Biometria facial, falha sistêmica e responsabilidade objetiva: o recado técnico do TJ-SP ao sistema financeiro

A recente decisão da 12ª Câmara de Direito Privado do Tribunal de Justiça de São Paulo não deve ser lida como um caso isolado de fraude bancária, mas como um marco relevante na consolidação do entendimento jurídico sobre autenticação biométrica, risco do negócio e responsabilidade objetiva das instituições financeiras.

O julgamento envolveu o chamado “golpe da cafeteira”, no qual um aposentado teve sua identidade fraudada a partir do uso de uma foto estática de seu rosto, captada por terceiros, que foi aceita pelo aplicativo bancário como suposta biometria facial válida. A partir dessa autenticação defeituosa, foram contratados empréstimos e realizadas transferências via Pix que superaram R$ 12 mil.

Superação da culpa concorrente e reforço do dever de segurança

Em primeira instância, a sentença havia reconhecido culpa concorrente, atribuindo parte da responsabilidade ao consumidor sob o argumento de que teria sido negligente ao permitir a fotografia. O acórdão reformou integralmente essa conclusão.

A relatora, desembargadora Sandra Galhardo Esteves, afastou de forma expressa a tentativa de deslocar o ônus do risco ao consumidor e reconheceu a existência de falha de segurança grosseira, decorrente da aceitação de imagem estática como prova de vida para a liberação de crédito e execução de operações financeiras relevantes.

Do ponto de vista jurídico, a decisão é clara ao afirmar que não se pode exigir do consumidor médio, e menos ainda do consumidor idoso, conhecimento técnico sobre os limites e fragilidades dos sistemas de autenticação adotados pelas instituições financeiras.

Aplicação direta da Súmula 479 do STJ e do CDC. O fundamento central do acórdão está na aplicação da Súmula 479 do Superior Tribunal de Justiça, segundo a qual:

“As instituições financeiras respondem objetivamente pelos danos gerados por fortuito interno relativo a fraudes e delitos praticados por terceiros no âmbito de operações bancárias.”

A fraude, portanto, não rompe o nexo causal, pois decorre de risco inerente à própria atividade econômica. Trata-se de típico fortuito interno, cuja consequência jurídica é a responsabilização integral do fornecedor, nos termos do art. 14 do Código de Defesa do Consumidor.

O acórdão também reforça que a condição de hipervulnerabilidade do idoso não atenua, mas agrava o dever de cautela, impondo às instituições financeiras padrões ainda mais elevados de controle, validação e prevenção a fraudes.

Um dos aspectos mais relevantes da decisão está na qualificação jurídica da chamada biometria facial utilizada pelo banco.

O Tribunal deixa implícito, e tecnicamente correto, que biometria facial não se confunde com simples captura de imagem. A ausência de mecanismos mínimos de liveness detection, validação dinâmica, análise de profundidade ou verificação comportamental caracteriza defeito do serviço, pois o sistema não entrega a segurança que razoavelmente se espera de uma solução apresentada como biométrica.

Sob essa ótica, o problema não é apenas operacional, mas estrutural e jurídico: o banco optou por um modelo de autenticação insuficiente para o risco das operações que autorizava.

A decisão dialoga diretamente com a Lei Geral de Proteção de Dados, especialmente no que se refere ao tratamento de dados biométricos, classificados como dados pessoais sensíveis.

O art. 46 da LGPD impõe ao agente de tratamento o dever de adotar medidas técnicas e administrativas aptas a proteger os dados contra acessos não autorizados e situações acidentais ou ilícitas. Quando um sistema permite que uma fotografia estática seja suficiente para autenticar operações de alto impacto financeiro, evidencia-se não apenas uma falha de segurança, mas uma deficiência de governança sobre dados sensíveis.

Nesse contexto, a responsabilização civil passa a conviver, de forma cada vez mais próxima, com riscos regulatórios e administrativos, inclusive perante a ANPD.

O acórdão do TJ-SP consolida algumas premissas que tendem a orientar julgamentos futuros:

• autenticação frágil caracteriza defeito do serviço

• biometria mal implementada gera responsabilidade objetiva

• a culpa do consumidor não pode ser utilizada para compensar escolhas tecnológicas inadequadas

• eficiência operacional e rapidez não justificam redução de padrões mínimos de segurança

Mais do que um alerta, trata-se de uma delimitação clara de responsabilidade jurídica: quem escolhe a tecnologia assume integralmente os riscos decorrentes de sua insuficiência.

Assim, observa-se que a decisão reforça um ponto que o Judiciário vem deixando cada vez mais claro: segurança não é promessa de marketing, é obrigação legal.

Instituições financeiras que adotam soluções de biometria facial sem robustez técnica adequada não apenas expõem seus clientes, mas assumem conscientemente o risco jurídico de responder integralmente pelos danos decorrentes de fraudes previsíveis.

O recado é inequívoco: quando o sistema falha, a responsabilidade não é do usuário, é de quem o desenhou, implementou e validou.