Defesa genérica não afasta responsabilidade de banco por fraude em app

A Primeira Câmara de Direito Civil do Tribunal de Justiça de Santa Catarina confirmou a obrigação de um banco digital devolver quantia substancial desviada da conta de um correntista, por entender que cabe ao fornecedor provar a regularidade das operações quando questionada a ocorrência de fraude. Na prática, a decisão reforça a eficácia do regime de responsabilidade objetiva consumerista e a importância das provas técnicas produzidas pelo prestador de serviços financeiros.

Contexto

O conflito nasce em torno da segurança das operações realizadas por meio de aplicativos bancários e da distribuição do ônus probatório em hipóteses de transferências contestadas pelo cliente. Desde que a digitalização dos serviços financeiros se intensificou, a jurisprudência tem enfrentado casos em que terceiros subtraem valores mediante acesso indevido a dispositivos e contas. A controvérsia jurídica costuma girar entre a tese de culpa exclusiva do consumidor — quando se alega que o correntista autorizou ou facilitou as transações — e a responsabilização objetiva do fornecedor por defeito na prestação do serviço, prevista no Código de Defesa do Consumidor.

A relevância prática é clara: a decisão influencia o delineamento das políticas de controle interno das instituições financeiras, a adequada guarda e apresentação de registros de autenticação e auditoria, e a segurança jurídica de correntistas que detectam movimentações que destoam de seu histórico.

O que foi decidido

A turma manteve a condenação do banco ao ressarcimento integral dos valores subtraídos da conta do cliente, em face da insuficiência probatória produzida pela instituição financeira. O correntista alegou acesso não autorizado ao seu celular na madrugada de 7 de setembro de 2023, com doze transferências totalizando cerca de R$ 88 mil entre 4h02 e 11h32. O montante transferido excedeu em mais de cem vezes o padrão anterior de transações do autor para a mesma destinatária, circunstância que, segundo o colegiado, deveria ter acionado mecanismos de controle internos do banco.

No recurso, o banco sustentou que as operações foram realizadas por dispositivo previamente autorizado, validadas por biometria facial e por senha de quatro dígitos, argumentando culpa exclusiva do correntista. O relator registrou que a instituição não trouxe aos autos documentos técnicos essenciais — como logs de autenticação, registros de IP ou georreferenciamento — capazes de demonstrar a regularidade dos acessos. Diante da defesa genérica e da ausência desses elementos, a Câmara concluiu que o banco não se desincumbiu do ônus de prova, ficando configurada a responsabilidade objetiva pelo defeito na prestação do serviço.

Além do ressarcimento, o colegiado promoveu, de ofício, a adequação da forma de atualização e juros, aplicando as diretrizes fixadas no Tema Repetitivo 1.368 do Superior Tribunal de Justiça: utilização do IPCA apenas nos períodos exclusivos de correção monetária e adoção da taxa Selic quando houver incidência simultânea de juros de mora e atualização monetária, vedando a cumulação de índices distintos.

Base normativa e precedentes

• Art. 14, CDC (Lei 8.078/1990) — estabelece a responsabilidade objetiva do fornecedor de serviços por defeitos na prestação e condiciona o inverso do ônus probatório ao fornecedor, conforme §3º, I.
• Art. 6º, CDC — direitos básicos do consumidor, especialmente proteção contra riscos e efetiva reparação de danos.
• Súmula 479, STJ — dispõe que as instituições financeiras respondem objetivamente pelos prejuízos decorrentes de fraudes de terceiros, caracterizados como fortuito interno.
• Tema Repetitivo 1.368, STJ — orienta sobre a forma de atualização monetária e juros em condenações, determinando a aplicação do IPCA isoladamente e da Selic quando cumulados correção e juros de mora.
• Jurisprudência consolidada dos tribunais — reforça a exigência de produção de logs e provas técnicas pelo prestador quando a regularidade das operações é contestada.

Impacto prático

• Para advogados de defesa do consumidor: reforça a estratégia de exigir do banco a produção de registros técnicos (logs, IPs, geolocalização, trilhas de auditoria) como prova essencial para afastar responsabilidade objetiva.
• Para bancas de instituições financeiras: impõe a revisão de políticas internas de segurança e de preservação de dados, bem como a necessidade de apresentar documentação técnica robusta em contestações judiciais.
• Para correntistas e departamentos de compliance: sinaliza que críticas ao padrão de movimentação (desvios bruscos de comportamento) podem configurar indício suficiente para responsabilizar o fornecedor quando não comprovada a regularidade.
• Para processos em curso: decisões similares podem ser adotadas como fundamento para pedidos de tutela antecipada ou provas periciais específicas sobre logs e sistemas.

O que observar

• Produção probatória técnica: o caso sublinha que logs de autenticação, registros de IP, georreferenciamento e outras trilhas digitais são provas centrais. A ausência delas tende a produzir condenação do banco.
• Defesa genérica é insuficiente: alegações vagas sobre biometria ou senha não substituem documentação técnica detalhada sobre o fluxo de autenticação e os controles anti-fraude.
• Efeitos sobre modulação e recursos: embora a matéria envolva princípios consolidados do CDC e Súmula 479, bancos poderão levar questões específicas de prova à instância superior; atenção para pedidos de uniformização ou repercussão geral em teses correlatas.
• Implementação do Tema 1.368: escritórios devem revisar cálculos de atualização e juros conforme a orientação do STJ para evitar impugnações e reexecuções de sentenças.

Em síntese, o acórdão do TJ-SC reafirma o perfil protetivo do CDC nas relações bancárias digitais e exige que as instituições financeiras detenham e apresentem provas técnicas robustas quando intentarem afastar a responsabilidade por transações contestadas.