RECURSO INOMINADO CÍVEL (460) Nº 5003501-89.2023.4.03.6323

RELATOR: 7º Juiz Federal da 3ª TR SP

RECORRENTE: ANGELO ROBERTO ORLANDI

Advogados do(a) RECORRENTE: ALISSON LUCAS DE MIRANDA SANCHES - PR74676-A, ISABELLE FERNANDES ORLANDI - SP344485-N

RECORRIDO: BANCO DAYCOVAL S/A, INSTITUTO NACIONAL DO SEGURO SOCIAL - INSS
PROCURADOR: INSTITUTO NACIONAL DO SEGURO SOCIAL - INSS

Advogado do(a) RECORRIDO: IVAN DE SOUZA MERCEDO MOREIRA - SP457621-A

OUTROS PARTICIPANTES:

V O T O

A sentença (ID. 294718197) decidiu a lide nestes termos:

[...]

Trata-se de ação proposta por ANGELO ROBERTO ORLANDI em face do INSS e do BANCO DAYCOVAL S/A, por meio da qual objetiva: (a) a declaração de inexistência de relação jurídica contratual com o banco réu; (b) a condenação dos réus à restituição em dobro dos valores indevidamente descontados de seu benefício previdenciário; (c) a reparação de danos morais no valor mínimo de R$ 13.200,00; e (d) a reparação de danos extrapatrimoniais decorrentes da violação de dados pessoais do autor no montante de R$ 10.000,00.

De início, verifico que o corréu Banco Daycoval arguiu a incompetência do Juizado Especial Federal sob o fundamento de tratar-se de causa complexa. A Lei 10.259/01, ao tratar da competência do Juizado Especial Federal em seu art. 3º, caput, não elegeu a complexidade da causa como critério para sua definição. Nesse sentido é o enunciado nº 25 das Turmas Recursais do Juizado Especial Federal de São Paulo: “A competência dos Juizados Especiais Federais é determinada unicamente pelo valor da causa e não pela complexidade da matéria (art. 3° da Lei n° 10.259/2001)”. As únicas causas que a referida Lei exclui da competência do JEF são aquelas enunciadas no § 1º do art. 3º, dentre as quais não se encontram os litígios que versem sobre declaração de nulidade e reparação de danos materiais e morais, como a presente demanda. Além do mais, a prova técnica não se mostra incompatível com o procedimento do JEF, uma vez que a Lei 10.259/01 expressamente prevê a produção de exame técnico no art. 12. Tendo em vista que a perícia grafotécnica se subsume ao conceito de exame técnico previsto no aludido dispositivo legal, inexiste razão para a declaração da incompetência deste juízo, nos termos do que dispõe o enunciado 91 do V FONAJEF, lido a contrario sensu: “Os Juizados Especiais Federais são incompetentes para julgar causas que demandem perícias complexas ou onerosas que não se enquadrem no conceito de exame técnico (art. 12 da lei n. 10.259/2001)”. Destarte, encontrando-se a presente demanda dentre aquelas de competência da Justiça Federal até o valor de sessenta salários mínimos (art. 3º da Lei 10.259/01), rejeito a preliminar de incompetência deste JEF.

Rejeito também a alegação de falta de interesse de agir da parte autora. Não se pode perder de vista que os princípios da instrumentalidade e da economia processual, que regem os processos em trâmite no JEF (arts. 2º e 13º da Lei 9.099/95 c/c art. 1º da Lei 10.259/01), impõem a observância da teoria da asserção no que concerne às condições da ação. Sendo assim, as condições da ação devem ser aferidas “in statu assertionis”, ou seja, conforme as alegações da demandante na petição inicial. No caso em tela, a leitura da petição inicial deixa entrever a presença inequívoca do interesse de agir porque, em primeiro lugar, a demanda objetiva a declaração de inexistência de contratos de empréstimo, a condenação à devolução em dobro de valores descontados ilegitimamente de benefício previdenciário e a reparação de danos extrapatrimoniais, o que, em tese, torna necessário o recurso ao Poder Judiciário (interesse-necessidade); e, em segundo lugar, o instrumento processual utilizado (ação de natureza declaratória e condenatória, ajuizada perante os Juizados Especiais Federais) é, em abstrato, o remédio adequado à obtenção da tutela jurisdicional pretendida (interesse-adequação).

Afasto a alegação de ilegitimidade passiva ad causam do INSS. A parte autora afirma na petição inicial que o corréu Banco Daycoval estaria lhe cobrando débitos referentes a contratos de empréstimo que nega ter celebrado e que o INSS teria efetuado o desconto ilegítimo dessas parcelas contratuais em seu benefício previdenciário, a despeito da falta de autorização sua para tal operação. Não se pode perder de vista também que a TNU, ao apreciar o Tema 183, fixou a tese de que “I - O INSS não tem responsabilidade civil pelos danos patrimoniais ou extrapatrimoniais decorrentes de “empréstimo consignado”, concedido mediante fraude, se a instituição financeira credora é a mesma responsável pelo pagamento do benefício previdenciário, nos termos do art. 6º, da Lei n. 10.820/03; II – O INSS pode ser civilmente responsabilizado por danos patrimoniais ou extrapatrimoniais, se demonstrada negligência, por omissão injustificada no desempenho do dever de fiscalização, se os “empréstimos consignados” forem concedidos, de forma fraudulenta, por instituições financeiras distintas daquelas responsáveis pelo pagamento dos benefícios previdenciários. A responsabilidade do INSS, nessa hipótese, é subsidiária em relação à responsabilidade civil da instituição financeira”. É indubitável, diante desses fatos, a relação de legítima adequação do INSS com a causa, não sendo possível cogitar-se de ilegitimidade passiva ad causam.

Passo ao exame do mérito.

O autor, aposentado por idade pelo INSS, narra que em 28/07/2023 recebeu uma notificação do aplicativo do Banco Bradesco – instituição por meio da qual recebe seu benefício previdenciário – informando-lhe que havia sido creditado em sua conta o valor de R$ 18.769,45, por meio de transferência “pix” proveniente do Banco Daycoval S/A. Sustenta o autor, no entanto, que nunca celebrou qualquer contrato de empréstimo com nenhuma instituição financeira. Em consulta junto ao INSS, verificou que havia sido feito um empréstimo consignado em sua aposentadoria, sob o contrato 50-013497187/23, para pagamento em 84 parcelas de R$ 478,94. Além disso, alega que no dia 30/07/2023 o Banco Daycoval S/A emitiu um cartão de crédito com limite de R$ 2.050,00 em nome do autor com a contratação de mais dois empréstimos no valor de R$ 1.400,00 cada vinculados a este cartão (contratos 52-2325199/23 e 53-2325200/23), sem que houvesse qualquer solicitação desse serviço da sua parte. Alega que as contratações fraudulentas causaram a redução do valor mensal do seu benefício, comprometendo sua manutenção.

Em 18/10/2023 foi concedida tutela de urgência, determinando ao Banco Daycoval S/A e ao INSS que se abstenham de efetuar qualquer desconto a título de empréstimo consignado referente aos contratos: 50-013497187/23, no valor de R$ 18.769,45, e 52-2325199/23 e 53-2325200/23, no valor de R$ 2.050,00 cada, até decisão em sentido contrário, sob pena de multa diária em favor do autor no valor de R$ 500,00, limitada a R$ 30 mil.

Citadas, as rés apresentaram defesas e a instituição financeira trouxe aos autos instrumentos contratuais em nome da parte autora, contendo assinaturas eletrônicas supostamente suas, com fotografia e suposta geolocalização (id’s 307967569, 307967573, 307967574, 307967575, 307967576, 307967586, 307967587, 307967588, 307967589, 307967590, 307967599 e 307968301), os quais legitimariam os descontos sub judice.

Em réplica, a parte autora impugnou a correspondência de tais documentos com a verdade, sustentando ausência de consentimento para a contratação.

A questão de fato controversa é a contratação dos empréstimos pela parte autora e a atividade probatória consistirá na verificação da autenticidade dos instrumentos contratuais trazidos pelo banco.

Nesse passo, o ônus de provar que o contrato é autêntico é do réu, afinal, a matéria foi pacificada pela jurisprudência no julgamento do Tema nº 106, pelo STJ ("Se nas hipóteses em que o consumidor/autor impugnar a autenticidade da assinatura constante do contrato juntado ao processo, cabe à instituição financeira/ré o ônus de provar essa autenticidade (CPC/2015, art. 429, II), por intermédio de perícia grafotécnica ou mediante os meios de prova legais ou moralmente legítimos (CPC/2015, art. 369)." 

Por essa razão, foi concedido prazo para a parte ré requerer a produção de prova pericial ou outro meio de prova lícito. Intimado, o Banco Daycoval S/A insistiu na regularidade da contratação e requereu a produção de prova oral, consistente no depoimento pessoal do autor a ser colhido em audiência de instrução e julgamento.

Em audiência foi ouvido o autor e sua esposa, como informante, que de maneira bastante convincente esclareceram que ele foi vítima de um "golpe" perpetrado pela instituição financeira ré. Constatou-se na audiência que o autor é pessoa idosa, bastante simples e que, até com certa ingenuidade, descreveu com clareza como se deram os fatos e a contratação. Em síntese, tanto ele como sua esposa explicaram que ele conseguiu aposentar-se mas que, antes mesmo de receber a primeira parcela do benefício pelo INSS, receberam uma ligação telefônica de uma pessoa que se apresentou como sendo funcionária do INSS e, passando-se por ela, orientou o autor a tirar uma foto de seu documento pessoal, uma "selfie", e proceder no aparelho celular conforme foi orientado na ocasião. Foram esses procedimentos que acabaram acarretando a inadvertida e indesejada contratação de mútuo com o banco réu, impugnada nesta ação. 

Me convenço pelo conjunto probatório que, de fato, os acontecimentos se deram exatamente como narrado pelo autor e por sua esposa na referida audiência de instrução.

Primeiro porque, de imediato, o autor restituiu o valor que lhe foi creditado em conta bancária, depositando nos autos espontaneamente a quantia de R$ 21.751,61 - id. 301791430, demonstrando total boa-fé e a nítida intenção de não se submeter a qualquer negócio jurídico relativo ao mútuo discutido nesta ação. Esse fato representa uma de duas hipóteses logicamente possíveis: (a) ou o autor de fato não contratou o empréstimo questionado nesta ação ou (b) ou o autor arrependeu-se da contratação. A segunda hipótese não me parece crível, afinal, assim que o autor tomou conhecimento de que haviam sido creditados valores em sua conta bancária (em julho/2023), não só contratou advogado para defender-lhe os interesses como, também, registrou um Boletim de Ocorrência narrando os fatos à autoridade policial. Segundo porque o banco-réu não apresentou os arquivos de áudio da dita contratação (como comumente é feito em ações desse jaez), limitando-se a apresentar os documentos que o autor, em audiência, explicou como foram produzidos - mediante fraude. Esses áudios, facilmente armazenados e guardados pelo banco em contratações desse jaez, poderiam eventualmente desdizer o que alegam os autores. Mas, como dito, convenientemente não vieram aos autos. Terceiro porque, lamentavelmente, situações como a presente atolam o Poder Judiciário com demandas similares, em que se evidenciam e comprovam comumente contratações de empréstimos mediante fraude por instituições financeiras inidôneas, correspondentes bancários espúrios ou agentes financeiros criminosos. A hipótese presente parece evidenciar apenas mais uma dessa situações de total desrespeito aos direitos dos idosos, dos consumidores e dos aposentados do INSS, em que a ganância por lucro fácil advinda de juros abusivos e contratos leoninos induzem pessoas de baixa instrução a celebrarem negócios jurídicos mediante fraude ou dolo.

Como dito, o ônus de provar a autenticidade da assinatura das contratações era do banco e, tratando-se de contratação via eletrônica, bastaria apresentar nos autos o arquivo de áudio ou a íntegra da conversa por whatsapp mantida com o mutuário demonstrando a higidez, boa-fé e validade do negócio. Essa prova não foi produzida de modo que, por isso, prevalece a alegação do autor de que, de fato, não contratou qualquer empréstimo e foi vítima de fraude.

Por isso, convenço-me de que o banco réu, seja por ato praticado por funcionário seu, seja por intermédio de correspondente bancário, cometeu fraude contra o autor, induzindo-o a celebrar um contrato de mútuo do qual ele não tinha conhecimento, sem lhe esclarecer contornos do mútuo e sem lhe explicar os elementos mínimos do negócio jurídico, exigidos pelo art. 54-B, incisos I a V da Lei nº 8.0878/90. Não bastasse isso, convenço-me de que o banco-réu violou a regra expressa do art. 54-C do CDC:

"Art. 54-C. É vedado, expressa ou implicitamente, na oferta de crédito ao consumidor, publicitária ou não: (...) IV - assediar ou pressionar o consumidor para contratar o fornecimento de produto, serviço ou crédito, principalmente se se tratar de consumidor idoso, analfabeto, doente ou em estado de vulnerabilidade agravada ou se a contratação envolver prêmio"     

Portanto, o pedido de declaração de inexistência dos contratos celebrados com o banco réu deve ser julgado procedente, cabendo o direito subjetivo de ser indenizado pelos danos morais decorrentes dessa prática condenável.

Consequentemente, a decisão que deferiu a tutela de urgência para que o INSS e o Banco Daycoval S/A se abstenham de efetuar qualquer desconto a título de empréstimo consignado referente aos contratos: 50-013497187/23, no valor de R$ 18.769,45, e 52-2325199/23 e 53-2325200/23, no valor de R$ 2.050,00 cada, do benefício de aposentadoria por idade de que é titular a parte autora deve ser confirmada, agora em cognição exauriente, por seus próprios fundamentos.

A declaração de inexistência de relação obrigacional implica o reconhecimento do dever dos réus de restituírem à parte autora os valores descontados indevidamente de seu benefício previdenciário NB 211.273.284-0 e também acarreta o direito do Banco Daycoval S/A de proceder ao levantamento do valor depositado em juízo (id. 301933809).

Cumpre salientar que a responsabilidade pela reparação do dano deve recair não apenas sobre a instituição financeira, mas também sobre o INSS, que concorreu para o ato lesivo ao efetuar os descontos ilegítimos no benefício previdenciário da parte autora, a despeito da falta de prova da causa do débito, ou de autorização do titular do benefício. Nessas situações, a jurisprudência consolidou entendimento no sentido de que a responsabilidade do INSS é apenas subsidiária à responsabilidade da instituição financeira, fixando a tese segundo a qual "I - O INSS não tem responsabilidade civil pelos danos patrimoniais ou extrapatrimoniais decorrentes de “empréstimo consignado”, concedido mediante fraude, se a instituição financeira credora é a mesma responsável pelo pagamento do benefício previdenciário, nos termos do art. 6º, da Lei n. 10.820/03; II – O INSS pode ser civilmente responsabilizado por danos patrimoniais ou extrapatrimoniais, se demonstrada negligência, por omissão injustificada no desempenho do dever de fiscalização, se os “empréstimos consignados” forem concedidos, de forma fraudulenta, por instituições financeiras distintas daquelas responsáveis pelo pagamento dos benefícios previdenciários. A responsabilidade do INSS, nessa hipótese, é subsidiária em relação à responsabilidade civil da instituição financeira." (Tema 183, TNU). Assim, reconheço a responsabilidade subsidiária do INSS pela restituição à parte autora dos valores descontados indevidamente do benefício previdenciário NB 211.273.284-0.

Afasto, contudo, o pedido de pagamento em dobro. Consoante a jurisprudência do Superior Tribunal de Justiça, “para se determinar a repetição do indébito em dobro deve estar comprovada a má-fé, o abuso ou leviandade, como determinam os arts. 940 do Código Civil e 42, parágrafo único, do Código de Defesa do Consumidor” (STJ, 3ª Turma, AgRg no REsp 1.498.617/MT, Rel. Min. Marco Aurélio Bellizze, DJe 29/08/2016). No mesmo sentido, a súmula 159 do STF estabelece que “cobrança excessiva, mas de boa-fé, não dá lugar às sanções do art. 1.531 do Código Civil [dispositivo do Código Civil de 1916 que equivale ao art. 940 do Código Civil de 2002]”. No caso em tela, os descontos no benefício previdenciário da parte autora foram, de fato, indevidos, conforme fundamentado anteriormente mas, embora seja possível, crível e até mesmo provável (como já fundamentado), não restou comprovada efetivamente a má-fé na conduta. Logo, por ausência de fundamentação legal, mostra-se indevida a pretensão de repetição dobrada do indébito.

Quanto ao pleito de reparação de danos morais, convenço-me também de que a falha na prestação de serviços pelo Banco Daycoval e pelo INSS trouxe danos morais à parte autora, ou seja, transtornos que ultrapassam o mero dissabor ou aborrecimento próprios da vida cotidiana. A parte autora precisou registrar boletim de ocorrência junto à autoridade policial, contratar advogado, propor uma ação judicial, tudo isso que poderia ter sido evitado tivesse o Banco Daycoval cumprido seu dever de segurança nas relações bancárias e o INSS cumprido seu dever de exigir a prova da causa dos débitos ou a prévia autorização do titular do benefício ou, ao menos, resolvido o impasse administrativamente e devolvido à parte autora os valores que ilegitimamente lhe foram suprimidos de seu benefício previdenciário. Tais fatos extrapolam o ordinário da vida comum, causando sim abalos que atingem a moral da pessoa lesada. Atento às finalidades da indenização por dano moral - (a) a reparação do dano na medida de sua extensão, sem causar enriquecimento fácil ao lesado nem prejuízo desproporcional ao causador do dano; (b) o aspecto pedagógico, a fim de servir para evitar a reiteração na prática de atos lesivos como o que gerou a indenização e (c) o caráter sancionador, de modo que o valor a ser fixado deve guardar correlação com a gravidade da conduta lesiva - entendo por equidade que o valor de R$ 10 mil mostra-se suficiente para reparar o dano moral sofrido pela parte autora, com incidência da SELIC a partir da data desta sentença (súmula 362 do STJ). Em respeito ao supracitado Tema 183 da TNU, a responsabilidade do INSS pela reparação do dano moral é subsidiária em relação à responsabilidade da instituição financeira ré.

Além do mais, convenço-me de que a autarquia ré deve também ser responsabilidade pelo "vazamento" das informações pessoais do autor a terceiros, permitindo que a fraude se perpetrasse. Trata-se de fato diverso e, portanto, passível de permitir consequências jurídicas autônomas e distintas.

A proteção dos dados pessoais é expressamente garantida pelo art. 5º, LXXIX, da CF e implicitamente tutelada pelo direito fundamental à inviolabilidade da intimidade e da vida privada (art. 5º, X, da CF), além de ser regida no plano infraconstitucional pela Lei 13.709/2018, a Lei Geral de Proteção de Dados Pessoais (LGPD).

A LGPD aplica-se a qualquer operação de tratamento de dados pessoais realizada no território nacional por pessoa natural ou pessoa jurídica, de direito público ou privado (art. 3º, I, da LGPD), de modo que não existe dúvida acerca de sua incidência na presente demanda.

Consoante a LGPD, o tratamento de dados pessoais por pessoas jurídicas de direito público deve ser realizado para o atendimento de sua finalidade pública, na persecução do interesse público, com o objetivo de executar as competências legais ou cumprir as atribuições legais do serviço público (art. 23 da LGPD). A Lei veda que pessoas jurídicas de direito público transfiram dados pessoais a entidades privadas, exceto em situações excepcionais previstas no § 1º do art. 26: (a) em casos de execução descentralizada de atividade pública que exija a transferência, exclusivamente para esse fim específico e determinado, observado o disposto na Lei nº 12.527/2011 (Lei de Acesso à Informação); (b) nos casos em que os dados forem acessíveis publicamente, observadas as disposições desta Lei; (c) quando houver previsão legal ou a transferência for respaldada em contratos, convênios ou instrumentos congêneres; ou (d) na hipótese de a transferência dos dados objetivar exclusivamente a prevenção de fraudes e irregularidades, ou proteger e resguardar a segurança e a integridade do titular dos dados, desde que vedado o tratamento para outras finalidades.

A LGPD impõe responsabilidade civil se o agente de tratamento de dados pessoais causar dano patrimonial, moral, individual ou coletivo a outrem, quer em razão do descumprimento da legislação de proteção de dados pessoais, quer em decorrência da violação da segurança dos dados, por não adotar as medidas de segurança previstas na Lei. Nesse sentido dispõem os arts. 42 e 44, parágrafo único, da LGPD:

Art. 42. O controlador ou o operador que, em razão do exercício de atividade de tratamento de dados pessoais, causar a outrem dano patrimonial, moral, individual ou coletivo, em violação à legislação de proteção de dados pessoais, é obrigado a repará-lo.

§ 1º A fim de assegurar a efetiva indenização ao titular dos dados:

I - o operador responde solidariamente pelos danos causados pelo tratamento quando descumprir as obrigações da legislação de proteção de dados ou quando não tiver seguido as instruções lícitas do controlador, hipótese em que o operador equipara-se ao controlador, salvo nos casos de exclusão previstos no art. 43 desta Lei;

II - os controladores que estiverem diretamente envolvidos no tratamento do qual decorreram danos ao titular dos dados respondem solidariamente, salvo nos casos de exclusão previstos no art. 43 desta Lei.

§ 2º O juiz, no processo civil, poderá inverter o ônus da prova a favor do titular dos dados quando, a seu juízo, for verossímil a alegação, houver hipossuficiência para fins de produção de prova ou quando a produção de prova pelo titular resultar-lhe excessivamente onerosa.

§ 3º As ações de reparação por danos coletivos que tenham por objeto a responsabilização nos termos do caput deste artigo podem ser exercidas coletivamente em juízo, observado o disposto na legislação pertinente.

§ 4º Aquele que reparar o dano ao titular tem direito de regresso contra os demais responsáveis, na medida de sua participação no evento danoso.

Art. 44. O tratamento de dados pessoais será irregular quando deixar de observar a legislação ou quando não fornecer a segurança que o titular dele pode esperar, consideradas as circunstâncias relevantes, entre as quais:

I - o modo pelo qual é realizado;

II - o resultado e os riscos que razoavelmente dele se esperam;

III - as técnicas de tratamento de dados pessoais disponíveis à época em que foi realizado.

Parágrafo único. Responde pelos danos decorrentes da violação da segurança dos dados o controlador ou o operador que, ao deixar de adotar as medidas de segurança previstas no art. 46 desta Lei, der causa ao dano.

A Lei somente exclui a responsabilidade dos agentes de tratamento de dados pessoais se eles provarem: (a) que não realizaram o tratamento de dados pessoais que lhes é atribuído; (b) que, embora tenham realizado o tratamento de dados pessoais que lhes é atribuído, não houve violação à legislação de proteção de dados; ou (c) que o dano é decorrente de culpa exclusiva do titular dos dados ou de terceiro (art. 43 da LGPD).

Recentemente, o c. STJ reconheceu a responsabilidade civil prevista na LGPD em hipótese de vazamento de dados pessoais bancários, nestes termos:

CONSUMIDOR. RECURSO ESPECIAL. AÇÃO DECLARATÓRIA DE INEXIGIBILIDADE DE DÉBITO POR VAZAMENTO DE DADOS BANCÁRIOS CUMULADA COM INDENIZAÇÃO POR DANOS MORAIS E REPETIÇÃO DE INDÉBITO. GOLPE DO BOLETO. TRATAMENTO DE DADOS PESSOAIS SIGILOSOS DE MANEIRA INADEQUADA. FACILITAÇÃO DA ATIVIDADE CRIMINOSA. FATO DO SERVIÇO. DEVER DE INDENIZAR PELOS PREJUÍZOS. SÚMULA 479/STJ. RECURSO ESPECIAL PROVIDO.

1. Ação declaratória de inexigibilidade de débito por vazamento de dados bancários cumulada com indenização por danos morais e repetição de indébito, ajuizada em 13/2/2020, da qual foi extraído o presente recurso especial, interposto em 15/2/2022 e concluso ao gabinete em 19/6/2023.

2. O propósito recursal consiste em decidir se a instituição financeira responde por falha na prestação de serviços bancários, consistente no vazamento de dados que facilitou a aplicação de golpe em desfavor do consumidor.

3. Se comprovada a hipótese de vazamento de dados da instituição financeira, será dela, em regra, a responsabilidade pela reparação integral de eventuais danos. Do contrário, inexistindo elementos objetivos que comprovem esse nexo causal, não há que se falar em responsabilidade das instituições financeiras pelo vazamento de dados utilizados por estelionatários para a aplicação de golpes de engenharia social (REsp 2.015.732/SP, julgado em 20/6/2023, DJe de 26/6/2023).

4. Para sustentar o nexo causal entre a atuação dos estelionatários e o vazamento de dados pessoais pelo responsável por seu tratamento, é imprescindível perquirir, com exatidão, quais dados estavam em poder dos criminosos, a fim de examinar a origem de eventual vazamento e, consequentemente, a responsabilidade dos agentes respectivos. Os nexos de causalidade e imputação, portanto, dependem da hipótese concretamente analisada.

5. Os dados sobre operações bancárias são, em regra, de tratamento exclusivo pelas instituições financeiras. No ponto, a Lei Complementar 105/2001 estabelece que as instituições financeiras conservarão sigilo em suas operações ativas e passivas e serviços prestados (art. 1º), constituindo dever jurídico dessas entidades não revelar informações que venham a obter em razão de sua atividade profissional, salvo em situações excepcionais. Desse modo, seu armazenamento de maneira inadequada, a possibilitar que terceiros tenham conhecimento de informações sigilosas e causem prejuízos ao consumidor, configura defeito na prestação do serviço (art. 14 do CDC e art. 44 da LGPD).

6. No particular, não há como se afastar a responsabilidade da instituição financeira pela reparação dos danos decorrentes do famigerado "golpe do boleto", uma vez que os criminosos têm conhecimento de informações e dados sigilosos a respeito das atividades bancárias do consumidor. Isto é, os estelionatários sabem que o consumidor é cliente da instituição e que encaminhou e-mail à entidade com a finalidade de quitar sua dívida, bem como possuem dados relativos ao próprio financiamento obtido (quantidade de parcelas em aberto e saldo devedor do financiamento).

7. O tratamento indevido de dados pessoais bancários configura defeito na prestação de serviço, notadamente quando tais informações são utilizadas por estelionatário para facilitar a aplicação de golpe em desfavor do consumidor.

8. Entendimento em conformidade com Tema Repetitivo 466/STJ e Súmula 479/STJ: "As instituições financeiras respondem objetivamente pelos danos gerados por fortuito interno relativo a fraudes e delitos praticados por terceiros no âmbito de operações bancárias".

9. Recurso especial conhecido e provido para reformar o acórdão recorrido e reestabelecer a sentença proferida pelo Juízo de primeiro grau.

(STJ, 3ª Turma, REsp n. 2.077.278/SP, relatora Ministra Nancy Andrighi, julgado em 3/10/2023, DJe de 9/10/2023).

No presente caso, existem elementos objetivos que comprovam o nexo causal entre o vazamento de dados pessoais pelo INSS e a atuação dos fraudadores em prejuízo da parte autora. Com efeito, a aposentadoria do autor foi concedida com DIB em 27/04/2023 e o contrato de empréstimo foi celebrado em 10/05/2023, menos de duas semanas depois e bem antes da data prevista para quitação da primeira parcela da aposentadoria (prevista para agosto/2023). O autor afirma que ficou sabendo do deferimento de sua aposentadoria pela ligação telefônica que recebeu (caracterizadora da fraude aqui narrada) antes mesmo de ser comunicado pelo próprio INSS, formalmente, desse fato. É lamentável que o INSS compartilhe (ou permita o compartilhamento) de informações sobre o deferimento de benefícios previdenciários aos cidadãos brasileiros a instituições inescrupulosas antes mesmo do acesso à informação do próprio beneficiário quanto ao êxito de sua pretensão.

A par disso, o INSS não se desincumbiu do ônus de comprovar a efetiva adoção de medidas de segurança aptas a proteger os dados pessoais dos cidadãos, nem de demonstrar a ocorrência de alguma das causas excludentes de responsabilidade previstas no art. 43 da LGPD. Ao contrário, a primeira medida de segurança mencionada na contestação da autarquia ré, consistente na alteração da Instrução Normativa INSS nº 28/2008 para: (a) bloquear a consignação de empréstimos em benefícios de aposentadoria, pensão por morte e BPC da LOAS  até que haja autorização expressa por parte de seu titular e limitar tal autorização apenas ao período após 90 dias contados da data de despacho do benefício (art. 1º, §§ 1º e 2º, da IN INSS 28/2008, com redações dadas pelas IN INSS 134/2022 e 111/2020); e (b)  proibir as instituições consignatárias acordantes de realizar qualquer oferta, proposta, publicidade ou atividade tendente a convencer o beneficiário do INSS a celebrar contrato de empréstimo consignado antes do decurso de 180 dias contados da data de despacho do benefício (art. 1º, § 3º, da IN INSS 28/2008, com redação dada pela IN INSS 134/2022), mostrou-se flagrantemente inócua no presente caso, já que a aposentadoria do autor foi concedida com DIB em 27/04/2023 e o contrato de empréstimo foi celebrado poucos dias depois, em 10/05/2023, tendo a consignação sido incluída no sistema previdenciário exatamente no 91º dia após a DIB (em 28/07/2023 – id. 301652526 - Pág. 2), mas sem qualquer prova de que houve consentimento expresso da parte autora para essa operação.

Em suma, uma vez caracterizado o tratamento irregular de dados pessoais por parte do INSS (quer em razão da inobservância da norma que veda a transferência de dados pessoais a entidades privadas, quer por força da omissão do dever de adotar medidas de segurança aptas a proteger os dados pessoais dos cidadãos), e comprovado o nexo causal entre o vazamento dos dados e a atuação dos fraudadores em prejuízo da parte autora, reconheço a obrigação de a autarquia ré reparar os danos extrapatrimoniais sofridos pela parte autora, nos termos dos arts. 42 e 44, parágrafo único, da LGPD. Considerando as finalidades da reparação do dano extrapatrimonial - (a) a reparação do dano na medida de sua extensão, sem causar enriquecimento fácil ao lesado nem prejuízo desproporcional ao causador do dano; (b) o aspecto pedagógico, a fim de servir para evitar a reiteração na prática de atos lesivos como o que gerou a indenização e (c) o caráter sancionador, de modo que o valor a ser fixado deve guardar correlação com a gravidade da conduta lesiva - entendo por equidade que o valor de R$ 10 mil mostra-se suficiente para reparar o dano extrapatrimonial sofrido pela parte autora, com incidência da SELIC a partir da data desta sentença (súmula 362 do STJ).

Enfatizo que, pelo que foi narrado pelo autor em seu depoimento pessoal e confirmado pela prova produzida nos autos, aparentemente o banco tomou conhecimento do deferimento da aposentadoria pelo INSS mesmo antes do próprio autor, o que se mostra absurdo e representativo da violação, pelo INSS, do seu dever de manter sigilo sobre os dados dos segurados.

Sem mais delongas, passo ao dispositivo.

POSTO ISSO, julgo parcialmente procedente o pedido da parte autora e, nos termos do artigo 487, inciso I, do Código de Processo Civil, soluciono o feito com resolução de mérito para o fim de, confirmando a tutela de urgência:

a) declarar a inexistência dos contratos nº 50-013497187/23, nº 52-2325199/23 e nº 53-2325200/23;

b) condenar os réus a se absterem de realizar atos de cobrança dos aludidos contratos, especialmente por meio de descontos no benefício previdenciário de aposentadoria por idade NB 211.273.284-0;

c) condenar os réus a restituírem os valores descontados ilegalmente do benefício previdenciário da parte autora por força dos aludidos contratos, com incidência da SELIC desde a data de cada desconto, sendo a responsabilidade do INSS subsidiária em relação à da instituição financeira;

d) condenar os réus a pagarem à parte autora o valor de R$ 10.000,00 (dez mil reais) a título de danos morais, com incidência da SELIC a partir da data desta sentença, sendo a responsabilidade do INSS subsidiária em relação à da instituição financeira; e

e) condenar o INSS a pagar à parte autora o valor de R$ 10.000,00 (dez mil reais) a título de danos extrapatrimoniais decorrentes da violação do direito à proteção de dados pessoais, com incidência da SELIC a partir da data desta sentença.

Sem custas e sem honorários advocatícios nessa instância (artigo 55 da Lei nº 9.099/95 c.c. o art. 1º da Lei nº 10.259/01).

[...]

No caso concreto, o autor recebe o seu benefício previdenciário pelo Banco Bradesco e a contratação irregular do crédito foi efetuada no âmbito do Banco Daycoval S/A.

Diante dessa constatação, no que diz respeito às tutelas declaratória e inibitória contidas no dispositivo da sentença, bem como à obrigação de ressarcir o prejuízo patrimonial (dano material) e à obrigação de compensar o dano moral (ou extrapatrimonial), além da maneira de correção da dívida, entendo que a sentença examinou de forma clara, coerente e fundamentada os fatos e fundamentos jurídicos correspondentes, proporcionando uma solução adequada ao conflito. Sendo assim, nos termos do art. 46 da Lei nº 9.099/1995, adoto como razões de decidir seus argumentos nesses pontos, notadamente por se harmonizarem com tese fixada pela Turma Nacional de Uniformização no Tema 183, isto é:

I - O INSS não tem responsabilidade civil pelos danos patrimoniais ou extrapatrimoniais decorrentes de “empréstimo consignado”, concedido mediante fraude, se a instituição financeira credora é a mesma responsável pelo pagamento do benefício previdenciário, nos termos do art. 6º, da Lei n. 10.820/03; II – O INSS pode ser civilmente responsabilizado por danos patrimoniais ou extrapatrimoniais, se demonstrada negligência, por omissão injustificada no desempenho do dever de fiscalização, se os “empréstimos consignados” forem concedidos, de forma fraudulenta, por instituições financeiras distintas daquelas responsáveis pelo pagamento dos benefícios previdenciários. A responsabilidade do INSS, nessa hipótese, é subsidiária em relação à responsabilidade civil da instituição financeira.

A sentença apenas merece um retoque no atinente ao valor arbitrado a título de danos morais ou extrapatrimoniais.

Em resumo, o arbitramento da indenização deve observar os princípios da razoabilidade e da proporcionalidade, de maneira que não atinja valores exorbitantes nem, por outro lado, ínfimos, considerando valores estipulados em hipóteses semelhantes e as particularidades do caso concreto, tais como: a natureza do bem jurídico tutelado; a intensidade do sofrimento ou da humilhação; a possibilidade de superação física ou psicológica; os reflexos pessoais e sociais da ação ou da omissão; a extensão e a duração dos efeitos da ofensa; as condições em que ocorreu a ofensa ou o prejuízo moral; o grau de dolo ou culpa; a ocorrência de retratação espontânea; o esforço efetivo para minimizar a ofensa; o perdão, tácito ou expresso; a situação social e econômica das partes envolvidas; o grau de publicidade da ofensa etc.

No presente caso, a sentença condenou o banco réu a pagar dano moral de R$ 10.000,00 (dez mil reais), assim como o INSS, de forma subsidiária, e também condenou o INSS, isoladamente, a pagar R$ 10.000,00 (dez mil reais) "a título de danos extrapatrimoniais decorrentes da violação do direito à proteção de dados pessoais".

O pretenso vazamento de dados do segurado (inobservância da LGPD), que pode constituir um meio utilizado para a fraude, não justifica a condenação autônoma do INSS a arcar com o pagamento dos danos morais ou extrapatrimoniais em decorrência do ilícito consistente na contratação irregular dos empréstimos bancários, sob pena de "bis in idem" e ofensa à tese estipulada no Tema 183 da TNU.

Tendo em vista que foram contratados três empréstimos irregulares, a circunstância de o autor ser idoso, o tempo despendido da data do fato até a obtenção da tutela provisória (cerca de três meses), bem como o fato, citado na sentença, de que a parte autora depositou voluntariamente a soma dos valores creditados em sua conta bancária a título de empréstimo, tendo os réus, apesar disso, se recusado a resolver a pendência consensualmente, entendo que o valor de R$ 10.000,00 (dez mil reais), considerando as peculiaridades do caso concreto, é suficiente para reparar a ofensa aos danos extrapatrimoniais ou morais envolvidos - independentemente do nome que se atribua à ofensa à relação não patrimonial -, sendo a responsabilidade do INSS meramente subsidiária (Tema 183/TNU), isto é, somente responderá, a autarquia, no caso de o devedor principal (o banco corréu) não quitar a sua obrigação.

Pelo exposto, NEGO PROVIMENTO ao recurso do corréu BANCO DAYCOVAL S/A e DOU PARCIAL PROVIMENTO ao recurso do INSS para definir o valor da reparação por dano extrapatrimonial, neste englobado o conceito de dano moral, no valor total de R$ 10.000,00 (dez mil reais), a ser pago pelo corréu BANCO DAYCOVAL S/A como devedor principal, cabendo a responsabilidade do INSS apenas de forma subsidiária, nos termos da tese do Tema 183 da TNU.

No mais, fica mantida a sentença nos termos em que proferida.

É o voto.