O vazamento de dados do consumidor em website destinado a compras on-line, ainda que por curto período, revela falha de segurança e gera dano moral indenizável. A conclusão, unânime, é da 26ª Câmara de Direito Privado do Tribunal de Justiça de São Paulo (TJ-SP), que condenou a empresa Sodimac a indenizar um cliente em R$ 2 mil. O colegiado aplicou ao caso a Lei Geral de Proteção de Dados Pessoais (LGPD, Lei 13.709/2018).

O julgamento, feito no último dia 22 de junho, reformou sentença do juiz Gustavo Henrichs Favero, da 4ª Vara de Cubatão. O magistrado tinha julgado a ação improcedente e o seu autor, um vigilante de 42 anos, só não foi condenado a pagar as custas e despesas processuais, bem como os honorários advocatícios da parte contrária, porque lhe foi deferida a gratuidade de justiça.

"O dano da parte autora não restou comprovado. E não há como se indenizar uma expectativa de dano", sentenciou Favero, no dia 18 de março de 2021. Por meio dos advogados Antonio Carlos de Castro Machado Júnior e Luiz Marcelo Pinto dos Santos, da Advocacia Castro Machado, o vigilante apelou ao TJ-SP. A defesa da ré não apresentou contrarrazões ao recurso do autor.

Alerta de terceiro
Castro Machado e Luiz Marcelo narraram na inicial que o cliente adquiriu uma parafusadeira elétrica por R$ 427,00 por meio do website da Sodimac, no dia 22 de setembro de 2020. Na mesma data, horas após a compra virtual, por meio do WhatsApp, um desconhecido alertou o vigilante que os seus dados estavam expostos a qualquer pessoa no canal da empresa pela internet.

O informante comprovou o que disse enviando pelo WhatsApp prints da tela de seu computador com os dados vazados. Até o número do cartão de crédito do cliente, utilizado na transação, estava público na loja virtual. Imediatamente, o vigilante alterou a sua senha naquele site de compras. Após várias tentativas por telefone, o consumidor só conseguiu relatar o problema a um funcionário da Sodimac três dias depois.

Com a finalidade de se resguardar de eventuais fraudes cometidas com os seus dados, o vigilante também registrou boletim de ocorrência. Machado Júnior destacou que a vulnerabilidade à qual o cliente foi exposto com o vazamento de informações pessoais lhe gerou "grande dor". Ainda conforme o advogado, "sabe-se lá o que mais poderia advir desse erro crasso cometido pela requerida, se não fosse a intervenção do próprio autor".

Acórdão
De acordo com o desembargador Renato Sartorelli, relator do recurso de apelação, a ré não justificou de forma satisfatória na contestação o evento descrito pelo consumidor. Conforme a empresa, ainda que "pequenos problemas" como os denunciados pelo vigilante possam "muito raramente" ocorrer, ela adota diversos protocolos de segurança para resolvê-los rapidamente, por meio de sua equipe de Segurança da Informação.

Conjugando regras do Código de Defesa do Consumidor (CDC) e da LGPD citadas na inicial, o relator concluiu que "ultrapassa o mero aborrecimento o consumidor ter seus dados pessoais expostos na internet, ferindo legítima expectativa de ter sua privacidade preservada ao realizar compra on-line, sendo objetiva a responsabilidade da ré por eventual falha em seu sistema eletrônico".

Ainda conforme Sartorelli, cujo voto foi seguido pelos desembargadores Vianna Cotrim e Felipe Ferreira, o defeito na segurança do website de empresa que realiza vendas on-line insere-se no risco da atividade desenvolvida e deve ser suportado pela fornecedora. Além disso, a LGPD dispõe que o operador de dados pessoais deve responder por dano decorrente de falha de segurança, sem prejuízo da aplicabilidade das disposições do CDC.

O preço da ferramenta, a extensão do sofrimento experimentado pelo autor, a capacidade econômica das partes e o grau de culpabilidade da ré foram considerados na fixação da indenização. Para o colegiado, R$ 2 mil atendem ao princípio da razoabilidade, pois evita a insignificância da verba indenizatória e o enriquecimento sem causa do ofendido. A Sodimac também foi condenada a pagar as despesas do processo e os honorários advocatícios.