Conta invadida por hackers: qual a responsabilidade civil das redes sociais?

As redes sociais, inegavelmente, possuem grande relevância na vida de todos. Com o advento da tecnologia surgiram novos costumes e facilidades, de modo que essas plataformas se tornaram um meio que proporciona interação pessoal bem como a realização de exposição de trabalhos profissionais e venda de produtos.

Entretanto, aliadas às facilidades e possibilidades originadas com o desenvolvimento e difusão dos novos meios de comunicação e interação social, surgiram diversas modalidades de golpes e fraudes praticadas no ambiente virtual.

Diante desse cenário, o direito precisa acompanhar a evolução dos novos costumes e formas de relações interpessoais e profissionais praticadas via internet, para que as vítimas dessas novas modalidades de ilícitos não fiquem desamparadas.

Uma das modalidades de golpe mais conhecida e que vem ocorrendo com cada vez maior frequência, são as invasões das contas em redes sociais (hacker toma a conta do usuário, impedindo que o verdadeiro titular possa administrar o seu perfil).

Em primeiro momento importante salientar que já existe responsabilização penal para o agente que pratica esse tipo de delito, conforme previsto no art. 154 do Código Penal¹:

Art. 154. Invadir dispositivo informático de uso alheio, conectado ou não à rede de computadores, com o fim de obter, adulterar ou destruir dados ou informações sem autorização expressa ou tácita do usuário do dispositivo ou de instalar vulnerabilidades para obter vantagem ilícita: [...].

Ademais, além da responsabilidade penal também é possível a vítima ingressar com o pleito indenizatório na seara cível contra o agente que praticou diretamente o delito de invasão.

Contudo, independente da identificação e punição que pode ser aplicada ao agente criminoso, surge o seguinte questionamento: se as empresas provedoras das redes sociais também possuem alguma responsabilidade sobre os fatos.

Sobre essas questões, os entendimentos mais recentes lecionam que as empresas possuidoras das redes sociais podem responder civilmente quando não tomarem providências para coibir essas práticas criminosas.

Destarte, a vítima da fraude deve comunicar a empresa responsável pela plataforma, para que esta possa tomar as medidas cabíveis. Todavia, caso a empresa se mantenha inerte, poderá ser responsabilizada por sua desídia.

A respeito dessa da temática, um dos primeiros julgados de maior relevância foi proferido pelo STJ, que também foi elencado no informativo 500², o qual previa que:

REDES SOCIAIS. MENSAGEM OFENSIVA. REMOÇÃO. PRAZO.

A turma entendeu que, uma vez notificado de que determinado texto ou imagem possui conteúdo ilícito, o provedor deve retirar o material do ar no prazo de 24 horas, sob pena de responder solidariamente com o autor direto do dano, pela omissão praticada. Consignou-se que, nesse prazo (de 24 horas), o provedor não está obrigado a analisar o teor da denúncia recebida, devendo apenas promover a suspensão preventiva das respectivas páginas, até que tenha tempo hábil para apreciar a veracidade das alegações, de modo que, confirmando-as, exclua definitivamente o perfil ou, tendo-as por infundadas, restabeleça o seu livre acesso. Entretanto, ressaltou-se que o diferimento da análise do teor das denúncias não significa que o provedor poderá postergá-la por tempo indeterminado, deixando sem satisfação o usuário cujo perfil venha a ser provisoriamente suspenso. Assim, frisou-se que cabe ao provedor, o mais breve possível, dar uma solução final para o caso, confirmando a remoção definitiva da página de conteúdo ofensivo ou, ausente indício de ilegalidade, recolocá-la no ar, adotando, na última hipótese, as providências legais cabíveis contra os que abusarem da prerrogativa de denunciar. Por fim, salientou-se que, tendo em vista a velocidade com que as informações circulam no meio virtual, é indispensável que sejam adotadas, célere e enfaticamente, medidas tendentes a coibir a divulgação de conteúdos depreciativos e aviltantes, de sorte a reduzir potencialmente a disseminação do insulto, a fim de minimizar os nefastos efeitos inerentes a dados dessa natureza. REsp 1.323.754-RJ, Rel. Min. Nancy Andrighi, julgado em 19/6/12.

É possível observar que a empresa responsável pela rede social poderá ser responsabilizada civilmente caso haja com desídia e não realize a suspensão da publicação que possui conteúdo ilícito. Nota-se que a empresa não responde pela prática do ilícito, mas sim pela sua inércia e por deixar de praticar medidas que visem coibir os atos criminosos.

Em consonância com esse entendimento, os Tribunais pátrios vêm adotando o posicionamento de que existe relação de consumo entre os usuários e as empresas fornecedoras das redes sociais, dessa forma incide a previsão do art. 14 do Código de Defesa do Consumidor:

Art. 14. O fornecedor de serviços responde, independentemente da existência de culpa, pela reparação dos danos causados aos consumidores por defeitos relativos à prestação dos serviços, bem como por informações insuficientes ou inadequadas sobre sua fruição e riscos.

§ 1° O serviço é defeituoso quando não fornece a segurança que o consumidor dele pode esperar, levando-se em consideração as circunstâncias relevantes, entre as quais:

I - o modo de seu fornecimento;

II - o resultado e os riscos que razoavelmente dele se esperam;

III - a época em que foi fornecido.

Sendo assim, torna-se possível a condenação das plataformas ao pagamento de indenização aos seus usuários quando há falha na prestação do serviço ou quando existe alguma fragilidade no sistema de segurança que propicie a aplicação de fraudes.

Com relação às contas em rede social hackeadas, houveram dois julgados recentes que formaram precedentes acerca da temática.

O primeiro caso foi sentenciado em 02 de julho de 2021 pelo TJ/DF e Territórios, no qual a empresa Facebook Serviços Online do Brasil foi condenada a indenizar uma usuária da rede social Instagram que teve seu perfil invadido por hackers. A sentença, que foi mantida em sede recursal, condenou a empresa por entender que houve falha na prestação de serviço e por falha na segurança dos dados pessoais.

A autora alegou que mantinha conta no Instagram para divulgar produtos que comercializava, entretanto, em agosto de 2020 o perfil foi tomado por hackers que excluíram todas as postagens e impediram o seu acesso. Com isso a autora sofreu prejuízos na sua atividade comercial, pois vários clientes cancelaram seus pedidos, da mesma forma que ela ficou impossibilitada de conversar com os demais consumidores.

Em sua defesa e empresa defendeu que não houve falha na prestação de serviço, pois a obrigação dos provedores de internet é de armazenar os registros de acesso, sendo responsabilidade do usuário a criação e guarda da senha e dados de login.

O presente caso teve o seguinte julgamento:

JUIZADO ESPECIAL CÍVEL. DIREITO DO CONSUMIDOR E DIREITO CIVIL. CONTA EM REDE SOCIAL. INSTAGRAM. APROPRIAÇÃO POR TERCEIROS (HACKER) DE PERFIL DE USUÁRIO EM REDE SOCIAL. FALHA NA PRESTAÇÃO DE SERVIÇOS. INEXISTÊNCIA DE CULPA EXCLUSIVA DO CONSUMIDOR. RESTABELECIMENTO DA CONTA. DANOS MORAIS. QUANTUM. PROPORCIONALIDADE E RAZOABILIDADE. RECURSO CONHECIDO E NÃO PROVIDO. 

[...]

7. No caso concreto, a questão controvertida cinge-se na responsabilidade da ré quanto a segurança da conta oferecida ao usuário pela plataforma. De acordo com o art. 14, § 1.º , da lei 8.078/90, o serviço prestado pela parte ré é defeituoso, pois não fornece a segurança que dele se pode esperar.

8. A parte ré, com a finalidade de auferir lucros, implantou sistema eletrônico (simplesmente senhas) para manutenção da conta do Instagram e Facebook, sem a devida segurança, já que não impossibilitou a ação de terceiros fraudadores que usurparam o acesso da conta da parte autora. Fato é que a ré age de forma negligente ao deixar de manter um sistema que impeça a invasão por hackers, como ocorreu no caso em apreço.

[...]

10. Dessa forma, correta a sentença que determinou a ré que restabeleça a conta da autora nas mesmas condições antes da conta ser hackeada. Quanto à alegação de ser impossível tal obrigação, a ré também não comprovou que não é possível restabelecer a conta tal como determinado, devendo eventual impossibilidade de cumprir a obrigação ser comprovada quando do cumprimento da sentença, hipótese em que poderá ser convertida em perdas e danos, a serem fixados pelo e. juízo de origem. 

11. No que concerne ao dano extrapatrimonial, ainda que o mero inadimplemento contratual, isoladamente considerado, não se mostre suficiente à configuração do dano moral, no caso concreto, a situação vivenciada (perda do acesso ao perfil em rede social da requerida; ineficiência dos mecanismos de recuperação da conta de usuário) ultrapassa a esfera do mero aborrecimento e constitui afronta aos atributos da personalidade, a subsidiar a pretendida reparação (CF, art. 5º, V e X). 

[...]

13. Recurso conhecido e não provido. Sentença mantida por seus próprios fundamentos.

[...]

(TJDFT, Recurso Inominado 0731175-53.2020.8.07.0016, Acórdão 1335802, Segunda turma Recursal dos Juizados Especiais do Distrito Federal, Rel. Juiz Arnaldo Corrãša Silva, DJ: 02/07/21, DP: 05/07/21).

Ou seja, a turma recursal reconheceu que a empresa responsável pela rede social agiu com negligência, não disponibilizando todos os meios de segurança necessários, de forma que essa sua falha na prestação do serviço gerou danos a usuária, justificando assim a condenação.

O segundo caso foi julgado pelo 3°Juizado Especial Cível de Brasília³. Nessa situação a empresa Facebook Serviços Online do Brasil foi condenada a indenizar o titular de perfil do Instagram hackeado após a empresa agir com desídia e não realizar a exclusão de contas falsas vinculadas.

O autor alega que teve seu perfil invadido por terceiros e identificou que outras duas contas vinculadas ao seu nome estavam ativas na rede social, mesmo após solicitar a exclusão delas por diversas vezes não obteve sucesso.

Ao sentenciar referido caso, o magistrado entendeu que houve falha na prestação de serviço da empresa, na medida em que não foi ofertado sistema de segurança capaz de impedir a invasão da conta por terceiros, além disso apresentou vício no serviço, caracterizado pela demora na exclusão das contas falsas.

Por fim, o juízo entendeu que a demora no reestabelecimento da conta ao usuário original consistiu em conduta desidiosa que menosprezou os direitos do consumidor, justificando assim a condenação a título de danos morais e da obrigação de remover do Instagram as contas falsas, sob pena de multa diária.

Portanto, conforme acima demonstrado, é possível evidenciar a aplicação do Código de Defesa do Consumidor nesses tipos de relações, ademais, a tendência, a depender do caso concreto, é a responsabilização da empresa que oferta os serviços de mídias sociais quando ela não prestar o seu atendimento com o devido zelo e eficiência necessários para garantir a segurança dos usuários que fazem uso de suas plataformas.

Ester Côco Bragantine
Graduanda em Direito pela Unioeste - Universidade Estadual do Oeste do Paraná. Colaboradora do escritório Fonsatti Advogados Associados.