A Súmula 479 do STJ define que instituições financeiras respondem objetivamente por danos causados por fraudes internas, mas nem toda fraude é de responsabilidade do banco. Este artigo explica os limites dessa regra e quando a responsabilidade pode ser afastada.
Direito Imagem gerada por IA
A crescente digitalização das relações bancárias trouxe novas formas de contratação, movimentação financeira e acesso ao crédito, mas também ampliou a ocorrência de fraudes praticadas por terceiros. Nesse contexto, ganhou especial relevância a Súmula 479 do Superior Tribunal de Justiça (STJ), segundo a qual: "As instituições financeiras respondem objetivamente pelos danos gerados por fortuito interno relativo a fraudes e delitos praticados por terceiros no âmbito de operações bancárias".
O enunciado, editado pela Segunda Seção do STJ em 2012 e relacionado ao Tema Repetitivo 466, consolidou importante mecanismo de proteção ao consumidor. Sua aplicação, contudo, não pode ocorrer de forma automática ou dissociada das circunstâncias concretas de cada caso. A responsabilidade objetiva das instituições financeiras não se confunde com responsabilidade integral, tampouco transforma o fornecedor de serviços bancários em garantidor universal de todo prejuízo decorrente da atuação criminosa de terceiros.
- A Súmula 479 do STJ responsabiliza bancos por fraudes internas, mas nem toda fraude é considerada interna.
- Para a responsabilidade valer, é preciso que a falha no serviço tenha relação com o prejuízo sofrido pelo consumidor.
- Golpes como phishing e falsas centrais de atendimento podem ser considerados fortuito externo, dependendo da análise.
- O consumidor precisa provar que houve falha na prestação do serviço para ter direito à indenização.
- Bancos podem se eximir de responsabilidade se provarem culpa exclusiva do consumidor ou ausência de defeito no serviço.
A compreensão dos limites da Súmula 479 passa, inicialmente, pela própria expressão utilizada em seu enunciado: "fortuito interno". A responsabilização objetiva decorre da circunstância de determinadas fraudes integrarem os riscos inerentes à atividade desenvolvida pela instituição financeira. Abertura fraudulenta de contas, contratação de empréstimos mediante falsificação de documentos e realização de operações que revelem deficiência dos mecanismos de autenticação constituem exemplos de situações que podem estar inseridas no risco do empreendimento.
Isso não significa, entretanto, que toda fraude relacionada, ainda que remotamente, a uma operação financeira deva ser automaticamente qualificada como fortuito interno. É indispensável investigar a dinâmica do evento e, principalmente, a existência de nexo entre o prejuízo experimentado pelo consumidor e eventual deficiência do serviço prestado.
O que diz o Código de Defesa do Consumidor
O próprio regime de responsabilidade objetiva previsto no Código de Defesa do Consumidor (CDC) confirma essa conclusão. O artigo 14 estabelece a responsabilidade do fornecedor independentemente de culpa, mas seu §3º prevê hipóteses capazes de afastá-la, entre elas a inexistência de defeito do serviço e a culpa exclusiva do consumidor ou de terceiro. Portanto, a adoção da teoria do risco da atividade não elimina a necessidade de análise do nexo causal.
Essa distinção se tornou ainda mais relevante diante da sofisticação das fraudes de engenharia social. Golpes praticados por meio de falsas centrais de atendimento, phishing, aplicativos de mensagens e indução do próprio consumidor à realização de operações demonstram que a simples constatação da fraude já não é suficiente para resolver a controvérsia. É necessário verificar se a instituição financeira deixou de observar deveres de segurança que razoavelmente lhe eram exigíveis ou se o evento ocorreu por circunstâncias efetivamente externas à prestação do serviço.
Quando a responsabilidade do banco é afastada
A jurisprudência recente do próprio STJ demonstra a importância dessa análise individualizada. Em situações nas quais operações manifestamente atípicas são autorizadas sem mecanismos eficazes de controle, ou nas quais a instituição, mesmo comunicada imediatamente acerca da fraude, deixa de adotar medidas adequadas para mitigação do prejuízo, o evento pode permanecer inserido no risco da atividade, justificando a incidência da Súmula 479.
Em sentido diverso, a responsabilização pode ser afastada quando demonstrado que as operações foram realizadas pelo próprio consumidor, mediante utilização de suas credenciais legítimas, em contexto no qual não se identifica defeito dos sistemas de segurança ou comportamento negligente da instituição financeira. Nessas situações, a fraude pode assumir natureza de fortuito externo, rompendo-se o nexo causal necessário à responsabilização.
Essa diferenciação é importante para evitar uma interpretação excessivamente abrangente da Súmula 479. O enunciado não afirma que as instituições financeiras respondem por toda fraude praticada contra seus clientes. Sua redação é mais específica: a responsabilidade objetiva alcança os danos decorrentes de fraudes qualificadas como fortuito interno. A identificação dessa natureza constitui, portanto, etapa necessária e anterior à própria aplicação do entendimento sumulado.
Como funciona a prova no processo
Também merece atenção o ônus probatório. A incidência das normas consumeristas e a eventual inversão do ônus da prova não dispensam a análise dos elementos concretamente produzidos no processo. Ao consumidor cabe apresentar substrato mínimo capaz de sustentar a ocorrência do fato constitutivo de seu direito, enquanto à instituição financeira compete, conforme as particularidades da controvérsia e a distribuição do ônus probatório, demonstrar a regularidade dos procedimentos de autenticação, contratação e segurança que estejam sob sua esfera de controle.
Em operações digitais, essa análise pode envolver registros de autenticação, biometria, geolocalização, dispositivos utilizados, confirmação por senha ou token, histórico das operações e compatibilidade das movimentações contestadas com o perfil transacional do cliente. Esses elementos permitem que a discussão deixe o campo abstrato da mera ocorrência de fraude e passe a se concentrar na questão juridicamente relevante: houve efetiva falha na prestação do serviço capaz de estabelecer o nexo causal entre a atividade financeira e o prejuízo
Esse cuidado interpretativo não diminui a proteção conferida ao consumidor. Pelo contrário, preserva a finalidade da própria Súmula 479 ao direcionar a responsabilidade para as situações em que o risco efetivamente integra a atividade bancária. A proteção consumerista não exige que se ignorem as excludentes expressamente previstas em lei, assim como a responsabilidade objetiva não autoriza a presunção absoluta de defeito do serviço.
Conclusão
A aplicação adequada da Súmula 479 exige, portanto, equilíbrio. De um lado, as instituições financeiras devem desenvolver mecanismos compatíveis com os riscos próprios de sua atividade, capazes de identificar contratações fraudulentas, movimentações atípicas e vulnerabilidades que possam causar prejuízos aos consumidores. De outro, não é juridicamente adequado imputar-lhes responsabilidade por todo evento criminoso apenas porque, em algum momento, houve utilização de produto ou serviço financeiro.
Em conclusão, a Súmula 479 do STJ constitui importante instrumento de proteção do consumidor, mas seus limites estão contidos em seu próprio enunciado e no regime jurídico do artigo 14 do CDC. Sua incidência pressupõe a identificação do fortuito interno e a existência de nexo causal entre o risco inerente à atividade financeira e o dano experimentado. A responsabilidade objetiva não significa responsabilidade automática. Entre esses conceitos existe espaço indispensável para a análise da prova, das circunstâncias concretas da fraude e da efetiva atuação de cada agente envolvido.
Preservar essa distinção é essencial para que a Súmula 479 continue cumprindo sua finalidade sem ser convertida em fundamento genérico de responsabilização. Afinal, proteger adequadamente o consumidor não significa estabelecer responsabilidade irrestrita, mas assegurar que os prejuízos sejam atribuídos a quem, diante das circunstâncias concretamente demonstradas, efetivamente deu causa ao evento danoso.
