Definição da responsabilidade por fraudes eletrônicas: O Brasil precisa de regras mais específicas?

A responsabilidade por fraudes eletrônicas é tema cada vez mais recorrente no debate jurídico brasileiro. Ainda assim, a sofisticação dos golpes e a diversidade das situações concretas permitem revisitar a discussão sob diferentes perspectivas, inclusive a partir das soluções adotadas em outros ordenamentos.

As fraudes eletrônicas deixaram de ser apenas operações realizadas sem conhecimento do titular. Em muitos casos, o próprio usuário fornece informações, instala aplicativos ou autentica transferências após ser induzido por técnicas de engenharia social.

Esse cenário torna insuficientes respostas automáticas. Nem a utilização regular de senha ou token afasta, por si só, eventual falha do serviço, nem a responsabilidade objetiva das instituições financeiras significa que todo prejuízo decorrente de fraude deva ser por elas suportado.

A questão central passou a ser outra: como distribuir o prejuízo quando a fraude decorre, simultaneamente, da atuação do criminoso, da conduta do usuário e dos mecanismos de segurança do prestador?

No Brasil, essa resposta é construída principalmente a partir das regras gerais do CDC. Na União Europeia, a Diretiva de Serviços de Pagamento (PSD2) prevê regras específicas para a atribuição das perdas decorrentes de operações não autorizadas, contemplando expressamente os efeitos da negligência grosseira do usuário.

A comparação evidencia uma lacuna específica do modelo brasileiro: a ausência de critérios próprios para a atribuição das perdas decorrentes de fraudes eletrônicas, especialmente quando a conduta do usuário contribui para o resultado. 

O Brasil regula a prevenção, mas e a distribuição das perdas? 

O sistema brasileiro possui importantes regras de segurança nos meios de pagamento.

A lei 12.865/13 estabelece princípios de segurança, confiabilidade e proteção dos usuários no âmbito dos arranjos e das instituições de pagamento, e atribui ao Banco Central competência para regulamentar e supervisionar essas atividades. Nesse contexto, destacam-se a resolução BCB 142/21, que disciplina procedimentos e controles para prevenção de fraudes na prestação de serviços de pagamento, e a resolução conjunta 6/23, que estabelece o compartilhamento de informações sobre indícios de fraudes entre instituições.

A regulação, portanto, avançou significativamente sobre como prevenir fraudes. O mesmo grau de especificidade, contudo, não se verifica na definição das consequências patrimoniais dessas ocorrências, especialmente quando o prejuízo também decorre da conduta do usuário.

A responsabilidade pelas fraudes permanece regida, em grande medida, pelo art. 14 do CDC, que exige falha na prestação do serviço e nexo de causalidade, admitindo a exclusão da responsabilidade quando comprovada a inexistência de defeito ou a culpa exclusiva do consumidor ou de terceiro. A súmula 479/STJ complementa esse regime ao reconhecer a responsabilidade das instituições financeiras pelas fraudes caracterizadas como fortuito interno, sem afastar as excludentes legais ou estabelecer uma responsabilidade irrestrita por qualquer fraude.

Essas normas oferecem instrumentos para solucionar os casos concretos, inclusive permitindo discutir, em determinadas circunstâncias, eventual culpa concorrente do consumidor (CC, art. 945). O desafio está em aplicar essas categorias gerais às diferentes modalidades de fraude eletrônica, especialmente quando o próprio usuário, induzido por terceiros, participa da realização das operações.

Em que circunstâncias essa participação pode caracterizar culpa exclusiva e afastar a responsabilidade da instituição financeira? E seriam as disposições gerais do CDC suficientes para disciplinar essas situações, ou haveria espaço para uma disciplina mais específica sobre a atribuição dos prejuízos?

O direito europeu oferece um contraponto interessante a essa discussão, ao prever regras próprias para a atribuição das perdas decorrentes de operações de pagamento não autorizadas.

O contraste europeu

Na União Europeia, a Diretiva (UE) 2015/2366 (PSD2) disciplina especificamente a distribuição das perdas decorrentes de operações de pagamento não autorizadas.

Como regra, o prestador deve reembolsar o usuário. O próprio usuário, porém, pode suportar as perdas quando tiver agido fraudulentamente ou descumprido determinados deveres de segurança com dolo ou negligência grosseira, sem prejuízo de outras hipóteses específicas de responsabilidade limitada previstas na Diretiva.

A gross negligence não se confunde com simples descuido. O Considerando 72 da PSD2 a associa a um grau acentuado de falta de cuidado, cuja avaliação deve considerar as circunstâncias do caso e, em regra, o direito nacional.

Há, portanto, uma diferença importante em relação ao sistema brasileiro. Enquanto o CDC estabelece categorias gerais de responsabilidade civil, a PSD2 disciplina expressamente determinados deveres de segurança do usuário e as consequências de seu descumprimento para a atribuição das perdas.

A reforma europeia atualmente em curso busca detalhar essa disciplina. O texto negociado do novo Regulamento de Serviços de Pagamento, ainda em tramitação legislativa, apresenta parâmetros não exaustivos para a avaliação da negligência grosseira. Entre os elementos relevantes estão a complexidade da fraude, as técnicas empregadas pelos criminosos, as medidas adotadas pelo usuário, o cumprimento dos deveres preventivos pelo prestador e a existência de alertas claros e específicos, inclusive a reação do usuário a essas advertências.

A experiência europeia, portanto, não elimina a necessidade de interpretação das circunstâncias concretas. Seu interesse está na previsão de regras mais específicas para a atribuição das perdas, contemplando tanto os deveres de segurança do prestador quanto os deveres de cautela do usuário.

O que pode ser aproveitado no Brasil

Não parece necessário importar para o direito brasileiro uma categoria autônoma de “negligência grosseira”. O próprio sistema atual permite reconhecer tanto falhas de segurança das instituições quanto hipóteses de culpa exclusiva ou concorrente do usuário. A experiência europeia, contudo, permite refletir sobre a conveniência de parâmetros mais específicos para a aplicação dessas regras às fraudes eletrônicas.

Quanto às instituições financeiras, a análise deve considerar a existência de falha concreta nos mecanismos de segurança, à luz das informações disponíveis e das medidas razoavelmente exigíveis no momento da operação. Fatores como incompatibilidade das transações com o perfil do cliente, valores envolvidos, sucessividade das operações, contratação atípica de crédito e alterações de dispositivo podem indicar situações suspeitas, mas não demonstram, isoladamente, a existência de falha na prestação do serviço.

Quanto ao consumidor, é igualmente importante considerar seus deveres de cautela, especialmente na guarda de credenciais e na observância dos alertas de segurança. O fornecimento de senhas ou códigos constitui circunstância relevante, cuja repercussão jurídica deve ser avaliada conforme o contexto da fraude e as advertências recebidas pelo usuário.

A análise da responsabilidade deve, portanto, considerar a atuação de ambas as partes, sem presumir que toda fraude poderia ter sido identificada ou evitada pela instituição financeira.

Uma disciplina mais previsível

O Brasil avançou significativamente na regulação da segurança dos meios de pagamento, mas ainda não construiu uma disciplina igualmente específica para a distribuição das perdas decorrentes de fraudes eletrônicas.

Atualmente, essa atribuição é definida, em grande medida, pela aplicação das regras gerais de responsabilidade civil e pela interpretação jurisprudencial de conceitos como defeito do serviço, fortuito interno, culpa exclusiva e, em determinadas hipóteses, culpa concorrente.

A experiência europeia não elimina as dificuldades interpretativas, mas oferece uma perspectiva distinta, ao disciplinar expressamente os deveres de segurança do usuário e as consequências de seu descumprimento nas operações de pagamento não autorizadas.

Mais relevante do que importar a gross negligence seria refletir sobre a conveniência de estabelecer parâmetros mais específicos para a atribuição dos prejuízos, considerando tanto a existência de falhas concretas na prestação do serviço quanto a conduta do consumidor.

Em fraudes cada vez mais sofisticadas, a pergunta não deve ser simplesmente quem realizou materialmente a operação. O ponto decisivo é verificar se houve defeito do serviço, sua relação causal com o prejuízo e em que medida a conduta do usuário contribuiu para o resultado.

É essa delimitação, mais do que a criação de uma nova excludente de responsabilidade, que pode conferir maior previsibilidade ao tratamento jurídico das fraudes eletrônicas, sem transformar a responsabilidade objetiva das instituições financeiras em uma obrigação irrestrita de suportar prejuízos decorrentes da atuação de terceiros.