REsp 2.077.278-SP

O fornecedor bancário responde objetivamente pelos golpes de engenharia social aplicados quando o vazamento de dados tem origem no próprio sistema bancário, configurando fortuito interno. Contexto No caso concreto analisado pelo STJ, o consumidor ajuizou ação declaratória de inexigibilidade de débito por vazamento de dados bancários cumulada com ação indenizatória por danos morais e materiais contra a instituição financeira, porque sofreu golpe via Whatsapp em nome da instituição. Em resumo, foram realizadas tratativas, via Whatsapp, para que o consumidor realizasse pagamento de parcelas atrasadas de contrato de financiamento de veículo. O boleto foi enviado por terceiros fraudadores e houve pagamento por parte do consumidor. O consumidor ajuizou a ação objetivando que a instituição financeira responda por falha na prestação de serviços bancários em razão de vazamento de dados que facilitou a aplicação de golpe. O banco responde pelo golpe aplicado? Para responder essa pergunta, é relevante relembrar o que o STJ decidiu quando julgou o Tema Repetitivo 466. Ao apreciar situação em que houve inclusão indevida de consumidores em cadastros de proteção ao crédito, em razão de fraude praticada por terceiros, o STJ firmou a seguinte tese: “As instituições financeiras respondem objetivamente pelos danos gerados por fortuito interno relativo a fraudes e delitos praticados por terceiros no âmbito de operações bancárias”. A responsabilidade civil é objetiva quando se trata de fortuito interno. Portanto, independe de dolo ou culpa. Mas e o que é fortuito interno? O fortuito interno é circunstância que determina a responsabilidade da empresa por risco que decorre da sua própria atividade e está relacionado à organização da empresa em si. Para o STJ, o fortuito interno não exclui a obrigação do fornecedor indenizar o consumidor. Por outro lado, o fortuito externo exclui a responsabilidade do fornecedor, porque o fato ocorrido não está relacionado à organização da empresa em si, ou seja, não tem qualquer ligação com a atividade desenvolvida. Logo, o que o STJ decidiu ao julgar o Tema Repetitivo 466 é que o fornecedor tem responsabilidade objetiva - independentemente de ter dolo ou culpa na conduta - quando se trata de fortuito interno. Nos golpes de engenharia social, aplica-se a tese fixada pelo STJ no Tema Repetitivo 466? Os golpes de engenharia social, em resumo, são golpes utilizados para manipular pessoas com a finalidade de que forneçam informações pessoais e confidenciais. O intuito é iludir a pessoa para que, de boa vontade, entregue as informações necessárias ou garanta acesso a determinado sistema. Há casos em que os criminosos têm prévia informação sobre alguns dados pessoais. No caso do golpe do falso boleto, essa é a técnica utilizada. Os criminosos utilizam da persuasão para que a vítima acredite que se trata de verdadeiro atendimento bancário. Segundo o STJ, se os criminosos estão em poder de determinados dados pessoais antes mesmo de aplicarem o golpe, é necessário que se verifique a origem do vazamento desses dados pessoais. Se a origem do vazamento desses dados for o próprio sistema bancário, trata-se de fortuito interno e a instituição bancária responde pelos danos causados ao consumidor. Nessa hipótese, aplica-se a tese firmada pelo STJ no Tema Repetitivo 466. Segundo entendeu a Corte, se o vazamento ocorre pelo sistema do banco, havendo armazenamento inadequado que possibilita que terceiros tenham conhecimento dessas informações e causem prejuízos ao consumidor, há falha na prestação do serviço (art. 14 do CDC e 43 da LGPD). Art. 14. O fornecedor de serviços responde, independentemente da existência de culpa, pela reparação dos danos causados aos consumidores por defeitos relativos à prestação dos serviços, bem como por informações insuficientes ou inadequadas sobre sua fruição e riscos. § 1° O serviço é defeituoso quando não fornece a segurança que o consumidor dele pode esperar, levando-se em consideração as circunstâncias relevantes […] Art. 43. Os agentes de tratamento só não serão responsabilizados quando provarem: I - que não realizaram o tratamento de dados pessoais que lhes é atribuído; II - que, embora tenham realizado o tratamento de dados pessoais que lhes é atribuído, não houve violação à legislação de proteção de dados; ou III - que o dano é decorrente de culpa exclusiva do titular dos dados ou de terceiro. O fornecedor bancário responde objetivamente pelos danos decorrentes de golpes de engenharia social quando o vazamento de dados pessoais ou bancários tem origem no próprio sistema da instituição financeira , caracterizando fortuito interno. O STJ reafirmou que as instituições financeiras respondem objetivamente pelos danos causados aos consumidores quando fraudes praticadas por terceiros decorrem de falha na segurança dos próprios sistemas do banco . Nesses casos, configura-se o chamado fortuito interno , risco inerente à atividade bancária, atraindo a responsabilidade prevista no art. 14 do Código de Defesa do Consumidor. Ao analisar os chamados golpes de engenharia social , como o golpe do falso boleto ou do falso atendente via WhatsApp, a Corte esclareceu que a responsabilidade do banco depende da origem das informações utilizadas pelos criminosos . Se os fraudadores obtiveram dados sigilosos do consumidor em razão de vazamento ocorrido nos sistemas da própria instituição financeira, há defeito na prestação do serviço, pois o banco deixou de garantir a segurança que legitimamente se espera da atividade bancária. Nessa hipótese, além do CDC, também incidem as normas da Lei Geral de Proteção de Dados (LGPD) , que impõem aos agentes de tratamento o dever de proteger os dados pessoais sob sua guarda. O vazamento decorrente de falha de segurança caracteriza descumprimento desse dever e reforça o dever de indenizar. Por outro lado, o STJ ressaltou que nem todo golpe de engenharia social gera responsabilidade do banco . Se ficar demonstrado que o vazamento dos dados ocorreu por causa totalmente alheia à instituição financeira, por exemplo, por culpa exclusiva do consumidor ou de terceiro sem qualquer vínculo com o sistema bancário, poderá estar caracterizado o fortuito externo , hipótese que afasta a responsabilidade objetiva.

Tese Jurídica Oficial

Decisões relacionadas

REsp 2.233.988-SP

CC 215.970-PR

Edição 140 - PROCESSO ADMINISTRATIVO DISCIPLINAR - III - Tese 3

Edição 140 - PROCESSO ADMINISTRATIVO DISCIPLINAR - III - Tese 6

Edição 140 - PROCESSO ADMINISTRATIVO DISCIPLINAR - III - Tese 5

Edição 140 - PROCESSO ADMINISTRATIVO DISCIPLINAR - III - Tese 1