REsp 2.222.059-SP

Assim como os bancos, as instituições de pagamento têm o dever de implementar e atualizar constantemente mecanismos para detectar e impedir fraudes, pois sua atividade envolve alto risco e exige a gestão segura dos recursos financeiros de seus clientes. Cinge-se a controvérsia a saber se as instituições de pagamento, à semelhança das instituições bancárias, estão obrigadas a desenvolver mecanismos inteligentes de prevenção e bloqueio de fraudes, capazes de identificar comportamentos atípicos e agir rapidamente para evitar prejuízos. De acordo com a orientação emanada da Súmula n. 479/STJ, as instituições financeiras respondem objetivamente pelos danos gerados por fortuito interno relativo a fraudes e delitos praticados por terceiros no âmbito de operações bancárias. Em tais casos, a responsabilidade da instituição financeira somente poderá ser afastada se comprovada a inexistência de defeito na prestação do serviço bancário ou a culpa exclusiva do consumidor ou de terceiro, a teor do disposto no § 3º do art. 14 do CDC. Toda a compreensão que esta Corte Superior já firmou no tocante às obrigações impostas às instituições bancárias, inclusive no que se refere à incidência do Código de Defesa do Consumidor (Súmula n. 297/STJ), é inteiramente aplicável às instituições de pagamento, às quais também é atribuído o dever de processar com segurança as transações dos usuários finais, por expressa disposição do art. 7º da Lei n. 12.865/2013. Portanto, a responsabilidade das instituições de pagamento, e de todos aqueles que integram os denominados arranjos de pagamento, somente poderá ser afastada se comprovada a inexistência de defeito na prestação do serviço ou a culpa exclusiva do consumidor ou de terceiro, a teor do disposto no § 3º do art. 14 do Código de Defesa do Consumidor. Logo, se o serviço não fornece a segurança que dele se pode esperar, levando em consideração o modo do seu fornecimento e o resultado e os riscos que razoavelmente dele se esperam, é ele defeituoso, nos termos do § 1º do art. 14 do Código de Defesa do Consumidor. Nesse sentido, a confiança no sistema financeiro digital depende do equilíbrio entre inovação e proteção. A tecnologia que facilitou o acesso aos bancos deve também ser a principal ferramenta na defesa contra os crimes virtuais. Incumbe às instituições prestadoras desses serviços investir no desenvolvimento de mecanismos inteligentes de prevenção e bloqueio de fraudes, capazes de identificar comportamentos suspeitos e agir rapidamente para evitar prejuízos. Assim, para a identificação de possíveis fraudes, os sistemas de proteção desenvolvidos pelas instituições bancárias/de pagamento devem, sim, considerar i) as transações que fogem ao perfil do cliente ou ao seu padrão de consumo; ii) o horário e o local em que as operações foram realizadas; iii) o intervalo de tempo entre uma e outra transação; iv) a sequência das operações realizadas; v) o meio utilizado para a sua realização; vi) a contratação de empréstimos atípicos em momento anterior à realização de pagamentos suspeitos; enfim, diversas circunstâncias que, conjugadas, tornam possível ao fornecedor do serviço identificar se determinada transação deve ou não ser validada. Conclui-se, portanto, que, uma vez comprovada a hipótese de vazamento de dados por culpa da instituição financeira ou instituição de pagamento, será dela, em regra, a responsabilidade pela reparação integral de eventuais danos. Ademais, a validação de operações suspeitas, atípicas e alheias ao perfil de consumo do correntista deixa à mostra a existência de defeito na prestação do serviço, a ensejar a responsabilização das instituições financeiras e das instituições de pagamento. Assim como as instituições financeiras , as instituições de pagamento têm o dever de implementar e atualizar mecanismos eficazes para detectar e impedir fraudes , respondendo pelos danos decorrentes de falhas na segurança do serviço. O STJ entendeu que as instituições de pagamento também estão sujeitas ao dever de segurança imposto às instituições financeiras. Isso decorre da própria natureza da atividade, que envolve processamento de transações e movimentação de recursos dos usuários, bem como da incidência do Código de Defesa do Consumidor. A lógica é semelhante à da Súmula 479 do STJ , segundo a qual as instituições financeiras respondem objetivamente pelos danos decorrentes de fortuito interno relacionado a fraudes e delitos praticados por terceiros no âmbito das operações bancárias. Essa responsabilidade também alcança as instituições de pagamento. Nos termos do art. 14 do CDC, o fornecedor responde objetivamente pelos defeitos relativos à prestação do serviço. O serviço é considerado defeituoso quando não oferece a segurança que o consumidor legitimamente pode esperar, considerando o modo de fornecimento, os riscos esperados e os resultados da atividade. Por isso, não basta que a instituição disponibilize mecanismos básicos de segurança. Ela deve monitorar e atualizar continuamente seus sistemas , utilizando as informações disponíveis para identificar operações que destoem do comportamento habitual do cliente. Entre os elementos que podem revelar uma operação suspeita estão o valor e o padrão das transações, horário e local, intervalo entre operações, sequência de movimentações, meio utilizado e eventual contratação de empréstimos atípicos imediatamente antes de pagamentos suspeitos. Assim, se a instituição valida operações claramente incompatíveis com o perfil do usuário, essa circunstância pode evidenciar defeito na prestação do serviço e gerar responsabilidade pelos prejuízos. A responsabilidade, contudo, não é absoluta. Pode ser afastada se demonstrada a inexistência de defeito no serviço ou a culpa exclusiva do consumidor ou de terceiro , conforme o art. 14, § 3º, do CDC.

Tese Jurídica Oficial

Decisões relacionadas

REsp 2.233.988-SP

CC 215.970-PR

Edição 140 - PROCESSO ADMINISTRATIVO DISCIPLINAR - III - Tese 3

Edição 140 - PROCESSO ADMINISTRATIVO DISCIPLINAR - III - Tese 6

Edição 140 - PROCESSO ADMINISTRATIVO DISCIPLINAR - III - Tese 5

Edição 140 - PROCESSO ADMINISTRATIVO DISCIPLINAR - III - Tese 1