Bancos e instituições de pagamento deverão se responsabilizar pela indenização de clientes que sofrerem prejuízos por meio de golpes de engenharia social, nos casos em que houver falhas na proteção de dados ou identificação de transações suspeitas. A decisão é da Terceira Turma do Superior Tribunal de Justiça (STJ).
O ministro Ricardo Villas Bôas Cueva, relator do caso, enfatizou que as instituições têm responsabilidade objetiva pelos danos acidentais relacionados a fraudes e delitos praticados por terceiros em operações bancárias. Os bancos só poderiam ser afastados dessa tarefa mediante prova da inexistência de defeito na prestação do serviço ou da ocorrência de culpa exclusiva do consumidor ou de terceiros.
Dessa forma, ele afirma que compete às instituições de pagamento desenvolver, manter e aprimorar continuamente mecanismos eficazes de identificação e prevenção de fraudes. Segundo o STJ, o Cueva destacou que os sistemas de proteção dessas instituições devem ser capazes de detectar:
- Operações que se afastem do perfil habitual do cliente ou de seu padrão de consumo;
- Valor, horário e local das transações, analisando se fogem ao padrão do cliente;
- Intervalo de tempo entre uma compra e outra, a sequência e o meio utilizado para sua realização;
- Contratação de empréstimos atípicos imediatamente antes de pagamentos suspeitos.
O caso surgiu após dois recursos especiais em que os consumidores afirmaram ter sido vítimas do golpe da falsa central de atendimento. Em um dos casos, o correntista sofreu prejuízo de R$ 143 mil em pagamentos indevidos, teve a contratação de um empréstimo de R$ 13 mil e o pagamento de um boleto na função crédito, no valor de R$ 11 mil.
A ação protocolada por esse cliente destacava que ele fazia poucas movimentações por mês, contrastando com as 14 transações feitas no mesmo dia.
No entanto, o Tribunal de Justiça de São Paulo afastou a responsabilidade do banco, o que levou o consumidor ao STJ. Por sua vez, o o tribunal avaliou falha na prestação de serviços por parte do estabelecimento, sem garantir as medidas de segurança adequadas para proteger as informações pessoais do cliente, o que possibilitou o acesso indevido por terceiros e resultou em danos de natureza patrimonial e moral.