A responsabilidade das instituições financeiras, a LGPD e o dever de indenizar prejuízos provocados pela engenharia social qualificada
Por Flávio Caetano de Paula Maimone
Imagine a cena: você precisa quitar a parcela do seu financiamento de veículo, renegociar uma dívida bancária ou pagar a fatura do cartão. Acessa os canais habituais ou recebe uma mensagem no WhatsApp com todos os seus dados exatos — nome completo, CPF, número do contrato, data de vencimento e valor devido. Você efetua o pagamento via boleto ou chave PIX fornecida, para só depois descobrir que o valor caiu na conta de um golpista. De quem é a responsabilidade?
O novo cenário do golpe: a engenharia social qualificada
Antigamente, os golpes bancários eram grotescos e fáceis de identificar: e-mails com erros de português, valores divergentes e boletos visivelmente adulterados. O cenário atual, contudo, é radicalmente distinto. Vivenciamos a era da engenharia social qualificada.
Hoje, o consumidor é abordado por criminosos que possuem acesso a bancos de dados sigilosos. Os golpistas sabem exatamente quando o financiamento foi contratado, qual o saldo devedor atualizado e a data do vencimento. Diante de tamanha precisão de informações, o consumidor é induzido a erro sem qualquer margem para desconfiança legítima.
A falha na proteção de dados (LGPD) e o dever de segurança
A pergunta crucial que a Justiça tem feito é: como esses dados restritos saíram de dentro da instituição financeira ou da concessionária/financiadora?
Pela Lei Geral de Proteção de Dados (LGPD – Lei nº 13.709/2018), os bancos e instituições financeiras são controladores de dados pessoais sensíveis e financeiros, cabendo-lhes adotar medidas rigorosas de segurança contra acessos não autorizados. Quando ocorrem vazamentos de informações contratuais (o chamado “vazamento de balcão”), há uma clara quebra do dever de confidencialidade e segurança.
A presença de dados sigilosos na mão do golpista cria a chamada aparência de licitude. O consumidor não atua de forma imprudente; ele é vítima de uma fraude viabilizada pela ineficiência do sistema de proteção de dados e pela falha na prestação do serviço bancário.
Súmula 479 do Superior Tribunal de Justiça (STJ):
“As instituições financeiras respondem objetivamente pelos danos gerados por fortuito interno relativo a fraudes e delitos praticados por terceiros no âmbito de operações bancárias.”
A responsabilidade do banco que recebeu o PIX/Boleto (Conta Laranja)
Além do banco do qual os dados vazaram, existe a responsabilidade da instituição financeira que abriu e manteve a conta do estelionatário (a famosa “conta laranja”).
As normas do Banco Central do Brasil impõem aos bancos o dever de rigor na validação da identidade dos correntistas e no monitoramento de transações atípicas. Permitir a abertura de contas com documentos falsos ou com perfis fantasmas que movimentam quantias atípicas em curto espaço de tempo caracteriza falha no dever de segurança.
O que diz a Jurisprudência recente?
Os Tribunais de Justiça do país têm consolidado o entendimento de que, comprovado o vazamento prévio dos dados contratuais ou a falha na segurança bancária, a instituição financeira deve:
- Restituir o valor integral pago indevidamente pelo consumidor (dano material);
- Dar quitação da parcela ou dívida original, quando o pagamento foi efetuado pelo canal fraudulento que se passava pelo credor;
- Indenizar por danos morais, em razão do transtorno, perda de tempo útil e estresse financeiro causados ao cidadão.
Passo a passo prático: o que fazer se você foi vítima do golpe do falso boleto?
- Guarde todas as provas: Tire print de conversas no WhatsApp, e-mails, comprovantes de PIX ou boleto pago e o arquivo PDF do boleto adulterado.
- Acione o MED (Mecanismo Especial de Devolução): Comunique imediatamente o seu banco sobre a fraude para que seja tentado o bloqueio cautelar dos valores na conta de destino.
- Registre o Boletim de Ocorrência (BO): Detalhe expressamente no B.O. que os golpistas tinham posse de todos os seus dados contratuais sigilosos.
- Notifique os bancos envolvidos: Formalize reclamação nos canais oficiais e Ouvidoria da instituição onde possui o contrato e da instituição recebedora do PIX/boleto.
- Busque orientação jurídica especializada: Se os bancos se recusarem a ressarcir o prejuízo de forma administrativa, a via judicial é o caminho para reaver os valores e buscar reparação civil.
O consumidor não pode ser penalizado pelo avanço de técnicas criminosas que exploram falhas de segurança do próprio sistema financeiro e de proteção de dados.
Flávio Henrique Caetano de Paula Maimone
Advogado especialista em Direito do Consumidor, sócio do Escritório de advocacia e consultoria Caetano de Paula & Spigai | Sócio fundador da @varbusinessbeyond consultoria e mentoria em LGPD. Doutorando e Mestre em Direito Negocial com ênfase em Responsabilidade Civil na Universidade Estadual de Londrina (UEL). Diretor do Instituto Brasileiro de Política e Direito do Consumidor (BRASILCON). Associado Titular do IBERC (Instituto Brasileiro de Estudos de Responsabilidade Civil). Professor convidado de Pós Graduação em Direito Empresarial da UEL. Autor do livro “Responsabilidade civil na LGPD: efetividade na proteção de dados pessoais”. Colunista do Jornal O LONDRINE̅NSE.
Instagram: @flaviohcpaula
Leia mais sobre Direito do Consumidor
(*) O conteúdo das colunas não reflete, necessariamente, a opinião do O LONDRINE̅NSE.
