Uma convocação de 117.798 proprietários dos modelos Polo, Virtus, Nivus, T-Cross e Tera, em maio de 2026, expôs uma lacuna no regime brasileiro de recall. O problema estava em um erro de programação no software do instrumento combinado digital, e a solução indicada pela fabricante era a atualização do software de gerenciamento do painel.
Embora a correção pudesse, em tese, ser realizada por OTA, sigla em inglês para atualização remota de software, o regime jurídico brasileiro não prevê expressamente essa modalidade para campanhas de recall. Uma alternativa adotada pelas fabricantes é combinar a instalação remota com a convocação do proprietário à concessionária, para vistoria e formalização do atendimento.
Três tipos de atualização
A discussão envolve a fronteira entre recall de segurança, OTA corretiva e OTA de melhoria. O recall, também chamado de campanha de segurança na Portaria MJ nº 487/2012, é uma obrigação legal, gratuita e compulsória, iniciada pelo fornecedor para corrigir defeito que represente risco à segurança ou ao meio ambiente.
Já a atualização corretiva pode estar relacionada a um vício do produto. A atualização de melhoria, por sua vez, acrescenta ou aperfeiçoa funções sem necessariamente corrigir uma falha existente no momento da venda. A ausência de distinção entre essas situações pode levar cada nova atualização a ser interpretada como prova de um vício oculto ou de um defeito de segurança.
O Código de Defesa do Consumidor divide as relações de consumo entre produto e serviço. O artigo 3º considera produto qualquer bem móvel ou imóvel, material ou imaterial, enquanto serviço é definido como atividade fornecida no mercado de consumo mediante remuneração. O Código estabelece regras específicas de responsabilidade para defeitos do produto e inadequações do serviço.
O modelo de Software Defined Vehicle, ou SDV, combina as duas dimensões. Nesse tipo de veículo, camadas de software controlam sistemas que vão do trem de força à segurança ativa, do entretenimento à pilotagem autônoma. Funções antes determinadas por componentes físicos podem ser alteradas por código depois da venda, mantendo uma relação contínua entre proprietário e fabricante.
Bruno Miragem observou que o novo paradigma tecnológico, especialmente a Internet das Coisas, provoca “a aproximação das categorias de produto e serviço”. Para essa abordagem, a expectativa legítima do consumidor inclui o funcionamento adequado das camadas de software ao longo do tempo.
Responsabilidade e segurança
O artigo 10 do CDC proíbe o fornecedor de colocar no mercado um produto que saiba ou devesse saber apresentar alto grau de nocividade ou periculosidade à saúde ou à segurança. Se o risco for descoberto depois da comercialização, o fornecedor deve comunicar as autoridades e os consumidores.
O Superior Tribunal de Justiça já decidiu que a recusa do consumidor em participar de um recall não livra o fabricante da responsabilidade por acidentes causados pelo defeito não corrigido. Em situações específicas, porém, o tribunal também admitiu a atenuação do nexo causal quando a fabricante comprova que notificou adequadamente o consumidor e que ele recusou, sem justificativa, o atendimento.
No caso de softwares automotivos, um defeito pode permanecer invisível, atingir muitos veículos e ser corrigido remotamente. A falha pode surgir anos depois do lançamento, quando uma combinação específica de condições é acionada em campo. Isso cria uma situação diferente daquela de defeitos físicos identificados durante uma revisão presencial.
O risco apontado é de responsabilidade retroativa potencialmente ilimitada. Uma função habilitada por software poderia ser tratada como correção de uma deficiência originária, ainda que represente apenas uma melhoria. O artigo 12, §2º, do CDC estabelece que um produto não é considerado defeituoso pelo fato de outro, de melhor qualidade, ter sido colocado no mercado.
Proposta de adaptação
A proposta apresentada divide as atualizações em três regimes. Para o recall de segurança via OTA, seriam preservadas a gratuidade, a compulsoriedade e o prazo de atendimento, com a possibilidade de substituir a visita presencial por um registro eletrônico auditável. Para a OTA corretiva, seria aplicado o regime do vício do produto, previsto no artigo 18 do CDC, com prazo decadencial de 90 dias. A OTA de melhoria ficaria submetida ao contrato, aos termos de uso e às regras de proteção de dados, sem afastar o artigo 12, §2º.
A fabricante também deveria informar previamente o conteúdo de cada atualização, os sistemas afetados e os possíveis impactos sobre as funções do veículo. O proprietário poderia adiar a instalação por prazo razoável, mas não recusar indefinidamente uma OTA de segurança.
Outro eixo da proposta é a modulação da responsabilidade. A fabricante que comprovasse ter notificado adequadamente o consumidor, disponibilizado a atualização em prazo razoável e documentado a recusa expressa ou o não atendimento poderia usar esses fatos para pedir a atenuação, e não a exclusão, do nexo causal em eventual ação de responsabilidade civil.
A discussão parte da mudança do automóvel, que deixa de ser tratado apenas como um produto estático e passa a funcionar como uma plataforma sujeita a atualizações durante seu ciclo de vida. A adaptação do regime existente busca diferenciar segurança, correção e melhoria, preservando a proteção do consumidor sem desestimular a adoção de atualizações remotas.
