Uma empresa de compras coletivas processou o Banco BS2 S/A, buscando indenização por danos materiais e morais após ser vítima de um golpe virtual. O representante da empresa foi abordado via WhatsApp por um suposto consultor do banco, que o induziu a acessar um site fraudulento e fornecer um token, resultando em duas transferências PIX para contas de terceiros. A autora alegou que houve vazamento de dados, responsabilizando o banco por falha na segurança, e que a instituição deveria ter detectado a movimentação atípica. Contudo, o pedido foi julgado improcedente em primeira instância, atribuindo a culpa exclusivamente ao representante da empresa.

O Tribunal de Justiça do Paraná, por unanimidade manteve a sentença original e rejeitou o recurso da autora. O Tribunal ressaltou que, conforme o Artigo 44 da Lei Geral de Proteção de Dados (LGPD), o controlador de dados é responsável pelos danos resultantes da violação de segurança apenas se deixar de adotar as medidas de proteção previstas. No caso em questão, não foram apresentadas provas de que o banco falhou em adotar essas medidas, o que afasta a responsabilidade da instituição financeira.

O Tribunal concluiu que o golpe foi resultado da imprudência do representante da empresa, que forneceu dados sigilosos e acessou um site fraudulento fora dos canais oficiais do banco. Segundo a LGPD, o banco só responderia se houvesse comprovação de que o vazamento ocorreu por falha direta de sua parte, o que não foi o caso. A autora sustentou que o banco deveria ser responsabilizado objetivamente pela falha, citando a Súmula 479 do STJ e o princípio da segurança previsto na LGPD (Art. 6º, VII). No entanto, o Tribunal determinou que o fornecimento das informações ocorreu por ato exclusivo do representante da empresa, afastando a possibilidade de responsabilizar o banco com base na legislação de proteção de dados.

O Tribunal destacou que o banco seguiu as diretrizes da Resolução 01/2020 do BACEN, utilizando o Mecanismo Especial de Devolução para tentar recuperar os valores. A LGPD exige que controladores adotem medidas técnicas e administrativas para proteger os dados pessoais, o que, segundo o Tribunal, foi cumprido pelo banco, não havendo comprovação de falha em seus sistemas.

O Tribunal decidiu que, não havendo provas de ato ilícito ou de falha por parte do banco, não havia fundamento para a indenização por danos materiais e morais, conforme estabelecido no Art. 14 do Código de Defesa do Consumidor (CDC) e na LGPD, que exige a comprovação de negligência ou falha do controlador para a reparação de danos.

A decisão enfatizou que a responsabilidade pela fraude recaiu sobre o consumidor, que não agiu com cautela ao fornecer informações sigilosas fora dos canais oficiais. O Tribunal aplicou as diretrizes da LGPD, esclarecendo que a responsabilidade de controladores de dados deve ser comprovada com elementos que demonstrem falhas nas medidas de segurança, o que não se verificou no caso.

TJRP/AC n. 0026382-40.2022.8.16.0001

Este post foi resumido a partir da decisão original com o uso do ChatGPT versão 4o, com revisão humana.