TJSP afasta responsabilidade de instituições de pagamento por fraudes online

O juiz da 3ª Vara Cível de Atibaia excluiu duas instituições de pagamento de processo sobre transações ilícitas, entendendo que sua atuação se limitou à prestação de infraestrutura tecnológica e financeira, sem vínculo direto com o dano alegado. A decisão reconheceu ilegitimidade passiva e extinguiu o processo em relação às empresas, nos termos do art. 485, VI, do CPC.

Contexto

O caso insere-se em questão recurrente no direito digital e do consumo: até que ponto provedores de infraestrutura de pagamentos (gateways, APIs, emissores de QR Code, etc.) podem ser responsabilizados por ilícitos praticados por terceiros que utilizam seus serviços? A controvérsia conflita com precedentes que distinguem provedores que participam ativamente da cadeia de consumo (marketplaces, plataformas integradas) daqueles que apenas disponibilizam meios de pagamento. No plano normativo, o debate mobiliza normas do Código de Processo Civil (Lei 13.105/2015), princípios do Direito do Consumidor (Lei 8.078/1990) quando aplicáveis, e a jurisprudência de tribunais superiores, em especial decisões do Superior Tribunal de Justiça que já afastaram responsabilidade de instituição de pagamento quando o problema decorre exclusivamente de conduta do vendedor.

A tecnologia também evoluiu: APIs padronizadas pelo Banco Central (ex.: API Pix) e mecanismos de QR Code dinâmico popularizaram-se como interfaces técnicas entre sistemas, o que torna relevante distinguir responsabilidade técnica de responsabilidade pelo resultado econômico da transação.

O que foi decidido

Ao reexaminar documentos juntados aos autos, o magistrado concluiu que ambas as instituições atuaram apenas como fornecedoras de infraestrutura tecnológica e financeira. Uma oferecia comunicação via API Pix padronizada pelo Banco Central; a outra desenvolvia geração de QR Code dinâmico e interface contratada por terceiro. Nenhuma delas era titular da conta que recebeu os valores objeto da demanda, tampouco manteve contato direto com a autora.

Diante desses elementos fáticos, o juiz reviu entendimento anterior que havia mantido uma das empresas no polo passivo, entendendo agora pela ilegitimidade passiva das instituições. O fundamento central foi a ausência de vínculo causal direto entre a prestação do serviço tecnológico e o dano sofrido, configurando hipótese de fato exclusivo de terceiro. Em consequência, declarou extinto o processo em relação às instituições, sem resolução do mérito, com fulcro no art. 485, VI, do CPC.

Base normativa e precedentes

• Art. 485, VI, CPC (Lei 13.105/2015) — hipótese de extinção do processo sem resolução do mérito por ilegitimidade passiva.
• Súmula 479, STJ — presunção relativa de culpa do comerciante/fornecedor quando há retenção indevida de quantias? (nota: o juiz afastou aplicação da súmula por reconhecer fato exclusivo de terceiro).
• CDC (Lei 8.078/1990) — no campo das relações de consumo, impõe-se responsabilidade objetiva do fornecedor quando demonstrado nexo com o defeito/serviço; contudo, essa responsabilização exige nexo de causalidade entre o serviço e o dano reclamado.
• Normas do Banco Central (padronizações da API Pix) — referência técnica que qualifica o serviço como interface de comunicação entre sistemas de pagamento, não como operador econômico titular do negócio jurídico subjacente.
• Jurisprudência do STJ — precedentes que afastam a responsabilidade de instituição de pagamento quando o pagamento foi processado corretamente e a fraude decorreu exclusivamente do fornecedor/vendedor terceiro; tais decisões foram utilizadas para distinguir provedores de meios de pagamento de plataformas que integram a oferta.

Impacto prático

• Advogados de defesa de instituições tecnológicas e adquirentes de serviço de pagamento terão precedente local que reforça a tese de ilegitimidade passiva quando a atuação é estritamente técnica e desconectada da conta que recebeu valores.
• Para vítimas de fraude, a decisão sinaliza que a responsabilização de agentes de infraestrutura exigirá prova de vínculo causal direto: mera disponibilização de API ou geração de QR Code dificilmente basta para manter tais empresas no polo passivo.
• Empresas que operam marketplaces e aquelas que efetivamente intermediam a relação de consumo devem diferenciar sua posição jurídica: operadores integrados ainda podem ser alcançados por responsabilidade, ao passo que provedores de infraestrutura terão defesa mais robusta.
• Processos em curso que incluam prestadores de tecnologia deverão reavaliar a documentação técnica e contratual (logs de API, titularidade de contas, fluxo de repasses) para demonstrar ou afastar nexo jurídico-legal.
• Em litígios de consumo, o ônus probatório sobre o nexo e sobre a titularidade econômica dos fluxos de pagamento ganhará centralidade; perícias técnicas e demonstrações de isolamento das plataformas serão estratégias essenciais.

O que observar

• A decisão foi baseada em prova documental juntada nos autos; em outros casos, provas diferentes (participação direta na negociação, intermediação ativa, tratamento de dados do consumidor) podem mudar o quadro. Não há entendimento absoluto que immunize provedores em todas as hipóteses.
• Cabe atenção à aplicação do CDC: quando demonstrado que o serviço da instituição integrou-se à cadeia de consumo, a responsabilidade objetiva pode ser invocada. Assim, a qualificação jurídica do agente (fornecedor, mera infraestrutura, marketplace) será decisiva.
• Possíveis recursos e repercussões: a parte autora pode recorrer da extinção por ilegitimidade passiva, e tribunais superiores poderão ser chamados a uniformizar critérios sobre prova do nexo causal em ambiente digital.
• Modulação de efeitos e tutela preventiva: decisões futuras podem modular efeitos ou exigir medidas técnicas e contratuais (due diligence, KYC, bloqueios automatizados) para atribuir responsabilidade em casos de fraude.
• Riscos profissionais: advogados devem mapear cuidadosamente contratos de prestação de serviços de pagamento, detalhar fluxos financeiros e conservar evidências de que a instituição não detinha controle sobre a operação ou sequer contato com o consumidor.

O que observar