os riscos que achar cabíveis. O maior dos riscos é aquele que o consumidor não vê.
10. Na hipótese, resta evidente a comprovação dos fatos pela recorrida, tendo em vista que a existência de senha pessoal não impede a ação de fraudadores, o que comprova fragilidade do sistema operacional da Instituição Financeira, e configura falha no sistema de segurança do recorrente, porquanto as instituições financeiras devem zelar pela segurança de seus softwares. Não bastassem tais ponderações, destaque-se que a Lei Geral de Proteção de Dados, nos art. 42 e 43, trata da responsabilidade civil dos agentes de tratamento, impondo-lhes o dever de reparar os danos que causarem, em violação ao dever de segurança relacionado aos dados disponibilizados.
11. Nessa perspectiva, a despeito da alegação do recorrente de que não tem responsabilidade pelo ocorrido, o simples fato de terceiros serem capazes de violar os sistemas de segurança dos bancos atrai a responsabilidade pelos prejuízos suportados pelos consumidores. Acrescente-se, ainda, que no contato feito pelos fraudadores por meio de spoofing (conduta maliciosa que consiste em efetuar um ataque cibernético como se partisse de fonte confiável), no qual a consumidora visualizava o número do Banco constante no verso do cartão de crédito (021 11 40043535), que segundo informação na internet trata-se do número da central de relacionamento do Banco recorrente), sendo que o interlocutor dispunha de todos os seus dados (dados bancários e do cartão de crédito da autora, tais como movimentações de compras recentes, data de validade do cartão de crédito, número do seu CPF, nome completo e data de nascimento).
12. Nesse cenário, correta a sentença que determinou o ressarcimento das operações realizadas mediante fraude.
13. Recurso CONHECIDO. PRELIMINARES REJEITADAS. NO MÉRITO, NÃO PROVIDO.
14. Condeno o recorrente ao pagamento de honorários de sucumbência, que fixo em 10% sobre o valor da condenação (art. 55 da Lei 9099/95).
15. A súmula de julgamento servirá de acórdão, a teor do que dispõe o art. 46 da Lei 9099/95.