STJ estabelece que provedores de e-mail não têm o dever de armazenar mensagens deletadas

A Terceira Turma do Superior Tribunal de Justiça (STJ), no julgamento do REsp nº 1.885.201, entendeu que os provedores de aplicações que oferecem serviços de e-mail não são obrigados a armazenar as mensagens recebidas ou enviadas pelo usuário e que foram deletadas de sua conta.

O caso se trata de uma tutela provisória ajuizada pelo usuário em face do Google Brasil, posteriormente convertida em ação de compensação por danos morais, por meio da qual, o usuário alega que a sua conta de e-mail foi invadida por terceiro e foram transferidos bitcoins da sua carteira de criptomoedas para outra carteira não identificada, bem como foram excluídas todas as suas mensagens eletrônicas, as quais não foram recuperadas. O juízo de primeiro grau condenou a ré a fornecer informações referentes ao acesso na conta de e-mail (e.g. endereço IP, dados de uso e preferência, registros de servidor, identificador exclusivo dos dispositivos), bem como ao pagamento de indenização por danos morais. O Tribunal de Justiça de São Paulo manteve a sentença. O autor ajuizou, então, recurso especial contra o acórdão.

A Ministra Relatora Nancy Andrighi reconheceu que, o artigo 15 do Marco Civil da Internet obriga os provedores de aplicação de internet a armazenarem registros de acesso à aplicação, tais como IP, data e hora de acesso dos usuários, pelo período de seis meses. Para a Relatora, "a restrição dos dados a serem armazenados pelos provedores de conexão e de aplicação visa a garantir a privacidade e a proteção da vida privada dos cidadãos usuários da Internet". Portanto, não há qualquer previsão legal que atribua aos provedores de aplicações que oferecem serviços de e-mail o dever de armazenar as mensagens recebidas ou enviadas pelo usuário e que foram deletadas.

Em relação à responsabilidade por supostos danos materiais sofridos, a Turma entendeu que não restou demonstrado nexo de causalidade entre a conduta do provedor e o dano sofrido pelo usuário, uma vez que, provavelmente, o invasor obteve a senha do usuário seja porque ele a tinha armazenado no e-mail, seja porque forneceu a terceiro, seja em razão de eventual falha apresentada no sistema da gerenciadora, de forma que o pedido de indenização por danos materiais foi indeferido. 

• Para ler sobre o acórdão do REsp nº 1.885.201, acesse aqui.

>>> Este conteúdo faz parte do Informativo de Proteção de Dados e Cybersecurity de abril de 2022. Clique aqui para ler mais notícias.

>>> Confira nossa publicação "Metalaw: reflexões sobre a aplicação do Direito do Metaverso".