Tribunal: TJES
Processo: 0004655-22.2015.8.08.0024
Classe: APELAÇÃO CÍVEL
Relator(a): ALEXANDRE PUPPIM
Órgão julgador: ALEXANDRE PUPPIM
Órgão colegiado: 1ª Câmara Cível
Assuntos: Indenização por Dano Material; Indenização por Dano Moral; Provas em geral
Data de julgamento: 2026-05-08

Ementa:
DIREITO CIVIL. APELAÇÃO CÍVEL. AÇÃO INDENIZATÓRIA. SERVIÇO DE PROTEÇÃO AO CRÉDITO. CONTRATO DE PRESTAÇÃO DE SERVIÇO. CONSULTAS REALIZADAS MEDIANTE LOGIN E SENHA PESSOAL. ALEGAÇÃO DE FRAUDE. DIVERGÊNCIA DE IPS. AUSÊNCIA DE FALHA NA PRESTAÇÃO DO SERVIÇO. CULPA EXCLUSIVA DA VÍTIMA. RECURSO PROVIDO.

I. CASO EM EXAME

1. Apelação Cível interposta contra sentença que julgou parcialmente procedente ação indenizatória para determinar a restituição de valores cobrados por consultas a banco de dados, reconhecendo falha no serviço em razão de acessos oriundos de endereços de IP divergentes da sede da empresa autora.

2. A parte autora alegou cobranças indevidas decorrentes de consultas que afirma não ter realizado, apontando a incompatibilidade geográfica dos IPs. A sentença acolheu a tese de falha na segurança com base na localização dos acessos, determinando a devolução simples dos valores.

3. A apelante sustenta a regularidade das cobranças e a ausência de falha no serviço, sob o fundamento de que todas as transações foram autenticadas mediante o uso correto de login e senha pessoais e intransferíveis, cuja guarda e sigilo são de responsabilidade exclusiva da contratante.

II. QUESTÃO EM DISCUSSÃO

4. A questão em discussão consiste em saber se a realização de consultas a banco de dados mediante utilização de login e senha corretos, porém oriundas de endereços de IP distintos da sede da empresa contratante, configura falha na segurança do serviço da prestadora ou culpa exclusiva da usuária pela guarda das credenciais.

III. RAZÕES DE DECIDIR

5. A utilização de credenciais pessoais e intransferíveis (login e senha) para acesso a sistema de informações gera presunção de autoria das operações, cabendo à usuária a responsabilidade integral pelo sigilo e guarda das

chaves de acesso.

6. A simples divergência geográfica do endereço de IP utilizado para a consulta não caracteriza, por si só, falha na prestação do serviço, uma vez que o sistema permite acesso remoto e a mobilidade é inerente à natureza do serviço disponibilizado via internet.

7. Inexistindo prova de vulnerabilidade interna ou invasão do sistema da prestadora, o uso das credenciais corretas, ainda que por terceiros, configura culpa exclusiva da vítima ou fato de terceiro, excludentes de responsabilidade civil que rompem o nexo causal e afastam o dever de indenizar.

IV. DISPOSITIVO E TESE

8. Recurso de Apelação Cível conhecido e provido para reformar a sentença, julgar improcedentes os pedidos autorais e inverter os ônus sucumbenciais. Tese de julgamento: A realização de consultas a banco de dados mediante uso de senha pessoal e intransferível, ainda que oriundas de endereços de IP divergentes da sede da contratante, não configura falha na prestação do serviço, caracterizando culpa exclusiva da vítima a eventual utilização indevida das credenciais por terceiros. Dispositivos relevantes citados: CC, art. 393.

Jurisprudência relevante citada: TJSP, Apelação Cível 1042947- 43.2023.8.26.0100, Rel. Sergio Gomes, DJe 30/04/2024; TJMG, Apelação Cível 5013934-21.2021.8.13.0145, Rel. Habib Felippe Jabour, DJe 04/10/2022; TJMG, Apelação Cível 1.0000.22.005471-2/001, Rel. Lílian Maciel, DJe 24/03/2022.

Inteiro teor:
ESTADO DO ESPÍRITO SANTO
PODER JUDICIÁRIO
1ª CÂMARA CÍVEL

PROCESSO Nº 0004655-22.2015.8.08.0024

APELAÇÃO CÍVEL (198)

APELANTE: SERASA SA e outros

APELADO: DEFAGRO DEFENSIVOS AGRICOLAS LTDA

RELATOR(A):
ALEXANDRE PUPPIM

______________________________________________________________________________________________________________________________________________

EMENTA

DIREITO CIVIL. APELAÇÃO CÍVEL. AÇÃO INDENIZATÓRIA. SERVIÇO DE PROTEÇÃO AO CRÉDITO. CONTRATO DE PRESTAÇÃO DE SERVIÇO. CONSULTAS REALIZADAS MEDIANTE LOGIN E SENHA PESSOAL. ALEGAÇÃO DE FRAUDE. DIVERGÊNCIA DE IPS. AUSÊNCIA DE FALHA NA PRESTAÇÃO DO SERVIÇO. CULPA EXCLUSIVA DA VÍTIMA. RECURSO PROVIDO.

I. CASO EM EXAME

1. Apelação Cível interposta contra sentença que julgou parcialmente procedente ação indenizatória para determinar a restituição de valores cobrados por consultas a banco de dados, reconhecendo falha no serviço em razão de acessos oriundos de endereços de IP divergentes da sede da empresa autora.

2. A parte autora alegou cobranças indevidas decorrentes de consultas que afirma não ter realizado, apontando a incompatibilidade geográfica dos IPs. A sentença acolheu a tese de falha na segurança com base na localização dos acessos, determinando a devolução simples dos valores.

3. A apelante sustenta a regularidade das cobranças e a ausência de falha no serviço, sob o fundamento de que todas as transações foram autenticadas mediante o uso correto de login e senha pessoais e intransferíveis, cuja guarda e sigilo são de responsabilidade exclusiva da contratante.

II. QUESTÃO EM DISCUSSÃO

4. A questão em discussão consiste em saber se a realização de consultas a banco de dados mediante utilização de login e senha corretos, porém oriundas de endereços de IP distintos da sede da empresa contratante, configura falha na segurança do serviço da prestadora ou culpa exclusiva da usuária pela guarda das credenciais.

III. RAZÕES DE DECIDIR

5. A utilização de credenciais pessoais e intransferíveis (login e senha) para acesso a sistema de informações gera presunção de autoria das operações, cabendo à usuária a responsabilidade integral pelo sigilo e guarda das

chaves de acesso.

6. A simples divergência geográfica do endereço de IP utilizado para a consulta não caracteriza, por si só, falha na prestação do serviço, uma vez que o sistema permite acesso remoto e a mobilidade é inerente à natureza do serviço disponibilizado via internet.

7. Inexistindo prova de vulnerabilidade interna ou invasão do sistema da prestadora, o uso das credenciais corretas, ainda que por terceiros, configura culpa exclusiva da vítima ou fato de terceiro, excludentes de responsabilidade civil que rompem o nexo causal e afastam o dever de indenizar.

IV. DISPOSITIVO E TESE

8. Recurso de Apelação Cível conhecido e provido para reformar a sentença, julgar improcedentes os pedidos autorais e inverter os ônus sucumbenciais. Tese de julgamento: A realização de consultas a banco de dados mediante uso de senha pessoal e intransferível, ainda que oriundas de endereços de IP divergentes da sede da contratante, não configura falha na prestação do serviço, caracterizando culpa exclusiva da vítima a eventual utilização indevida das credenciais por terceiros. Dispositivos relevantes citados: CC, art. 393.

Jurisprudência relevante citada: TJSP, Apelação Cível 1042947- 43.2023.8.26.0100, Rel. Sergio Gomes, DJe 30/04/2024; TJMG, Apelação Cível 5013934-21.2021.8.13.0145, Rel. Habib Felippe Jabour, DJe 04/10/2022; TJMG, Apelação Cível 1.0000.22.005471-2/001, Rel. Lílian Maciel, DJe 24/03/2022.

______________________________________________________________________________________________________________________________________________
ACÓRDÃO

Decisão
: À unanimidade, conhecer e dar provimento ao recurso, nos termos do voto do Relator.

Órgão julgador vencedor
: Gabinete Des. ALEXANDRE PUPPIM

Composição de julgamento: Gabinete Des. ALEXANDRE PUPPIM - ALEXANDRE PUPPIM - Relator / Gabinete Des. SAMUEL MEIRA BRASIL JUNIOR - SAMUEL MEIRA BRASIL JUNIOR - Vogal / Gabinete Des. NAMYR CARLOS DE SOUZA FILHO - NAMYR CARLOS DE SOUZA FILHO - Vogal
VOTOS VOGAIS
Gabinete Des. SAMUEL MEIRA BRASIL JUNIOR - SAMUEL MEIRA BRASIL JUNIOR (Vogal)
Acompanhar
Gabinete Des. NAMYR CARLOS DE SOUZA FILHO - NAMYR CARLOS DE SOUZA FILHO (Vogal)
Acompanhar

______________________________________________________________________________________________________________________________________________

RELATÓRIO

Cuida-se de apelação cível por meio da qual pretende, SERASA S/A (Id. 16666089), ver reformada a sentença (Id. 16666081) proferida pelo Juízo da 6ª Vara Cível de Vitória – Comarca da Capital que, em sede de Ação de Indenização por Danos Materiais e Morais, julgou parcialmente procedente a pretensão autoral para determinar a devolução, na forma simples, dos valores cobrados referentes às faturas com vencimento em setembro e outubro de 2014, reconhecendo falha na prestação do serviço em razão de consultas realizadas de endereços de IP divergentes da sede da autora.

Em suas razões recursais, a Apelante sustenta, em síntese: (a) a nulidade da sentença por ausência de fundamentação adequada (art. 489, §1º, do CPC) e por não ter enfrentado erro material quanto aos meses de referência da condenação; (b) a inexistência de falha na prestação do serviço, uma vez que as consultas questionadas foram realizadas mediante uso de login e senha pessoais e intransferíveis, cuja guarda e sigilo são de responsabilidade exclusiva da contratante; (c) a ocorrência de culpa exclusiva da vítima ou de terceiro (fortuito externo) (d) subsidiariamente, caso mantida a condenação, a necessidade de limitação do ressarcimento aos valores especificamente impugnados na planilha da inicial.

A parte Apelada apresentou contrarrazões (Id. 16666093), pugnando, em síntese, pelo desprovimento do recurso e pela condenação da recorrente em litigância de má-fé.

É o Relatório.

Peço dia para julgamento.

Vitória, data da assinatura eletrônica.

________________________________________________________________________________________________________________________________________________
VOTO VENCEDOR

APELAÇÃO CÍVEL Nº 0004655-22.2015.8.08.0024

APELANTE: SERASA S/A

APELADO: DEFAGRO DEFENSIVOS AGRÍCOLAS LTDA

RELATOR: DES. ALEXANDRE PUPPIM

VOTO

Conforme brevemente relatado, a autora ajuizou a presente ação alegando ter sido cobrada indevidamente por consultas ao sistema PEFIN (Serasa) que afirma não ter realizado, apontando um aumento atípico no volume de acessos nos meses de Agosto e Setembro de 2014, oriundos de IPs localizados em outros estados e fora do horário comercial.

Pela sentença hostilizada, o Juízo
a quo
julgou parcialmente procedente a pretensão, afastando a aplicação do CDC, mas reconhecendo a falha no serviço com base na prova documental dos IPs de origem, determinando a restituição simples dos valores das faturas correspondentes.

Irresignada, a Apelante interpôs recurso de apelação por meio do qual alega, em síntese, a nulidade da sentença por falta de fundamentação e, no mérito, a regularidade das cobranças ante o uso de senha pessoal da autora, caracterizando culpa exclusiva da vítima quanto à guarda de suas credenciais.

Pois bem.

Prefacialmente, argui a Apelante a nulidade do
decisum
por ausência de fundamentação e não enfrentamento de todos os argumentos defensivos. Sem razão, contudo.

A Constituição Federal, em seu art. 93, IX, e o Código de Processo Civil, pela disposição do art. 489, exigem que a decisão judicial seja fundamentada, o que não se confunde com o exame minucioso de cada tese levantada, se o magistrado encontrar motivos suficientes para firmar seu convencimento.

Neste sentido é o firme entendimento do Superior Tribunal de Justiça:

PROCESSUAL CIVIL. NULIDADE DO ACÓRDÃO POR FALTA DE MOTIVAÇÃO. ARTS. 131, 165 E 458, II, DO CPC. NÃO-OCORRÊNCIA. VIOLAÇÃO DO ART. 535 DO CPC. DEFICIÊNCIA NA FUNDAMENTAÇÃO. SÚMULA 284/STF. TERMO A QUO DO PRAZO PARA EMBARGOS À EXECUÇÃO FISCAL. GARANTIA DO JUÍZO MEDIANTE PENHORA. JUNTADA DO MANDADO. RECURSO REPETITIVO. ART. 543-C DO CPC.

1. Não há nulidade no julgamento se a fundamentação, embora concisa, for suficiente para a solução da demanda.

2. Não se conhece de Recurso Especial em relação a ofensa ao art. 535 do CPC quando a parte não aponta, de forma clara, o vício em que teria incorrido o acórdão impugnado. Aplicação, por analogia, da Súmula 284/STF.

3. O termo inicial para a oposição dos Embargos à Execução Fiscal é a data da efetiva intimação da penhora, e não a da juntada aos autos do mandado cumprido.

4. Recurso Especial parcialmente conhecido e, nessa parte, não provido. Acórdão sujeito ao regime do art. 543-C do CPC e da Resolução 8/2008 do STJ.

(REsp n. 1.112.416/MG, relator Ministro Herman Benjamin, Primeira Seção, julgado em 27/5/2009, DJe de 9/9/2009.)

No caso, a sentença, ainda que concisa, indicou claramente as razões de decidir — a incompatibilidade geográfica dos IPs de acesso —, o que seria suficiente, em tese, para lastrear a condenação. Eventual erro de julgamento (
error in iudicando
) ou desconsideração de prova contrária reclama solução em apreciação do mérito recursal, não gerando nulidade.

Ademais, aplicando-se o princípio da primazia do julgamento de mérito (art. 488 do CPC), sendo a decisão favorável à recorrente no mérito, como se verá adiante, despicienda a decretação de nulidade.

Rejeito a preliminar.

Passo ao exame da questão substancial objeto da demanda.

Cinge-se a controvérsia em determinar se a realização de consultas no sistema da Ré por meio de login e senha da Autora, oriundas de endereços de IP atípicos (outros estados), configura falha na segurança do serviço da prestadora (Apelante) ou desídia na guarda das credenciais pela usuária (Apelada).

No caso, observa-se que a relação jurídica é regida por contrato de prestação de serviços de informações cadastrais. Sem desconsiderar que o Juízo de origem acertadamente afastou a aplicabilidade do Código de Defesa do Consumidor, tem-se que a análise da responsabilidade civil passa pela verificação de culpa ou falha no dever de segurança.

Com efeito, a prova dos autos demonstra, inequivocamente, que todas as transações contestadas foram autenticadas mediante o uso correto do "Logon" e da "Senha" exclusivos da empresa Autora. Conforme as Cláusulas 17ª e 18ª do Contrato firmado entre as partes, o acesso ao banco de dados se dá mediante credenciais pessoais e intransferíveis, assumindo a Contratante a responsabilidade integral pelo sigilo e guarda dessas chaves de acesso.

A sentença fundamentou-se exclusivamente no fato de que os acessos partiram de IPs localizados em estados diversos da sede da Autora.

A sentença fundamentou-se no fato de que os acessos partiram de IPs localizados em estados diversos da sede da Autora. Contudo, tal circunstância, isoladamente, não é hábil a comprovar falha interna nos sistemas da Serasa.

Importa salientar que não há nos autos qualquer elemento de prova – seja contratual ou técnico – que indique que os acessos ao sistema da Ré estariam restritos a um endereço de IP específico ou estático vinculado à sede da Apelada. A natureza do serviço prestado, consistente em consulta a banco de dados via internet, pressupõe inerente mobilidade e disponibilidade global. O sistema é desenhado para permitir o acesso de qualquer localidade, a qualquer horário, desde que o usuário apresente as credenciais de autenticação válidas.

Nessa linha de raciocínio, a mera alternativa geográfica apontada nos relatórios de IP não evidencia uma vulnerabilidade do sistema, mas apenas que as credenciais da Autora foram utilizadas naquelas localidades. Se o sistema não possui trava de geolocalização contratada, o acesso remoto por quem detém a senha é uma funcionalidade regular, e não um defeito.

No atual estágio tecnológico, a segurança de sistemas de informação baseia-se na autenticação de credenciais. Se o sistema reconheceu o usuário e a senha corretamente, a presunção lógica é de que o acesso foi realizado pelo titular ou por alguém a quem este confiou (ou deixou vazar) tais dados. Não há nos autos qualquer indício de que o sistema da Serasa tenha sido invadido, "hackeado" ou sofrido pane interna que gerasse cobranças aleatórias.

Ao contrário, o cenário fático — uso das credenciais corretas a partir de locais remotos — poderia sugerir no máximo, em tese, a ocorrência de fraude perpetrada por terceiros mediante obtenção fraudulenta das credenciais da Autora, o que caracterizaria fortuito externo ou culpa exclusiva da vítima (por falha na guarda do sigilo), excludentes de responsabilidade previstas tanto no art. 14, §3º, do CDC quanto no art. 393 do Código Civil.

Ademais, a Autora é uma pessoa jurídica e utiliza o serviço como insumo. Ao disponibilizar o acesso a seus prepostos, assume o risco da guarda das senhas. Exigir que a prestadora do serviço bloqueie preventivamente acessos com base apenas na geolocalização do IP, sem contratação específica para tal perfil de segurança, seria impor um ônus desproporcional, mormente quando a validação da senha foi positiva.

Conforme jurisprudência dos Tribunais Pátrios, a utilização de senha pessoal e intransferível gera presunção de autoria das operações, cabendo ao usuário demonstrar inequivocamente a falha de segurança do sistema, o que não ocorreu na espécie. Como se depreende, a quebra do sigilo da senha, quando não decorrente de vulnerabilidade do sistema da prestadora, atrai a responsabilidade do usuário.

Neste sentido:

APELAÇÃO - DANOS MATERIAIS E MORAIS - TRANSAÇÕES BANCÁRIAS NÃO RECONHECIDAS - USO DE APLICATIVO POR TERCEIRO APÓS ROUBO DE APARELHO CELULAR - SENTENÇA DE PARCIAL PROCEDÊNCIA – RECURSO DE AMBAS AS PARTES. RESPONSABILIDADE – Roubo do aparelho celular utilizado para movimentação bancária da empresa coautora - Realização de transações bancárias, que totalizaram a quantia de R$ 13.272,00 (treze mil, duzentos e setenta e dois reais) – Inaplicabilidade do CDC ao caso concreto, pois a relação envolve bem de insumo e não de consumo - Transações bancárias realizadas mediante uso de dados pessoais, além de senha pessoal e intransferível – Ausência de nexo causal entre a ação da ré e os prejuízos suportados pelas autoras – Inexistência de prova de falha na segurança interna da ré – Autoras não se desincumbiram do ônus de comprovar os fatos constitutivos do direito alegado, nos termos do art. 373, I, do CPC - Exclusão de responsabilidade da ré – Demora na comunicação pelas autoras do roubo – Dano material não configurado – Ação improcedente . SENTENÇA REFORMADA – RECURSO DA RÉ PROVIDO, PREJUDICADO O RECURSO ADESIVO DAS AUTORAS.

(TJ-SP - Apelação Cível: 1042947-43.2023.8 .26.0100 São Paulo, Relator.: Sergio Gomes, Data de Julgamento: 29/04/2024, 18ª Câmara de Direito Privado, Data de Publicação: 30/04/2024)

EMENTA: APELAÇÃO - AÇÃO DE INDENIZAÇÃO POR DANOS MORAIS - TRANSFERÊNCIA VIA PIX - ALEGAÇÃO DE FRAUDE - TRANSAÇÃO REALIZADA MEDIANTE SENHA PESSOAL E TOKEN - CULPA EXCLUSIVA DA VÍTIMA - FALHA NA PRESTAÇÃO DE SERVIÇOS - INOCORRÊNCIA. - A utilização dos serviços fornecidos pelo Banco, através de aparelhos eletrônicos (celular ou computador), ou de plástico (com chip e utilização de senha) é privativa do consumidor titular do cartão - A senha pessoal é de inteira responsabilidade do correntista ou do responsável pela movimentação bancária, não podendo a instituição financeira ser responsabilizada por seu uso indevido, pelo repasse dela ou até mesmo pela falta de zelo em deixá-la disponível a terceiro - Ocorrida a transação por meio de aplicativo, mediante senha pessoal de uso pessoal e intransferível e validação por iToken, não há se falar em falha na prestação de serviços do Apelado.

(TJ-MG - AC: 50139342120218130145, Relator.: Des.(a) Habib Felippe Jabour, Data de Julgamento: 04/10/2022, 18ª CÂMARA CÍVEL, Data de Publicação: 04/10/2022)

EMENTA: APELAÇÃO CÍVEL- AÇÃO DE INDENIZAÇÃO POR DANOS MORAIS E PERDA DE TEMPO ÚTIL - ALTERAÇÃO DE DADO SEM AUTORIZAÇÃO - DOMICÍLIO BANCÁRIO - RECEBÍVEIS DE CARTÃO DESVIADOS PARA CONTA FRAUDULENTA - UTILIZAÇÃO DE "LOGIN" E SENHA PESSOAL PARA ALTERAÇÃO DE DADOS- CULPA EXCLUSIVA DA VÍTIMA - QUEBRA DO NEXO DE CAUSALIDADE - PRIMEIRO RECURSO PROVIDO - SEGUNDO RECURSO PREJUDICADO. - O vínculo existente entre as partes não caracteriza relação de consumo, pois a contratação de meios de pagamento se insere no espectro de exercício da atividade, especialmente de comércio, cujo objetivo é a obtenção de vendas e lucros - O Direito Brasileiro não consagra a teoria do risco integral, de modo que a responsabilidade civil objetiva pode ser elidida mediante a comprovação de ocorrência de uma excludente do nexo de causalidade - Comprovada que alteração dos dados bancários da autora se deu mediante utilização de seu "login" e senha pessoal da correntista, não há que se falar em ilicitude da conduta da operadora de cartão, devendo ser afastada a condenação por dano moral - Primeiro recurso ao qual se dá provimento - Segundo recurso prejudicado.

(TJ-MG - AC: 10000220054712001 MG, Relator.: Lílian Maciel, Data de Julgamento: 23/03/2022, Câmaras Cíveis / 20ª CÂMARA CÍVEL, Data de Publicação: 24/03/2022)

Nesse contexto, a reforma da sentença é medida que se impõe, na medida em que não restou comprovado o nexo causal entre qualquer conduta da Ré e o prejuízo suportado. A cobrança pelas consultas efetivamente realizadas mediante senha válida é exercício regular de direito, não havendo que se falar em restituição de valores, tampouco em danos morais.

Por fim, afasto o pedido de condenação por litigância de má-fé formulado em contrarrazões, pois a interposição do recurso e a defesa de teses jurídicas razoáveis constituem exercício regular do direito de defesa.

Ante o exposto, conheço do recurso e lhe dou provimento para reformar integralmente a sentença e julgar improcedentes os pedidos autorais.

Inverto os ônus sucumbenciais, condenando a parte Autora ao pagamento das custas processuais e honorários advocatícios, que fixo em 15% (quinze por cento) sobre o valor atualizado da causa, já considerando o trabalho adicional realizada na instância recursal.

É como voto.