TJ-MG confirma responsabilidade por invasão de e-mail e falha de segurança

A 11ª Câmara Cível do Tribunal de Justiça de Minas Gerais manteve a condenação de um provedor de e-mail ao pagamento de indenização por danos morais a usuário cuja conta foi invadida, reconhecendo que a interrupção do controle e a utilização indevida dos dados configuraram falha na segurança do serviço. A turma concluiu pela responsabilidade do fornecedor em razão do risco inerente à atividade e pela insuficiência dos mecanismos de recuperação ofertados ao consumidor, preservando o valor fixado em primeira instância.

Contexto

A controvérsia insere-se na interseção entre direito do consumidor, proteção de dados e responsabilidade civil em serviços digitais, tema que vem suscitando crescente incidência nos tribunais. Nos últimos anos, processos envolvendo contas on-line invadidas — e o consequente uso indevido de informações para fraudes em aplicativos de mensagem e transferências eletrônicas — têm posto em debate se a responsabilidade do provedor é subjetiva (depende de culpa) ou objetiva (independente de culpa). O CDC (Lei 8.078/1990) prevê, em termos gerais, a responsabilidade do fornecedor por defeitos na prestação de serviços; a LGPD (Lei 13.709/2018) introduz normas específicas sobre tratamento de dados pessoais e prevê deveres de segurança e responsabilização. A solução adotada pelo colegiado em Minas Gerais segue tendência de responsabilização dos fornecedores de serviços digitais quando restar demonstrada falha de segurança e insuficiência dos meios de remediação oferecidos.

O que foi decidido

A turma confirmou a sentença que condenou a empresa a pagar R$ 3 mil por danos morais a um usuário cuja conta de e-mail foi assumida por terceiros durante seis dias. O entendimento central foi que a invasão e o consequente uso indevido de informações pessoais e bancárias ultrapassaram o mero aborrecimento e configuraram efetiva violação da intimidade, da privacidade e da tranquilidade do consumidor. A decisão também destacou que o sistema de recuperação de conta disponibilizado pelo provedor revelou-se ineficaz no caso concreto — notificações de segurança eram encaminhadas para o próprio e-mail sob controle do invasor, prejudicando a retomada imediata do acesso.

No fundamento, a relatora qualificou a invasão como fortuito interno, conceito que, no entendimento adotado, representa um risco ligado à atividade empresarial de tecnologia e autoriza a imposição de responsabilidade objetiva ao fornecedor, sem a necessidade de prova de dolo ou culpa. A conduta da empresa — ausência de canal humano emergencial e falta de auxílio efetivo ao usuário — foi considerada agravante que reforça a obrigação de indenizar. O valor fixado em primeiro grau foi mantido por proporcionalidade ao dano sofrido.

Base normativa e precedentes

• Art. 5º, CF/88 — proteção à intimidade e à vida privada, fundamento constitucional da tutela contra invasões e exposições indevidas de dados pessoais.
• CDC (Lei 8.078/1990), art. 14 — responsabilidade objetiva do fornecedor de serviços por defeitos relativos à prestação, aplicável a serviços digitais quando houver falha de segurança.
• LGPD (Lei 13.709/2018), art. 6º e art. 42 — princípios da segurança e disciplina da responsabilidade civil por tratamento irregular de dados pessoais.
• Código Civil (Lei 10.406/2002), art. 927 — obrigação de reparar o dano quando houver responsabilidade por ato ou risco.
• Jurisprudência consolidada do tribunal — tendência a reconhecer obrigação de fornecedores de serviços digitais de adotar mecanismos de segurança e meios eficazes de recuperação de contas, responsabilizando-os objetivamente quando demonstrada insuficiência.

Impacto prático

• Para advogados: a decisão reforça a estratégia processual de articulação conjunta entre CDC e LGPD quando há invasão de contas, valorizando provas de ineficiência de mecanismos de autenticação e recuperação e a conduta pós-evento do fornecedor.
• Para empresas de tecnologia: reforça o dever de implementar procedimentos de segurança robustos e canais de resposta emergencial (suporte humano) para mitigar riscos de tomada de contas e reduzir a exposição a indenizações por danos morais.
• Para consumidores: consolida a possibilidade de pleitear indenização mesmo sem demonstrar culpa específica do provedor, bastando demonstrar o nexo entre a falha do serviço e o dano sofrido (uso indevido de dados, fraude por terceiros).
• Para o contencioso em curso: decisões semelhantes podem servir de precedente persuasivo em instâncias estaduais; há potencial para uniformização em tribunais superiores, mas eventual divergência permanece possível quanto à fixação de critérios para mensuração do dano moral.

O que observar

• Proporcionamento da indenização: o valor mantido (R$ 3 mil) foi considerado suficiente pelo colegiado no caso, mas a quantificação do dano moral segue dependente das circunstâncias concretas, o grau de exposição dos dados e a repercussão das fraudes subsequentes. Haverá espaço para recursos que busquem majorar ou reduzir valores conforme contextos distintos.
• Recursos cabíveis e modulação de efeitos: as empresas podem buscar uniformização em tribunais superiores, sustentando que a responsabilidade objetiva deve observar limites técnicos e prova de efetiva falha na segurança; por outro lado, consumidores tendem a pleitear aplicação direta do CDC e da LGPD. A questão da modulação dos efeitos de decisões em massa (efeito erga omnes) permanece um vetor de litígio futuro.
• Prova e diligência do usuário: embora a responsabilidade se fundamente em risco, a demonstração da ineficácia dos meios de recuperação e da conduta omissiva do fornecedor foi decisiva. Profissionais devem orientar clientes sobre preservação de logs, comunicações com o provedor e provas da sequência de fraudes (comprovantes de transferências, mensagens, tentativas de contato).
• Convergência CDC-LGPD: espera-se que futuras decisões aprofundem a interação entre as normas consumeristas e a lei de proteção de dados, definindo padrões mínimos de segurança e resposta incidentes, inclusive a necessidade de canais humanos para casos de emergência.

Em resumo, a decisão do TJ-MG reforça a responsabilidade dos fornecedores de serviços digitais por falhas de segurança que permitam a apropriação indevida de contas, alinhando proteção do consumidor e tutela dos dados pessoais numa linha prática que exige políticas de segurança, processos de recuperação eficientes e comportamento colaborativo no pós-incidente.