TJSP: banco responde por golpe apesar de cliente ceder dados

Decisão e efeito imediato: A 12ª Câmara de Direito Privado do Tribunal de Justiça de São Paulo reconheceu a nulidade de contratos de financiamento celebrados em nome de consumidora vítima de golpe e condenou a instituição financeira ao pagamento de indenização por danos morais. Na prática, a sentença reafirma que o dever de segurança do banco persiste mesmo quando o cliente forneceu elementos de identificação a terceiros, obrigando a instituição a responder por falhas no sistema de prevenção a fraudes.

Contexto

A controvérsia insere-se em um debate recorrente sobre a extensão da responsabilidade do fornecedor de serviços financeiros frente a fraudes praticadas por terceiros. Tradicionalmente, há decisões que atenuam a responsabilidade do banco quando demonstrada culpa exclusiva do consumidor — fundamento previsto no Código de Defesa do Consumidor (CDC) — especialmente quando o cliente entregou senhas ou documentos voluntariamente. Por outro lado, cresce a compreensão de que o risco tecnológico e operacional inerente à atividade bancária deve ser assumido pelo fornecedor quando houver omissões na verificação de inconsistências evidentes (por exemplo, operações incompatíveis com renda do cliente ou discrepância de endereço).

O caso julgado no TJSP traz elementos típicos das fraudes modernas: uso de biometria e assinatura coletadas por um terceiro que se apresentou como empresário para viabilizar contrato, múltiplas operações de crédito em valores incompatíveis com a capacidade financeira declarada e ausência de checagens que são rotina recomendada por órgãos reguladores. A controvérsia importa para advogados, magistrados e instituições financeiras porque delimita o alcance do dever de guarda e diligência digital e operacional das instituições, além de afetar o conteúdo probatório em ações de responsabilidade civil e a prática bancária cotidiana.

O que foi decidido

A turma acolheu o recurso da consumidora e reformou a sentença de primeiro grau que havia absolvido o banco, por entender que houve falha na prestação do serviço. Entre os fundamentos centrais adotados, o colegiado destacou: (i) a ausência de exigência de elementos mínimos de prova de titularidade sobre a conta, já que o autor do golpe obteve acesso e movimentou valores sem que o banco exigisse confirmação adicional; (ii) a manifesta discrepância entre a renda informada pela consumidora — aproximadamente R$ 3 mil mensais — e o volume de financiamento assumido em seu nome (três veículos que totalizam mais de R$ 285 mil), circunstância que deveria ter acionado controles internos; (iii) contratação realizada em endereço diverso daquele registrado pela cliente, situação que configura verificação básica recomendada por normas de governança e prevenção de fraudes bancárias.

O relator do recurso, desembargador Alexandre David Malfatti, concluiu que tais omissões caracterizam falha na prestação do serviço e atribuem ao banco o risco pela fraude, anulando os contratos de financiamento e fixando indenização de R$ 10.000,00 a título de danos morais, em razão também do atendimento deficiente recebido pela consumidora quando buscou solução.

Base normativa e precedentes

• Art. 14, CDC (Lei 8.078/1990) — dispõe sobre a responsabilidade do fornecedor de serviços por defeitos relativos à prestação, inclusive por omissão de segurança; prevê excludentes de responsabilidade quando comprovada culpa exclusiva do consumidor.
• Princípio do risco do empreendimento (jurisprudência consolidada) — orienta que a atividade empresarial que explora serviços bancários responde pelos riscos inerentes à sua operação, especialmente no tocante à segurança de sistemas e prevenção de fraudes.
• Normas e recomendações do Banco Central — apontam para procedimentos mínimos de prevenção à fraude e de diligência na contratação à distância, como verificação de consistência cadastral e análise de comportamento transacional (citadas genericamente como standard regulatório aplicável).
• Súmula e entendimentos coletivos (jurisprudência do TJSP e outros tribunais) — a jurisprudência vem reconhecendo responsabilidade do banco quando há prova de falha na segurança ou de controles internos insuficientes, mesmo diante da participação do consumidor na entrega de dados.

Impacto prático

• Para advogados de consumidores: reforça a possibilidade de pleitear nulidade de contratos e indenização por danos morais quando houver evidência de controles bancários inadequados, mesmo se o cliente entregou dados a terceiro.
• Para departamentos jurídicos e compliance de bancos: impõe necessidade de rever e fortalecer procedimentos de verificação cadastral, monitoramento de transações atípicas e checagem de compatibilidade entre renda e operação; falhas podem gerar responsabilidade objetiva.
• Para empresas de crédito e correspondentes bancários: alerta sobre responsabilidade solidária e necessidade de protocolos claros na coleta de biometria e assinatura.
• Para o consumidor: decisão amplia a tutela contra fraudes, indicando que não basta demonstrar que foi vítima; é preciso reunir elementos que evidenciem omissão do banco, como incompatibilidade de dados e ausência de checagens.

O que observar

• Prova técnica: em recursos futuros, será decisivo demonstrar tecnicamente como se deu a falha (logs, trilhas de auditoria, políticas de antifraude) e se os procedimentos internos seguiram as recomendações do Banco Central.
• Modulação de efeitos: tribunais superiores podem ser instados a uniformizar a tese; eventual apreciação pelo STJ ou STF pode modular efeitos e estabelecer critérios objetiva/ subjetivos mais claros.
• Recursos cabíveis: o banco ainda pode recorrer às instâncias superiores, atacando tanto a imputação de responsabilidade objetiva quanto a fixação do quantum indenizatório.
• Risco regulatório e de imagem: decisões desse teor tendem a atrair atenção de órgãos reguladores e podem ensejar fiscalizações mais rigorosas sobre prevenção à fraude.

Ponto prático final: a decisão confirma tendência jurisprudencial de atribuir ao fornecedor bancário o ônus de demonstrar a adoção de medidas adequadas de segurança, deslocando o foco probatório para a instituição quando ocorrerem sinais objetivos de inconsistência nas operações.