STJ. REsp 1.885.201-SP

Enunciado: Inicialmente cumpre salientar que as criptomoedas utilizam a tecnologia blockchain, a qual é baseada na confiança na rede e viabiliza, de forma inovadora, a realização de transações online sem a necessidade de um intermediário. O blockchain fornece, assim, segurança à rede, estando assentado em quatro pilares: (i) segurança das operações, (ii) descentralização de armazenamento, (iii) integridade de dados e (iv) imutabilidade de transações. Segundo a doutrina "para realizar transações em bitcoins, após a criação da carteira e a presença de bitcoins nela, o usuário poderá criar 'endereços Bitcoin' (instruções de pagamento intra sistema que ditam o fluxo de pagamento) indicando quantas bitcoins devem ser entregues a qual carteira e quando tal transferência deve ocorrer. Cada transação específica somente pode ser realizada mediante a utilização de senha específica que cada pagador e cada recebedor tem de digitar, chamada de 'private key', um sistema que se vale de criptografia para proteção das informações". A chave privada viabiliza o acesso do usuário à sua carteira de bitcoins, na qual constam informações sobre as criptomoedas controladas e é possível a realização de pagamentos a outros usuários. A chave privada não deve, destarte, ser revelada e deve ser guardada pelo usuário, já que inexiste, atualmente, maneira de recuperá-la. No âmbito do Código de Defesa do Consumidor, a responsabilidade do fornecedor prescinde do elemento culpa, pois funda-se na teoria do risco da atividade (REsp 1.580.432/SP, DJe 04/02/2019). Em consequência, para emergir a responsabilidade do fornecedor de serviços, é suficiente a comprovação (i) do dano; (ii) da falha na prestação dos serviços e (iii) do nexo de causalidade entre o prejuízo e o vício ou defeito do serviço. Com relação ao último pressuposto, o dever de indenizar só nasce quando houver um liame de causalidade entre a conduta do agente e o resultado danoso. No caso, o recorrente atribui à recorrida a responsabilidade pelos danos materiais suportados pois, segundo alega, ao acessar o seu e-mail, o hacker teve acesso à mensagem eletrônica contendo o link enviado pela empresa gerenciadora das criptomoedas. Ocorre que o acesso à carteira de criptomoedas exige, necessariamente, a indicação da chave privada. Ou seja, ainda que a gerenciadora adote o sistema de dupla autenticação, qual seja, digitação da senha e envio, via e-mail, do link de acesso temporário, a simples entrada neste é insuficiente para propiciar o ingresso na carteira virtual e, consequentemente, viabilizar a transação das cryptocoins. Deste modo, não configurado o nexo de causalidade, é descabida a pretendida responsabilidade pelo prejuízo material experimentado.

Tese Firmada: O provedor de aplicações que oferece serviços de e-mail não pode ser responsabilizado pelos danos materiais decorrentes da transferência de bitcoins realizada por hacker.

Questão Jurídica: Responsabilidade civil. Invasão de hacker à conta de e-mail. Transferência de bitcoins. Danos materiais. Nexo de causalidade não configurado.

Ementa: CIVIL E PROCESSUAL CIVIL. RECURSO ESPECIAL. RESPONSABILIDADE CIVIL. AÇÃO DE COMPENSAÇÃO DE DANOS MATERIAIS E MORAIS. INVASÃO DE HACKER À CONTA DE E-MAIL. NEGATIVA DE PRESTAÇÃO JURISDICIONAL. AUSÊNCIA. PROVA PERICIAL. INDEFERIMENTO DEVIDAMENTE FUNDAMENTADO. INOBSERVÂNCIA DO PRINCÍPIO DA CONCENTRAÇÃO DA DEFESA. AFETAÇÃO APENAS DAS QUESTÕES DE FATO. IMPOSIÇÃO DE RECUPERAÇÃO DE MENSAGENS EXCLUÍDAS. IMPOSSIBILIDADE. VIOLAÇÃO AO PRINCÍPIO DA NÃO SURPRESA. INOCORRÊNCIA. TRANSFERÊNCIA DE BITCOINS. DANOS MATERIAIS. NEXO DE CAUSALIDADE NÃO CONFIGURADO. INDENIZAÇÃO POR DANOS MORAIS. MAJORAÇÃO. INCIDÊNCIA DA SÚMULA 7/STJ. ASTREINTES. REVISÃO. DESCABIMENTO (SÚMULA 7/STJ). 1. Ação de compensação de danos materiais e morais ajuizada em 10/10/2017, da qual foi extraído o presente recurso especial interposto em 20/03/2020 e concluso ao gabinete em 24/08/2020. 2. O propósito recursal consiste em definir se a) houve negativa de prestação jurisdicional; b) o dever de fundamentar o indeferimento do pedido de produção de prova foi observado; c) a parte recorrida atendeu ao princípio da concentração da defesa e quais os efeitos decorrentes de eventual descumprimento; d) o provedor de aplicação tem a obrigação legal de recuperar as informações deletadas; e) foi prolatada decisão surpresa; f) é cabível a responsabilização da recorrida pelos danos materiais consistentes na transferência de bitcoins realizada por hacker; g) o quantum arbitrado a título de indenização por danos morais comporta revisão e h) o valor do teto fixado para as astreintes é irrisório. 3. É firme a orientação desta Corte de que o órgão julgador não é obrigado a rebater, um a um, todos os argumentos trazidos pelas partes em defesa das teses apresentadas. Deve apenas enfrentar a demanda, observando as questões relevantes e imprescindíveis à sua resolução. 4. O art. 370, parágrafo único, do CPC/2015 cristaliza os princípios da persuasão racional e da livre admissibilidade da prova, autorizando o juiz a indeferir as diligências inúteis ou meramente protelatórias. Assim, a decisão que indefere a prova pericial com fundamento na sua inutilidade para a resolução do litígio está em conformidade com esse dispositivo legal. 5. O princípio da concentração da defesa ou da eventualidade impõe ao réu o ônus de impugnar, especificadamente, as alegações de fato formuladas pelo autor, sob pena de serem havidas como verdadeiras (art. 341 do CPC/2015). A presunção de veracidade decorrente da ausência de impugnação, todavia, é relativa, não impedindo que o julgador, à luz das provas produzidas no processo, forme livremente a sua convicção, bem como atinge apenas as questões de fato. 6. No Marco Civil da Internet, há apenas duas categorias de dados que devem ser obrigatoriamente armazenados: os registros de conexão (art. 13) e os registros de acesso à aplicação (art. 15). A restrição dos dados a serem armazenados pelos provedores de conexão e de aplicação visa a garantir a privacidade e a proteção da vida privada dos cidadãos usuários da Internet. Não há, assim, previsão legal atribuindo aos provedores de aplicações que oferecem serviços de e-mail, como é o caso da recorrida, o dever de armazenar as mensagens recebidas ou enviadas pelo usuário e que foram deletadas. 7. "O enunciado processual da "não surpresa" não implica exigir do julgador que toda solução dada ao deslinde da controvérsia seja objeto de consulta às partes antes da efetiva prestação jurisdicional, mormente quando já lhe foi oportunizada manifestação acerca do ponto em discussão" (AgInt no REsp 1841905/MG, DJe 02/09/2020). 8. As criptomoedas utilizam a tecnologia blockchain, a qual é baseada na confiança na rede e viabiliza, de forma inovadora, a realização de transações online sem a necessidade de um intermediário. O funcionamento das criptomoedas é complexo e, entre outros mecanismos, envolve algoritmos e criptografia de ponta a ponta. O acesso à carteira de bitcoins, para a consulta das moedas virtuais e realização de operações, somente pode ser realizado mediante a utilização de senha específica (chave privada), de modo que não deve ser revelada pelo usuário. 9. Na espécie, é incontroverso que o recorrente teve a sua conta de e-mail invadida por um hacker, o qual também acessou a sua carteira de bitcoins e transferiu criptomoeadas para a conta de outro usuário. Todavia, é descabida a atribuição de responsabilidade à recorrida por tais danos materiais, porquanto, ainda que a gerenciadora adote o sistema de dupla autenticação, qual seja, digitação da senha e envio, via e-mail, do link de acesso, a simples entrada neste é insuficiente para propiciar o ingresso na carteira e virtual e, consequentemente, a transação das cryptocoins. Logo, a ausência de nexo causal entre o dano e a conduta da recorrida obsta a atribuição a esta da responsabilidade pelo prejuízo material experimentado pelo recorrente. 10. A modificação do valor fixado a título de danos morais somente é permitida quando a quantia estipulada for irrisória ou exagerada. Precedentes. Na hipótese, o valor arbitrado não se revela irrisório, o que impede a sua revisão por esta Corte. 11. A revisão do valor das astreintes só pode ser realizada em sede de recurso especial nos casos em que se mostrar irrisório ou exorbitante, sob pena de ofensa ao enunciado da Súmula 7/STJ. Precedentes. A adequação do montante fixado deve ser aferida tendo em conta a prestação que ela objetiva o devedor a cumprir. Na espécie, o valor estabelecido como teto para a multa não se revela irrisório, sobretudo porque fora fixada como forma de compelir a recorrida a fornecer as informações necessárias à identificação do invasor da conta de e-mail do recorrente, não guardando relação direta com o pleito de condenação ao pagamento de indenização por danos materiais. 12. Entre os acórdãos trazidos à colação não há o necessário cotejo analítico nem a comprovação da similitude fática, elementos indispensáveis à demonstração da divergência. 13. Recurso especial parcialmente conhecido e, nessa extensão, não provido. (STJ. REsp 1.885.201-SP, Rel. Min. Nancy Andrighi, Terceira Turma, por unanimidade, julgado em 23/11/2021, DJe 25/11/2021. - Publicado no Informativo nº 719)