Sentença de Julgado de Paz
I. RELATÓRIO:
A, com os demais sinais identificativos nos autos, intentou a presente acção declarativa respeitante à responsabilidade civil contratual contra B, melhor identificada a fls. 2, pedindo a condenação da mesma a pagar-lhe a quantia de 2.000,00 €, acrescida de juros de mora, vencidos e vincendos, até efectivo e integral pagamento.
Para tanto, a demandante alegou os factos constantes do requerimento inicial de fls. 2 a 5, que aqui se dá por reproduzido, tendo juntado ao mesmo dois documentos.
Regularmente citada, a demandada apresentou a contestação de fls. 23 a 27 verso, que aqui se dá por reproduzida, arguindo a excepção de incompetência territorial do tribunal e a pendência de questão prejudicial, além de pugnar pela improcedência da acção.
Realizou-se a sessão de pré-mediação, logo seguida da mediação, mas as partes não lograram chegar a acordo.
Foi, por isso, marcada e realizada a audiência de julgamento, segundo as regras legais.
***
II. SANEAMENTO DO PROCESSO:Estão reunidos os pressupostos de regularidade da instância, nomeadamente:
O Julgado de Paz é competente em razão do objecto, do valor, da matéria e do território (artigos 6º, nº 1; 8º; 9º, nº 1 h); e 12º, nº 1, respectivamente, da Lei nº 78/2001, de 13 de Julho), improcedendo a excepção de incompetência territorial deduzida pelas razões já aduzidas no despacho de fls. 61 e 62, que aqui se dá por reproduzido.
As partes gozam de personalidade e capacidade judiciárias e são legítimas.
Não há outras excepções, nulidades ou quaisquer questões prévias de que cumpra conhecer, atendendo a que a excepção de prejudicialidade já foi objecto de apreciação e decisão no despacho acima aludido.
Assim, fixo o valor da presente causa em 2.000,00 €.
Pelo exposto, cabe apreciar e decidir:
II. FUNDAMENTAÇÃO FÁCTICA:
Discutida a causa, ficaram provados os seguintes factos:
1. A demandada é uma associação mutualista que exerce a actividade bancária e aufere lucros da mesma.
2. A demandante celebrou contrato de depósito bancário com a demandada, sendo a sua cliente com o nº x e titular da conta nº x.
3. A demandante aderiu ao serviço da demandada denominado “X”, através do qual lhe é permitido movimentar a referida conta bancária através da Internet.
4. No dia 02/09/2014, pelas 15.30h, a conta da demandante acima identificada foi movimentada a débito, pelo montante de 2.000,00 €.
5. Esse movimento a débito, correspondente a uma transferência bancária, foi efectuado por alguém cuja identidade a demandante desconhece, sem a sua autorização e contra a sua vontade.
6. A referida transferência bancária do valor de 2.000,00 € teve como destino a conta bancária nº x, aberta em balcão da demandada, e como destinatário C.
7. Nesse mesmo dia, pelas 18.30h, logo após ter tomado conhecimento da referida transferência, a demandante entrou em contacto com a linha de apoio da demandada, relatando o sucedido e solicitando o cancelamento daquela operação.
8. Os colaboradores da demandada suspenderam o serviço homebanking e aconselharam a demandante a participar a ocorrência à Polícia de Segurança Pública (PSP), bem como a dirigir-se a um balcão da demandada.
9. A demandante apresentou queixa na PSP no mesmo dia.
10. No dia 03/09/2014, a demandante dirigiu-se ao balcão da demandada denominado “Porto – Foz”, sito na Rua x, nº x, na cidade do Porto, tendo sido atendida pela sua gerente, D, a qual a instruiu para remeter por correio electrónico para os serviços centrais da demandada a documentação relativa ao pedido de cancelamento da transferência em causa.
11. A referida gerente esqueceu-se de dar logo a assinar à demandante o documento denominado “Transferências a crédito - pedido de esclarecimento”, tendo-lhe remetido o mesmo por correio electrónico no final da tarde desse mesmo dia.
12. A transferência bancária acima aludida foi realizada através do serviço de homebanking X.
13. Através deste serviço, o cliente tem a possibilidade de aceder a informações sobre produtos e serviços do B, obter informações, realizar operações sobre as contas de que seja titular, realizar operações de compra e venda, subscrição ou resgate de produtos financeiros ou serviços disponibilizados pelo B aos seus clientes.
14. A partir do momento da adesão, a demandante autorizou a demandada a realizar as operações ordenadas através daquele meio electrónico, desde que as respectivas instruções fossem validadas pelos elementos número de cliente, PIN e, adicionalmente para algumas operações, dois números chave do cartão matriz.
15. Em 02/09/2014, quando contactou o serviço de call centre da demandada, a demandante informou o respectivo operador telefónico que não tinha procedido a quaisquer movimentos na sua conta bancária e admitiu ao mesmo que tinha inserido todas as coordenadas do cartão matriz numa página da Internet.
16. A demandante contrariou, assim, toda a panóplia de avisos de segurança que constam em local de destaque no sítio institucional da demandada na Internet.
17. A demandante confirmou ainda por e-mail dirigido à demandada que tinha fornecido as posições do cartão matriz, em resposta a uma mensagem de correio electrónico supostamente enviado por esta.
18. Mercê da adesão ao serviço X e, consequentemente, à plataforma X da demandada, foram fornecidos à demandante códigos de acesso/credenciais de utilização pessoais e intransmissíveis, cabendo a esta assegurar a integridade dos mesmos e a sua não divulgação a terceiros.
19. Concretamente, foram fornecidos à demandante códigos de acesso/credenciais de utilização de três níveis: a) Número de identificação Montepio; b) Código PIN multicanal, composto por seis dígitos; e c) Cartão Matriz.
20. O movimento financeiro acima descrito foi efectuado através do Serviço X, tendo sido realizado com as seguranças estabelecidas e validado com dados reservados da demandante.
21. Os avisos de segurança associados à adesão/activação do serviço X foram devidamente comunicados à demandante e por esta aceites.
Os factos provados sob os n.os 1, 2, 3, 4, 6, 7 (Dia e hora e 2ª parte) e 8 resultam do acordo das partes.
Os factos provados sob os n.os 9, 16, 17 e 21 assentam nos documentos constantes dos autos, nomeadamente declaração policial, print screen de alertas de segurança, cópia de e-mail e proposta de adesão.
Os factos restantes, bem como o facto nº 16, foram confirmados pelas testemunhas E, F, G, H, D e I, sendo as duas primeiras filhas da demandante e o terceiro seu genro, e as três últimas funcionárias da demandada, de cujo depoimento conjugado e valorado criticamente se pôde retirar que não foi a demandante nem ninguém seu conhecido que efectuou a transferência bancária em causa, mas que a mesma foi possível porque a demandante, por intermédio da sua filha E, respondeu a um e-mail aparentemente remetido pela demandada a anunciar que ia cancelar o cartão matriz, tendo acedido a uma página na Internet, similar à do B, a partir do link facultado nessa mensagem, e inserido as coordenadas de acesso, tendo a mesma reparado no dia seguinte que a conta tinha sido debitada em 2.000,00 €, posto o que ligou para o “call centre” do B para pedir o cancelamento da transferência, tendo-lhe sido dito que ficava suspenso o serviço de homebanking e que devia apresentar queixa na polícia, bem como dirigir-se ao balcão para formalizar a reclamação, o que veio a fazer no dia seguinte, onde falou com a gerente, D. Esta, por sua vez, confirmou a ocorrência e referiu que contactou de seguida os serviços de inspecção, dando seguimento à reclamação, mas que, por lapso, não recolheu logo a assinatura da demandante no respectivo formulário, posto o que o enviou por e-mail, pedindo devolução pela mesma via para evitar nova deslocação ao balcão, tendo ainda aconselhado a cliente a fazer uma exposição à procuradoria do banco para dar mais força, sendo tudo o que lhe era possível fazer neste caso, uma vez que o balcão não pode cativar fundos, sendo a transferência imediata, e que não recebe informação do tratamento da reclamação. Por sua vez, as testemunhas F e G acompanharam a demandante pela segunda vez ao balcão para saber o ponto de situação e questionar o procedimento seguido, tendo estranhado que a gerente os mandasse para casa fazer a referida exposição e enviar a mesma por e-mail, estando eles ali. Finalmente, a testemunha I, chefe do departamento de segurança informática da demandada, explicou que teve contacto com a situação a partir da investigação da Polícia Judiciária, tendo descrito os procedimentos de acesso ao site do banco e referido os avisos de segurança constantes do mesmo, tendo ainda qualificado a operação como um caso típico de “phishing” e descrito o respectivo “modus operandi”, frente ao qual não há tempo de intervenção porque os fundos são imediatamente transferidos para fora, sendo a beneficiária da primeira transferência a chamada “conta-mula”, classificando o sistema como seguro. Quanto à testemunha H, esta limitou-se a confirmar a ida da demandante ao balcão do B, tendo-a encaminhado para a gerente do mesmo, D.
Não se provaram outros factos com interesse para a decisão da causa, nomeadamente que o procedimento moroso da demandada tivesse possibilitado a saída definitiva do referido montante da conta da demandante e da conta do respectivo beneficiário, quando a demandada já tinha conhecimento de que essa transferência não tinha sido autorizada pela demandante, uma vez que os meios probatórios apresentados não permitiram sustentar essa versão, desde logo porque a transferência bancária em si teve uma aparência regular para a demandada, porque só foi possível com a colaboração, ainda que involuntária, da demandante, e porque a movimentação dos fundos se deu de forma imediata para a conta-destino, impossibilitando o cancelamento e reversão da mesma.
IV. FUNDAMENTAÇÃO JURÍDICA:
Atendendo às posições das partes e à factualidade assente, a solução jurídica da causa depende, no essencial, de se entender ou não que a demandante violou culposamente as suas obrigações contratuais no que respeita aos procedimentos de segurança a observar no uso do homebanking, afastando, na hipótese afirmativa, a culpa presumida da demandada (cfr. artigo 799º, nº 1 do Código Civil)
Com efeito, é isso que se desprende da jurisprudência dos dois acórdãos abaixo citados, cujos sumários se transcrevem, dada a sua pertinência para os presentes autos, nomeadamente quanto à qualificação jurídica da relação contratual entre as partes e à enunciação dos direitos e obrigações de cada uma:
“I. Designa-se por contrato de conta bancária (ou abertura de conta) o acordo havido entre uma instituição bancária e um cliente «através do qual se constitui, disciplina e baliza a respectiva relação jurídica bancária».
II. Enquadra-se neste complexo negocial a adesão da Autora ao serviço do Réu, denominado BX Net, através do qual aquela poderia aceder através de um computador (ou telefonicamente) com acesso à internet, 24 horas por dia, 365 dias por ano, tendo aquele fornecido para o efeito as chaves de acesso que permitiam a respectiva utilização pelas respectivas sócias gerentes.
III. Entramos aqui no chamado «home banking», Banco internético (do inglês Internet banking), e-banking, banco online, online banking, às vezes também banco virtual, banco electrónico), concretizado pela possibilidade conferida pela entidade bancária aos seus clientes, mediante a aceitação de determinados condicionalismos, a utilizar toda uma panóplia de operações bancárias, online, relativamente às contas de que sejam titulares, utilizando para o efeito canais telemáticos que conjugam os meios informáticos com os meios de comunicação à distância (canais de telecomunicação), por meio de uma página segura do banco, o que se reveste de grande utilidade, especialmente para utilizar os serviços do banco fora do horário de atendimento ou de qualquer lugar onde haja acesso à Internet.
III. O phishing (do inglês fishing «pesca») pressupõe uma fraude electrónica caracterizada por tentativas de adquirir dados pessoais, através do envio de e-mails com uma pretensa proveniência da entidade bancária do receptor, por exemplo, a pedir determinados elementos confidenciais (número de conta, número de contrato, número de cartão de contribuinte ou qualquer outra informação pessoal), por forma a que este ao abri-los e ao fornecer as informações solicitadas e/ou ao clicar em links para outras páginas ou imagens, ou ao descarregar eventuais arquivos ali contidos, poderá estar a proporcionar o furto de informações bancárias e a sua utilização subsequente.
IV. A outra modalidade de fraude online é o pharming a qual consiste em suplantar o sistema de resolução dos nomes de domínio para conduzir o usuário a uma pagina Web falsa, clonada da página real, baseando-se o processo, sumariamente, em alterar o IP numérico de uma direcção no próprio navegador, através de programas que captam os códigos de pulsação do teclado (os ditos keyloggers), o que pode ser feito através da difusão de vírus via spam, o que leva o usuário a pensar que está a aceder a um determinado site – por exemplo o do seu banco – e está a entrar no IP de uma página Web falsa, sendo que ao indicar as suas chaves de acesso, estas serão depois utilizadas pelos crackers, para acederem à verdadeira página da instituição bancária e aí poderem efectuar as operações que entenderem, destinando-se ambas as técnicas (phishing e pharming) à obtenção fraudulenta de fundos.
V. Os riscos da falha do sistema informático utilizado, bem como dos ataques cibernautas ao mesmo, têm de correr por conta dos bancos, do aqui Réu portanto, por a tal conduzir o disposto no artigo 796º, nº1 do CCivil, não se tendo provado, como não se provou, que tivesse havido culpa da Autora.
VI. A esse mesmo resultado se chega com a aplicação do DL 317/2009, de 30 de Outubro, que transpôs para a nossa ordem jurídica o novo enquadramento comunitário em matéria de serviços de pagamentos, maxime a Directiva 2007/64/CE do Parlamento Europeu e do Conselho de 13 de Novembro, o qual, não obstante seja posterior aos factos em causa nesta acção, a eles é aplicável, ex vi do seu artigo 101º, nº1 no qual se predispõe que «O regime constante do presente diploma regime jurídico não prejudica a validade dos contratos em vigor relativos aos serviços de pagamento nele regulados, sendo-lhes desde logo aplicáveis as disposições do presente regime jurídico que se mostrem mais favoráveis aos utilizadores de serviços de pagamentos.»” (cfr. Ac. STJ, de 18/12/2013, disponível em www.dgsi.pt, Proc. nº 6479/09.8TBBRG.G1.S1).
E, por outro lado:
“1. No contrato coligado de depósito bancário e de serviços de acesso via Internet à sua movimentação e a outros serviços disponibilizados pela ré, entidade bancária, esta tem o dever de protecção e de informação, na sua execução continuada.
2. O aderente tem de cumprir um conjunto de deveres conexos com a segurança do seu sistema informático e uso da chave de acesso concedida pela ré, não a fornecendo a terceiros.
3. A entidade bancária cumpre o seu dever de protecção e informação colocando no seu site toda a informação disponível sobre segurança, que os utentes têm o dever de consultar, para se prevenirem de fraudes.
4. Age com culpa o utente que fornece todo o conteúdo do cartão matriz perante uma solicitação numa página idêntica à do banco, uma vez que contraria toda a lógica do sistema de segurança que não pode ser desconhecida por parte do utilizador (cfr. Ac. RG, de 25/11/2013, disponível na Internet em www.dgsi.pt, Proc. 2869/11.4TBGMR.G1)”.
Ora, neste caso, estamos perante uma fraude informática, na modalidade de “phishing”, que vitimou a demandante e a lesou em 2.000,00 €. Contudo, essa fraude só foi possível porque a mesma facultou involuntariamente ao lesante, entre outros, os dados do seu cartão matriz, contra os procedimentos de segurança preconizados e publicitados pela demandada, permitindo ao mesmo aceder à sua conta bancária e fazer a referida transferência bancária.
Deste modo, ao dar resposta ao correio electrónico recebido nos termos nele solicitados, contrariamente às regras de segurança a que estava vinculada, a demandante agiu com culpa negligente, não sendo o seu prejuízo imputável à demandada. Com efeito, não houve qualquer falha no sistema de segurança da demandada que tivesse permitido a operação fraudulenta. E, por outro lado, não se provou que, uma vez denunciada a mesma, a demandada pudesse ainda obstar à sua consumação.
É certo que a demandante se insurgiu contra o procedimento seguido pela demandada, entendendo que a sua morosidade possibilitou a irreversibilidade da situação. Porém, vendo bem, a transferência bancária foi efectuada entre duas contas da mesma instituição bancária, pelo que se deu no mesmo dia. E a denúncia dessa situação só ocorreu no dia seguinte, pelo que se pode presumir com alguma segurança que os fundos já não estariam na conta-destino nesse momento, atendendo à perícia dos piratas informáticos que efectuam este tipo de operações. Assim sendo, ainda que se possa questionar o facto da denúncia por via telefónica não ser suficiente para desencadear todos os mecanismos de segurança para reprimir este tipo de fraude, obrigando a demandante a apresentar queixa na polícia e a formalizar a sua reclamação no balcão, a verdade é que essa factualidade teria sido quando muito uma causa virtual do dano sofrido pela demandante. Ora, no direito civil nacional, a obrigação de indemnização depende de um nexo de causalidade adequada entre o facto ilícito e o dano, sendo irrelevante a causa virtual (cfr. artigo 563º do Código Civil).
Aliás, tanto quanto se apurou, apesar da falha na assinatura da ordem de cancelamento (pedido de esclarecimento), que determinou um atraso de 24 horas no seu processamento, a verdade é que a situação foi logo reportada aos serviços de inspecção da demandada, quando a demandante se apresentou ao balcão daquela, no dia seguinte à apresentação da denúncia da situação.
V. DECISÃO:
Nestes termos, julgo a presente acção improcedente e não provada e, consequentemente, absolvo a demandada do pedido.
Custas pela demandante (cfr. artigo 8º da Portaria nº 1456/2001, de 28 de Dezembro).
Registe e notifique.
Porto, 29 de Agosto de 2016
O Juiz de Paz,
(Luís Filipe Guerra)