A edição da resolução conjunta 16/25, editada pelo Banco Central do Brasil e pelo Conselho Monetário Nacional, representa um marco decisivo para a regulação do BaaS - Banking as a Service no mercado financeiro nacional. Ao fixar balizas objetivas para a governança corporativa, a gestão de riscos, os procedimentos de due diligence e o monitoramento contínuo das operações, o regulador buscou fortalecer a higidez do ecossistema digital e elevar os padrões de tutela ao consumidor. No entanto, a constante sofisticação das arquiteturas financeiras e o refinamento das técnicas empregadas por organizações criminosas impõem especial prudência na interpretação desses novos deveres regulatórios pelo Poder Judiciário. Em um ecossistema fundado na cooperação técnica e operacional de múltiplos agentes, a mera concretização de um ilícito perpetrado por terceiros não pode implicar a automática responsabilização daqueles que frequentemente também figuram como vítimas de fraudes de difícil detecção.
O grande nó cego posto à doutrina e à jurisprudência reside na urgente necessidade de conciliar a liberdade de inovação, a proteção ao consumidor e a imperiosa segurança jurídica. Deve-se evitar que a justa preocupação com a prevenção a ilícitos resulte em um regime de responsabilidade civil absolutamente desconectado da realidade operacional das instituições financeiras, sob pena de inviabilizar o desenvolvimento sustentável do próprio modelo de BaaS. Talvez a repercussão mais profunda dessa regulamentação não se limite aos seus efeitos administrativos sancionatórios perante o Banco Central, mas alcance a forma como os tribunais passarão a valorar a responsabilidade cível decorrente dos danos sofridos pelos usuários em ambientes virtuais.
Essa constatação decorre da própria dinâmica de funcionamento do Direito Privado. Quando o ordenamento jurídico estabelece deveres objetivos de conduta para o exercício de determinada atividade econômica, ele oferta, simultaneamente, o parâmetro concreto para a aferição do padrão de diligência exigível dos operadores do setor. Os deveres regulatórios extrapolam a relação estritamente administrativa entre a instituição e o órgão regulador, passando a condicionar a valoração da conduta dos agentes econômicos no âmbito dos litígios judiciais.
O modelo de Banking as a Service consolidou-se como uma das maiores alavancas de inovação no sistema financeiro nacional. Por meio dessa arquitetura, instituições financeiras e de pagamento autorizadas pelo Banco Central compartilham sua infraestrutura tecnológica, regulatória e operacional para que fintechs, marketplaces, plataformas digitais e empresas de diversos segmentos da economia ofereçam produtos e serviços bancários diretamente aos seus clientes finais. Se essa descentralização fomentou a competitividade, reduziu barreiras de entrada e acelerou a inclusão financeira de milhões de brasileiros, ela também introduziu desafios severos no tocante à segurança cibernética, ao tratamento de dados pessoais e à identificação das responsabilidades em arranjos com múltiplos participantes.
Foi justamente para preencher essas lacunas que a resolução conjunta 16/25 instituiu um modelo pautado no controle rigoroso e no acompanhamento permanente das parcerias. A norma exige que as instituições prestadoras realizem checagens prévias minuciosas (due diligence), monitorem a higidez operacional e financeira das tomadoras e mantenham ferramentas automatizadas de controle interno capazes de identificar, conter e mitigar atipicidades comportamentais e operacionais.
Diante desse novo arranjo normativo, projeta-se uma questão central: em que medida os deveres de supervisão e monitoramento trazidos pela regulamentação afetarão a apuração da responsabilidade civil nos tribunais? A resposta aponta para uma influência inevitável, mas que exige do julgador uma análise estritamente individualizada e imune a automações simplistas.
A fixação de parâmetros regulatórios eleva o nível de diligência cobrado das instituições. Ocorre que o surgimento de uma fraude em ambiente digital não autoriza a ilação automática de que houve falha imputável aos operadores da infraestrutura tecnológica. A prática demonstra que as instituições prestadoras de BaaS são alvos constantes de esquemas criminosos altamente organizados, que aperfeiçoam diariamente táticas para burlar sistemas de autenticação, biometria e checagem documental. A appreciation da responsabilidade dos agentes precisa, portanto, distinguir a negligência real na governança da simples materialização de um risco inerente ao meio digital que, embora passível de mitigação, não é integralmente eliminável no atual estágio da tecnologia.
Considere-se a hipótese em que uma fintech oferece contas de pagamento utilizando a infraestrutura contratada de uma instituição autorizada pelo Banco Central. Após meses de funcionamento regular, constata-se a abertura em série de contas mediante o uso de documentos falsificados com elevado grau de sofisticação, posteriormente utilizadas para escoar valores decorrentes de estelionatos praticados contra terceiros. Antes da edição da resolução conjunta 16/25, o debate processual costumava se limitar à identificação do autor direto do ato ilícito ou à verificação de falha pontual no momento do cadastro do usuário.
A nova regulamentação exige que o julgador proponha indagações mais amplas e qualificadas. As ferramentas de monitoramento contínuo eram compatíveis com a escala da operação? Os deveres de supervisão e auditoria foram rigorosamente cumpridos pela prestadora? Havia alertas de atipicidade negligenciados pelos controles internos? Os integrantes da cadeia observaram os parâmetros exigidos pelo regulador? O eixo da discussão desloca-se da simples autoria da operação pontual para o exame abrangente sobre quem detinha o dever legal de vigiar, gerenciar e estancar o risco decorrente da atividade.
Importa sublinhar que a resolução conjunta 16/25 não criou novas modalidades de responsabilidade civil extracontratual. A imputação do dever de indenizar no Direito brasileiro permanece irrestritamente vinculada aos pressupostos dogmáticos clássicos: a demonstração do dano, a ilicitude ou defeito da conduta e a existência de nexo causal direto entre a ação ou omissão imputada ao agente e o prejuízo experimentado pela vítima.
Nesse diapasão, permanece hígida a aplicação da súmula 479 do STJ, que estabelece a responsabilidade objetiva das instituições financeiras pelos danos gerados por fortuito interno em fraudes praticadas por terceiros no âmbito de operações bancárias. O grande problema reside em aplicar a lógica do fortuito interno - construída para a atividade bancária tradicional e concentrada - de forma indistinta às estruturas descentralizadas e pluriagentes do BaaS. Imputar responsabilidade fundada unicamente no resultado danoso, sem sopesar a divisão contratual de tarefas e os deveres regulatórios cumpridos por cada ator da cadeia, gera distorções graves e aviltantes aos propósitos do próprio marco regulatório.
A defesa dessa abordagem cautelosa não visa enfraquecer o sistema protetivo do consumidor ou desonerar o mercado do dever de prestação de serviços seguros. O objetivo é compreender que a governança imposta pelo Banco Central serve como um balizador objetivo da conduta diligente. A mera presença formal de uma instituição na infraestrutura de bastidor não justifica sua transformação em garantidora universal contra qualquer delito praticado por terceiros maliciosos.
Poder-se-ia ponderar que a resolução conjunta 16/25 possui escopo estritamente administrativo, sem repercussão direta no âmbito das relações cíveis de consumo. Essa premissa, contudo, desconsidera a simbiose entre o Direito Regulatório e o Direito Civil. Na prática contenciosa, o cumprimento pontual das obrigações impostas pelo regulador constitui a prova cabal da ausência de defeito na prestação do serviço e da adoção da diligência razoável esperada do fornecedor.
A consolidação do mercado de Banking as a Service dependerá da maturidade do Poder judiciário em fixar com precisão os limites dos deveres de cada participante da cadeia operacional. Punir com rigor os agentes que negligenciarem a implementação de estruturas robustas de governança e controles de risco é medida essencial para proteger a higidez do sistema financeiro. Por outro lado, diante de fraudes perpetradas por métodos tecnológicos inéditos e imprevisíveis, a responsabilização deve afastar soluções automáticas que desconsiderem o cumprimento integral das salvaguardas regulatórias pelas instituições envolvidas.
A segurança do mercado e a efetiva proteção aos consumidores não serão alcançadas pela ampliação desmedida da responsabilidade civil dos operadores econômicos, mas sim pela edificação de critérios técnicos seguros, capazes de separar a culpa efetiva por descumprimento de deveres de supervisão da simples ocorrência de um risco imprevisível inerente à constante evolução tecnológica.