TJ-SP confirma responsabilidade do banco por operações fora do perfil

A 4ª turma do Núcleo 4.0 em Segundo Grau do Tribunal de Justiça de São Paulo confirmou a responsabilização de um banco por operações realizadas após a cliente ser vítima do golpe do falso funcionário, declarando inexigíveis os débitos e determinando restituição de valores. A decisão enfatiza a obrigação institucional de controles antifraude e consolida o entendimento de que a mera utilização de senha pessoal não exclui a responsabilidade da instituição.

Contexto

Fraudes bancárias envolvendo engenharia social — como o golpe do falso funcionário — vêm suscitando debates sobre o alcance da responsabilidade das instituições financeiras. De um lado, há a posição que ressalta a necessidade de proteção ao consumidor bancarizado, dada a assimetria de informações e de recursos tecnológicos; de outro, insistem instituições financeiras, por vezes com acolhida em algumas instâncias, na teoria do risco do usuário, alegando culpa exclusiva do correntista quando há uso de credenciais. No campo normativo, o Código de Defesa do Consumidor (Lei 8.078/1990) impõe responsabilidade objetiva ao fornecedor de serviços por defeitos na prestação, enquanto a jurisprudência do Superior Tribunal de Justiça, notadamente a Súmula 479, reconhece que as instituições financeiras respondem por fraudes e delitos de terceiros quando caracterizados como fortuito interno.

A controvérsia é relevante porque define quem arca com perdas decorrentes de fraudes sofisticadas: se o cliente, que teve seus dados usados indevidamente, ou o banco, que opera o sistema e dispõe dos mecanismos de autenticação e monitoramento. A decisão do TJ-SP integra esse esforço jurisprudencial de delimitar o dever de vigilância das instituições financeiras em face de operações atípicas em contas de clientes.

O que foi decidido

A turma manteve a sentença de primeiro grau que declarou inexigível o empréstimo de R$ 68.764,29 e as compras no cartão que totalizaram R$ 139.300,00, além de determinar a restituição de R$ 58.764,29 transferidos via Pix. O colegiado entendeu que houve falha na prestação de serviço, porque as movimentações eram incompatíveis com o perfil financeiro e histórico da correntista e porque os mecanismos de segurança empregados pelo banco não foram demonstrados como adequados.

No exame dos argumentos do banco — que alegou uso de senha pessoal, fortuito externo e culpa exclusiva da vítima e de terceiros — o relator afastou a tese de excludente de responsabilidade. O Tribunal observou que os criminosos tiveram acesso prévio a informações da conta e da pessoa, e que os valores foram desviados imediatamente após a contratação do empréstimo, circunstâncias que deveriam ter acionado controles internos do banco. Assim, a autenticidade formal (uso de senha) não foi suficiente para eximir a instituição de seu dever de proteção e de monitoramento.

Base normativa e precedentes

• Art. 14, CDC (Lei 8.078/1990) — dispõe sobre a responsabilidade objetiva do fornecedor de serviços por defeitos relativos à prestação, sem necessidade de comprovar culpa do prestador.
• Súmula 479, STJ — prevê que as instituições financeiras respondem objetivamente pelos danos decorrentes de fraudes e delitos praticados por terceiros quando esses eventos configuram fortuito interno das operações bancárias.
• Art. 927, Código Civil (Lei 10.406/2002) — fonte complementar sobre o dever de reparar, aplicável quando demonstrado o nexo causal entre a atuação do agente e o dano.
• Jurisprudência consolidada do tribunal — decisões que exigem demonstração dos controles de segurança e do monitoramento das operações atípicas pela instituição financeira.

Impacto prático

• Para advogados e consulentes: a decisão reforça tese de defesa em ações de contestação de débitos decorrentes de fraude, com ênfase em demonstrar incompatibilidade entre movimentações e histórico do cliente, e a pronta comunicação (boletim de ocorrência, reclamação administrativa, extratos).
• Para instituições financeiras: há exigência de comprovar, nos autos, a adequação e a efetividade dos sistemas de detecção de fraude e das políticas de autenticação, bem como de implementar critérios de monitoramento de operações que destoem do perfil do cliente.
• Para consumidores: reafirma a proteção conferida pelo CDC em relação a serviços bancários e a possibilidade de obtenção de cancelamento de débitos e restituição quando comprovada a fraude e a insuficiência de controles pelo banco.
• Para litígios em curso: o julgado pode servir como precedente persuasivo no TJ-SP para casos com elementos fáticos semelhantes (empréstimo contratado e imediato desvio de recursos, compras em valores elevados e transferências via Pix incompatíveis com padrão de consumo).

O que observar

• Demonstração dos controles: bancos deverão sistematizar prova documental e pericial sobre ferramentas de prevenção e detecção de fraudes; a mera menção à existência de autenticação é insuficiente.
• Prova da incompatibilidade: a estratégia vencedora do consumidor foi alinhar extratos e histórico de consumo para evidenciar a atipicidade das transações — documento imprescindível em ajuizamentos.
• Modulação e recursos: a decisão de turma não possui ainda efeito vinculante nacional; cabe atenção a possíveis recursos e ao entendimento de outras câmaras e tribunais. Em casos de repercussão ampla, pode haver tentativa de uniformização em sede de recursos especial ou revisão por turma/plenário.
• Risco de litigância: instituições que não atualizarem controles podem enfrentar aumento de demandas e exposição a condenações repetidas com base no entendimento firmado.

Em síntese, o acórdão do TJ-SP reafirma o dever institucional de segurança das instituições financeiras e consolida a aplicação da responsabilidade objetiva do CDC em fraudes bancárias quando as operações revelam dissonância com o perfil do cliente e os mecanismos de proteção não são demonstrados como eficazes.