Tribunal: TJDFT
Processo: 0764390-83.2021.8.07.0016
Órgão julgador: DANIEL FELIPE MACHADO
Órgão colegiado: TERCEIRA TURMA RECURSAL
Data de julgamento: 2023-03-06
Data de publicação: 2023-03-14

Ementa:
CONSUMIDOR. PRETENSÃO DE REPARAÇÃO POR DANOS MORAIS – PROVEDOR DE APLICAÇÕES DE INTERNET – REDE SOCIAL (“INSTAGRAM”) – PERFIL “HACKEADO” – EXCLUSÃO DO USUÁRIO – FALHA DO DEVER DE SEGURANÇA – RISCO DA ATIVIDADE – ATIVIDADE COMERCIAL EXCLUSIVA “ON LINE” – ABALO NA PERSONALIDADE – DANOS MORAIS CONFIGURADOS – VALOR EXCESSIVO – REDUÇÃO DEVIDA. RECURSO CONHECIDO E PARCIALMENTE PROVIDO.
1. Trata-se de recurso inominado interposto pelo réu contra sentença que o condenou ao pagamento de reparação por danos morais (R$ 5.000,00) em razão de suposta falha na segurança da plataforma digital (Instagram) que permitiu que fraudador hackeasse o perfil regularmente cadastrado da autora na rede social, utilizado para o desempenho de atividade comercial, “@storezero61” (comercialização de roupas).
2. Aplicável à hipótese dos autos o CDC, especialmente, a inversão do ônus da prova em razão da verossimilhança das alegações da autora e de sua hipossuficiência.
3. Ademais, a controvérsia posta nos autos (responsabilização do réu pelo dano extrapatrimonial sofrido pela autora em decorrência de suposta falha de segurança de seu sistema, que permitiu ao golpista “hackear” e inutilizar a conta do perfil da autora) chama também a aplicação da lei no 13.709/2018 (Lei Geral de Proteção de Dados Pessoais – LGPD), que em seu art. 6o, VI e VII dispõem que as atividades de tratamento de dados pessoais deverão observar a boa-fé e, dentre outros, os princípios da segurança e proteção[1].
4. O art. 42 do mesmo regramento estatui ainda: “o controlador ou o operador que, em razão do exercício de atividade de tratamento de dados pessoais, causar a outrem dano patrimonial, moral, individual ou coletivo, em violação à legislação de proteção de dados pessoais, é obrigado a repará-lo”.
5. É incontroverso nos autos que a autora é empresa regularmente constituída (ID Num. 43114568 - Pág. 1) para a comercialização de roupas com o perfil na rede social Instagram, “@storezero61”. Narrou que não tem loja física e desenvolve toda a sua atividade via internet, inclusive pagamentos e escolha de produtos pelos clientes, fato não impugnado pelo requerido, portanto, considerado incontroverso e, portanto, verdadeiro. Diz, ainda, na inicial que tal perfil teria sido “hackeado”, com a alteração da foto do perfil, exclusão de “posts” e impossibilidade de acesso à conta pelo seu verdadeiro titular, o representante da pessoa jurídica, TARIQY FELIPE PARREIRA BAUFAKER (ID Num. 43114570 - Pág. 1). Diz também a autora que “estão cancelando as compras, achando se tratar de uma empresa clandestina, visto que não localizam mais a conta, assim como não há mais possibilidade de compras e vendas pelo Instagram”.
6. Sobressai no caso concreto a falha no dever de segurança do requerido, que deixou de adotar “medidas técnicas e administrativas aptas a proteger os dados pessoais de acessos não autorizados e de situações acidentais ou ilícitas de destruição, perda, alteração, comunicação ou difusão”. De acordo com o teor do art. 44 da LGPD, “o tratamento de dados pessoais será irregular quando deixar de observar a legislação ou quando não fornecer a segurança que o titular dele pode esperar, consideradas as circunstâncias relevantes, entre as quais: [...] II - o resultado e os riscos que razoavelmente dele se esperam”. Grifo nosso.
7. O parágrafo único do art. 44 ainda enuncia que “responde pelos danos decorrentes da violação da segurança dos dados o controlador ou o operador que, ao deixar de adotar as medidas de segurança previstas no art. 46 desta Lei, der causa ao dano”.
8. O requerido incumbiria fazer prova de fato constitutivo, impeditivo ou modificativo do direito do autor, mas não se desincumbiu deste ônus, mesmo. Na medida em que o Recorrente é o detentor dos dados e realiza seu tratamento de maneira descuidada, deve ser responsabilizado pelos danos que advierem da violação daqueles dados. Trata-se da aplicação da Teoria do Risco da Atividade – razão pela qual deve reparar os prejuízos causados aos usuários, por se cuidar de fortuito interno (art. 14, §3o, II, CDC).
9. Diante das conversas via aplicativo “Whatsapp” juntadas (ID Num. 43114571 - Pág. 1 a ID Num. 43114571 - Pág. 15) se denota algumas das consequências danosas do evento para a atividade comercial desenvolvida, já que muitos consumidores sequer conseguiam localizar o perfil da requerente na rede social; outros ficaram receosos quanto à segurança do empreendimento; outros não conseguiram concluir sua compra “on line” e pensaram terem sido “bloqueados” pelo perfil da empresa.
10. Nesse cenário, demonstrada a falha da segurança do réu, sem provas nos autos acerca das providências adotadas pela empresa para resolver o imbróglio, seja pelo próprio aplicativo ou mesmo por email. Das conversas acima referidas se extrai que preferiram ativar outro perfil (@storezero61_), até recuperaram o antigo.
11. Considerando todas essas circunstâncias, constata-se que o episódio narrado influiu sobremaneira nas relações comerciais realizadas pela pessoa jurídica no seu meio social de modo a caracterizar a ofensa à sua honra objetiva (nome, boa fama, credibilidade) a justificar o reconhecimento de danos morais. Contudo, reputo o valor arbitrado na origem (R$ 5.000,00) excessivo, razão pela qual o reduzo para R$ 3.000,00.
12. Quanto à multa pelo descumprimento, entendo cabível (por se tratar de obrigação de fazer) e merecedora de pequeno ajuste, apenas, no sentido fixar prazo, igualmente para a parte autora, este de 5 dias para que forneça os e-mails como determinado na origem.
13. RECURSO CONHECIDO E PARCIALMENTE PROVIDO
Apenas para reformar em parte a sentença e reduzir o valor da reparação por danos morais para R$ 3.000,00, assim como fixar prazo de 5 dias (a contar da intimação) para que a autora forneça os e-mails referidos no item 1) do dispositivo. Permanecem inalterados os demais termos do julgado.
13. Nos termos do art. 55 da lei no 9.099/95, sem condenação em custas nem honorários, dada a ausência de recorrente vencido.

[1] Art. 6o As atividades de tratamento de dados pessoais deverão observar a boa-fé e os seguintes princípios:
[...]
VII - segurança: utilização de medidas técnicas e administrativas aptas a proteger os dados pessoais de acessos não autorizados e de situações acidentais ou ilícitas de destruição, perda, alteração, comunicação ou difusão;
VIII - prevenção: adoção de medidas para prevenir a ocorrência de danos em virtude do tratamento de dados pessoais;

Inteiro teor:
CONSUMIDOR. PRETENSÃO DE REPARAÇÃO POR DANOS MORAIS – PROVEDOR DE APLICAÇÕES DE INTERNET – REDE SOCIAL (“INSTAGRAM”) – PERFIL “HACKEADO” – EXCLUSÃO DO USUÁRIO – FALHA DO DEVER DE SEGURANÇA – RISCO DA ATIVIDADE – ATIVIDADE COMERCIAL EXCLUSIVA “ON LINE” – ABALO NA PERSONALIDADE – DANOS MORAIS CONFIGURADOS – VALOR EXCESSIVO – REDUÇÃO DEVIDA. RECURSO CONHECIDO E PARCIALMENTE PROVIDO.
1. Trata-se de recurso inominado interposto pelo réu contra sentença que o condenou ao pagamento de reparação por danos morais (R$ 5.000,00) em razão de suposta falha na segurança da plataforma digital (Instagram) que permitiu que fraudador hackeasse o perfil regularmente cadastrado da autora na rede social, utilizado para o desempenho de atividade comercial, “@storezero61” (comercialização de roupas).
2. Aplicável à hipótese dos autos o CDC, especialmente, a inversão do ônus da prova em razão da verossimilhança das alegações da autora e de sua hipossuficiência.
3. Ademais, a controvérsia posta nos autos (responsabilização do réu pelo dano extrapatrimonial sofrido pela autora em decorrência de suposta falha de segurança de seu sistema, que permitiu ao golpista “hackear” e inutilizar a conta do perfil da autora) chama também a aplicação da lei no 13.709/2018 (Lei Geral de Proteção de Dados Pessoais – LGPD), que em seu art. 6o, VI e VII dispõem que as atividades de tratamento de dados pessoais deverão observar a boa-fé e, dentre outros, os princípios da segurança e proteção[1].
4. O art. 42 do mesmo regramento estatui ainda: “o controlador ou o operador que, em razão do exercício de atividade de tratamento de dados pessoais, causar a outrem dano patrimonial, moral, individual ou coletivo, em violação à legislação de proteção de dados pessoais, é obrigado a repará-lo”.
5. É incontroverso nos autos que a autora é empresa regularmente constituída (ID Num. 43114568 - Pág. 1) para a comercialização de roupas com o perfil na rede social Instagram, “@storezero61”. Narrou que não tem loja física e desenvolve toda a sua atividade via internet, inclusive pagamentos e escolha de produtos pelos clientes, fato não impugnado pelo requerido, portanto, considerado incontroverso e, portanto, verdadeiro. Diz, ainda, na inicial que tal perfil teria sido “hackeado”, com a alteração da foto do perfil, exclusão de “posts” e impossibilidade de acesso à conta pelo seu verdadeiro titular, o representante da pessoa jurídica, TARIQY FELIPE PARREIRA BAUFAKER (ID Num. 43114570 - Pág. 1). Diz também a autora que “estão cancelando as compras, achando se tratar de uma empresa clandestina, visto que não localizam mais a conta, assim como não há mais possibilidade de compras e vendas pelo Instagram”.
6. Sobressai no caso concreto a falha no dever de segurança do requerido, que deixou de adotar “medidas técnicas e administrativas aptas a proteger os dados pessoais de acessos não autorizados e de situações acidentais ou ilícitas de destruição, perda, alteração, comunicação ou difusão”. De acordo com o teor do art. 44 da LGPD, “o tratamento de dados pessoais será irregular quando deixar de observar a legislação ou quando não fornecer a segurança que o titular dele pode esperar, consideradas as circunstâncias relevantes, entre as quais: [...] II - o resultado e os riscos que razoavelmente dele se esperam”. Grifo nosso.
7. O parágrafo único do art. 44 ainda enuncia que “responde pelos danos decorrentes da violação da segurança dos dados o controlador ou o operador que, ao deixar de adotar as medidas de segurança previstas no art. 46 desta Lei, der causa ao dano”.
8. O requerido incumbiria fazer prova de fato constitutivo, impeditivo ou modificativo do direito do autor, mas não se desincumbiu deste ônus, mesmo. Na medida em que o Recorrente é o detentor dos dados e realiza seu tratamento de maneira descuidada, deve ser responsabilizado pelos danos que advierem da violação daqueles dados. Trata-se da aplicação da Teoria do Risco da Atividade – razão pela qual deve reparar os prejuízos causados aos usuários, por se cuidar de fortuito interno (art. 14, §3o, II, CDC).
9. Diante das conversas via aplicativo “Whatsapp” juntadas (ID Num. 43114571 - Pág. 1 a ID Num. 43114571 - Pág. 15) se denota algumas das consequências danosas do evento para a atividade comercial desenvolvida, já que muitos consumidores sequer conseguiam localizar o perfil da requerente na rede social; outros ficaram receosos quanto à segurança do empreendimento; outros não conseguiram concluir sua compra “on line” e pensaram terem sido “bloqueados” pelo perfil da empresa.
10. Nesse cenário, demonstrada a falha da segurança do réu, sem provas nos autos acerca das providências adotadas pela empresa para resolver o imbróglio, seja pelo próprio aplicativo ou mesmo por email. Das conversas acima referidas se extrai que preferiram ativar outro perfil (@storezero61_), até recuperaram o antigo.
11. Considerando todas essas circunstâncias, constata-se que o episódio narrado influiu sobremaneira nas relações comerciais realizadas pela pessoa jurídica no seu meio social de modo a caracterizar a ofensa à sua honra objetiva (nome, boa fama, credibilidade) a justificar o reconhecimento de danos morais. Contudo, reputo o valor arbitrado na origem (R$ 5.000,00) excessivo, razão pela qual o reduzo para R$ 3.000,00.
12. Quanto à multa pelo descumprimento, entendo cabível (por se tratar de obrigação de fazer) e merecedora de pequeno ajuste, apenas, no sentido fixar prazo, igualmente para a parte autora, este de 5 dias para que forneça os e-mails como determinado na origem.
13. RECURSO CONHECIDO E PARCIALMENTE PROVIDO
Apenas para reformar em parte a sentença e reduzir o valor da reparação por danos morais para R$ 3.000,00, assim como fixar prazo de 5 dias (a contar da intimação) para que a autora forneça os e-mails referidos no item 1) do dispositivo. Permanecem inalterados os demais termos do julgado.
13. Nos termos do art. 55 da lei no 9.099/95, sem condenação em custas nem honorários, dada a ausência de recorrente vencido.

[1] Art. 6o As atividades de tratamento de dados pessoais deverão observar a boa-fé e os seguintes princípios:
[...]
VII - segurança: utilização de medidas técnicas e administrativas aptas a proteger os dados pessoais de acessos não autorizados e de situações acidentais ou ilícitas de destruição, perda, alteração, comunicação ou difusão;
VIII - prevenção: adoção de medidas para prevenir a ocorrência de danos em virtude do tratamento de dados pessoais;