Responsabilidade civil das instituições financeiras nas fraudes eletrônicas

Segundo o último estudo feito pelo Centro Regional de Estudos para o Desenvolvimento da Sociedade da Informação (Cetic.br) do Núcleo de Informação e Coordenação do Ponto BR (NIC.br)^[1] , cujos resultados foram apresentados em 21 de junho de 2022, estima-se que em 2021, 81% da população brasileira com dez anos ou mais acessaram a internet.

Nesse cenário, todos os setores da sociedade, de maneira geral, e as instituições financeiras, de modo particular, aumentaram exponencialmente as atividades executadas de forma online, levando os clientes/consumidores a utilizar cada vez mais serviços digitais e, na mesma proporção, sendo expostos a riscos de perdas financeiras decorrentes de acessos e operações irregulares em suas contas, bem como fraudes.

No caso das instituições bancárias, o processo de digitalização dos serviços foi ostensivamente incentivado pelos próprios bancos, levando até mesmo os clientes mais refratários ao uso de tecnologia, a usar meios digitais de realização de suas transações. A tendência é o investimento cada vez maior em tecnologia a fim de propiciar uma experiência melhor e mais personalizada aos seus clientes. Todavia, à instituição financeira não cabe apenas melhorar o serviço e a tecnologia envolta nas operações digitais, mas também, conferir segurança e legitimidade a essas operações, com a finalidade de evitar prejuízos aos consumidores.

A atividade desenvolvida pelas instituições bancárias é naturalmente de risco, pois envolve disponibilidade e liquidez de recursos financeiros, tendo a possibilidade de causar danos a outras pessoas. Por isso, às instituições bancárias se aplica a responsabilidade civil objetiva, em virtude do risco da atividade exercida.

O risco da atividade está intimamente atrelado ao que a literatura conceitua como fortuito interno, ou seja, ligado à atividade, cujo risco de dano, ainda que imprevisível ou mesmo inevitável, está jungido à atividade desenvolvida pelo ofensor. No dizer de Rosenvald, Chaves e Braga Neto, "dano, por assim dizer, participa dos riscos do negócio". "(…) Quem usufrui, habitualmente, dos bônus de determinada atividade deve responder pelos riscos que ela causar, ainda que sem culpa." ^[2]

A teoria do risco da atividade, aplicada às instituições bancárias, tem como objetivo a proteção do interesse de eventuais vítimas que surgirem em virtude do risco inerente à prática daquela atividade. Portanto, a instituição bancária não deve agir na busca exclusiva pela aferição de lucros, mas sim, garantir que para obtenção dos lucros almejados, os bens tutelados de terceiros não podem ser atingidos. Na verdade, as instituições bancárias têm o dever de agir com segurança. A inobservância do dever de segurança, torna o produto defeituoso, nos termos do artigo 14, §1º do Código de Defesa do Consumidor (CDC).

E mais, as excludentes de responsabilidade do fornecedor, previstas no artigo 14, §3º do CDC, quais sejam fato exclusivo da vítima e fato exclusivo de terceiro, somente exoneram a responsabilidade nas operações bancárias, "se estiverem absolutamente dissociadas das condutas omissivas, comissivas ou informativas que competem ao banco" [3].

No caso das instituições bancárias, a discussão em torno da atividade exercida é tanta que o STJ (Superior Tribunal de Justiça) editou a Súmula 479^[4], a qual prevê a responsabilidade objetiva dos bancos por danos gerados em virtude de fortuito interno ou fraude nas operações bancárias. O ônus imposto ao fornecedor de serviços bancários se deve ao fato de que é ele quem tem o controle de todas as operações envolvendo o uso de tecnologias online e, por isso, deve observar a qualidade e segurança de seus produtos e serviços (artigo 8º do CDC), além de suportar os resultados de seu fornecimento, com a responsabilidade de antever a os problemas e tomar medidas preventivas quanto a isso.

Com a finalidade de averiguar como a aplicação da responsabilidade civil tem sido aplicada nas Turmas Cíveis do Tribunal de Justiça do Distrito Federal e com a finalidade de apresentar um panorama geral dos crimes virtuais mais praticados, foi realizada uma pesquisa no sítio eletrônico do TJ-DF com os parâmetros "banco" e "fraude" e com lapso temporal abrangendo os três primeiros meses do ano de 2022 (janeiro até março).

Com esses parâmetros, foram encontrados 41 acórdãos, tratando direta ou indiretamente de golpes bancários. Os golpes mais comuns identificados são a falsa central de atendimento, falso motoboy, roubo de senhas, falsos links e fishing, e falso boleto.

Dentro desses acórdãos, apenas dois casos envolviam o "golpe do motoboy". Nesse golpe, o fraudador faz uma ligação para a vítima, se identificando como um funcionário do banco. Na ligação, ele alega que o cartão da vítima estaria sendo utilizado para compras suspeitas e, por isso, precisaria ser cancelado. Durante a ligação, como forma de convencer a vítima de que está falando a verdade, o golpista já tem algumas informações da vítima como os dados da conta. Além disso, o golpista indaga à vítima sobre a senha do cartão e a orienta a cortá-lo, avisando que um funcionário do banco vai até a casa da vítima para recolher o cartão cortado. Desta forma, com os dados, senha e chip do cartão da vítima, o criminoso faz diversas compras, causando prejuízos ao titular do cartão.

Em relação aos dois acórdãos identificados pela pesquisa realizada, e em um deles foi reconhecida a negligência do consumidor que voluntariamente entregou o cartão e a senha aos fraudadores e que não logrou êxito em demonstrar que os criminosos possuíam dados sigilosos dele e nem que tiveram acesso à central telefônica do banco^[5]. No segundo caso, foi reconhecida a culpa concorrente do consumidor, pois os julgadores entenderam que as transações presenciais com cartão e chip só foram possíveis, porque o consumidor forneceu a senha do cartão voluntariamente^[6]. O banco, nesse caso, foi responsabilizado, pois as compras realizadas no cartão foram completamente fora do padrão de consumidor do cliente e, por isso, a falha no sistema de segurança do banco foi reconhecida.

O que se tem da análise desses dois acórdãos é que a condenação da instituição bancária depende da demonstração concreta de que os criminosos tiveram acesso a dados sigilosos ou de que houve uma falha nos sistemas de segurança do banco, apesar do CDC impor ao fornecedor o ônus de provar a inexistência do defeito ou de provar o fato exclusivo de terceiro ou da vítima, como excludentes de sua responsabilidade, nos termos do que preconiza o §3º do artigo 14.

Além disso, a pesquisa retornou com apenas um acórdão referente ao golpe do boleto adulterado e que reconheceu a responsabilidade civil da instituição bancária^[7]. Esse golpe é aquele em que há o envio de um boleto ao consumidor, o qual acredita que se refere a alguma dívida pendente de pagamento. Todavia, o pagamento é feito a uma terceira pessoa criminosa que é identificado como o beneficiário do pagamento.

Para finalizar, a pesquisa retornou com 35 acórdãos que envolvem transações bancárias fraudulentas. Em apenas quatro situações, o banco conseguiu afastar a caracterização do fortuito interno. Para duas situações^[8], o TJ-DF entendeu que a guarda e a manutenção do sigilo da senha é responsabilidade do titular do cartão e, por isso, não haveria responsabilidade da instituição bancária em virtude de compras realizadas nas funções crédito e débito mediante o uso da senha pessoal do consumidor.

No terceiro caso, o consumidor teria firmado empréstimo consignado com a instituição bancária e teria transferido o dinheiro para uma terceira empresa e nunca teria sido remunerado por ela. O consumidor alegou que o banco deveria ser responsabilizado, pois não fez nada para evitar que novos golpes fossem aplicados, bem como que o banco teria ligado para ele para confirmar a contratação do empréstimo. A responsabilidade do banco, porém, foi afastada, haja vista que o prejuízo do consumidor não se deu por falha na prestação dos serviços bancários.

No entender do TJ-DF, não se teria registros de que o empréstimo concedido pela instituição bancária teria alguma vinculação com a terceira empresa, razão pela qual não há nexo de causalidade capaz de ensejar a responsabilização do banco.

No quarto caso^[9], a consumidora contratou um empréstimo bancário e depois desistiu da contratação. Ocorre que a devolução do dinheiro se deu para outra instituição bancária e na conta de titularidade de outra pessoa. Apesar da consumidora ter alegado que nunca teria feito a contratação do empréstimo, o TJ-DF entendeu que a operação teria sido válida e, por isso, afastou a responsabilidade civil do banco.

O panorama que se tem com a pesquisa realizada é de que o Tribunal de Justiça do Distrito Federal e Territórios entende que naquelas situações em que o consumidor não age com o dever de cautela mínimo esperado, a responsabilidade civil dos bancos é afastada. Também foi possível identificar que as operações fraudulentas, tais como, compras com cartão de débito e crédito ou contratações de empréstimos são as mais usuais, porém, mesmo assim o tribunal opta pela análise concreta de cada situação a fim de averiguar se algum dever de cautela do consumidor, ou seja, da própria vítima não foi observado para a concretização da fraude praticada.

Ou seja, a despeito do arcabouço protetivo previsto no CDC, incluindo a inversão ope legis do ônus da prova em relação ao defeito na prestação do serviço, ainda assim se tem imposto à vítima da fraude o ônus da comprovação de que não descumpriu com o dever de cautela na realização da operação, o subverte a lógica do diploma protetivo consumerista.

Não é demais lembrar que o artigo 4º do CDC impõe o reconhecimento da vulnerabilidade do consumidor no mercado de consumo e de sua posição de inferioridade em relação ao fornecedor, notadamente quando se trata de uso de tecnologia para a realização dos contratos. Essa vulnerabilidade é agravada no ambiente virtual, chegando, em algumas situações à existência de uma hipervulnerabilidade do consumidor. Por isso mesmo, e ainda na esteira do que determina o art. 4º, II do CDC, a Política Nacional das Relações de Consumo tem como princípio a obrigação de atuar para a efetiva proteção do consumidor, de modo a garantir produtos  e serviços com padrões adequados de segurança e desempenho.

É possível, pois, concluir que as instituições bancárias não devem apenas agir com o objetivo de entregar experiências digitais mais ágeis e eficientes, sem garantir que o consumidor seja protegido quando as operações praticadas. As instituições bancárias têm o dever de garantir a segurança e a legitimidade de suas operações com a finalidade de diminuir a possibilidade de causar prejuízos aos seus próprios consumidores. Deveriam, portanto, identificar quais seriam os golpes virtuais mais usuais e arquitetar maneiras de impedir a ação dos criminosos.