A era digital impôs novos desafios dogmáticos ao Direito Civil e ao Direito do Consumidor, especialmente no que tange à custódia de dados sensíveis por instituições financeiras. O cenário atual exige do jurista uma compreensão aprofundada sobre como a falha na segurança da informação pode ensejar a responsabilização objetiva em casos de estelionato praticado por terceiros.
Não se trata apenas de analisar o golpe em si, mas de rastrear a origem da quebra de segurança que permitiu a sofisticação da fraude. Quando dados sigilosos, que deveriam estar sob a guarda estrita de uma instituição, são utilizados para dar verossimilhança a uma engenharia social, o nexo causal entre a conduta do banco (omissiva na proteção) e o dano ao consumidor torna-se o ponto central da lide.
A aplicação conjunta do Código de Defesa do Consumidor (CDC) e da Lei Geral de Proteção de Dados (LGPD) formou um microssistema de proteção robusto. Entender as nuances dessa interação é vital para a advocacia contemporânea, que lida cada vez mais com ilícitos híbridos, envolvendo falhas tecnológicas e manipulação psicológica.
A responsabilidade civil das instituições financeiras é, por definição legal e jurisprudencial, objetiva. O artigo 14 do Código de Defesa do Consumidor estabelece que o fornecedor de serviços responde, independentemente da existência de culpa, pela reparação dos danos causados aos consumidores por defeitos relativos à prestação dos serviços.
O “defeito”, neste contexto, não se limita à falha operacional direta, como um erro de cálculo. Ele abrange a falta de segurança que legitimamente se espera do serviço. Se um sistema bancário permite que dados de clientes vazem e sejam utilizados por criminosos, configura-se o defeito na segurança, atraindo o dever de indenizar.
A teoria do risco do empreendimento é a base doutrinária aplicável. Quem aufere os bônus da atividade econômica deve arcar com os ônus a ela inerentes. A gestão de dados em massa é parte do “core business” bancário e, portanto, os riscos associados a essa gestão compõem o risco do negócio.
O Superior Tribunal de Justiça consolidou esse entendimento através da Súmula 479. O verbete dispõe que as instituições financeiras respondem objetivamente pelos danos gerados por fortuito interno relativo a fraudes e delitos praticados por terceiros no âmbito de operações bancárias.
A distinção entre fortuito interno e externo é crucial aqui. O fortuito interno é aquele inerente à atividade desenvolvida, que se liga à própria organização do negócio. Fraudes, clonagens e vazamentos de dados são considerados fortuitos internos, pois são riscos previsíveis e inseparáveis da atividade bancária digital.
Dessa forma, o banco não pode alegar a culpa exclusiva de terceiro para se eximir da responsabilidade quando a fraude foi facilitada por uma falha interna de segurança, como o vazamento de informações que permitiu ao golpista abordar a vítima com dados precisos.
A promulgação da Lei nº 13.709/2018 (LGPD) reforçou o dever de segurança já previsto no CDC. A LGPD impõe aos agentes de tratamento (neste caso, os bancos) a obrigação de adotar medidas de segurança, técnicas e administrativas aptas a proteger os dados pessoais de acessos não autorizados e de situações acidentais ou ilícitas.
Quando ocorre um vazamento que municia um golpe, há uma violação direta dos artigos 46 e 47 da LGPD. A responsabilidade civil, neste cenário, ganha um novo contorno. O dano não advém apenas da subtração de valores, mas da violação da autodeterminação informativa e da privacidade do titular dos dados.
Para o advogado que busca especialização, compreender a Pós-Graduação em Prática da Responsabilidade Civil e Tutela dos Danos é um diferencial estratégico para fundamentar teses que unifiquem a violação de dados com o prejuízo patrimonial.
O artigo 42 da LGPD é claro ao estipular que o controlador ou o operador que, em razão do exercício de atividade de tratamento de dados pessoais, causar a outrem dano patrimonial, moral, individual ou coletivo, em violação à legislação de proteção de dados pessoais, é obrigado a repará-lo.
A vulnerabilidade do consumidor no ambiente digital é técnica e informacional. É praticamente impossível para o cidadão comum provar tecnicamente como e quando seus dados foram vazados de dentro da infraestrutura de um banco.
Diante dessa hipossuficiência técnica, a inversão do cabeçalho da prova (art. 6º, VIII, do CDC e art. 42, § 2º, da LGPD) torna-se regra processual indispensável. Cabe à instituição financeira demonstrar a infalibilidade de seus sistemas e que não houve qualquer vazamento que pudesse ter contribuído para o evento danoso.
Se o banco não consegue comprovar, através de auditoria robusta, que os dados utilizados pelo fraudador não partiram de suas bases, a presunção milita em favor do consumidor. A prova negativa (diabólica) não pode ser imposta à vítima.
Um dos pontos mais debatidos nos tribunais é a existência do nexo de causalidade em golpes de “falso funcionário” ou “falso empréstimo”. As instituições financeiras frequentemente alegam a culpa exclusiva da vítima (art. 14, § 3º, II, do CDC), argumentando que o cliente entregou senhas ou realizou transferências por vontade própria.
Contudo, essa tese defensiva perde força quando se constata o vazamento prévio de dados. O uso de informações sigilosas — como saldo bancário, últimos lançamentos, datas de vencimento ou vínculos contratuais reais — confere uma “aura de veracidade” ao golpe.
O consumidor é induzido a erro não por ingenuidade, mas pela precisão das informações apresentadas pelo criminoso, que só poderiam ser conhecidas pela instituição financeira. Neste cenário, o vazamento de dados atua como causa eficiente para o sucesso da fraude.
Sem o acesso ilegítimo a esses dados (falha do banco), o golpe não teria a sofisticação necessária para enganar o homem médio. Portanto, rompe-se a alegação de culpa exclusiva da vítima, restando configurada, no máximo, uma culpa concorrente, que não exclui o dever de indenizar, apenas pode influenciar no quantum indenizatório.
A gestão de incidentes de segurança é um campo que exige conhecimento técnico específico. O advogado deve saber questionar as políticas de segurança da informação da instituição. Houve notificação à Autoridade Nacional de Proteção de Dados (ANPD)? Os titulares foram avisados do incidente em tempo hábil?
A falta de transparência após um incidente de segurança agrava a responsabilidade da instituição. A omissão em mitigar os efeitos de um vazamento pode gerar danos autônomos. Aprofundar-se neste tema através de uma Certificação Profissional em Incidentes e Responsabilidades dos Agentes permite ao profissional identificar falhas procedimentais que fortalecem a tese de responsabilização.
Confirmada a responsabilidade, a liquidação do dano deve seguir o princípio da reparação integral. O dano material é evidente: corresponde ao valor subtraído ou transferido indevidamente, bem como aos juros e encargos eventualmente cobrados em empréstimos fraudulentos.
Quanto ao dano moral, a jurisprudência oscila, mas a tendência moderna, influenciada pela LGPD, caminha para o reconhecimento do dano moral “in re ipsa” em casos de vazamento de dados sensíveis ou bancários que resultam em fraude.
A simples exposição indevida da vida financeira do indivíduo, somada ao transtorno do golpe e à via crucis administrativa para tentar resolver o problema, configura violação aos direitos da personalidade. Não se trata de mero aborrecimento, mas de quebra de confiança e vulnerabilidade exposta.
Neste contexto, ganha relevância a Teoria do Desvio Produtivo do Consumidor. O tempo vital gasto pelo cliente tentando provar que não realizou a transação, registrando boletins de ocorrência, contestando faturas e buscando o judiciário, constitui um prejuízo indenizável.
As instituições financeiras, ao negarem administrativamente o ressarcimento em casos claros de fraude com uso de dados vazados, forçam o consumidor a desviar-se de suas atividades existenciais produtivas. Esse comportamento recalcitrante deve ser punido também sob a ótica da função dissuasória da responsabilidade civil.
Para advogados que atuam na defesa de empresas ou em compliance bancário, a lição é clara: o investimento em cibersegurança deixou de ser uma opção técnica para se tornar uma necessidade jurídica. A conformidade com a LGPD não é apenas documental; ela exige efetividade.
O judiciário está cada vez menos tolerante com a fragilidade sistêmica das grandes corporações. A alegação de que “o sistema é seguro” não basta. É necessário comprovar a adoção de medidas proativas de monitoramento, detecção de anomalias transacionais e proteção de perímetro de dados.
A responsabilidade civil, neste cenário, atua como um vetor de governança corporativa. O custo da indenização e o dano reputacional tendem a superar o custo da prevenção, forçando o mercado a elevar seus padrões de segurança.
Quer dominar a Responsabilidade Civil e se destacar na advocacia? Conheça nosso curso Pós-Graduação em Prática da Responsabilidade Civil e Tutela dos Danos e transforme sua carreira.
* Responsabilidade Híbrida: A tese jurídica mais forte não se baseia apenas no CDC ou apenas na LGPD, mas na convergência de ambos. O vazamento é o defeito do serviço que viola o dever de segurança.
* Engenharia Social não é Culpa Exclusiva: Se a engenharia social foi facilitada por dados que só o banco detinha, o nexo causal aponta para a instituição financeira. O “golpe do falso empréstimo” depende de informações privilegiadas.
* Prova Diabólica: O advogado do consumidor deve sempre arguir a impossibilidade técnica de seu cliente provar a origem do vazamento, forçando a inversão do ônus da prova para que o banco demonstre a integridade de seus sistemas (logs, auditorias).
* Risco do Empreendimento: A Súmula 479 do STJ é o escudo contra a alegação de “fato de terceiro”. Fraude é custo operacional de quem lida com dinheiro e dados em ambiente digital.
Quem ensina aqui atua na área — professores com banca, cátedra e prática.
Ver as pós em Direito