CIVIL, CONSUMIDOR E PROCESSUAL CIVIL. AÇÃO INDENIZATÓRIA C/C OBRIGAÇÃO DE FAZER. VIOLAÇÃO DOS
ARTS. 489 E 1.022 DO
CPC. AUSÊNCIA. CONDIÇÕES DA AÇÃO. TEORIA DA ASSERÇÃO. LEGITIMIDADE PASSIVA. CONFIGURAÇÃO. CERCEAMENTO DE DEFESA. AUSÊNCIA. FORNECIMENTO DE SERVIÇOS PELA B3 AOS INVESTIDORES FORA DO ÂMBITO DAS OPERAÇÕES NO MERCADO DE CAPITAIS. RELAÇÃO JURÍDICA DIRETA E AUTÔNOMA DE CONSUMO. INCIDÊNCIA DO
CDC. DISSÍDIO JURISPRUDENCIAL. SIMILITUDE FÁTICA. AUSÊNCIA. PLATAFORMA VIRTUAL QUE ARMAZENA E UTILIZA DADOS PESSOAIS DOS INVESTIDORES. INCIDÊNCIA DA LGPD E DO
MARCO CIVIL DA INTERNET...« (+735 PALAVRAS) »
.... ACESSO NÃO AUTORIZADO POR TERCEIROS. EXCLUSÃO DOS DADOS INSERIDOS INDEVIDAMENTE POR TERCEIROS. POSSIBILIDADE. FORNECIMENTO DE REGISTROS E DADOS CADASTRAIS REFERENTES AO ACESSO NÃO AUTORIZADO. POSSIBILIDADE.1. Ação indenizatória c/c obrigação de fazer, ajuizada em 17/2/2022, da qual foi extraído o presente recurso especial, interposto em 24/5/2023 e concluso ao gabinete em 21/8/2023.2. O propósito recursal é decidir se (I) houve negativa de prestação jurisdicional; (II) a relação jurídica em exame é regida pelo CDC;
(III) há legitimidade passiva da recorrente na espécie; (IV) houve cerceamento de defesa pelo indeferimento de provas; (V) a B3 tem a obrigação de excluir os dados cadastrais inseridos indevidamente por terceiros que obtiveram acesso não autorizado ao perfil do investidor em sua plataforma virtual; e (VI) a B3, por fornecer tal plataforma, se enquadra no conceito de provedora de aplicação de internet previsto no Marco Civil da Internet.3. Não há ofensa aos arts. 489 e 1.022 do CPC, quando o Tribunal de origem examina, de forma fundamentada, a questão submetida à apreciação judicial na medida necessária para o deslinde da controvérsia, ainda que em sentido contrário à pretensão da parte.
Precedentes.4. Conforme a jurisprudência desta Corte, as condições da ação são verificadas segundo a teoria da asserção, de tal modo que, para o reconhecimento da legitimidade passiva ad causam, basta que os argumentos aduzidos na inicial possibilitem a inferência, em um exame puramente abstrato, de que o réu pode ser o sujeito responsável pela violação do direito subjetivo do autor. Na hipótese, das afirmações constantes da inicial, depreende-se, em abstrato, a legitimidade passiva da recorrente (B3).5. Não configura cerceamento de defesa a sentença que julga antecipadamente os pedidos, resolvendo a causa sem a produção de outras provas em razão da suficiência probatória, porquanto cabe ao juiz decidir sobre os elementos necessários à formação de seu entendimento, sendo livre para, motivadamente, determinar as provas necessárias ou indeferir as inúteis ou protelatórias. Precedentes.6. No âmbito das operações no mercado de capitais, não incide o CDC na relação jurídica entre o investidor titular das ações e a B3, tendo em vista que, no âmbito dessas operações, a Bolsa não oferece serviços diretamente aos investidores, mantendo relação exclusivamente com as distribuidoras e corretoras de valores mobiliários. Precedente.7. Não obstante, ao disponibilizar uma plataforma virtual para acesso direto, pessoal e exclusivo pelo investidor (Canal Eletrônico do Investidor), de caráter informativo a respeito de seus investimentos, a B3 fornece serviços diretamente para o consumo do investidor, estabelecendo com ele relação jurídica autônoma de consumo, regida pelo CDC.8. A B3, ao manter um sistema que armazena e utiliza dados dos investidores referentes à sua identificação pessoal, realiza operação de tratamento de dados pessoais e, assim, se submete às normas previstas na Lei Geral de Proteção de Dados (LGPD).9. Em observância aos arts. 18, III e IV, da LGPD, o titular dos dados pessoais tem o direito de requisitar a correção de dados incompletos, inexatos ou desatualizados; e a anonimização, bloqueio ou eliminação de dados desnecessários, excessivos ou tratados em desconformidade com a lei.10. O agente de tratamento de dados tem o dever de assegurar os princípios previstos na LGPD, dentre eles o da adequação e da segurança (art. 6º, II e VII), devendo, ainda, adotar medidas aptas a proteger os dados pessoais de acessos não autorizados e de situações acidentais ou ilícitas de alteração, destruição, perda, comunicação dos dados (art. 46).11. Assim, havendo requisição por parte do titular, o agente de tratamento de dados tem a obrigação de excluir os dados cadastrais inseridos indevidamente por terceiros que obtiveram acesso não autorizado à conta do titular em sua plataforma, em observância aos arts. 18, IV, c/c os arts. 46 a 49 e 6º, II e VII, da LGPD.12. Segundo a jurisprudência desta Corte, o art. 22 do Marco Civil da Internet autoriza, com o propósito de formar conjunto probatório em processo judicial cível ou penal, em caráter incidental ou autônomo, a requisição judicial de registros de conexão ou de acesso daquele responsável pela guarda dos referidos dados, desde que preenchidos os requisitos previstos no parágrafo único do referido dispositivo legal.
13. Na espécie, a B3 se enquadra no conceito de provedor de aplicação de internet, em razão da sua função de administrar e fornecer uma plataforma virtual aos investidores, que é acessada por dispositivos conectados à internet, incidindo, no âmbito dessa atividade, as normas previstas no Marco Civil da Internet.
14. Hipótese em que foi afastada a responsabilidade civil da B3 por danos morais alegados pelo recorrido; sendo a B3 condenada apenas a fornecer informações, registros de conexão e dados relacionados ao acesso não autorizado pelos terceiros no perfil do recorrido; e a excluir os dados inseridos pelos fraudadores.
15. Recurso especial conhecido e não provido.
(STJ, REsp n. 2.092.096/SP, relatora Ministra Nancy Andrighi, Terceira Turma, julgado em 12/12/2023, DJe de 15/12/2023.)