Publicacao/Comunicacao
Intimação - Sentença
SENTENÇA
Processo: 0825419-35.2025.8.15.2001..
9A VARA CÍVEL DE JOÃO PESSOA SENTENÇA AÇÃO DE REPARAÇÃO POR DANOS A DIREITOS FUNDAMENTAIS E DE PERSONALIDADE C/C OBRIGAÇÃO DE FAZER. DIREITO DO CONSUMIDOR E CIVIL. PRELIMINAR DE ILEGITIMIDADE PASSIVA, AUSÊNCIA DE INTERESSE DE AGIR E IMPUGNAÇÃO A JUSTIÇA GRATUITA REJEITADAS. GOLPE DO “FALSO BOLETO”. VAZAMENTO DE DADOS. USO INDEVIDO DE DADOS PESSOAIS. RESPONSABILIDADE OBJETIVA DAS INSTITUIÇÕES FINANCEIRAS. DANOS MORAIS CONFIGURADOS. PROCEDÊNCIA DOS PEDIDOS. EXTINÇÃO COM RESOLUÇÃO DE MÉRITO. - As instituições financeiras respondem objetivamente pelos danos decorrentes de fraudes praticadas por terceiros quando estas decorrem de falhas em seus sistemas de segurança ou de uso indevido de sua estrutura digital. - A violação aos deveres legais previstos na Lei Geral de Proteção de Dados Pessoais, especialmente quanto à segurança e à prevenção, gera o dever de indenizar o titular pelos danos morais causados. - O dano moral decorrente do uso indevido de dados pessoais é presumido e independe da comprovação de prejuízo material, bastando a violação à privacidade e à dignidade do consumidor.
Vistos, etc.
Trata-se de AÇÃO DE REPARAÇÃO POR DANOS A DIREITOS FUNDAMENTAIS E DE PERSONALIDADE C/C OBRIGAÇÃO DE FAZER ajuizada por RICARDO TADEU FEITOSA BEZERRA em face de PORTO SEGURO COMPANHIA DE SEGUROS GERAIS e NU PAGAMENTOS S.A. – INSTITUIÇÃO DE PAGAMENTO, ambos devidamente qualificados nos autos, requerendo preliminarmente o autor, os benefícios da gratuidade jurídica. Aduz o autor que no dia 27 de abril de 2025 foi vítima de fraude por meio de boleto falso, supostamente vinculado ao financiamento que mantinha, o qual indicava como beneficiário o banco demandado. Relata que que recebeu cobrança cuja veracidade despertou desconfiança, pois jamais contratou cartão ou qualquer serviço financeiro junto à Porto Seguro Cartões. Destaca que o e-mail recebido mencionava a existência de fatura em aberto em seu nome, embora não tenha solicitado crédito ou realizado operação compatível, sendo apresentado boleto referente a tal cobrança. Acrescenta que o verdadeiro beneficiário do pagamento não era a Porto Seguro, mas sim a empresa NU PAGAMENTOS S.A. Ressalta que buscou de imediato verificar a origem da cobrança e eventual relação contratual, mas constatou não possuir contrato de cartão com a Porto Seguro, nem qualquer vínculo com a instituição financeira apontada como beneficiária. Afirma que a situação envolveu uso indevido de seus dados pessoais e ocasionou prejuízos de ordem moral e material. Postula a inversão do ônus da prova, a condenação das demandadas ao pagamento de indenização por danos morais no importe de R$ 25.000,00 e de danos materiais no valor de R$ 5.000,00. Instrui a inicial com documentos. Gratuidade judiciária deferida ao autor - ID 112237921. Devidamente citada, o primeiro demandado - Porto Seguro Companhia de Seguros Gerais apresenta contestação no ID 114786615, impugnando preliminarmente a gratuidade jurídica deferida ao autor, alegando ilegitimidade passiva e ausência de interesse de agir. No mérito, argumenta que o pagamento do boleto falso decorreu de falha exclusiva do autor, que deixou de conferir os dados do beneficiário no momento da operação. Defende que não possui qualquer vínculo com a emissão do boleto fraudulento e que a situação se enquadra nas excludentes do art. 14, §3º, I e II, do Código de Defesa do Consumidor, pleiteando a improcedência total dos pedidos. No ID 115024111 junta o autor proposta de acordo inexitosa ofertada pelo segundo demandado - NU PAGAMENTOS S.A. Citado, o segundo demandado apresenta contestação no ID 115258564, impugnando preliminarmente a gratuidade jurídica deferida ao autor, aduz ilegitimidade passiva. No mérito, ressalta que inexiste prova de pagamento ou de uso indevido de dados pessoais pelo banco, defendendo a ausência de nexo causal e a culpa exclusiva da vítima. Aduz, ainda, que adota amplas medidas de segurança digital e que não pode ser responsabilizada por fraudes praticadas por terceiros, requerendo, por fim, a extinção do processo em relação a si ou a improcedência da ação. Junta documentos. Impugnação às contestações no ID 116397786. Intimadas as partes para especificarem as provas que pretendem produzir, bem como se possuem interesse em conciliar, manifesta o primeiro demandado e o autor pelo julgamento antecipado do mérito. Sem manifestação do segundo demandado. Eis o relatório. DECIDO. FUNDAMENTAÇÃO. PRELIMINARES -Impugnação à justiça gratuita A benesse da Justiça Gratuita não robustece a ideia de isenção de custas e despesas processuais à parte que requer o benefício, mas sim busca, sobretudo, conceder àquele que não dispõe de recurso financeiro para arcar com os dispêndios processuais sem seu prejuízo ou de sua família, o acesso integral e gratuito à Justiça. Daí porque a concessão da assistência estatal fica condicionada à comprovação de hipossuficiência financeira pelo postulante na jornada processual. Em caso de gratuidade concedida, nada obsta que a parte contrária impugne o benefício, contudo, deverá fazê-lo com documentos que evidenciem a posição equivocada do juízo, o que não é o caso dos autos, uma vez que os promovidos buscam impugnar a decisão, porém, não colacionam aos autos qualquer elemento que faça prova de suas alegações, de modo que fica totalmente fragilizada a postulação. Aliás, tal aspecto já foi objeto de deliberação do magistrado em momento oportuno à luz da documentação juntada pela parte. Portanto, em função dos postulantes não colacionarem documentos que infirme a deliberação do juízo, entende-se que não há cabimento para acolher a preliminar ventilada. Assim, inexistindo qualquer prova que descredibilize a concessão de assistência judiciária concedida ao promovente, aliado às afirmações meramente genéricas dos promovidos, rejeito a impugnação à Justiça Gratuita formulada pelos demandados. - Ilegitimidade passiva A preliminar de ilegitimidade passiva arguida pelas demandadas não merece acolhimento. Nos termos da teoria da asserção, a verificação das condições da ação deve se dar a partir das afirmações constantes na petição inicial. Assim, ainda que, ao final, reste demonstrada a ausência de responsabilidade das demandadas, tal circunstância é matéria de mérito e não afasta, de plano, a legitimidade para figurarem no polo passivo. No caso em exame, a narrativa autoral aponta que os nomes e estruturas das instituições rés foram utilizados no contexto da fraude por boleto, circunstância que atrai sua pertinência subjetiva para responderem ao feito. Ademais, em se tratando de relação de consumo, aplica-se a responsabilidade objetiva prevista no art. 14 do Código de Defesa do Consumidor, reforçada pela Súmula 479 do STJ, segundo a qual as instituições financeiras respondem por fraudes e delitos praticados por terceiros no âmbito de operações bancárias, por configurarem fortuito interno. Portanto, não há como acolher a preliminar de ilegitimidade passiva arguida pelas demandadas, razão pela qual deve ser rejeitada, permanecendo ambas regularmente no polo passivo da demanda. Isto posto, rejeito a preliminar. - Ausência de Interesse de Agir A preliminar de ausência de interesse de agir não merece prosperar. O interesse processual se caracteriza pela necessidade e utilidade da tutela jurisdicional, de modo que basta a existência de uma pretensão resistida para legitimar o ajuizamento da ação. No presente caso, a parte autora afirma ter sido alvo de fraude envolvendo boleto bancário supostamente vinculado às demandadas, imputando-lhes falha na prestação do serviço e pleiteando indenização pelos danos sofridos. A controvérsia, portanto, está devidamente configurada, revelando-se presente a necessidade da intervenção do Poder Judiciário para solucionar o conflito instaurado. Ressalte-se que a jurisprudência pacífica dos tribunais superiores reconhece que não se exige do consumidor o prévio esgotamento da via administrativa para o exercício do direito de ação, em respeito ao princípio da inafastabilidade da jurisdição, previsto no art. 5º, XXXV, da Constituição Federal. Assim, demonstrada a resistência das demandadas em assumir a responsabilidade pelos fatos narrados, resta evidente o interesse processual da parte autora, motivo pelo qual a preliminar arguida deve ser rejeitada. MÉRITO
Trata-se de ação indenizatória ajuizada por consumidor que alega ter sido vítima de fraude consistente no envio de boleto bancário falso, vinculado indevidamente à estrutura corporativa da Porto Seguro Companhia de Seguros Gerais e com identificação da Nu Pagamentos S.A. como beneficiária dos valores. Afirma o autor que jamais contratou serviços junto à primeira demandada e que, ainda assim, recebeu cobrança supostamente oriunda da Porto Seguro Cartões, tendo identificado, no referido boleto, como beneficiária a segunda demandada, circunstância que evidencia falha na segurança de dados e enseja a responsabilização das promovidas. Não se pode olvidar que a matéria controvertida remete aos princípios e dispositivos do Código de Defesa do Consumidor (CDC), uma vez que a relação jurídica existente entre as partes é a de fornecedor e de consumidor, nos termos dos arts. 2º, 3º, incidindo, ainda, pelo diálogo das fontes, as normas do Código Civil (art. 7º, CDC). Art. 2° Consumidor é toda pessoa física ou jurídica que adquire ou utiliza produto ou serviço como destinatário final. Parágrafo único. Equipara-se a consumidor a coletividade de pessoas, ainda que indetermináveis, que haja intervindo nas relações de consumo. Art. 3° Fornecedor é toda pessoa física ou jurídica, pública ou privada, nacional ou estrangeira, bem como os entes despersonalizados, que desenvolvem atividade de produção, montagem, criação, construção, transformação, importação, exportação, distribuição ou comercialização de produtos ou prestação de serviços. Dessa forma, a pretensão autoral será analisada à luz do Código de Defesa do Consumidor. A controvérsia centra-se, portanto, na definição acerca da existência de responsabilidade civil das demandadas em razão da fraude perpetrada por terceiros, em face do vazamento de dados ocorrido. No âmbito das relações de consumo, vigora a responsabilidade objetiva dos fornecedores, prevista no art. 14 do Código de Defesa do Consumidor, segundo a qual a reparação independe da comprovação de culpa, bastando a demonstração do dano e do nexo causal entre a conduta do fornecedor e o prejuízo experimentado pelo consumidor. O artigo 6º, VIII, da Lei 8.078/90 possibilita a inversão do ônus probatório, desde que seja verossímil a alegação ou quando o consumidor for hipossuficiente. No caso, verifica-se a verossimilhança das alegações, bem como a hipossuficiência do promovente, o que impõe a inversão do ônus da prova. No caso em exame, verifica-se que o autor apresentou documentos que indicam a utilização de elementos vinculados à Porto Seguro, inclusive domínio eletrônico - ID 112209046, para a prática fraudulenta. Quanto à Nu Pagamentos, sua indicação como beneficiária do boleto fraudulento - ID 112209550, sob a ótica da Lei Geral de Proteção de Dados Pessoais, impõe o dever de demonstrar a regularidade da operação e a adoção de medidas eficazes de segurança e prevenção. Na qualidade de agente de tratamento, deve assegurar que sua estrutura tecnológica não seja utilizada como meio para fraudes, sob pena de responsabilidade por falha na proteção de dados pessoais. No caso em exame, verifica-se que a fraude envolveu a utilização da estrutura e da identidade empresarial das requeridas, circunstância que transcende a mera culpa exclusiva da vítima e atrai a responsabilidade das instituições que, ao atuarem no mercado de consumo, assumem o dever de garantir a segurança dos serviços prestados. A LGPD consagra, como fundamentos, o respeito à privacidade, a autodeterminação informativa, a inviolabilidade da intimidade e a proteção dos dados pessoais, assegurando ao titular o direito de saber como, por quem e com qual finalidade suas informações são tratadas. No caso concreto, há evidências de que dados pessoais do autor foram utilizados em contexto fraudulento que se aproveitou de elementos corporativos e institucionais das demandadas, o que revela falha relevante na governança de dados e na estrutura de proteção informacional que se exige de instituições que atuam no setor financeiro e securitário. Ademais, a legislação de proteção de dados impõe aos agentes de tratamento o dever de adotar medidas técnicas e administrativas adequadas à prevenção de acessos não autorizados, incidentes de segurança e usos indevidos, conforme os princípios da segurança, da prevenção e da responsabilização, previstos no art. 6º, incisos VII, VIII e X, da LGPD. A ausência de mecanismos eficazes para impedir que dados pessoais sejam utilizados em fraudes, associada à inexistência de controle sobre a apropriação indevida da identidade visual das rés, configura infração aos deveres legais e compromete a confiança legítima do consumidor. Nesse diapasão, nos termos do art. 42 da LGPD, o controlador ou operador que, em razão da atividade de tratamento de dados, causar dano patrimonial, moral, individual ou coletivo, é obrigado a repará-lo.
Trata-se de responsabilidade objetiva, que dispensa a comprovação de culpa e exige apenas a demonstração do nexo entre o tratamento dos dados e o prejuízo experimentado. No caso em tela, a fraude envolvendo boletos falsos só foi possível em razão da exposição indevida de dados do consumidor, de sua vinculação ilegítima ao ambiente digital das rés e da ausência de mecanismos capazes de impedir a conclusão da operação fraudulenta. É irrelevante, sob a ótica da LGPD, a existência ou não de contrato direto entre as partes, bastando que os dados tenham sido tratados pelas rés ou por terceiros a partir de sistemas que se valem de sua estrutura institucional, marca, domínio ou tecnologia, o que atrai sua responsabilidade enquanto agentes de tratamento. Ainda que a fraude tenha sido praticada por terceiros, o evento integra o risco da atividade e se qualifica como fortuito interno, nos termos também da Súmula 479 do STJ, a qual permanece plenamente aplicável mesmo sob o regime da LGPD, por se tratar de norma que complementa a proteção consumerista em matéria de dados. Nessa linha de raciocínio, cumpre destacar o entendimento firmado pelo Superior Tribunal de Justiça: CONSUMIDOR E PROCESSUAL CIVIL. AGRAVO INTERNO NO AGRAVO EM RECURSO ESPECIAL. AÇÃO DE INDENIZAÇÃO POR DANOS MATERIAIS E MORAIS. FALHA NA PRESTAÇÃO DO SERVIÇO BANCÁRIO. AUSÊNCIA DE VIOLAÇÃO DO ART. 1.022 DO CPC. OMISSÃO NÃO CONFIGURADA. RESPONSABILIDADE OBJETIVA DA INSTITUIÇÃO FINANCEIRA. SÚMULA 479/STJ. REVISÃO DE MATÉRIA FÁTICO-PROBATÓRIA. ÓBICE DA SÚMULA N. 7/STJ. 1. O acórdão recorrido abordou, de forma fundamentada, todos os pontos essenciais para o deslinde da controvérsia, razão pela qual não há falar na suscitada ocorrência de violação do art. 1.022 do CPC. 2. Nos termos da Súmula n. 479/STJ, as instituições financeiras respondem objetivamente pelos danos gerados por fortuito interno relativo a fraudes e delitos praticados por terceiros no âmbito de operações bancárias. 3. A desconstituição das premissas a que chegou o Tribunal de origem ao julgar pela existência da responsabilidade em razão da fraude praticada por terceiro demandaria nova incursão no conjunto fático-probatório, o que é vedado pela Súmula n. 7/STJ.Agravo interno improvido. (STJ - AgInt no AREsp: 2307081 PR 2023/0051284-9, Relator.: Ministro HUMBERTO MARTINS, Data de Julgamento: 04/12/2023, T3 - TERCEIRA TURMA, Data de Publicação: DJe 06/12/2023). O dano moral decorrente de incidentes envolvendo dados pessoais configura-se quando há violação concreta aos direitos da personalidade, superando os meros aborrecimentos do cotidiano. A Lei Geral de Proteção de Dados Pessoais reconhece expressamente que a proteção da privacidade e da identidade informacional é expressão da dignidade da pessoa humana, razão pela qual a exposição indevida de dados ou o seu uso ilícito impõe reparação, independentemente da comprovação de culpa ou da existência de prejuízo material. No caso em análise, a fraude foi viabilizada por meio da utilização não autorizada de dados pessoais do autor, em ambiente digital que simulava legitimidade institucional, envolvendo identidade corporativa de instituições financeiras. Essa dinâmica gerou contexto de credibilidade aparente, induzindo o consumidor ao erro e comprometendo sua segurança patrimonial e emocional. Tal situação representa clara violação à autodeterminação informativa e à confiança legítima que deve existir na relação entre titulares de dados e agentes de tratamento. A LGPD estabelece, entre seus fundamentos, o respeito à privacidade e a proteção aos direitos fundamentais do titular, impondo ao controlador o dever de adotar medidas adequadas para garantir a integridade e a segurança das informações sob sua responsabilidade. A ineficiência ou ausência dessas medidas resulta em vulnerabilidade do titular e, por consequência, em responsabilização objetiva do agente, nos termos do art. 42 da norma. Nesse mesmo entendimento, entende a jurisprudência. Vejamos: CONSUMIDOR. RECURSO ESPECIAL. AÇÃO DECLARATÓRIA DE INEXIGIBILIDADE DE DÉBITO POR VAZAMENTO DE DADOS BANCÁRIOS CUMULADA COM INDENIZAÇÃO POR DANOS MORAIS E REPETIÇÃO DE INDÉBITO. GOLPE DO BOLETO. TRATAMENTO DE DADOS PESSOAIS SIGILOSOS DE MANEIRA INADEQUADA. FACILITAÇÃO DA ATIVIDADE CRIMINOSA. FATO DO SERVIÇO. DEVER DE INDENIZAR PELOS PREJUÍZOS. SÚMULA 479/STJ. RECURSO ESPECIAL PROVIDO. 1. Ação declaratória de inexigibilidade de débito por vazamento de dados bancários cumulada com indenização por danos morais e repetição de indébito, ajuizada em 13/2/2020, da qual foi extraído o presente recurso especial, interposto em 15/2/2022 e concluso ao gabinete em 19/6/2023.2. O propósito recursal consiste em decidir se a instituição financeira responde por falha na prestação de serviços bancários, consistente no vazamento de dados que facilitou a aplicação de golpe em desfavor do consumidor.3. Se comprovada a hipótese de vazamento de dados da instituição financeira, será dela, em regra, a responsabilidade pela reparação integral de eventuais danos. Do contrário, inexistindo elementos objetivos que comprovem esse nexo causal, não há que se falar em responsabilidade das instituições financeiras pelo vazamento de dados utilizados por estelionatários para a aplicação de golpes de engenharia social (REsp 2.015.732/SP, julgado em 20/6/2023, DJe de 26/6/2023).4. Para sustentar o nexo causal entre a atuação dos estelionatários e o vazamento de dados pessoais pelo responsável por seu tratamento, é imprescindível perquirir, com exatidão, quais dados estavam em poder dos criminosos, a fim de examinar a origem de eventual vazamento e, consequentemente, a responsabilidade dos agentes respectivos. Os nexos de causalidade e imputação, portanto, dependem da hipótese concretamente analisada.5. Os dados sobre operações bancárias são, em regra, de tratamento exclusivo pelas instituições financeiras. No ponto, a Lei Complementar 105/2001 estabelece que as instituições financeiras conservarão sigilo em suas operações ativas e passivas e serviços prestados (art. 1º), constituindo dever jurídico dessas entidades não revelar informações que venham a obter em razão de sua atividade profissional, salvo em situações excepcionais. Desse modo, seu armazenamento de maneira inadequada, a possibilitar que terceiros tenham conhecimento de informações sigilosas e causem prejuízos ao consumidor, configura defeito na prestação do serviço (art. 14 do CDC e art. 44 da LGPD).6. No particular, não há como se afastar a responsabilidade da instituição financeira pela reparação dos danos decorrentes do famigerado "golpe do boleto", uma vez que os criminosos têm conhecimento de informações e dados sigilosos a respeito das atividades bancárias do consumidor. Isto é, os estelionatários sabem que o consumidor é cliente da instituição e que encaminhou e-mail à entidade com a finalidade de quitar sua dívida, bem como possuem dados relativos ao próprio financiamento obtido (quantidade de parcelas em aberto e saldo devedor do financiamento).7. O tratamento indevido de dados pessoais bancários configura defeito na prestação de serviço, notadamente quando tais informações são utilizadas por estelionatário para facilitar a aplicação de golpe em desfavor do consumidor.8. Entendimento em conformidade com Tema Repetitivo 466/STJ e Súmula 479/STJ: "As instituições financeiras respondem objetivamente pelos danos gerados por fortuito interno relativo a fraudes e delitos praticados por terceiros no âmbito de operações bancárias".9. Recurso especial conhecido e provido para reformar o acórdão recorrido e reestabelecer a sentença proferida pelo Juízo de primeiro grau. (STJ - REsp: 2077278 SP 2023/0190979-8, Relator.: Ministra NANCY ANDRIGHI, Data de Julgamento: 03/10/2023, T3 - TERCEIRA TURMA, Data de Publicação: DJe 09/10/2023) APELAÇÃO CÍVEL. AÇÃO DE INDENIZAÇÃO POR DANOS MATERIAIS E MORAIS. INSURGÊNCIA DA AUTORA. 1. DANO MATERIAL POR FALHA NA PRESTAÇÃO DOS SERVIÇOS. ACOLHIMENTO. FALHAS NA PROTEÇÃO DOS DADOS DA CLIENTE, AS QUAIS POSSIBILITARAM A EXECUÇÃO DA FRAUDE. 2. DANO MORAL. ACOLHIMENTO. VAZAMENTO DE DADOS QUE PROPICIOU A OCORRÊNCIA DA FRAUDE. LEI GERAL DE PROTEÇÂO DE DADOS. DIREITO À PRIVACIDADE. BANCO QUE NEGLIGENCIOU OS FATOS RELATADOS PELA CLIENTE. DANOS MORAIS CONFIGURADOS TANTO OBJETIVA QUANTO SUBJETIVAMENTE. RECURSO PROVIDO. INVERSÃO DOS ÔNUS SUCUMBENCIAIS. NÃO FIXAÇÃO DE HONORÁRIOS RECURSAIS. RECURSO PROVIDO. (TJ-PR 00132707920228160170 Toledo, Relator: andrei de oliveira rech, Data de Julgamento: 28/08/2023, 19ª Câmara Cível, Data de Publicação: 28/08/2023) Nessa perspectiva, o dano moral decorre não apenas do prejuízo subjetivo enfrentado pelo autor, mas também da violação à própria estrutura legal de proteção de dados pessoais, cujo descumprimento compromete direitos fundamentais. A lesão ultrapassa a esfera do mero desconforto, pois expõe o consumidor a riscos concretos, gera insegurança e quebra sua expectativa legítima de que seus dados estariam protegidos por sistemas adequados de segurança da informação. A reparação, nesse contexto, cumpre função compensatória e pedagógica, devendo observar o princípio da razoabilidade. No caso, a quantia de R$ 10.000,00 revela-se proporcional ao grau da violação, à extensão do dano e à gravidade da falha no tratamento dos dados pessoais, além de estar em consonância com os parâmetros adotados em situações análogas, atendendo aos objetivos de justiça e prevenção previstos na própria LGPD. DISPOSITIVO
Ante o exposto, JULGO PROCEDENTE o pedido formulado por RICARDO TADEU FEITOSA BEZERRA em face de PORTO SEGURO COMPANHIA DE SEGUROS GERAIS e NU PAGAMENTOS S.A., extinguindo o processo com resolução do mérito nos termos do art. 487, I, do CPC, para condenar as demandadas, ao pagamento da quantia de R$ 10.000,00 (dez mil reais), sendo R$ 5.000,00 mil para cada demandado, a título de indenização por danos morais, os quais deverão ser corrigidos monetariamente pelo IPCA, desde a data do seu arbitramento, nos termos da Súmula nº 362 do STJ e com juros de mora calculados com base na SELIC, também do arbitramento. Condeno, ainda, as demandadas solidariamente, ao pagamento das custas processuais e honorários advocatícios, que fixo em 10% (dez por cento) sobre o valor da condenação, nos termos do art. 85, §2º, do CPC. P.I.C. JOÃO PESSOA, datado pelo sistema. ADRIANA BARRETO LOSSIO DE SOUZA Juíza de Direito