Responsabilidade civil em fraudes digitais

Resumo

O avanço do comércio eletrônico e dos meios de pagamento digitais trouxe consigo novas formas de vulnerabilidade para o consumidor, especialmente no que concerne às fraudes eletrônicas e ao vazamento de dados pessoais. Este artigo analisa a responsabilidade civil decorrente dessas práticas, a partir da conjugação do CDC, do Marco Civil da Internet e da LGPD, bem como da evolução legislativa recente, a exemplo da lei 14.155/21 e do PL 4.103/24. A pesquisa demonstra que a jurisprudência do STJ e do STF tem reafirmado a responsabilidade objetiva de fornecedores, instituições financeiras, marketplaces e empresas de logística, ressalvando apenas hipóteses de fortuito externo ou culpa exclusiva da vítima. A partir da análise de precedentes nacionais e da experiência do TJ/ES, discute-se a necessidade de uniformização jurisprudencial e de maior efetividade no dever de segurança por design. Conclui-se que a tutela do consumidor em fraudes digitais depende de três eixos fundamentais: (i) a afirmação da responsabilidade objetiva como regra; (ii) a integração entre proteção de dados pessoais e dever de segurança; e (iii) a consolidação de marcos normativos que reforcem a prevenção e a confiança nas relações digitais.

Introdução

A expansão do comércio eletrônico e a popularização dos meios de pagamento digitais transformaram radicalmente as relações de consumo, ampliando o acesso a bens e serviços, mas também expondo consumidores a novas modalidades de risco. Fraudes eletrônicas, vazamentos de dados e golpes de engenharia social tornaram-se práticas recorrentes, explorando a vulnerabilidade estrutural do consumidor e desafiando os instrumentos clássicos da responsabilidade civil.

O CDC, concebido em 1990, já trazia em seu núcleo a ideia de que a responsabilidade do fornecedor deveria ser objetiva, fundada no risco do empreendimento e no dever de segurança. Esse modelo, porém, é constantemente tensionado no ambiente digital, em que a desterritorialidade, a complexidade tecnológica e a multiplicidade de agentes econômicos tornam mais difícil a identificação das falhas e a delimitação das responsabilidades.

O problema jurídico que se coloca é, portanto, como adaptar os fundamentos tradicionais da responsabilidade civil ao cenário das transações digitais. A jurisprudência dos tribunais superiores, notadamente do STJ e do STF tem desempenhado papel central nesse processo, consolidando a compreensão de que fraudes digitais e falhas de segurança integram o risco da atividade dos fornecedores e, portanto, não afastam a responsabilidade objetiva. Paralelamente, a doutrina tem buscado repensar conceitos como nexo causal, fortuito interno e externo, e dever de informação, para dar conta das especificidades da era digital.

Além disso, instrumentos normativos recentes, como a LGPD e a lei 14.155/21, bem como propostas legislativas em trâmite, como o PL 4.103/24, indicam que a resposta jurídica não pode se limitar à repressão posterior, mas deve incorporar a lógica da prevenção e da segurança por design.

Este estudo tem por objetivo analisar a responsabilidade civil em fraudes digitais no comércio eletrônico, a partir de uma abordagem sistemática que integra fundamentos legais, jurisprudência e doutrina. Busca-se oferecer uma reflexão crítica sobre os deveres dos fornecedores, marketplaces, instituições financeiras e demais agentes da cadeia de consumo digital, bem como sobre os limites das excludentes de responsabilidade e a evolução legislativa. A análise será desenvolvida em perspectiva dogmática e prática, com especial atenção à experiência do TJ/ES, de modo a contribuir para a uniformização e o fortalecimento da tutela do consumidor em ambiente digital.

1. Pressupostos dogmáticos da responsabilidade civil nas transações digitais

1.1 Responsabilidade dos fornecedores e varejistas online

O comércio eletrônico, embora tenha expandido exponencialmente a acessibilidade dos consumidores a bens e serviços, trouxe consigo uma ampliação dos riscos relacionados às fraudes digitais. A relação estabelecida entre consumidor e fornecedor em ambiente virtual não altera a essência da tutela prevista no CDC, que impõe responsabilidade objetiva pelo defeito do serviço, abrangendo não apenas a qualidade do produto, mas também a segurança da transação. O risco da atividade, neste domínio, não pode ser dissociado da obrigação de adotar medidas eficazes de prevenção contra fraudes, seja na fase pré-contratual, pela informação clara e precisa, seja na fase de execução, pela garantia de segurança mínima no ambiente de compra.

A jurisprudência tem reforçado que, em se tratando de falhas na prestação de serviços digitais, o fornecedor responde objetivamente pelos danos causados, nos termos do art. 14 do CDC. Nesse sentido, o STJ consolidou, em inúmeros precedentes, que o fortuito interno não afasta a responsabilidade do fornecedor, uma vez que fraudes e delitos praticados por terceiros integram o risco da própria atividade econômica.¹ No mesmo rumo, em julgamento de recurso especial envolvendo fraude em transação bancária digital, o tribunal afirmou que, mesmo quando a operação é realizada mediante senha fornecida pelo consumidor, a instituição financeira ou o fornecedor deve adotar mecanismos de detecção de operações atípicas, sob pena de falha no dever de segurança.²

O TJ/ES também aplicou esse entendimento em casos de não entrega de produtos adquiridos em plataformas de e-commerce, reconhecendo a responsabilidade solidária da varejista e da plataforma pela ausência de cautela mínima na intermediação do negócio.³ A decisão enfatizou que, ao disponibilizar produtos em ambiente digital, o fornecedor cria legítima expectativa de segurança e confiabilidade, razão pela qual responde pela inexecução da obrigação, independentemente de prova de culpa.

A doutrina segue a mesma trilha. Flávio Tartuce assevera que "a responsabilidade civil do fornecedor é objetiva, ou seja, independe da demonstração de culpa, bastando a prova do dano e do nexo causal entre o defeito do produto ou serviço e o dano causado".⁴ Na mesma linha, Sergio Cavalieri Filho observa que "todo aquele que se dispõe a exercer alguma atividade no mercado de consumo tem o dever de responder pelos danos causados aos consumidores, independentemente de culpa",⁵ o que se aplica com ainda maior vigor ao comércio eletrônico, em que o consumidor se encontra em posição de vulnerabilidade acrescida.

Se é verdade que o art. 14, § 3º, do CDC admite excludentes de responsabilidade — culpa exclusiva da vítima ou de terceiro e inexistência do defeito —, não se pode perder de vista que tais hipóteses são interpretadas restritivamente pela jurisprudência. Nos casos de fraudes digitais, a alegação de culpa exclusiva do consumidor, como no fornecimento de dados em esquemas de phishing, somente afasta a responsabilidade quando restar comprovada a total ausência de falha sistêmica ou de omissão por parte do fornecedor. Do contrário, reconhece-se que o dever de segurança foi descumprido e que o risco deve ser internalizado pelo agente econômico.

A responsabilidade dos fornecedores online, portanto, assenta-se sobre a teoria do risco do empreendimento, em que o dever de indenizar decorre do simples exercício da atividade econômica. O mercado digital, longe de exonerar o fornecedor, reforça a sua obrigação de garantir a confiança do consumidor, integrando o dever de segurança ao núcleo essencial da prestação de serviços.

1.2 Responsabilidade dos marketplaces e plataformas digitais

O fenômeno dos marketplaces insere um terceiro ator na relação de consumo: a plataforma digital que aproxima vendedores e compradores. A questão central que emerge consiste em determinar se tais intermediadores integram a cadeia de fornecimento e, em consequência, se respondem solidariamente por fraudes e inadimplementos. O CDC, em seu art. 7º, parágrafo único, e art. 25, § 1º, dispõe que todos os que participam da relação de consumo respondem solidariamente pelos danos ao consumidor, sem distinção entre fornecedores diretos e indiretos. A partir desse parâmetro normativo, a jurisprudência e a doutrina têm reconhecido a responsabilidade objetiva das plataformas, especialmente quando lucram com a intermediação, criam ambiente de confiança e oferecem instrumentos de pagamento e logística.

O STJ, em precedente paradigmático, enfrentou a responsabilidade de plataformas de classificados online, reconhecendo que, quando a fraude ocorre fora do ambiente da transação formal, há rompimento do nexo causal, afastando a responsabilidade do intermediador.⁶ Essa orientação, entretanto, foi relativizada em casos posteriores, nos quais se reconheceu a responsabilidade solidária das plataformas quando participam ativamente da transação ou oferecem serviços de pagamento e segurança, criando legítima expectativa de confiabilidade para o consumidor.⁷

No âmbito do STF, o debate alcançou repercussão geral (Tema 1.413, RE 1.554.371), discutindo-se os limites da responsabilidade de intermediadores digitais. Embora ainda em andamento, o Supremo já assentou em decisões recentes que, em casos de ilícitos graves, como crimes contra a dignidade humana, as plataformas têm dever de remoção proativa, mesmo sem ordem judicial, reforçando a ideia de que não são meras hospedeiras neutras, mas atores inseridos na estrutura da relação de consumo.⁸

A jurisprudência estadual também confirma essa tendência. O TJ/ES reconheceu, em acórdão de 2023, que o marketplace responde solidariamente por produto não entregue por vendedor cadastrado, com base na teoria do risco do empreendimento.⁹ No mesmo sentido, o TJ/SP destacou que a segurança constitui um dos principais atrativos oferecidos por plataformas digitais, razão pela qual a falha de seus sistemas caracteriza fortuito interno e gera responsabilidade objetiva.¹⁰

A doutrina contemporânea acompanha essa evolução. Bruno Miragem enfatiza que a inversão do ônus da prova é instrumento fundamental de proteção ao consumidor em ambiente digital, cabendo ao fornecedor e à plataforma demonstrar a inexistência de defeito ou a culpa exclusiva da vítima.¹¹ Já Cláudia Lima Marques destaca que apenas as falhas sistêmicas, e não os descuidos individuais do consumidor, autorizam a imputação de responsabilidade objetiva às plataformas, reforçando a necessidade de se distinguir entre vulnerabilidade estrutural e condutas pessoais do usuário.¹²

Assim, os marketplaces não podem ser considerados meros espaços virtuais neutros, já que sua atuação extrapola a função de classificados. Ao intermediar, lucrar e estruturar o ambiente digital de consumo, assumem o risco da atividade e devem responder solidariamente pelos danos advindos de fraudes e falhas na prestação do serviço.

1.3 Responsabilidade das instituições financeiras e meios de pagamento

A relação entre consumidores e instituições financeiras, em especial nas transações digitais, revela-se um dos pontos mais sensíveis do debate sobre responsabilidade civil em fraudes eletrônicas. O CDC, ao incluir os bancos no conceito de fornecedores (art. 3º, § 2º), consolidou a sujeição dessas instituições ao regime de responsabilidade objetiva, nos termos do art. 14. Essa orientação foi reafirmada pelo STF na ADIn 2.591/DF, em que se declarou a constitucionalidade da aplicação do CDC às operações bancárias.¹³ O reconhecimento de que o consumidor é parte vulnerável justifica a imputação ao banco do dever de garantir a segurança do serviço, incorporando as fraudes eletrônicas ao rol de riscos próprios do empreendimento.

O STJ sedimentou o tema ao editar a súmula 479, segundo a qual "as instituições financeiras respondem objetivamente pelos danos gerados por fortuito interno relativo a fraudes e delitos praticados por terceiros no âmbito de operações bancárias".¹⁴ Tal enunciado representa a cristalização da chamada teoria do fortuito interno: fraudes digitais, por derivarem do risco da atividade bancária, não excluem a responsabilidade do banco. Apenas o fortuito externo — evento totalmente estranho ao serviço, inevitável e imprevisível — pode romper o nexo causal.

A jurisprudência recente amplia a compreensão desse dever. No julgamento do REsp 1.995.458/SP, o STJ reconheceu a falha de segurança em transferências via Pix que destoavam do perfil de consumo do correntista, mesmo tendo sido realizadas com cartão e senha.¹⁵ De modo semelhante, no REsp 2.052.772/SP, a corte responsabilizou a instituição pela emissão de boleto fraudado, afirmando que a negligência na verificação da legitimidade do título configura defeito do serviço.¹⁶ Em casos de engenharia social, como o "golpe do motoboy", o tribunal assentou que, embora o consumidor tenha fornecido cartão e senha, persiste a responsabilidade quando não há mecanismos eficazes de bloqueio ou de monitoramento de transações atípicas.¹⁷

O TJ/ES também seguiu essa linha em precedentes recentes. Em julgamento de 2023, reconheceu a responsabilidade do banco pela abertura negligente de conta utilizada para fraude via Pix, enfatizando a omissão no bloqueio de transferências suspeitas.¹⁸ Em outro caso, condenou instituição financeira por não impedir movimentações realizadas em perfil de cliente idoso, reconhecendo sua hipervulnerabilidade.¹⁹

No plano doutrinário, Anderson Schreiber sustenta que a responsabilidade civil digital dos bancos "não é mero instituto de direito privado, mas expressão concreta de um pacto social implícito: o de que a modernização dos instrumentos de pagamento não pode significar regressão na proteção do consumidor".²⁰ Danilo Doneda e Laura Schertel Mendes acentuam que a expectativa legítima do consumidor inclui a adoção de medidas informativas e de segurança compatíveis com os padrões setoriais.²¹ Por sua vez, Nelson Nery Júnior e Rosa Maria de Andrade Nery destacam que a exclusão da responsabilidade só é admissível quando cabalmente comprovada a inexistência do defeito do serviço ou a culpa exclusiva do consumidor.²²

Ainda que as instituições financeiras aleguem que a culpa exclusiva do consumidor rompe o nexo causal — especialmente quando este fornece senhas ou dados sensíveis a fraudadores —, tal excludente é interpretada restritivamente. A jurisprudência tem exigido prova robusta de que não houve falha sistêmica, de modo a impedir que o banco transfira integralmente o risco de sua atividade ao consumidor. A regra, portanto, é a responsabilização objetiva, e a exceção — a exclusão da responsabilidade — deve ser demonstrada pelo próprio fornecedor.

Em suma, os bancos e meios de pagamento digitais respondem objetivamente pelas fraudes eletrônicas como fortuito interno, cabendo-lhes adotar medidas efetivas de prevenção, monitoramento e bloqueio de operações atípicas. A responsabilização reforça a função social do sistema financeiro e preserva a confiança que constitui seu fundamento.

Confira aqui a íntegra do artigo.