O padrão é o mesmo: a vítima é abordada por um aplicativo de mensageria e convidada a realizar tarefas online como curtir um post, avaliar um produto, seguir um perfil. Em troca, recebe uma quantia modesta, mas vantajosa para o pouco esforço. Em poucos minutos, cai um Pix de R$ 20,00 na sua conta. A demanda passa a ser diária, um "supervisor" orienta as próximas tarefas e, para resgatar o prêmio acumulado, é preciso fazer transferências em valores específicos.

A euforia faz a vítima acreditar que encontrou "a boa", até que, na hora de sacar, vem a surpresa. Era tudo um golpe. Tarde demais: empréstimos foram contraídos, o desespero e a vergonha tomam conta. A vítima inconformada busca seus direitos, registra a ocorrência, procura auxílio jurídico. E assim se estabelece a tese em seu favor. Consumidor. Vulnerável. Golpe. Defeito do serviço. Responsabilidade objetiva. Mas quem deve pagar pelo dano?

Este texto discute o regime de responsabilidade aplicável ao provedor de aplicação de mensageria na busca por reparação da vítima do golpe da tarefa, propondo o diálogo entre institutos consolidados do direito do consumidor e os normativos do ambiente digital. Não se trata de levantamento quantitativo ou qualitativo sobre o fenômeno, mas de exercício argumentativo, construído em diálogo com o que exerço como advogada e professora, e que aceita desde já o contraditório. As questões me atravessaram em dois momentos: na elaboração de razões de contestação e durante uma aula sobre LGPD e direito do consumidor que ministrei no LL.M. em Direito: Regulação da Inteligência Artificial e Tecnologias Digitais, da FGV Direito Rio, no primeiro semestre de 2026.

A depender da criatividade argumentativa do advogado da parte reclamante, diferentes réus podem compor o polo passivo da demanda: o banco, a empresa eventualmente falseada pelo golpista e o próprio aplicativo de mensageria utilizado na troca de mensagens entre vítima e golpista. Quero me deter neste último. Não porque os demais sejam menos relevantes, há, inclusive, material jurisprudencial e sumular específico sobre a responsabilidade atribuída aos bancos, como a súmula 479/STJ e o REsp 2.124.423/SP (relatora ministra Nancy Andrighi, 3ª turma, j. 20/8/24), mas porque é sobre ele que pairou a minha dúvida.

Na minha percepção, o fato gerador da demanda por jurisdição do Estado não é necessariamente algum tipo de erro no produto ou serviço digital, e sim o prejuízo ocasionado pela fraude. Nesse contexto, a relação entre vítima e aplicativo é uma relação de consumo? Tratando-se de aplicação de mensageria, vale a regra de responsabilidade do CDC ou do Marco Civil da Internet? Seriam os diplomas legais excludentes ou devem ser interpretados de forma conjunta? É justamente por isso que penso valer a pena tratar a responsabilidade do provedor em separado, com raciocínio próprio, a partir de camadas sucessivas, filtros que se somam e que, isoladamente, já bastariam cada um para avaliar a pretensão indenizatória.

Primeiro filtro: Existe relação de consumo entre a vítima e o provedor de mensageria?

Antes de perguntar qual regime de responsabilidade se aplica, é preciso configurar o tipo de relação entre vítima e aplicativo. No caso do golpe da tarefa, existe relação de consumo apta a atrair a aplicação do CDC?

Os arts. 2º e 3º do CDC pressupõem que o consumidor é todo aquele que adquira ou utilize, como destinatário final, produto ou serviço efetivamente fornecido pelo suposto fornecedor, ainda que o produto ou serviço sejam gratuitos, como costuma ser um aplicativo de mensageria.

Entretanto, no golpe da tarefa, a vítima não adquiriu nada do aplicativo de mensageria, nem com ele contratou qualquer serviço relacionado ao prejuízo. O aplicativo não ofertou a recompensa, não intermediou o pagamento, não figurou como destinatário dos valores. A relação de consumo, quando existe, forma-se entre a vítima e os golpistas, não entre a vítima e o provedor, que funciona apenas como ambiente de comunicação. Entre vítima e provedor, portanto, não há consumidora e fornecedor: há apenas usuária e ambiente de comunicação, a mesma dicotomia que abre este texto.

O STJ já adotou esse entendimento ao afastar a responsabilidade de um provedor de aplicações por fraude consumada fora do seu ambiente. No REsp 1.880.344/SP (relatora ministra Nancy Andrighi, 3ª turma, j. 9/3/21), o tribunal registrou que o fraudador não se valeu dos mecanismos de intermediação do comércio eletrônico nem da plataforma disponibilizada pelo marketplace para praticar a fraude, o que impede qualificar o ocorrido como falha no dever de segurança; a fraude praticada por terceiro em ambiente externo ao das vendas on-line não guarda qualquer relação com o comportamento da empresa, tratando-se de fato de terceiro que rompe o nexo causal entre o dano e o fornecedor de serviços. Ainda que proferido em caso de marketplace, a racionalidade decisória, o fato de terceiro em ambiente externo à plataforma, aplica-se igualmente à mensageria.

Se não há relação de consumo quanto a esses fatos específicos, não há CDC e, portanto, não há inversão do ônus da prova. Trata-se de outro elemento por vezes solicitado ao juízo pela parte autora, para demonstrar sua vulnerabilidade e exigir que a aplicação de mensageria apresente provas de que não deu causa ao prejuízo sofrido. A distribuição do ônus probatório volta à regra geral do art. 373, I, do CPC: cabe a quem alega o dano provar os fatos constitutivos do seu direito, e não ao provedor provar que agiu diligentemente.

Segundo filtro, autônomo do primeiro: A natureza jurídica do provedor e a incidência do Marco Civil da Internet

Ainda que se admitisse, hipoteticamente, a existência de relação de consumo entre vítima e provedor, premissa que o primeiro filtro já afasta, mas que aqui se supõe apenas para testar a autonomia deste segundo filtro, a pergunta seguinte é qual arcabouço normativo se aplica a essa relação?

A resposta está no próprio enquadramento jurídico do provedor: o aplicativo de mensageria é provedor de aplicações de internet, na modalidade específica de provedor de serviços de mensageria instantânea, nos termos do art. 5º, VII, do Marco Civil da Internet (lei 12.965/14). Nessa qualidade, sua responsabilidade por conteúdo gerado por terceiros, que é exatamente o caso do golpe da tarefa, arquitetado inteiramente por terceiros dentro de uma conversa, submete-se ao regime do art. 19 do MCI: responsabilidade subjetiva e condicionada, que prevalece sobre o regime objetivo do CDC independentemente do resultado do filtro anterior.

Essa prevalência não decorre apenas da leitura sistemática dos dois diplomas: encontra amparo expresso no art. 2º, § 2º, da LINDB, que consagra o critério da especialidade, a lei nova que estabelece disposições especiais a par das já existentes não revoga nem modifica a lei geral anterior, de modo que ambas convivem, cada uma no seu campo próprio de incidência. O CDC, de 1990, é lei geral em matéria de relações de consumo.

O Marco Civil da Internet, de 2014, é lei especial e posterior, editada especificamente para disciplinar a responsabilidade civil dos provedores de aplicações por conteúdo gerado por terceiros. Não há, portanto, revogação do CDC pelo MCI, mas convivência normativa: no campo específico da responsabilidade do provedor por conteúdo de terceiro, prevalece a norma especial. É esse critério, e não apenas a leitura isolada do art. 19, que sustenta a aplicação do regime subjetivo e condicionado do MCI ao provedor de mensageria.

Vale precisar: no tema 987 de repercussão geral (RE 1.037.396, j. 26/6/25), o STF, embora tenha reconhecido a inconstitucionalidade parcial e progressiva do art. 19 do MCI, preservou expressamente sua aplicação aos provedores de mensageria instantânea, exclusivamente quanto às comunicações interpessoais protegidas pelo sigilo constitucional das comunicações (art. 5º, XII, da CF/88). É esse sigilo que o próprio STF usa para justificar por que a mensageria privada recebe tratamento distinto de outras aplicações de internet.

Reconhecida a incidência do art. 19, a responsabilidade do provedor não nasce automaticamente do simples fato de o golpe ter transitado por ali. A mensageria instantânea não se beneficia da via mais simples que o próprio tema 987 abriu para outras hipóteses, a notificação extrajudicial, suficiente ali para desencadear o dever de remoção. Aqui, a lei exige, cumulativamente: obtenção de ordem judicial específica determinando a indisponibilização; identificação clara e específica do conteúdo apontado como ilícito na própria ordem, o que a jurisprudência do STJ interpreta como a indicação do URL ou endereço eletrônico exato (REsp 1.654.221/SP, relatora ministra Nancy Andrighi, 3ª turma, j. 22/10/19); e descumprimento dessa ordem dentro do prazo assinalado. Ausente qualquer um desses elementos, não há como cogitar de responsabilidade. Na prática, é isso que costuma acontecer: a vítima aciona o banco ou ajuíza diretamente a ação de indenização, sem antes obter e apresentar ao provedor uma ordem judicial específica de indisponibilização, e muito menos aguardar o seu descumprimento.

Poderia surgir aqui a tentação de argumentar, com apoio numa leitura do CDC, que o provedor deveria monitorar e filtrar esse tipo de conteúdo por conta própria, antes mesmo de qualquer notificação, numa postura ativa diante de potencial defeito do serviço. O STJ já rechaçou a tese de forma pacífica: danos resultantes de conteúdo inserido por usuário não constituem risco inerente à atividade dos provedores, de modo que não lhes é aplicável a responsabilidade objetiva do art. 927, parágrafo único, do CC, nem têm eles o dever de fiscalizar previamente o que terceiros inserem no ambiente virtual (REsp 1.406.448/RJ, relatora ministra Nancy Andrighi, 3ª turma, j. 15/10/13), até porque impor essa varredura prévia equivaleria a uma modalidade de censura, inadmissível em nosso sistema jurídico (REsp 1.337.990/SP, relator ministro Paulo de Tarso Sanseverino, 3ª turma, j. 21/8/14). O TJ/SP já aplicou a mesma lógica na chave que interessa a este texto, a da inaplicabilidade do regime objetivo do CDC ao provedor de aplicações, ao afirmar que a regra geral de responsabilidade objetiva do fornecedor é excepcionada pela regra específica de responsabilidade subjetiva dos arts. 19 e 21 do MCI, não se podendo reputar defeituoso, nos termos do art. 14 do CDC, o serviço de aplicação que não exerce controle de conteúdo gerado por terceiro (AC 1101317-59.2016.8.26.0100, relator desembargador Mary Grün, 7ª câmara de Direito Privado, j. 1º/9/21). Some-se a isso um dado que costuma pesar contra a vítima na análise concreta: os aplicativos de mensageria mantêm canais públicos e gratuitos de denúncia e, quando esses canais não são acionados antes do ajuizamento da ação, fica difícil sustentar que o provedor teve alguma chance real de agir.

De quem é a responsabilidade?

Volto à pergunta que abriu esta reflexão. Quanto ao provedor de aplicação de mensageria, a resposta que a jurisprudência vem consolidando é que, em regra, a responsabilidade não é dele e por mais de uma razão ao mesmo tempo. Não há relação de consumo entre vítima e provedor quanto aos fatos do golpe. Ainda que houvesse, o regime aplicável seria o subjetivo e condicionado do art. 19 do MCI, confirmado pelo próprio STF no tema 987, cujos requisitos cumulativos raramente estão presentes nesses casos. Não é preciso escolher um único fundamento: é a soma dos filtros que torna a responsabilização do provedor uma exceção, e não a regra.

Registre-se, por fim, que mesmo quando os tribunais optam por decidir dentro do CDC o resultado tende a ser o mesmo. O TJ/SP tem reconhecido que transferências espontâneas de valores para contas de terceiros, sem que a vítima tome as precauções necessárias para verificar a veracidade da proposta e a idoneidade das partes, configuram culpa exclusiva da vítima, na forma do art. 14, § 3º, II, do CDC, tratando-se ainda de fortuito externo apto a romper o nexo de causalidade (AC 1015843-11.2023.8.26.0348, rel. des. Afonso Celso da Silva, 37ª câmara de Direito Privado, j. 30/10/24; recurso inominado cível 1001359-41.2023.8.26.0493, relator juiz Aparecido Cesar Machado, 4ª turma recursal cível, j. 27/8/24).

É uma lástima que tal infortúnio exista em nossa sociedade. Mas é contraditório exigir, enquanto usuário livre, o sigilo das comunicações e, ao mesmo tempo, extrair delas a vulnerabilidade de consumidor para responsabilizar a aplicação de mensageria por conduta de terceiros.