Tribunal: TJDFT
Processo: 0713969-43.2022.8.07.0020
Órgão julgador: DANIEL FELIPE MACHADO
Órgão colegiado: TERCEIRA TURMA RECURSAL
Data de julgamento: 2023-03-06
Data de publicação: 2023-03-14

Ementa:
CONSUMIDOR. PRETENSÃO DE REPARAÇÃO MATERIAL – PRESTADOR DE SERVIÇOS DIGITAIS – REDE SOCIAL (“INSTAGRAM”) – FALSA VENDA DE PRODUTO – PERFIL “HACKEADO” – FALHA DO DEVER DE SEGURANÇA – RISCO DA ATIVIDADE – DESÍDIA. RECURSO CONHECIDO E IMPROVIDO.

1. Trata-se de recurso inominado interposto pelo réu contra sentença que o condenou ao pagamento de danos materiais (R$ 5.350,00) causados aos autores, em razão de suposta falha na segurança da plataforma digital (Instagram) que permitiu que o fraudador hackeasse perfil de usuária regularmente cadastrada na rede social, para a prática do golpe da falsa venda de produto.

2. Aplicável à hipótese dos autos o CDC, especialmente, a inversão do ônus da prova em razão da verossimilhança das alegações dos autores e de sua hipossuficiência.

3. Ademais, a controvérsia posta nos autos (responsabilização do réu pelo dano patrimonial sofrido pelos autores em decorrência de suposta falha de segurança de seu sistema, que permitiu ao golpista obter proveito econômico) chama também a aplicação da lei no 13.709/2018 (Lei Geral de Proteção de Dados Pessoais – LGPD), que em seu art. 6o, VI e VII dispõem que as atividades de tratamento de dados pessoais deverão observar a boa-fé e, dentre outros, os princípios da segurança e proteção[1].

4. O art. 42 do mesmo regramento estatui ainda: “o controlador ou o operador que, em razão do exercício de atividade de tratamento de dados pessoais, causar a outrem dano patrimonial, moral, individual ou coletivo, em violação à legislação de proteção de dados pessoais, é obrigado a repará-lo”.

5. É incontroverso nos autos que a primeira requerente efetuou a compra de eletrodomésticos no valor de R$ 5.350,00 (pagamento via PIX – ID Num. 43516004 - Pág. 7) que estavam sendo ofertados à venda no perfil de uma conhecida (Lívia Matos dos Santos – “@liviams05”), ID Num. 43516005, e que somente após o pagamento descobriu se tratar de um golpe, uma vez que o perfil de Lívia Matos dos Santos no Instagram havia sido “hackeado” por terceiro que teria feito as tais ofertas. Afirmou também que ao falar com Lívia, esta teria lhe contado sobre sua conta “hackeada” e que outros de seus seguidores na rede também teriam sido vítimas do golpe. Lívia acresceu que, imediatamente após usurpação de sua conta, tentou contato com o Instagram, mas teve muita dificuldade em acionar um canal de comunicação direto com a requerida, pois não existem telefones, serviço de atendimento ao cliente, e-mail ou canal acessíveis aos usuários (conforme ID Num. 43516005 - Pág. 18 a ID Num. 43516005 - Pág. 33).

6. Sobressai no caso concreto a falha no dever de segurança do requerido, que deixou de adotar “medidas técnicas e administrativas aptas a proteger os dados pessoais de acessos não autorizados e de situações acidentais ou ilícitas de destruição, perda, alteração, comunicação ou difusão”. De acordo com o teor do art. 44 da LGPD, “o tratamento de dados pessoais será irregular quando deixar de observar a legislação ou quando não fornecer a segurança que o titular dele pode esperar, consideradas as circunstâncias relevantes, entre as quais: [...] II - o resultado e os riscos que razoavelmente dele se esperam”. Grifo nosso.

7. O parágrafo único do art. 44 ainda enuncia que “responde pelos danos decorrentes da violação da segurança dos dados o controlador ou o operador que, ao deixar de adotar as medidas de segurança previstas no art. 46 desta Lei, der causa ao dano”.

8. Incumbiria ao requerido, fazer prova de fato constitutivo, impeditivo ou modificativo do direito do autor, mas não se desincumbiu deste ônus. Limitou-se a alegar que não teve participação no negócio jurídico firmado entre os autores e a usuária do perfil “@liviams05; não foi beneficiário dos valores da transação realizada; não deu causa aos prejuízos noticiados; e que a responsabilidade pela senha de acesso à conta cadastrada na rede social é de exclusiva responsabilidade do usuário (consumidor).

9. Não prosperam tais argumentos. Na medida em que o recorrente é o detentor dos dados e realiza seu tratamento de maneira descuidada, deve ser responsabilizado pelos danos que advierem da violação daqueles dados. Trata-se da aplicação da Teoria do Risco da Atividade – razão pela qual deve indenizar os prejuízos causados aos usuários, por se tratar de fortuito interno (art. 14, §3o, II, CDC).

10. Merece destaque também a dificuldade da usuária que teve a conta invadida que, mesmo adotando rapidamente providências para a comunicação do fato à plataforma, para as medidas devidas, não dispôs de canal efetivo e rápido para tal finalidade, permitindo que a invasão do perfil perdurasse no tempo e o fraudador agisse desimpedido. É a conjugação de falha de segurança do sistema informático do réu aliada à desídia no atendimento de demanda urgente de usuário lesado. Por tais motivos, não é correto alegar culpa exclusiva da vítima. Irretocável a sentença proferida que condenou o réu à reparação do valor pretendido.

11. Neste sentido, cito precedente desta Turma Recursal, acórdão no 1412517, Relator: CARLOS ALBERTO MARTINS FILHO, Terceira Turma Recursal, publicado no PJe: 11/4/2022.

12. RECURSO CONHECIDO E IMPROVIDO.

13. Sem custas adicionais nem honorários, dada a ausência de contrarrazões.

[1] Art. 6o As atividades de tratamento de dados pessoais deverão observar a boa-fé e os seguintes princípios:

[...]

VII - segurança: utilização de medidas técnicas e administrativas aptas a proteger os dados pessoais de acessos não autorizados e de situações acidentais ou ilícitas de destruição, perda, alteração, comunicação ou difusão;

VIII - prevenção: adoção de medidas para prevenir a ocorrência de danos em virtude do tratamento de dados pessoais;

Inteiro teor:
CONSUMIDOR. PRETENSÃO DE REPARAÇÃO MATERIAL – PRESTADOR DE SERVIÇOS DIGITAIS – REDE SOCIAL (“INSTAGRAM”) – FALSA VENDA DE PRODUTO – PERFIL “HACKEADO” – FALHA DO DEVER DE SEGURANÇA – RISCO DA ATIVIDADE – DESÍDIA. RECURSO CONHECIDO E IMPROVIDO.

1. Trata-se de recurso inominado interposto pelo réu contra sentença que o condenou ao pagamento de danos materiais (R$ 5.350,00) causados aos autores, em razão de suposta falha na segurança da plataforma digital (Instagram) que permitiu que o fraudador hackeasse perfil de usuária regularmente cadastrada na rede social, para a prática do golpe da falsa venda de produto.

2. Aplicável à hipótese dos autos o CDC, especialmente, a inversão do ônus da prova em razão da verossimilhança das alegações dos autores e de sua hipossuficiência.

3. Ademais, a controvérsia posta nos autos (responsabilização do réu pelo dano patrimonial sofrido pelos autores em decorrência de suposta falha de segurança de seu sistema, que permitiu ao golpista obter proveito econômico) chama também a aplicação da lei no 13.709/2018 (Lei Geral de Proteção de Dados Pessoais – LGPD), que em seu art. 6o, VI e VII dispõem que as atividades de tratamento de dados pessoais deverão observar a boa-fé e, dentre outros, os princípios da segurança e proteção[1].

4. O art. 42 do mesmo regramento estatui ainda: “o controlador ou o operador que, em razão do exercício de atividade de tratamento de dados pessoais, causar a outrem dano patrimonial, moral, individual ou coletivo, em violação à legislação de proteção de dados pessoais, é obrigado a repará-lo”.

5. É incontroverso nos autos que a primeira requerente efetuou a compra de eletrodomésticos no valor de R$ 5.350,00 (pagamento via PIX – ID Num. 43516004 - Pág. 7) que estavam sendo ofertados à venda no perfil de uma conhecida (Lívia Matos dos Santos – “@liviams05”), ID Num. 43516005, e que somente após o pagamento descobriu se tratar de um golpe, uma vez que o perfil de Lívia Matos dos Santos no Instagram havia sido “hackeado” por terceiro que teria feito as tais ofertas. Afirmou também que ao falar com Lívia, esta teria lhe contado sobre sua conta “hackeada” e que outros de seus seguidores na rede também teriam sido vítimas do golpe. Lívia acresceu que, imediatamente após usurpação de sua conta, tentou contato com o Instagram, mas teve muita dificuldade em acionar um canal de comunicação direto com a requerida, pois não existem telefones, serviço de atendimento ao cliente, e-mail ou canal acessíveis aos usuários (conforme ID Num. 43516005 - Pág. 18 a ID Num. 43516005 - Pág. 33).

6. Sobressai no caso concreto a falha no dever de segurança do requerido, que deixou de adotar “medidas técnicas e administrativas aptas a proteger os dados pessoais de acessos não autorizados e de situações acidentais ou ilícitas de destruição, perda, alteração, comunicação ou difusão”. De acordo com o teor do art. 44 da LGPD, “o tratamento de dados pessoais será irregular quando deixar de observar a legislação ou quando não fornecer a segurança que o titular dele pode esperar, consideradas as circunstâncias relevantes, entre as quais: [...] II - o resultado e os riscos que razoavelmente dele se esperam”. Grifo nosso.

7. O parágrafo único do art. 44 ainda enuncia que “responde pelos danos decorrentes da violação da segurança dos dados o controlador ou o operador que, ao deixar de adotar as medidas de segurança previstas no art. 46 desta Lei, der causa ao dano”.

8. Incumbiria ao requerido, fazer prova de fato constitutivo, impeditivo ou modificativo do direito do autor, mas não se desincumbiu deste ônus. Limitou-se a alegar que não teve participação no negócio jurídico firmado entre os autores e a usuária do perfil “@liviams05; não foi beneficiário dos valores da transação realizada; não deu causa aos prejuízos noticiados; e que a responsabilidade pela senha de acesso à conta cadastrada na rede social é de exclusiva responsabilidade do usuário (consumidor).

9. Não prosperam tais argumentos. Na medida em que o recorrente é o detentor dos dados e realiza seu tratamento de maneira descuidada, deve ser responsabilizado pelos danos que advierem da violação daqueles dados. Trata-se da aplicação da Teoria do Risco da Atividade – razão pela qual deve indenizar os prejuízos causados aos usuários, por se tratar de fortuito interno (art. 14, §3o, II, CDC).

10. Merece destaque também a dificuldade da usuária que teve a conta invadida que, mesmo adotando rapidamente providências para a comunicação do fato à plataforma, para as medidas devidas, não dispôs de canal efetivo e rápido para tal finalidade, permitindo que a invasão do perfil perdurasse no tempo e o fraudador agisse desimpedido. É a conjugação de falha de segurança do sistema informático do réu aliada à desídia no atendimento de demanda urgente de usuário lesado. Por tais motivos, não é correto alegar culpa exclusiva da vítima. Irretocável a sentença proferida que condenou o réu à reparação do valor pretendido.

11. Neste sentido, cito precedente desta Turma Recursal, acórdão no 1412517, Relator: CARLOS ALBERTO MARTINS FILHO, Terceira Turma Recursal, publicado no PJe: 11/4/2022.

12. RECURSO CONHECIDO E IMPROVIDO.

13. Sem custas adicionais nem honorários, dada a ausência de contrarrazões.

[1] Art. 6o As atividades de tratamento de dados pessoais deverão observar a boa-fé e os seguintes princípios:

[...]

VII - segurança: utilização de medidas técnicas e administrativas aptas a proteger os dados pessoais de acessos não autorizados e de situações acidentais ou ilícitas de destruição, perda, alteração, comunicação ou difusão;

VIII - prevenção: adoção de medidas para prevenir a ocorrência de danos em virtude do tratamento de dados pessoais;