Tribunal: TJPA
Processo: 0870915-44.2023.8.14.0301
Classe: APELAÇÃO CÍVEL
Relator(a): ALEX PINHEIRO CENTENO
Órgão julgador: ALEX PINHEIRO CENTENO
Órgão colegiado: 1ª Turma de Direito Privado
Assuntos: 7760 - Fornecimento de Energia Elétrica
Data de julgamento: 2026-05-25

Ementa:
Ementa: DIREITO DO CONSUMIDOR E PROCESSUAL CIVIL. AGRAVO INTERNO NA APELAÇÃO CÍVEL. FRAUDE ELETRÔNICA. GOLPE DO BOLETO. VAZAMENTO DE DADOS SIGILOSOS. RESPONSABILIDADE OBJETIVA DE CONCESSIONÁRIA DE ENERGIA ELÉTRICA. FORTUITO INTERNO. APLICAÇÃO DO CDC E DA LGPD. MANUTENÇÃO DA DECISÃO MONOCRÁTICA. RECURSO DESPROVIDO. I. CASO EM EXAME Agravo Interno interposto por Equatorial Pará Distribuidora de Energia S.A. contra decisão monocrática que negou provimento à Apelação Cível e manteve sentença proferida em Ação Declaratória de Inexistência de Débito c/c Obrigação de Não Fazer e Pedido de Tutela Antecipada ajuizada por Sampaio & Moraes Ltda., a qual declarou a inexistência de débito referente à fatura de energia elétrica no valor de R$ 136.522,52, em razão de fraude eletrônica consistente no envio de boleto adulterado contendo dados sigilosos da unidade consumidora, bem como confirmou tutela destinada a impedir a suspensão do fornecimento de energia elétrica e a inscrição da autora em cadastros restritivos. II. QUESTÃO EM DISCUSSÃO Há duas questões em discussão: (i) definir se a concessionária de energia elétrica responde objetivamente por fraude eletrônica praticada mediante emissão de boleto adulterado com utilização de dados sigilosos da unidade consumidora; e (ii) estabelecer se a fraude praticada por terceiros configura fortuito externo apto a afastar o nexo causal e a responsabilidade da fornecedora. III. RAZÕES DE DECIDIR A relação jurídica estabelecida entre concessionária de serviço público essencial e usuária do serviço de fornecimento de energia elétrica submete-se às normas protetivas do Código de Defesa do Consumidor. A responsabilidade objetiva da concessionária decorre do art. 14 do CDC e do art. 37, §6º, da Constituição Federal, bastando a demonstração do defeito na prestação do serviço e do dano suportado pela consumidora. A fraude eletrônica revela falha na guarda, proteção e tratamento de dados pessoais e contratuais, pois o boleto fraudulento continha informações específicas e sigilosas da unidade consumidora, como número da conta contrato, histórico de consumo, valor exato da fatura e layout institucional. A ausência de prova técnica direta acerca do vazamento de dados não afasta a responsabilidade da concessionária quando a própria dinâmica da fraude evidencia acesso indevido a informações restritas da consumidora. A Lei Geral de Proteção de Dados impõe ao controlador o dever de adotar medidas técnicas e administrativas aptas a impedir acessos não autorizados e responder pelos danos decorrentes de tratamento inadequado de dados pessoais. A concessionária não comprova a adoção de mecanismos eficazes de segurança capazes de impedir o acesso indevido de terceiros às informações da unidade consumidora. A fraude praticada mediante utilização de sistemas eletrônicos de cobrança integra o risco da atividade econômica desempenhada pela fornecedora e configura fortuito interno, incapaz de romper o nexo causal. Não se pode exigir do consumidor médio conhecimento técnico especializado para identificar fraudes digitais sofisticadas quando o documento fraudulento reproduz integralmente a aparência e os dados oficiais da fornecedora. A tese de culpa exclusiva da vítima não prospera diante da inexistência de prova de comportamento negligente exclusivo da consumidora e da utilização do mesmo endereço eletrônico regularmente empregado para envio das faturas legítimas. A jurisprudência do Superior Tribunal de Justiça reconhece que fraudes eletrônicas relacionadas ao vazamento ou utilização indevida de dados sigilosos integram o risco do empreendimento e atraem a responsabilidade objetiva do fornecedor. O agravo interno limita-se à repetição das teses já apreciadas e rejeitadas na decisão monocrática, sem apresentação de elementos novos aptos a justificar sua reforma. IV. DISPOSITIVO E TESE Recurso desprovido. Tese de julgamento: A concessionária de energia elétrica responde objetivamente por fraude eletrônica decorrente de utilização indevida de dados sigilosos da unidade consumidora. O uso de informações contratuais restritas em boleto fraudulento evidencia falha na proteção e tratamento de dados pessoais e contratuais. Fraudes eletrônicas relacionadas aos sistemas de cobrança digital configuram fortuito interno e integram o risco da atividade econômica do fornecedor. A ausência de prova técnica direta do vazamento de dados não afasta a responsabilidade do fornecedor quando a dinâmica da fraude demonstra acesso indevido a informações sigilosas. Não se caracteriza culpa exclusiva do consumidor quando a fraude reproduz integralmente os elementos visuais e contratuais dos canais oficiais da fornecedora. Dispositivos relevantes citados: CF/1988, art. 37, §6º; CPC, arts. 373, I, 489, §1º, IV, 1.021 e 1.022; CDC, art. 14 e art. 14, §3º, II; LGPD (Lei nº 13.709/2018), arts. 42 e 46. Jurisprudência relevante citada: STJ, REsp nº 2.077.278/SP, Rel. Min. Nancy Andrighi, Terceira Turma, j. 03.10.2023, DJe 09.10.2023; STJ, AgInt no AREsp nº 1.158.721/SP, Rel. Min. Maria Isabel Gallotti, Quarta Turma, j. 08.05.2018, DJe 15.05.2018; STJ, REsp nº 1.197.929/PR, Rel. Min. Luis Felipe Salomão, Segunda Seção, DJe 12.09.2011; Súmula 479/STJ. ACÓRDÃO Vistos, relatados e discutidos os presentes autos do AGRAVO INTERNO NA APELAÇÃO CÍVEL nº 0870915-44.2023.8.14.0301; Agravante: EQUATORIAL PARÁ DISTRIBUIDORA DE ENERGIA S.A.; Agravado: SAMPAIO & MORAES LTDA. ACORDAM os Desembargadores integrantes da 1ª Turma de Direito Privado do Tribunal de Justiça do Estado do Pará, à unanimidade, em conhecer e NEGAR PROVIMENTO ao Agravo Interno, mantendo integralmente a decisão monocrática proferida ao ID nº 32315671, nos termos do voto do Relator. Belém-PA, assinado na data e hora registradas no sistema. Des. ALEX PINHEIRO CENTENO Relator

Inteiro teor:
TRIBUNAL DE JUSTIÇA DO ESTADO DO PARÁ

APELAÇÃO CÍVEL (198) - 0870915-44.2023.8.14.0301

APELANTE: EQUATORIAL PARA DISTRIBUIDORA DE ENERGIA S.A

APELADO: SAMPAIO & MORAES LTDA

RELATOR(A):
Desembargador ALEX PINHEIRO CENTENO

EMENTA

Ementa
: DIREITO DO CONSUMIDOR E PROCESSUAL CIVIL. AGRAVO INTERNO NA APELAÇÃO CÍVEL. FRAUDE ELETRÔNICA. GOLPE DO BOLETO. VAZAMENTO DE DADOS SIGILOSOS. RESPONSABILIDADE OBJETIVA DE CONCESSIONÁRIA DE ENERGIA ELÉTRICA. FORTUITO INTERNO. APLICAÇÃO DO CDC E DA LGPD. MANUTENÇÃO DA DECISÃO MONOCRÁTICA. RECURSO DESPROVIDO.

I. CASO EM EXAME

Agravo Interno interposto por Equatorial Pará Distribuidora de Energia S.A. contra decisão monocrática que negou provimento à Apelação Cível e manteve sentença proferida em Ação Declaratória de Inexistência de Débito c/c Obrigação de Não Fazer e Pedido de Tutela Antecipada ajuizada por Sampaio & Moraes Ltda., a qual declarou a inexistência de débito referente à fatura de energia elétrica no valor de R$ 136.522,52, em razão de fraude eletrônica consistente no envio de boleto adulterado contendo dados sigilosos da unidade consumidora, bem como confirmou tutela destinada a impedir a suspensão do fornecimento de energia elétrica e a inscrição da autora em cadastros restritivos.

II. QUESTÃO EM DISCUSSÃO

Há duas questões em discussão: (i) definir se a concessionária de energia elétrica responde objetivamente por fraude eletrônica praticada mediante emissão de boleto adulterado com utilização de dados sigilosos da unidade consumidora; e (ii) estabelecer se a fraude praticada por terceiros configura fortuito externo apto a afastar o nexo causal e a responsabilidade da fornecedora.

III. RAZÕES DE DECIDIR

A relação jurídica estabelecida entre concessionária de serviço público essencial e usuária do serviço de fornecimento de energia elétrica submete-se às normas protetivas do Código de Defesa do Consumidor.

A responsabilidade objetiva da concessionária decorre do art. 14 do CDC e do art. 37, §6º, da Constituição Federal, bastando a demonstração do defeito na prestação do serviço e do dano suportado pela consumidora.

A fraude eletrônica revela falha na guarda, proteção e tratamento de dados pessoais e contratuais, pois o boleto fraudulento continha informações específicas e sigilosas da unidade consumidora, como número da conta contrato, histórico de consumo, valor exato da fatura e layout institucional.

A ausência de prova técnica direta acerca do vazamento de dados não afasta a responsabilidade da concessionária quando a própria dinâmica da fraude evidencia acesso indevido a informações restritas da consumidora.

A Lei Geral de Proteção de Dados impõe ao controlador o dever de adotar medidas técnicas e administrativas aptas a impedir acessos não autorizados e responder pelos danos decorrentes de tratamento inadequado de dados pessoais.

A concessionária não comprova a adoção de mecanismos eficazes de segurança capazes de impedir o acesso indevido de terceiros às informações da unidade consumidora.

A fraude praticada mediante utilização de sistemas eletrônicos de cobrança integra o risco da atividade econômica desempenhada pela fornecedora e configura fortuito interno, incapaz de romper o nexo causal.

Não se pode exigir do consumidor médio conhecimento técnico especializado para identificar fraudes digitais sofisticadas quando o documento fraudulento reproduz integralmente a aparência e os dados oficiais da fornecedora.

A tese de culpa exclusiva da vítima não prospera diante da inexistência de prova de comportamento negligente exclusivo da consumidora e da utilização do mesmo endereço eletrônico regularmente empregado para envio das faturas legítimas.

A jurisprudência do Superior Tribunal de Justiça reconhece que fraudes eletrônicas relacionadas ao vazamento ou utilização indevida de dados sigilosos integram o risco do empreendimento e atraem a responsabilidade objetiva do fornecedor.

O agravo interno limita-se à repetição das teses já apreciadas e rejeitadas na decisão monocrática, sem apresentação de elementos novos aptos a justificar sua reforma.

IV. DISPOSITIVO E TESE

Recurso desprovido.

Tese de julgamento
:

A concessionária de energia elétrica responde objetivamente por fraude eletrônica decorrente de utilização indevida de dados sigilosos da unidade consumidora.

O uso de informações contratuais restritas em boleto fraudulento evidencia falha na proteção e tratamento de dados pessoais e contratuais.

Fraudes eletrônicas relacionadas aos sistemas de cobrança digital configuram fortuito interno e integram o risco da atividade econômica do fornecedor.

A ausência de prova técnica direta do vazamento de dados não afasta a responsabilidade do fornecedor quando a dinâmica da fraude demonstra acesso indevido a informações sigilosas.

Não se caracteriza culpa exclusiva do consumidor quando a fraude reproduz integralmente os elementos visuais e contratuais dos canais oficiais da fornecedora.

Dispositivos relevantes citados
: CF/1988, art. 37, §6º; CPC, arts. 373, I, 489, §1º, IV, 1.021 e 1.022; CDC, art. 14 e art. 14, §3º, II; LGPD (Lei nº 13.709/2018), arts. 42 e 46.

Jurisprudência relevante citada
: STJ, REsp nº 2.077.278/SP, Rel. Min. Nancy Andrighi, Terceira Turma, j. 03.10.2023, DJe 09.10.2023; STJ, AgInt no AREsp nº 1.158.721/SP, Rel. Min. Maria Isabel Gallotti, Quarta Turma, j. 08.05.2018, DJe 15.05.2018; STJ, REsp nº 1.197.929/PR, Rel. Min. Luis Felipe Salomão, Segunda Seção, DJe 12.09.2011; Súmula 479/STJ.

ACÓRDÃO

Vistos, relatados e discutidos os presentes autos do AGRAVO INTERNO NA APELAÇÃO CÍVEL nº 0870915-44.2023.8.14.0301; Agravante: EQUATORIAL PARÁ DISTRIBUIDORA DE ENERGIA S.A.; Agravado: SAMPAIO & MORAES LTDA.

ACORDAM os Desembargadores integrantes da 1ª Turma de Direito Privado do Tribunal de Justiça do Estado do Pará, à unanimidade, em conhecer e NEGAR PROVIMENTO ao Agravo Interno, mantendo integralmente a decisão monocrática proferida ao ID nº 32315671, nos termos do voto do Relator.

Belém-PA, assinado na data e hora registradas no sistema.

Des. ALEX PINHEIRO CENTENO
Relator

RELATÓRIO

Trata-se de Agravo Interno interposto por EQUATORIAL PARÁ DISTRIBUIDORA DE ENERGIA S.A., com fundamento no art. 1.021 do Código de Processo Civil, em face da decisão monocrática lançada ao ID nº 32315671, que negou provimento à Apelação Cível interposta pela concessionária, mantendo integralmente a sentença proferida pelo Juízo da 10ª Vara Cível e Empresarial de Belém, nos autos da Ação Declaratória de Inexistência de Débito c/c Obrigação de Não Fazer e Pedido de Tutela Antecipada ajuizada por SAMPAIO & MORAES LTDA.

A decisão agravada reconheceu a responsabilidade objetiva da concessionária pela ocorrência de fraude eletrônica consistente no envio de boleto adulterado contendo dados sigilosos da unidade consumidora da autora, declarando a inexistência do débito no valor de R$ 136.522,52, referente à fatura de energia elétrica do mês de junho de 2023 (Conta Contrato nº 100195607), confirmando a tutela antecipada anteriormente deferida para impedir a suspensão do fornecimento de energia elétrica e a inscrição da autora em cadastros restritivos de crédito, bem como mantendo a condenação da ré ao pagamento das custas processuais e honorários advocatícios fixados em 10% sobre o valor da causa. Consta, ainda, da fundamentação da decisão monocrática, o entendimento de que a fraude somente foi possível em razão do acesso indevido a dados sensíveis da consumidora, circunstância que evidenciaria falha na proteção de dados pessoais e contratuais, atraindo a incidência do art. 14 do Código de Defesa do Consumidor, do art. 37, §6º, da Constituição Federal e dos arts. 42 e 46 da Lei Geral de Proteção de Dados – LGPD.

Em suas razões de Agravo Interno (ID nº 35333863), a agravante sustenta, em síntese: (i) a existência de vício de fundamentação na decisão monocrática, ao presumir a ocorrência de vazamento de dados sem prova técnica concreta apta a demonstrar falha nos sistemas da concessionária, em afronta ao art. 489, §1º, IV, do CPC; (ii) que a mera coincidência de informações constantes no boleto fraudado não autoriza concluir pela existência de falha na segurança da empresa, uma vez que fraudes eletrônicas modernas podem decorrer de engenharia social, acesso indevido a dispositivos da própria vítima ou atuação de terceiros; (iii) que houve indevida inversão do ônus da prova, pois incumbia à autora comprovar a efetiva falha na prestação do serviço, nos termos do art. 373, I, do CPC; (iv) que a fraude praticada por terceiros configura fortuito externo, apto a romper o nexo causal e afastar a responsabilidade objetiva prevista no art. 14, §3º, II, do CDC; (v) que o pagamento foi realizado em favor de terceiro estranho à relação jurídica, com CNPJ diverso daquele pertencente à concessionária, circunstância que evidenciaria culpa exclusiva da consumidora; (vi) que a responsabilização automática da concessionária implicaria adoção indevida da teoria do risco integral; (vii) que não há prova de violação à Lei Geral de Proteção de Dados ou de vazamento de informações sigilosas oriundas de seus sistemas internos; (viii) colaciona precedentes jurisprudenciais no sentido de afastar a responsabilidade do fornecedor em hipóteses de boletos fraudulentos emitidos por terceiros; e, ao final, requer a reconsideração da decisão agravada ou, subsidiariamente, o provimento do agravo interno pelo Colegiado, para reformar a decisão monocrática e julgar improcedentes os pedidos formulados na ação originária.

Em contrarrazões ao Agravo Interno colacionadas ao ID nº 36118748, a agravada SAMPAIO & MORAES LTDA sustenta, em síntese: (i) que a decisão monocrática observou integralmente a legislação aplicável e a jurisprudência consolidada do Superior Tribunal de Justiça acerca da responsabilidade objetiva do fornecedor em casos de fraude eletrônica envolvendo vazamento de dados; (ii) que a fraude somente foi possível em razão do acesso indevido a informações sigilosas da unidade consumidora, tais como número da conta contrato, histórico de consumo, valor exato da fatura e formatação do boleto institucional; (iii) que a ocorrência caracteriza fortuito interno, inserido no risco da atividade econômica desempenhada pela concessionária; (iv) que houve falha na proteção e tratamento de dados pessoais da consumidora, em afronta à Lei Geral de Proteção de Dados; (v) que a responsabilidade da concessionária decorre do art. 14 do CDC e do art. 42 da LGPD; (vi) que a jurisprudência do STJ reconhece o dever de indenizar quando demonstrado vazamento ou uso indevido de dados sigilosos que facilitem a prática criminosa; e, ao final, requer o desprovimento do agravo interno, com a manutenção integral da decisão monocrática agravada.

É o relatório.

VOTO

1. Juízo de admissibilidade

De antemão, observo que o presente recurso preenche os requisitos processuais correlatos, notadamente a tempestividade, regularidade formal, legitimidade recursal e interesse processual, razão pela qual entendo pelo seu conhecimento.

2. Mérito

A matéria devolvida à apreciação deste Colegiado restringe-se à análise da insurgência apresentada pela EQUATORIAL PARÁ DISTRIBUIDORA DE ENERGIA S.A. contra a decisão monocrática que negou provimento à Apelação Cível anteriormente interposta, mantendo integralmente a sentença proferida pelo Juízo da 10ª Vara Cível e Empresarial de Belém, a qual declarou a inexistência do débito referente à fatura de energia elétrica do mês de junho de 2023, no valor de R$ 136.522,52, reconhecendo a responsabilidade objetiva da concessionária pela fraude eletrônica consistente no envio de boleto adulterado à empresa consumidora.

A agravante sustenta, em síntese, que a decisão monocrática incorreu em vício de fundamentação ao presumir a ocorrência de vazamento de dados sem respaldo em prova técnica concreta, bem como argumenta que a fraude praticada por terceiros constitui fortuito externo apto a afastar o nexo causal e excluir sua responsabilidade civil, nos termos do art. 14, §3º, inciso II, do Código de Defesa do Consumidor. Defende, ainda, que houve culpa exclusiva da consumidora, a qual teria ignorado elementos objetivos de identificação da fraude, especialmente a divergência do CNPJ do beneficiário e do código de barras do boleto quitado.

Todavia, após detida análise dos autos, verifico que a insurgência recursal não merece prosperar.

Inicialmente, cumpre destacar que a controvérsia deve ser examinada à luz das normas protetivas do Código de Defesa do Consumidor, haja vista tratar-se de inequívoca relação de consumo estabelecida entre concessionária prestadora de serviço público essencial e empresa usuária do serviço de fornecimento de energia elétrica.

Nessa perspectiva, dispõe o art. 14 do Código de Defesa do Consumidor:

“Art. 14. O fornecedor de serviços responde, independentemente da existência de culpa, pela reparação dos danos causados aos consumidores por defeitos relativos à prestação dos serviços, bem como por informações insuficientes ou inadequadas sobre sua fruição e riscos.”

A responsabilidade civil das concessionárias de serviço público também encontra amparo no art. 37, §6º, da Constituição Federal, segundo o qual:

“As pessoas jurídicas de direito público e as de direito privado prestadoras de serviços públicos responderão pelos danos que seus agentes, nessa qualidade, causarem a terceiros, assegurado o direito de regresso contra o responsável nos casos de dolo ou culpa.”

No caso concreto, restou incontroverso que a empresa autora recebeu, em seu endereço eletrônico cadastrado junto à concessionária, boleto fraudulento referente à fatura de energia elétrica do mês de junho de 2023, o qual reproduzia integralmente os dados da unidade consumidora, incluindo número da conta contrato, histórico de consumo, valor exato da fatura, layout institucional e demais informações específicas da relação contratual mantida entre as partes.

A única divergência existente consistia no código de barras e no beneficiário final do pagamento, circunstância que, por si só, não possui aptidão para afastar a responsabilidade da concessionária, especialmente diante da sofisticação da fraude eletrônica perpetrada.

Com efeito, não se pode exigir do consumidor médio — ainda que pessoa jurídica — comportamento técnico especializado apto a identificar fraudes digitais altamente sofisticadas, sobretudo quando o documento fraudulento apresenta aparência integralmente compatível com os canais oficiais da fornecedora.

A alegação da agravante no sentido de inexistir prova técnica do vazamento de dados igualmente não merece acolhida.

Isso porque a própria dinâmica da fraude evidencia que os agentes criminosos tiveram acesso a informações sensíveis e restritas da unidade consumidora, não disponíveis ao público em geral, circunstância apta a caracterizar falha no dever de guarda, proteção e tratamento de dados pessoais e contratuais.

A esse respeito, a Lei Geral de Proteção de Dados Pessoais (Lei nº 13.709/2018) estabelece expressamente:

“Art. 42. O controlador ou o operador que, em razão do exercício de atividade de tratamento de dados pessoais, causar a outrem dano patrimonial, moral, individual ou coletivo, em violação à legislação de proteção de dados pessoais, é obrigado a repará-lo.”

Além disso:

“Art. 46. Os agentes de tratamento devem adotar medidas de segurança, técnicas e administrativas aptas a proteger os dados pessoais de acessos não autorizados e de situações acidentais ou ilícitas de destruição, perda, alteração, comunicação ou qualquer forma de tratamento inadequado ou ilícito.”

Na condição de controladora dos dados pessoais e contratuais de seus consumidores, incumbia à concessionária demonstrar a adoção de mecanismos eficazes de proteção e segurança capazes de impedir o acesso indevido de terceiros às informações da unidade consumidora, ônus do qual não se desincumbiu.

Ao contrário do que sustenta a agravante, a decisão monocrática não promoveu inversão arbitrária do ônus da prova, mas apenas reconheceu que o conjunto probatório produzido nos autos evidencia a existência de falha sistêmica apta a atrair a responsabilidade objetiva da concessionária.

A fraude eletrônica, em hipóteses como a dos autos, não configura fortuito externo, mas sim fortuito interno, inserido no próprio risco da atividade econômica desenvolvida pela concessionária.

Isso porque o envio eletrônico de faturas e cobranças constitui modalidade operacional escolhida pela própria fornecedora, a qual assume o dever jurídico de garantir a segurança dos meios digitais utilizados na prestação do serviço.

A jurisprudência do Superior Tribunal de Justiça consolidou entendimento no sentido de que fraudes eletrônicas relacionadas ao vazamento ou utilização indevida de dados sigilosos integram o risco do empreendimento, não afastando a responsabilidade objetiva do fornecedor.

Nesse sentido:

CONSUMIDOR. RECURSO ESPECIAL. AÇÃO DECLARATÓRIA DE INEXIGIBILIDADE DE DÉBITO POR VAZAMENTO DE DADOS BANCÁRIOS CUMULADA COM INDENIZAÇÃO POR DANOS MORAIS E REPETIÇÃO DE INDÉBITO. GOLPE DO BOLETO. TRATAMENTO DE DADOS PESSOAIS SIGILOSOS DE MANEIRA INADEQUADA. FACILITAÇÃO DA ATIVIDADE CRIMINOSA. FATO DO SERVIÇO. DEVER DE INDENIZAR PELOS PREJUÍZOS. SÚMULA 479/STJ. RECURSO ESPECIAL PROVIDO. 1. Ação declaratória de inexigibilidade de débito por vazamento de dados bancários cumulada com indenização por danos morais e repetição de indébito, ajuizada em 13/2/2020, da qual foi extraído o presente recurso especial, interposto em 15/2/2022 e concluso ao gabinete em 19/6/2023 .2. O propósito recursal consiste em decidir se a instituição financeira responde por falha na prestação de serviços bancários, consistente no vazamento de dados que facilitou a aplicação de golpe em desfavor do consumidor.3. Se comprovada a hipótese de vazamento de dados da instituição financeira, será dela, em regra, a responsabilidade pela reparação integral de eventuais danos. Do contrário, inexistindo elementos objetivos que comprovem esse nexo causal, não há que se falar em responsabilidade das instituições financeiras pelo vazamento de dados utilizados por estelionatários para a aplicação de golpes de engenharia social (REsp 2.015.732/SP, julgado em 20/6/2023, DJe de 26/6/2023).4. Para sustentar o nexo causal entre a atuação dos estelionatários e o vazamento de dados pessoais pelo responsável por seu tratamento, é imprescindível perquirir, com exatidão, quais dados estavam em poder dos criminosos, a fim de examinar a origem de eventual vazamento e, consequentemente, a responsabilidade dos agentes respectivos. Os nexos de causalidade e imputação, portanto, dependem da hipótese concretamente analisada.5. Os dados sobre operações bancárias são, em regra, de tratamento exclusivo pelas instituições financeiras. No ponto, a Lei Complementar 105/2001 estabelece que as instituições financeiras conservarão sigilo em suas operações ativas e passivas e serviços prestados (art. 1º), constituindo dever jurídico dessas entidades não revelar informações que venham a obter em razão de sua atividade profissional, salvo em situações excepcionais. Desse modo, seu armazenamento de maneira inadequada, a possibilitar que terceiros tenham conhecimento de informações sigilosas e causem prejuízos ao consumidor, configura defeito na prestação do serviço (art. 14 do CDC e art . 44 da LGPD).6. No particular, não há como se afastar a responsabilidade da instituição financeira pela reparação dos danos decorrentes do famigerado "golpe do boleto", uma vez que os criminosos têm conhecimento de informações e dados sigilosos a respeito das atividades bancárias do consumidor. Isto é, os estelionatários sabem que o consumidor é cliente da instituição e que encaminhou e-mail à entidade com a finalidade de quitar sua dívida, bem como possuem dados relativos ao próprio financiamento obtido (quantidade de parcelas em aberto e saldo devedor do financiamento) .7. O tratamento indevido de dados pessoais bancários configura defeito na prestação de serviço, notadamente quando tais informações são utilizadas por estelionatário para facilitar a aplicação de golpe em desfavor do consumidor.8. Entendimento em conformidade com Tema Repetitivo 466/STJ e Súmula 479/STJ: "As instituições financeiras respondem objetivamente pelos danos gerados por fortuito interno relativo a fraudes e delitos praticados por terceiros no âmbito de operações bancárias" .9. Recurso especial conhecido e provido para reformar o acórdão recorrido e reestabelecer a sentença proferida pelo Juízo de primeiro grau.

(STJ - REsp: 2077278 SP 2023/0190979-8, Relator.: Ministra NANCY ANDRIGHI, Data de Julgamento: 03/10/2023, T3 - TERCEIRA TURMA, Data de Publicação: DJe 09/10/2023)

Igualmente aplicável ao caso o entendimento consolidado na Súmula 479 do STJ:

“As instituições financeiras respondem objetivamente pelos danos gerados por fortuito interno relativo a fraudes e delitos praticados por terceiros no âmbito de operações bancárias.”

Embora a súmula se refira especificamente às instituições financeiras, sua ratio decidendi é plenamente aplicável às concessionárias de serviço público que utilizam sistemas eletrônicos de cobrança e armazenamento de dados sensíveis de consumidores.

Nesse sentido:

AGRAVO INTERNO. AGRAVO EM RECURSO ESPECIAL. AÇÃO DECLARATÓRIA DE INEXISTÊNCIA DE DÉBITO CUMULADA COM INDENIZAÇÃO POR DANOS MORAIS. INSCRIÇÃO INDEVIDA EM CADASTRO RESTRITIVO DE CRÉDITO. FALHA NA PRESTAÇÃO DO SERVIÇO. RESPONSABILIDADE OBJETIVA DA INSTITUIÇÃO FINANCEIRA. HARMONIA ENTRE O ACÓRDÃO RECORRIDO E A JURISPRUDÊNCIA DESTA CORTE. REEXAME DE FATOS E PROVAS. INADMISSIBILIDADE. 1. "As instituições bancárias respondem objetivamente pelos danos causados por fraudes ou delitos praticados por terceiros - como, por exemplo, abertura de conta-corrente ou recebimento de empréstimos mediante fraude ou utilização de documentos falsos -, porquanto tal responsabilidade decorre do risco do empreendimento, caracterizando-se como fortuito interno" (REsp 1.197 .929/PR, Rel. Ministro LUIS FELIPE SALOMÃO, SEGUNDA SEÇÃO, DJe de 12.9.2011). 2. O Tribunal de origem julgou nos moldes da jurisprudência desta Corte. Incidente, portanto, a Súmula 83/STJ. 3. Não cabe, em recurso especial, reexaminar matéria de fato (Súmula 7/STJ). 4. Agravo interno a que se nega provimento.

(STJ - AgInt no AREsp: 1158721 SP 2017/0212750-4, Relator.: Ministra MARIA ISABEL GALLOTTI, Data de Julgamento: 08/05/2018, T4 - QUARTA TURMA, Data de Publicação: DJe 15/05/2018)

Não prospera, ainda, a tese de culpa exclusiva da vítima.

A agravante pretende transferir integralmente ao consumidor o ônus de identificar elementos técnicos de autenticidade digital, como conferência de código de barras, análise de beneficiário bancário e verificação de selos eletrônicos.

Todavia, tal exigência mostra-se incompatível com os princípios da boa-fé objetiva, da vulnerabilidade do consumidor e da legítima expectativa de segurança inerente às relações de consumo.

O próprio Superior Tribunal de Justiça possui entendimento consolidado no sentido de que a responsabilidade do fornecedor subsiste quando a fraude decorre de falha nos mecanismos de segurança disponibilizados ao consumidor.

Ademais, não há qualquer elemento probatório concreto nos autos demonstrando que a fraude decorreu de comportamento negligente exclusivo da autora ou de fato inteiramente estranho à atividade desempenhada pela concessionária.

Ao revés, os autos revelam que o e-mail fraudulento foi encaminhado ao mesmo endereço eletrônico utilizado regularmente pela consumidora para recebimento das faturas emitidas pela agravante, reproduzindo integralmente a aparência visual e os dados contratuais legítimos da unidade consumidora.

Também merece destaque o fato de que a concessionária não demonstrou ter realizado investigação técnica eficaz acerca da origem da fraude, tampouco comprovou adoção de providências efetivas para apuração do vazamento de dados ou comunicação adequada às autoridades competentes.

Nesse contexto, a manutenção da decisão monocrática é medida que se impõe.

O agravo interno interposto limita-se à mera repetição das teses já deduzidas na apelação anteriormente apreciada e devidamente enfrentada pelo decisum agravado, inexistindo qualquer elemento novo apto a justificar sua reforma.

3. Dispositivo

Ante ao exposto, voto no sentido de NEGAR PROVIMENTO ao Agravo Interno, mantendo integralmente a decisão monocrática proferida ao ID nº 32315671.

Considera-se prequestionada toda a matéria constitucional e infraconstitucional ventilada nos autos, evitando-se, com isso, a oposição de embargos de declaração para este fim.

Alerte-se às partes que embargos declaratórios não se prestam à revisão de fatos e provas, nem à impugnação da justiça da decisão, cabendo sua interposição nos estreitos limites previstos nos artigos 1.022 do CPC.

É o voto.

Belém-PA, assinado na data e hora registradas no sistema.

Des. ALEX PINHEIRO CENTENO
Relator

Belém, 02/06/2026