CDC e zona cinzenta entre recall, vício e veículos com software

Em maio de 2026, uma grande fabricante de veículos convocou 117.798 proprietários dos modelos Polo, Virtus, Nivus, T-Cross e Tera para comparecerem a concessionárias autorizadas. O motivo: um erro de programação no software do instrumento combinado digital. A solução técnica, segundo a própria montadora, consistia na atualização do software de gerenciamento do painel — um procedimento que, do ponto de vista tecnológico, talvez pudesse ser entregue remotamente, sem que o dono saísse de casa.

Freepik

O paradoxo é irônico e juridicamente revelador: o veículo possui a infraestrutura técnica para receber a correção via OTA (atualização remota de software), mas o regime jurídico brasileiro do recall não prevê expressamente essa possibilidade, o que pode gerar insegurança jurídica aos fabricantes — que muitas vezes preferem atuar de forma híbrida, ou seja, fazer a correção via OTA e convocar os proprietários às concessionárias para uma vistoria e, assim, formalizarem a vistoria e comprovarem o recall.

Não só isso, há uma zona cinzenta entre o recall de segurança, a OTA corretiva e a OTA de melhoria. Durante a maior parte do século 20, o automóvel foi o arquétipo do produto físico. Eventuais melhorias dependiam de substituição de peças — um processo custoso, presencial e, muitas vezes, até negligenciado pelos proprietários. A relação entre fabricante e comprador, uma vez concluída a venda, era essencialmente encerrada, salvo por algumas revisões obrigatórias.

Nova estrutura tecnológica

O Software Defined Vehicle (SDV) representa a ruptura definitiva com esse modelo. No SDV, a arquitetura eletrônica do veículo é gerida por camadas de software que controlam desde o trem de força até os sistemas de segurança ativa, do entretenimento à pilotagem autônoma. Funções que antes eram determinadas por hardware passam a ser definidas — e redefinidas — por código. Praticamente todas as montadoras de grande porte já migraram ou estão em processo de migração para esse paradigma.

A consequência prática é que o carro deixou de ser um bem que se entrega pronto para se tornar uma plataforma que evolui depois da venda e que combina o produto a um pacote de prestação continuada de serviços.

Só que o artigo 3º do CDC divide o universo das relações de consumo em duas categorias estanques: produto (“qualquer bem, móvel ou imóvel, material ou imaterial”, §1º) e serviço (“qualquer atividade fornecida no mercado de consumo, mediante remuneração”, §2º). Para cada categoria, há regime de responsabilidade próprio: artigos 12 e 13 para defeitos do produto; artigos 14 e 20 para inadequação do serviço.

O SDV não cabe em nenhuma das duas caixas isoladamente. Quando o consumidor assina um contrato de compra e venda de um veículo conectado, adquire simultaneamente um bem físico durável e uma relação de serviço potencialmente perpétua com o fabricante — que continuará a interferir no funcionamento do produto via atualizações remotas enquanto o veículo existir.

A doutrina mais avançada já percebeu o problema. O professor Bruno Miragem, em artigo publicado na Revista de Direito do Consumidor (vol. 125/2019), observa que o novo paradigma tecnológico — especialmente a Internet das Coisas (IoT) — provoca “a aproximação das categorias de produto e serviço” e redefine o dever de qualidade do fornecedor, na medida em que o produto conectado passa a ter uma “finalidade legitimamente esperada”, que inclui o funcionamento correto das camadas de software ao longo do tempo. É a simbiose entre produto e serviço, criando uma nova categoria ainda não presente no CDC; e veículo conectado é a manifestação mais radical dessa tendência.

Recall representa o dever de segurança

Nessa simbiose produto-serviço, passamos então para o recall — ou campanha de segurança, na terminologia técnica da Portaria MJ nº 487/2012 — que é a manifestação mais visível do dever de segurança do produto previsto no artigo 10 do CDC. O dispositivo proíbe o fornecedor de colocar no mercado produto que sabe ou deveria saber apresentar alto grau de nocividade ou periculosidade à saúde ou segurança, impondo a obrigação de comunicação imediata às autoridades e aos consumidores quando tal perigo for descoberto após a comercialização.

Spacca

O regime jurídico do recall é inequívoco: trata-se de obrigação legal, compulsória, gratuita, de iniciativa do fornecedor, voltada exclusivamente à correção de defeito que representa risco à segurança ou ao meio ambiente.

Em recente posicionamento, o Superior Tribunal de Justiça (STJ) já se manifestou que a recusa do consumidor em comparecer ao recall não exime o fabricante de responsabilidade por acidentes que ocorram em razão do defeito não sanado — embora o STJ já tenha também reconhecido, em hipóteses específicas, a possibilidade de atenuação do nexo causal quando a fabricante comprova que notificou adequadamente o consumidor e este recusou, injustificadamente, o atendimento.

Trata-se de um ônus pesado às fabricantes, diante da crescente quantidade de recalls não atendidos, o que torna essencial a discussão a cada vez que o produto automotivo se torna mais tecnológico e combinado com serviços contínuos que se prolongam com o tempo.

Aumento de recalls por segurança

O software de veículos é, por natureza, complexo e interdependente, embora, inequivocamente traga mais conforto e segurança ao usuário. Um único módulo de código pode conter milhões de linhas, escrito por dezenas de equipes em diferentes países, integrado a sistemas legados de fornecedores variados. A descoberta de um bug crítico — que pode ocorrer anos após o lançamento do veículo, quando uma combinação específica de condições é acionada em campo — gera um perfil de defeito inédito: invisível ao consumidor, massivo em sua escala, potencialmente corrigível remotamente, mas juridicamente tratado da mesma forma que uma falha no sistema de freios.

Os números refletem essa realidade. Nos Estados Unidos, a NHTSA registrou um aumento expressivo de recalls por software nos últimos cinco anos. No Brasil, o caso de 2026 acima reportado é emblemático precisamente porque a solução — uma atualização de firmware de poucas centenas de kilobytes — talvez pudesse ser entregue remotamente e com uma taxa de alcance e celeridade muito maior do que a apresentada. A obrigação de comparecer presencialmente à concessionária existe não talvez porque seja tecnicamente necessária, mas porque o marco regulatório não prevê outra hipótese expressamente, gerando insegurança jurídica a respeito.

O problema que se aborda pode ser enunciado com precisão: O mero dever legal em que a fabricante age proativamente para melhorar a qualidade do seu produto e aquele em que age compulsoriamente para corrigir um defeito que representa risco imediato à segurança devem ter tratamentos jurídicos distintos para evitar um desincentivo perverso à inovação; não obstante, deve-se também regular o recall de segurança via OTA para trazer mais segurança jurídica às fabricantes para fins de procedimentar essa modalidade e prever a sua comprovação junto aos órgãos fiscalizadores.

Propõe-se, para fins de análise jurídica, a seguinte taxonomia tripartite das atualizações OTA automotivas:

Tipo de OTA	Natureza Jurídica	Regime aplicável (CDC)
Recall de segurança via OTA	Dever de segurança Obrigação legal (art. 6º, I; art. 10 CDC)	Regime do recall específico via OTA — convocação compulsória e gratuita
OTA corretiva (bug sem risco imediato)	Dever de qualidade (art. 4º “d” e “V” CDC; art. 18 à 20 CDC)	Regime do vício do produto — prazo decadencial de 90 dias
OTA de melhoria / nova função	Prestação de serviço contínuo	Art 12, §2º, do CDC

A confusão entre essas três categorias é o problema jurídico central. Quando uma fabricante envia, às 3h da manhã, uma atualização que elimina uma vulnerabilidade de cibersegurança descoberta por pesquisadores externos e decorrentes de novas práticas de hackers — antes que qualquer incidente seja registrado —, ela está praticando recall (devendo submeter-se a todo regime burocrático de comunicação e convocação) ou uma prática corretiva ou de melhoria?

Responsabilidade retroativa do fabricante

O risco prático da ausência de distinção legal é bastante claro. Em um cenário sem marco regulatório específico, toda atualização OTA pode ser invocada pelo consumidor como evidência de que o produto apresentava vício oculto no momento da venda e que merecia reparo, ou um defeito que representaria risco à integridade física, gerando enorme insegurança jurídica sobre a necessidade de recall — dada a periculosidade inerente a um produto destinado ao transporte de pessoas.

Isso expõe a fabricante a uma responsabilidade retroativa potencialmente ilimitada, pois cada nova função habilitada por software pode ser reinterpretada como correção de deficiência originária, quando, na verdade, trata-se de uma melhoria e, sendo assim classificada, deveria se tornar de rigor a aplicação do artigo 12, §2º, do CDC, aos casos de atualizações de melhoria, que dispõe que produto não é considerado defeituoso pelo fato de outro de melhor qualidade ter sido colocado no mercado.

A consequência previsível é a paralisia: fabricantes poderiam sentir-se desestimuladas a promover atualizações para evitar o risco jurídico, com consequências legais negativas. A regulação mal calibrada protege menos o consumidor do que a ausência de regulação, pois desincentiva a proatividade que é, no ambiente do SDV, a principal ferramenta de segurança e qualidade disponível.

Não obstante, aos casos que representam real risco à segurança, procedimentar o Recall de segurança via OTA significa aproveitar os benefícios da tecnologia para enfrentar um grande problema real da atualidade, que é a grande quantidade de recalls não atendidos pelos proprietários.

A regulação inteligente da OTA automotiva não requer a criação de um novo código. Requer, isso sim, a atualização cirúrgica do sistema já existente em três eixos complementares, inspirados na experiência europeia e adaptados às peculiaridades do mercado e do direito brasileiro, são eles:

Eixo 1: tipologia legal

O primeiro eixo consiste na positivação da taxonomia proposta acima — recall de segurança via OTA, OTA corretiva e OTA de melhoria —, com regimes de responsabilidade diferenciados para cada categoria.

Para a OTA de segurança, o regime do recall convencional deve ser mantido em seus efeitos essenciais (gratuidade, compulsoriedade, prazo de atendimento), mas adaptado para permitir a entrega remota com registro eletrônico auditável que substitua a visita presencial à concessionária. Para a OTA corretiva, aplica-se o regime do vício do produto (artigo 18 CDC) com prazo decadencial de 90 dias. Já para a OTA de melhoria, o regime contratual, subordinado aos termos de uso e às regras de proteção de dados, sem olvidar a aplicação do artigo 12, §2º, do CDC.

Eixo 2: transparência e consentimento

O segundo eixo exige que as fabricantes notifiquem o consumidor, antes de cada atualização OTA, sobre seu conteúdo, os sistemas afetados e os eventuais impactos sobre as funções do veículo. O modelo pode ser o das notas de versão obrigatórias já adotadas por plataformas de aplicativos, adaptado ao contexto automotivo.

O consumidor deve ter o direito de adiar a atualização por prazo razoável — preservando a autonomia sobre seu bem —, mas não de recusar indefinidamente uma OTA de segurança, cuja aplicação deve ser tratada, para fins jurídicos, como o comparecimento a uma campanha de recall.

Eixo 3: modulação da responsabilidade

O terceiro e mais sensível eixo propõe que a fabricante que comprove ter notificado adequadamente o consumidor, disponibilizado a OTA de segurança em prazo razoável e documentado a recusa expressa ou o não atendimento pelo proprietário possa invocar essa circunstância como causa de atenuação (não de exclusão) do nexo causal em eventual ação de responsabilidade civil.

O Software Defined Vehicle desafia pressupostos fundamentais sobre os quais foi construído o regime tradicional de proteção do consumidor. O automóvel deixa de ser um produto estático para se tornar uma plataforma dinâmica, cuja qualidade, segurança e funcionalidades passam a depender de atualizações contínuas ao longo de todo o seu ciclo de vida.

Nesse contexto, a atualização remota de software (OTA) não pode ser analisada exclusivamente sob as categorias jurídicas concebidas para bens físicos tradicionais. A ausência de distinção entre recall de segurança, atualização corretiva e atualização de melhoria cria um ambiente de insegurança jurídica capaz de gerar efeitos contraproducentes tanto para fornecedores quanto para consumidores.

O desafio regulatório, portanto, não consiste em enquadrar uma nova realidade tecnológica em categorias jurídicas concebidas para o passado, mas em adaptar os instrumentos já existentes para preservar os objetivos centrais do sistema de proteção do consumidor. Nesse sentido, a construção de um marco regulatório específico para as atualizações OTA deve buscar um equilíbrio entre inovação, segurança jurídica e proteção do consumidor, criando incentivos para que fabricantes atuem de forma transparente, preventiva e eficiente.

________________________________________________

Referências

BENJAMIN, Antônio Herman. Responsabilidade Civil pelo Defeito do Produto. In: MARQUES, Cláudia Lima; BENJAMIN, Antônio Herman; MIRAGEM, Bruno. Comentários ao Código de Defesa do Consumidor. 4. ed. São Paulo: RT, 2013.

CAVALIERI FILHO, Sérgio. Programa de Responsabilidade Civil. 15. ed. São Paulo: Atlas, 2023.

MARQUES, Cláudia Lima. Contratos no Código de Defesa do Consumidor. 10. ed. São Paulo: RT, 2023.

MIRAGEM, Bruno. Novo paradigma tecnológico, mercado de consumo digital e o Direito do Consumidor. Revista de Direito do Consumidor, vol. 125, set./out. 2019. Disponível aqui

NHTSA — National Highway Traffic Safety Administration. Software-Related Defects: Trends and Enforcement. Washington, D.C., 2024.

O post CDC e zona cinzenta entre <i>recall</i>, vício e veículos com <i>software</i> apareceu primeiro em Consultor Jurídico.