Acórdão do Tribunal da Relação de Guimarães
| 2918/25.9T8GMR.G1 |  |
OPERAÇÕES DE PAGAMENTO NÃO AUTORIZADAS
SPOOFING
NEGLIGÊNCIA GROSSEIRA
(i) A adesão ao serviço de homebanking integra-se na relação bancária duradoura estabelecida entre cliente e instituição de crédito e reconduz-se a um contrato-quadro de prestação de serviços de pagamento, no âmbito do qual as sucessivas operações eletrónicas constituem atos de execução de uma relação contratual previamente constituída.
(ii) O regime das operações de pagamento não autorizadas previsto nos arts. 110, 113, 114 e 115 do RJSPME assenta numa lógica de afetação primária do risco ao prestador de serviços de pagamento, ao qual incumbe reembolsar o utilizador das operações não autorizadas, salvo quando demonstre a atuação fraudulenta, dolosa ou grosseiramente negligente deste último.
(iii) Nos termos do art. 113 do RJSPME, a mera prova de que a operação foi autenticada, registada e contabilizada sem avaria técnica ou deficiência do sistema não basta para afastar a responsabilidade do prestador, incumbindo-lhe demonstrar os factos concretos suscetíveis de revelar a violação dos deveres de segurança impostos ao utilizador.
(iv) A qualificação da conduta do utilizador como negligência grosseira deve ser efetuada à luz do padrão objetivo de diligência consagrado no art. 487/2 do Código Civil e dos deveres de preservação das credenciais de segurança personalizados previstos no art. 110 do RJSPME.
(v) A introdução de credenciais de acesso numa página eletrónica fraudulentamente reproduzida, visualmente indistinguível da página oficial da instituição bancária, não traduz, por si só, uma atuação grosseiramente negligente, quando a fraude utilizada seja suscetível de iludir um utilizador normalmente prudente.
(vi) Age, porém, com negligência grosseira o utilizador que, acreditando colaborar com a instituição bancária no bloqueio de acessos fraudulentos, comunica a terceiros códigos de autenticação recebidos por SMS quando as próprias mensagens identificam expressamente que tais códigos se destinam à validação de operações concretas de transferência de fundos, incompatíveis com a finalidade que lhe foi apresentada.
(vii) Verificando-se que o utilizador transmitiu sucessivamente códigos de autenticação relativos a três transferências distintas, apesar de as mensagens recebidas indicarem expressamente os montantes transferidos e a existência de ordens de transferência para contas determinadas, mostra-se preenchida a violação grosseira dos deveres de custódia e preservação das credenciais de segurança previstos no art. 110 do RJSPME.
(viii) Demonstrado que as operações não autorizadas apenas se tornaram possíveis em consequência dessa atuação grosseiramente negligente do utilizador, fica afastada a responsabilidade do prestador de serviços de pagamento, nos termos do art. 115/4 do RJSPME.
I.
1). AA, BB e CC intentaram ação declarativa, sob a forma comum, contra Banco 1..., SA, pedindo a condenação da Ré a pagar-lhes: (i) a quantia de € 10 138,98, correspondente ao montante total fraudulentamente retirado das contas bancárias que identificaram; (ii) a quantia de € 2 000,00, a título de danos não patrimoniais sofridos; e (iii) juros moratórios sobre as referidas quantias, contados, à taxa legal, até integral e efetivo pagamento.
Alegaram, em síntese, que: a primeira Autora é titular de três contas de depósitos à ordem domiciliadas na agência de ... da Ré, uma delas em conjunto com a segunda Autora e outra com a terceira Autora; aderiu ao serviço de homebanking disponibilizado pela Ré, que utilizava exclusivamente para a consulta de movimentos; no dia 23 de maio de 2022, recebeu uma mensagem escrita (SMS), supostamente da Ré, a exigir-lhe a atualização imediata das credenciais de acesso, sob a ameaça de aplicação de uma coima no valor de € 84,16; confiando na origem institucional da mensagem, acedeu à hiperligação eletrónica facultada, a qual exibia uma interface idêntica à página oficial da Ré; no momento em que introduziu o código de utilizador e o código multicanal, terceiros capturaram esses dados confidenciais de validação; no dia seguinte, foi contactada telefonicamente por uma suposta funcionária da Ré que lhe comunicou a existência de acessos ilegítimos às referidas contas e, de modo a pôr-lhes termo, solicitou-lhe a transmissão dos códigos temporários de autenticação; na sequência, transmitiu esses códigos, que os agentes criminosos inseriram depois diretamente no sistema informático da Ré, assim processando movimentos fraudulentos que consumaram três movimentos a débito nas referidas contas, no montante global de € 10 138,98; as Autoras denunciaram a fraude informática junto da Ré e formalizaram a correspondente queixa-crime; a Ré recusou o reembolso dos saldos com o argumento de que a transmissão dos códigos preenchia a noção de negligência da utilizadora; a perda súbita das poupanças familiares causou às Autoras instabilidade económica, além de um quadro permanente de ansiedade, angústia e perturbação do sono; o defeito na segurança do canal digital integra a esfera de risco da atividade da Ré, realidade que justifica o dever de indemnizar os prejuízos patrimoniais e não patrimoniais.
Citada, a Ré contestou dizendo, também em síntese, que: no dia 24 de maio de 2022, a primeira Autora contactou a linha de apoio técnico relatando a receção de uma mensagem escrita no dia anterior e o posterior contacto telefónico de uma terceira pessoa; admitiu ter então transmitido voluntariamente o código de utilizador, o código multicanal e os códigos de autorização recebidos por mensagem escrita; o fornecimento de tais credenciais confidenciais permitiu que o sistema validasse e autenticasse automaticamente três transferências bancárias, nos valores de € 3 965,99, € 3 122,99 e € 3 050,00; os desvios patrimoniais resultaram, assim, da entrega direta, pela primeira Autora, dos elementos de validação a terceiros; o sector informático da Ré funcionou regularmente e sem qualquer avaria técnica ou falha de segurança à data dos factos; os mecanismos digitais processaram as operações eletrónicas mediante a introdução dos códigos legítimos gerados para a utilizadora; a conduta da primeira Autora preenche o conceito de negligência grosseira por violação dos deveres contratuais de cuidado; a utilizadora ignorou os alertas de segurança constantes e públicos que a instituição bancária emite regularmente para prevenir fraudes.
Após resposta das Autoras, que mantiveram o alegado na petição inicial, realizou-se a audiência final e foi proferida sentença, datada de 31 de março de 2026, a julgar a ação improcedente, por se ter considerado preenchido o conceito de negligência grosseira do ordenante, previsto no art. 115/4 do Regime Jurídico dos Serviços de Pagamento e da Moeda Eletrónica (RJSPME), aprovado pelo DL n.º 91/2018, de 12.11.
***
2). Inconformadas, as Autoras (daqui em diante, Recorrentes) interpuseram o presente recurso, através de requerimento composto por alegações e conclusões, estas do seguinte teor (transcrição):“I. O presente recurso visa a reforma da douta sentença que, apesar de dar como provada a dinâmica da fraude, absolveu a Ré por considerar que a 1.ª Recorrente atuou com negligência grosseira, nos termos do art.º 115.º, n.º 4 do RJSPME.
II. O tribunal a quo incorreu em erro na subsunção jurídica dos factos ao considerar "negligência grosseira" o que foi, na realidade, um erro induzido por um sofisticado esquema de spoofing e engenharia social (vishing).
III. A negligência grosseira exige um comportamento de desleixo temerário ou incúria inescusável, que despoje o agente da diligência mínima exigível ao homem médio. No caso em apreço, a atuação da Recorrente foi pautada pela convicção de estar a colaborar com a própria instituição bancária para proteger o seu património.
IV. É fundamental considerar que a SMS fraudulenta foi inserida no mesmo fio de conversação (thread) das mensagens legítimas anteriormente enviadas pelo Banco 2... (Facto Provado 33 e 34), o que é apto a anular a desconfiança de um utilizador médio e criar uma aparência de autenticidade inabalável.
V. O facto de a SMS conter um link e mencionar uma "multa" - aspetos valorizados pela sentença para ditar a negligência - não pode ser analisado isoladamente, mas sim no contexto de uma comunicação que aparentava provir do canal oficial do Banco, sistema este que a Ré tem o dever de manter íntegro e inviolável.
VI. A segunda fase da fraude envolveu um contacto telefónico de alguém que se identificou como funcionária ("DD"), possuindo informações sobre a conta e sobre o suposto acesso indevido, o que reforçou a confiança da Recorrente na legitimidade da operação de "barramento" de acessos.
VII. Ao permitir que o seu canal de comunicação (SMS) fosse utilizado por terceiros para o envio de mensagens fraudulentas (spoofing), a Ré demonstrou uma vulnerabilidade no seu sistema de segurança, não tendo logrado provar que o serviço não foi afetado por deficiência técnica, nos termos do art.º 113.º, n.º 1 do RJSPME.
VIII. O dever de custódia dos fundos depositados (art.º 796.º e 799.º do Código Civil) e o risco da atividade bancária digital devem impender sobre o prestador de serviços, que é quem retira o benefício económico da desmaterialização dos balcões e da automação dos pagamentos.
IX. Na ausência de dolo ou negligência grosseira, a responsabilidade pelas operações não autorizadas deve ser suportada pelo prestador de serviços de pagamento, devendo este reembolsar as Recorrentes nos valores subtraídos (€ 10.138,98) e indemnizá-las pelos danos não patrimoniais sofridos (€ 2.000,00), dada a angústia e instabilidade financeira causada.
X. Foram violados, entre outros, os art.ºs 110.º, 113.º e 115.º do RJSPME, bem como os art.ºs 487.º n.º 2 e 799.º do Código Civil.”
Pediram que, na procedência do recurso, seja revogada a sentença recorrida e que, em sua substituição, seja a ação julgada procedente e a Ré condenada nos pedidos adrede formulados na petição inicial.
***
3). A Ré (daqui em diante, Recorrida) respondeu pugnando pela improcedência do recurso.***
4). O recurso foi admitido como apelação, com subida nos autos e efeito devolutivo, o que não foi alterado por esta Relação.***
5). Foram colhidos os vistos dos Exmos. Srs. Juízes Desembargadores Adjuntos.***
II.1). As conclusões da alegação do recorrente delimitam o objeto do recurso, sem prejuízo da ampliação deste a requerimento do recorrido (arts. 635/4, 636 e 639/1 e 2 do CPC). Não é, assim, possível conhecer de questões nelas não contidas (art. 608/2, parte final, ex vido art. 663/2, parte final, do CPC).
Também não é possível conhecer de questões novas - isto é, de questões que não tenham sido objeto de apreciação na decisão recorrida -, uma vez que os recursos são meros meios de impugnação de prévias decisões judiciais, destinando-se, por natureza, à sua reapreciação e consequente alteração e/ou revogação.
Ressalvam-se, em qualquer caso, as questões do conhecimento oficioso, que devem ser apreciadas, ainda que sobre as mesmas não tenha recaído anterior pronúncia ou não tenham sido suscitadas pelo Recorrente ou pelo Recorrido, quando o processo contenha os elementos necessários para esse efeito e desde que tenha sido previamente observado o contraditório, para que sejam evitadas decisões-surpresa (art. 3.º/3 do CPC).
***
2). Tendo presente o que antecede, a questão colocada no presente recurso pode ser sintetizada nos seguintes termos: saber se a sentença recorrida incorreu em erro de direito ao considerar que a primeira Recorrente atuou com negligência grosseira excluindo, por isso, a responsabilidade da Recorrida pelas operações bancárias referidas e pelos prejuízos delas decorrentes.***
III.1). Os factos a considerar na resposta à questão enunciada, considerados como provados na sentença recorrida, em termos que não foram colocados em causa perante esta instância, são os seguintes (transcrição):
“1. A 1ª A. e a autora BB são cotitulares da conta de depósitos à ordem a que corresponde o IBAN PT50. ... (conta n.º ...38), domiciliada junto da R. no balcão de ....
2. A 1ª A. e o seu cônjuge, EE, são cotitulares da conta de depósitos à ordem a que corresponde o IBAN PT50. ... (conta n.º ...07), domiciliada junto da R.
3. A 1ª A. e a autora CC, são cotitulares da conta de depósitos à ordem n.º ...37, domiciliada junto da R.
4. A 1ª A. aderiu ao serviço homebanking disponibilizado pela R. aos seus clientes,
5. sendo que não utilizava esse serviço para fazer operações com o cartão-matriz, só utilizando o referido serviço para consultas, nomeadamente, dos movimentos efetuados.
6. No dia 23.05.2022, cerca das ..., a 1ª A. recebeu a seguinte mensagem escrita (SMS) no telemóvel de que é titular, com o n.º ...50:
[Imagem]
7. A 1ª A. acreditou que a referida SMS seria proveniente dos serviços da R.,
8. tendo clicado no “link” de acesso ao endereço da página da internet ..., que vinha junto a essa SMS.
9. Ao proceder nos termos aludidos em 8., a 1ª A. foi encaminhada para um sítio da internet criado por terceiros para se apropriarem das credenciais de acesso ao serviço homebanking disponibilizado pela R.,
10. sendo esse sítio da internet em tudo idêntico ao sítio da internet da R. existente para o acesso ao homebanking, nomeadamente, o tipo de letra, os campos existentes e as menções ao Banco 2....
11. No sítio da internet aludido em 9., a 1ª A. introduziu o seu código de utilizador
12. e, bem assim, o seu código multicanal.
13. Dessa forma, terceiras pessoas lograram capturar aquelas credenciais de acesso ao serviço homebanking utilizado pela 1ª A.
14. Ato contínuo, com recurso aos aludidos códigos introduzidos pela 1ª A., as mencionadas terceiras pessoas acederam às referidas contas bancárias através do serviço homebanking,
15. tendo constatado que as mesmas apresentavam um saldo positivo
16. e tendo logrado apurar o contacto telefónico da 1ª A.
17. Aquelas terceiras pessoas decidiram então ordenar a realização de transferências a débito sobre as contas acima referidas e, simultaneamente, contactar a 1ª A. simulando a existência de uma operação a débito, com o intuito de capturar as coordenadas de segurança que fossem necessárias para concluir a operação, nomeadamente, coordenadas do cartão matriz e/ou código de autenticação.
18. Nessa sequência, no dia 24.05.2022, cerca das 12:00 horas, a 1ª A. foi contactada telefonicamente, através do contacto ...89, por uma pessoa que disse chamar-se “DD” e que se apresentou como sendo funcionária da R.
19. Na sequência do contacto aludido em 18., aquela pessoa que contactou a 1ª A. disse-lhe que desconhecidos estariam a tentar aceder ao serviço homebanking da sua conta na R. e que seria necessário que lhe comunicasse alguns códigos que iria receber por mensagem para lhes ser barrado o acesso,
20. ao que a 1ª A. acedeu.
21. Seguidamente, as referidas terceiras pessoas ordenaram uma transferência a débito, no valor de € 3.122,99 (três mil cento e vinte e dois euros e noventa e nove cêntimos), da conta bancária aludida em 1. para a conta bancária a que corresponde o IBAN PT50. ..., titulada por FF.
22. Realizada a aludida ordem de transferência, os serviços bancários da R. remeteram uma SMS para o contacto telefónico da 1ª A. associado aos referidos acessos homebanking, contendo um código de autenticação e solicitando a sua introdução para validação da transferência, tendo tal mensagem o seguinte teor:
[Imagem]
23. Verificando que a SMS recebida era proveniente da R. e acreditando que a mesma teria sido remetida por alguma funcionária da R., a 1ª A., não se apercebendo de que o referido código validaria a transferência a débito acima descrita, comunicou-o à pessoa que a havia contactado.
24. Em poder do código aludido em 22., as referidas terceiras pessoas introduziram-no no respetivo sistema informático e lograram validar a transferência a débito acima descrita, tendo o montante referido em 21. sido transferido para a conta bancária aí descrita.
25. Aquelas terceiras pessoas ordenaram ainda uma outra transferência a débito, esta no valor de € 3.965,99 (três mil novecentos e sessenta e cinco euros e noventa e nove cêntimos), da conta bancária aludida em 3. para a conta bancária a que corresponde o IBAN PT50. ..., domiciliada junto da R. e titulada por GG.
26. Realizada a ordem de transferência aludida em 25., os serviços bancários da R. remeteram uma SMS para o contacto telefónico da 1ª A. associado aos referidos acessos homebanking, contendo um código de autenticação, e solicitando a sua introdução para validação da transferência, tendo tal mensagem o seguinte teor:
[Imagem]
27. Verificando que a SMS aludida em 26. era proveniente da R. e acreditando que a mesma teria sido remetida por alguma funcionária da R., a 1ª A., não se apercebendo de que o referido código validaria a transferência a débito acima descrita, comunicou-o à pessoa que a havia contactado.
28. Em poder do código aludido em 26., as referidas terceiras pessoas introduziram-no no respetivo sistema informático e lograram validar a transferência a débito mencionada em 25., tendo o montante referido nesse mesmo ponto sido transferido para a conta bancária aí descrita.
29. Por fim, foi ordenada uma nova transferência a débito, no valor de € 3.050,00 (três mil e cinquenta euros), da conta bancária aludida em 2. para a conta bancária a que corresponde o IBAN PT50. ..., domiciliada junto da R., titulada por HH.
30. Realizada a ordem de transferência aludida em 29., os serviços bancários da R. remeteram uma SMS para o contacto telefónico da 1ª A. associado aos referidos acessos homebanking, contendo um código de autenticação, e solicitando a sua introdução para validação da transferência, tendo tal mensagem o seguinte teor:
[Imagem]
31. Verificando que a SMS aludida em 30. era proveniente da R. e acreditando que a mesma teria sido remetida por alguma funcionária da R., a 1ª A., não se apercebendo de que o referido código validaria a transferência a débito acima descrita, comunicou-o à pessoa que a havia contactado.
32. Em poder do código aludido em 30., as referidas terceiras pessoas introduziram-no no respetivo sistema informático e lograram validar a transferência a débito mencionada em 29., tendo o montante referido nesse mesmo ponto sido transferido para a conta bancária aí descrita.
33. O contacto utilizado pela R. no envio das SMS aludidas em 22., 26. e 30. era o instrumento de comunicação utilizado pelos serviços da R. para comunicar com a 1ª A. quando esta usava a aplicação homebanking.
34. Através daquele contacto utilizado pela R. para efetuar as comunicações acima referidas, a 1ª A. recebeu, a 24.05.2022 e a 25.05.2022, duas mensagens com o seguinte teor: “Banco 2... - Código de acesso aos canais digitais bloqueado. Contacte urgente ...24 (rede fixa nacional) Atendimento personalizado 24h. custo das comunicações depende do tarifário acordado com o seu operador.”
35. Após se ter apercebido de que terceiras pessoas se haviam apropriado das quantias acima referidas, a 1ª A. contactou com os serviços da R., expondo a situação em causa,
36. tendo-lhe sido comunicado pelos serviços da R. que o dinheiro efetivamente já havia deixado a sua conta e que era impossível proceder à sua recuperação.
37. As AA. apresentaram queixa-crime pelos factos acima descritos, correndo o processo os seus termos no Juízo Central Criminal de Lisboa.
38. As AA. deram conhecimento à R. da apresentação da dita queixa-crime.
39. Desde o sucedido que a 1ª A. se sente angustiada, preocupada, frustrada e lesada nos seus direitos.
40. Duas das três operações financeiras acima referidas dizem respeito a contas bancárias das quais a 1ª A. é cotitular com a sua filha e com a sua mãe, respetivamente,
41. fazendo a 1ª A. sentir-se responsável por todo o prejuízo causado,
42. motivo pelo qual esta deixou de dormir de forma tranquila, passando “noites em claro” a pensar em todo o sucedido e no prejuízo sofrido pela sua filha e pela sua progenitora.
43. Por força do descrito circunstancialismo, relacionado com a apropriação por terceiros das referidas quantias, as AA. ficaram sem aqueles montantes para fazerem face às suas despesas,
44. o que lhes causou enormes preocupações, ansiedade e tristeza,
45. sendo que, desde o sucedido, vivem com receio de serem novamente alvo de alguma operação fraudulenta.
46. À data dos factos, o serviço prestado pela R. não foi afetado por qualquer avaria técnica ou deficiência que pudesse originar uma falha de segurança.
47. À data dos factos, a R. disponibilizava informação alertando para eventuais situações de fraude, fazendo alertas na sua página de internet.
48. Em diversas mensagens e alertas de segurança nos canais digitais, a R. informa, além do mais, que nunca pede a instalação/atualização de software após o acesso,
49. que nunca pede o código de autorização para simular/cancelar transações,
50. que nunca envia SMS ou emails com link,
51. que nunca solicita o código multicanal completo (os 7 dígitos),
52. que nunca pede o número de telemóvel
53. e que nunca contacta o cliente a pedir o código de autorização enviado por SMS.”
***
IV. 1).1. Vejamos a resposta a dar à questão enunciada, começando por dizer que não suscita dúvida que a relação jurídica estabelecida entre as partes se inscreve no âmbito da moderna contratação bancária de massa, encontrando o seu fundamento em contratos de depósito bancário à ordem associados a uma relação bancária duradoura previamente constituída entre as Recorrentes e a Recorrida.
Com efeito, resulta da matéria de facto provada que a primeira Recorrente era titular (rectius, cotitular), de três contas de depósito à ordem domiciliadas junto da Recorrida, duas delas em regime de cotitularidade com a segunda e a terceira Recorrentes, respetivamente, e uma terceira em regime de cotitularidade com o respetivo cônjuge. Resulta igualmente demonstrado que a primeira Recorrente aderiu ao serviço de banca eletrónica (homebanking) disponibilizado pela Recorrida aos seus clientes.
A relação jurídica em causa tem, assim, a sua génese em três contratos de depósito bancário à ordem celebrados no âmbito da relação bancária existente entre as partes, aos quais se veio posteriormente associar a adesão da primeira Recorrente ao serviço de banca eletrónica disponibilizado pela instituição bancária.
Importa, por isso, começar por enquadrar juridicamente os contratos em presença.
Como é entendimento pacífico da doutrina, a denominada abertura de conta bancária constitui o momento fundador da relação bancária geral, assumindo a natureza de contrato-quadro destinado a enquadrar a generalidade das operações que, ao longo do tempo, venham a ser celebradas entre o cliente e a instituição de crédito. Nas palavras de Luís Pestana de Vasconcelos (Direito Bancário, 4.ª ed., Coimbra: Almedina, 2022, pp. 73-75), a abertura de conta constitui o negócio jurídico que “estabelece a base, o suporte, de todas as outras operações entre o banco e o cliente.” Não se esgota na simples criação de um registo contabilístico destinado a acolher fundos pertencentes ao cliente. Constitui antes a estrutura jurídica permanente no âmbito da qual se desenvolve uma relação negocial complexa, duradoura e tendencialmente estável, destinada a possibilitar a celebração de uma multiplicidade de negócios futuros que dela dependem funcionalmente (cf. Maria Raquel Guimarães, O Contrato-Quadro no Âmbito da Utilização de Meios de Pagamento Eletrónicos; Coimbra; Coimbra Editora, 2011, p. 63). Compreende-se, portanto, que António Menezes Cordeiro (Direito Bancário, 7.ª ed., Coimbra: Almedina, 2023, p. 149) escreva que a relação bancária caracteriza-se precisamente por ser uma relação “de natureza complexa, mutável, mas sempre presente”, traduzindo uma cooperação continuada entre cliente e banco que ultrapassa largamente os contornos de qualquer negócio isoladamente considerado.
Tradicionalmente, o núcleo económico dessa relação encontrava-se associado ao contrato de depósito bancário, mediante o qual o cliente entregava ao banco determinadas quantias monetárias, adquirindo este a respetiva propriedade e ficando constituído na obrigação de restituir outro tanto quando lhe fosse exigido. A evolução tecnológica, comercial e regulatória das últimas décadas veio alterar profundamente aquela realidade. Nas palavras de Francisco Mendes Correia (“Responsabilidade e risco nas operações de pagamento não autorizadas”, RFDUL, LXIV, 2023, n.º 2, pp. 426-427[i]), “o recurso ao depósito bancário desconsidera a evolução comercial, tecnológica e jurídica ocorrida nas últimas décadas, em que um modelo de relação baseado no depósito e levantamento de numerário foi substituído por modelos que recorrem sobretudo à moeda bancária, e a serviços de pagamento que nada têm que ver com o depósito.” No mesmo sentido, observa Mafalda Miranda Barbosa (“Serviços de pagamento, repartição do risco e responsabilidade civil”, Revista de Direito Comercial, 2022, p. 645), que, embora o depósito bancário continue a desempenhar relevante função económica, a relação contratual estabelecida entre cliente e banco não se confunde com aquele negócio específico, antes integrando uma realidade mais vasta e complexa, no seio da qual se articulam diversos contratos e serviços financeiros.
Esta transformação da realidade económica foi acompanhada pela evolução do direito europeu dos serviços de pagamento.
Com efeito, a Diretiva 2007/64/CE, do Parlamento Europeu e do Conselho, de 13 de novembro de 2007 (DSP1), posteriormente transposta para o ordenamento jurídico português pelo DL n.º 317/2009, de 30.10, diploma que aprovou o Regime Jurídico relativo ao acesso à atividade das Instituições de Pagamento (RSP) e à prestação de serviços de pagamento, procurou harmonizar os regimes nacionais aplicáveis aos serviços de pagamento, eliminando obstáculos jurídicos e operacionais à criação de um mercado integrado de pagamentos no espaço europeu.
O acelerado desenvolvimento tecnológico dos meios de pagamento eletrónicos veio evidenciar a insuficiência daquele quadro normativo inicial. A proliferação de novos instrumentos digitais, aplicações móveis, plataformas eletrónicas e canais remotos de movimentação de contas determinou a aprovação da Diretiva (UE) 2015/2366, do Parlamento Europeu e do Conselho, de 25 de novembro de 2015 (DSP2), posteriormente transposta para o direito interno através do DL n.º 91/2018, de 12.11, que aprovou o atual Regime Jurídico dos Serviços de Pagamento e da Moeda Eletrónica (RJSPME).
Como resulta dos considerandos da referida Diretiva, uma das preocupações centrais do legislador europeu consistiu em reforçar a confiança dos utilizadores nos meios de pagamento eletrónicos, assegurando simultaneamente elevados padrões de segurança, transparência e proteção do consumidor perante o crescimento exponencial das fraudes praticadas através de canais digitais.
É neste contexto de progressiva desmaterialização da atividade bancária que assume particular relevo o denominado serviço de homebanking ou banca eletrónica.
Com efeito, a evolução dos meios tecnológicos veio permitir que uma parte substancial das operações tradicionalmente executadas ao balcão passasse a ser praticada através de canais digitais, acessíveis à distância, de forma permanente e sem constrangimentos de localização ou horário. Como assinala Francisco Mendes Correia (“Operações não autorizadas e o Regime Jurídico dos Serviços de Pagamento e da Moeda Eletrónica”, RDC, II, 2017, p. 701[ii]), as operações de pagamento executadas pelos bancos e demais prestadores de serviços de pagamento tornaram-se “incontornáveis no cumprimento quotidiano das obrigações pecuniárias assumidas nos mais diversos contextos, desde comerciais a pessoais”, constituindo atualmente um instrumento indispensável ao funcionamento da vida económica.
O contrato de homebanking configura, assim, um negócio instrumental integrado na relação bancária global estabelecida entre cliente e instituição financeira, mediante o qual esta disponibiliza ao utilizador um conjunto de meios técnicos que lhe permitem aceder remotamente às respetivas contas, consultar saldos, verificar movimentos, ordenar transferências, efetuar pagamentos ou praticar outras operações bancárias através da internet.
A importância jurídica do homebanking não decorre apenas do facto de constituir um novo canal de comunicação entre banco e cliente. Ela reside sobretudo na circunstância de representar uma das manifestações mais significativas da transformação estrutural da relação bancária contemporânea, progressivamente deslocada de um modelo assente na circulação física de numerário para um modelo baseado na movimentação de moeda escritural através de instrumentos eletrónicos de pagamento.
Foi precisamente para dar resposta a esta realidade que o legislador europeu construiu o moderno regime jurídico dos serviços de pagamento, assente na distinção fundamental entre operações de pagamento isoladas e relações contratuais duradouras de prestação de serviços de pagamento. Como sublinha Francisco Mendes Correia (loc. ult. cit. cit., pp. 703-704), o par conceptual estruturante do regime é formado pelo “contrato de prestação de serviço de pagamento de carácter isolado” e pelo “contrato-quadro”, definido como o contrato que rege a execução futura de operações de pagamento individuais e sucessivas. É neste segundo modelo que se enquadra a generalidade das situações da prática bancária, incluindo a que se encontra em discussão nos presentes autos.
Assim, quando um cliente adere ao serviço de banca eletrónica, não celebra um novo contrato autónomo por ocasião de cada consulta, transferência ou operação realizada. As sucessivas operações executadas através da plataforma eletrónica constituem antes atos de execução de uma relação contratual previamente estabelecida entre as partes. Daí que parte significativa da doutrina qualifique o contrato de homebanking como um verdadeiro contrato-quadro. Conforme refere o autor citado (idem, pp. 704-705), as operações de pagamento individuais não devem ser vistas como contratos autónomos sucessivamente celebrados entre prestador e utilizador, mas antes como atos executivos inseridos numa relação jurídica preexistente, sendo que o prestador de serviços de pagamento se encontra obrigado a executar as operações validamente ordenadas pelo cliente, nos termos definidos pelo próprio contrato-quadro e pela lei. Neste sentido, ao nível da jurisprudência, afirma-se em STJ 18.12.2013[iii] (6479/09.8TBBRG.G1.S1), Ana Paula Boularot, que não estamos perante “uma multiplicidade de relações contratuais autónomas e independentes umas das outras”, mas antes perante “um complexo negocial interligado, configurando uma união de contratos, o qual tem por base aquele convénio principal e que vai ter a sua existência e razão de ser no mesmo”.
Pois bem, a adesão da primeira Recorrente ao serviço de homebanking disponibilizado pela Recorrida deve ser enquadrada nesta estrutura negocial unitária, integrada por uma relação bancária duradoura, assente num contrato-quadro de prestação de serviços de pagamento.
***
1).2. A apreciação da questão colocada não pode prescindir do enquadramento normativo decorrente do Regime Jurídico dos Serviços de Pagamento e da Moeda Eletrónica (RJSPME), aprovado pelo Decreto-Lei n.º 91/2018, de 12 de novembro, diploma que transpôs para a ordem jurídica interna a Diretiva (UE) 2015/2366 do Parlamento Europeu e do Conselho, de 25 de novembro de 2015 (DSP2).Como vimos, a referida Diretiva surgiu na sequência da experiência adquirida com a aplicação da Diretiva 2007/64/CE, de 13 de novembro de 2007 (DSP1), que havia constituído o primeiro grande esforço de harmonização do mercado europeu dos pagamentos. Através dela procurou-se ultrapassar a fragmentação então existente entre os diversos sistemas nacionais, estabelecendo um quadro jurídico uniforme destinado a favorecer a integração do mercado interno e a livre circulação dos serviços de pagamento no espaço europeu.
A notável evolução tecnológica verificada na década seguinte revelou rapidamente as limitações daquele primeiro modelo regulatório.
A generalização da banca eletrónica, a multiplicação dos instrumentos digitais de pagamento, a utilização crescente de aplicações móveis e o aparecimento de novos operadores no mercado financeiro colocaram problemas que não eram sequer concebíveis aquando da aprovação da DSP1. Paralelamente, registou-se um aumento muito significativo das fraudes associadas aos meios eletrónicos de pagamento, designadamente através de mecanismos de phishing, pharming, smishing e outras técnicas de engenharia social, entendidas como formas de manipulação psicológica que exploram a natural tendência humana para confiar em terceiros (“the natural human tendency to trust”), com vista à obtenção ilegítima de informação confidencial e de credenciais de autenticação (cf., a propósito, Nelson Duarte / Nuno Coelho / Teresa Guarda, “Social Engineering: The art of attacks”, AAVV, Advanced Research in Technologies, Information, Innovation and Sustainability. ARTIIS 2021. Communications in Computer and Information Science, Springer, 2021, pp. 474-483).
Como se assinala no Considerando 7 da Diretiva (UE) 2015/2366: “Nos últimos anos, assistiu-se a um aumento dos riscos de segurança relacionados com os pagamentos eletrónicos, ao volume cada vez maior deste tipo de pagamentos à escala mundial e ao aparecimento de novos tipos de serviços de pagamento. A existência de serviços de pagamento seguros constitui uma condição indispensável para o bom funcionamento do mercado de serviços de pagamento.”
Foi precisamente neste contexto que surgiu o atual RJSPME. O legislador europeu procurou, simultaneamente, promover a inovação tecnológica, reforçar a concorrência entre prestadores de serviços de pagamento e assegurar níveis mais elevados de proteção dos utilizadores dos sistemas eletrónicos de pagamento. Para esse efeito, o regime passou a disciplinar de forma particularmente detalhada os deveres de informação pré-contratual e contratual, os mecanismos de autenticação dos utilizadores, o regime das operações não autorizadas, a repartição dos riscos inerentes aos instrumentos de pagamento eletrónico e os critérios de imputação dos prejuízos resultantes de operações fraudulentas.
Como observa Nuno Tomás Cardoso (“A execução incorreta e não autorizada de ordens de pagamento”, Julgar, n.º 48, 2022, pp. 206-236[iv]), o RJSPME assume uma natureza essencialmente imperativa, constituindo um regime jurídico de aplicação geral e obrigatória, particularmente vocacionado para a tutela dos utilizadores dos serviços de pagamento perante a posição estruturalmente mais forte dos prestadores desses serviços. Daí que o legislador tenha limitado significativamente a liberdade contratual das partes, proibindo, em larga medida, desvios convencionais aos mecanismos legais de repartição do risco e de distribuição do ónus da prova previstos no diploma.
Tal opção compreende-se sem dificuldade. A contratação em matéria de serviços de pagamento desenvolve-se quase invariavelmente através de contratos de adesão assentes em cláusulas contratuais gerais predispostas pelas instituições financeiras. Como recorda Menezes Cordeiro (Manual de Direito Bancário cit., pp. 484-485), trata-se de contratos cujo conteúdo surge normalmente predisposto de forma genérica, rígida e não negociável, tendo em vista assegurar a rapidez e a uniformidade próprias da contratação bancária de massa.
Por esta razão, o RJSPME não se limita a regular os direitos e deveres das partes no plano substantivo. O diploma contém igualmente um importante conjunto de disposições destinadas a assegurar a transparência da contratação e a proteger o utilizador contra a eventual transferência contratual de riscos que o legislador entendeu deverem permanecer na esfera jurídica do prestador.
Por outro lado, importa ter presente que o RJSPME não constitui um corpo normativo autónomo e autossuficiente. Francisco Mendes Correia (loc. ult. cit., p. 702) assinala, a propósito, que o diploma não afasta a necessidade de recurso às categorias gerais do direito das obrigações. Pelo contrário, o regime dos serviços de pagamento deve ser interpretado em articulação com o direito comum, designadamente com as regras relativas ao cumprimento das obrigações, ao incumprimento contratual, à culpa, ao nexo de causalidade, ao enriquecimento sem causa e à responsabilidade civil. Nas palavras do autor acabado de citar, importa precisamente identificar “as áreas de especialidade e as áreas em que se aplicam as soluções de Direito comum das obrigações - previstas mormente no Código Civil -, sendo também importante enquadrar dogmaticamente as várias pretensões que emergem” das situações de operações de pagamento contestadas.
A mesma preocupação sistemática encontra expressão na própria arquitetura do RJSPME. Com efeito, o diploma assenta numa distinção fundamental entre o contrato de prestação de serviços de pagamento de caráter isolado e o contrato-quadro, definido no art. 2.º, o), como o contrato de prestação de serviços de pagamento que rege a execução futura de operações de pagamento individuais e sucessivas.
Conforme explica Francisco Mendes Correia (idem), é esta segunda figura que corresponde à situação paradigmática da atividade bancária contemporânea.
Na esmagadora maioria dos casos, o utilizador e o prestador de serviços de pagamento não se encontram ligados por uma relação episódica destinada à execução de uma única operação. Encontram-se antes vinculados por uma relação contratual duradoura no âmbito da qual passam a ser executadas sucessivas operações de pagamento ao longo do tempo.
É precisamente esse o quadro jurídico que se verifica nos presentes autos.
A primeira Recorrente encontrava-se vinculada à Recorrida por uma relação bancária duradoura, integrada por contratos de depósito à ordem e pela adesão ao serviço de banca eletrónica disponibilizado pela instituição financeira.
As operações de pagamento em discussão, concretizadas em três transferências bancárias a crédito ordenadas através do serviço de homebanking, não constituem realidades jurídicas autónomas relativamente ao vínculo contratual preexistente. Pelo contrário, representam atos de execução do contrato-quadro de prestação de serviços de pagamento celebrado entre as partes, inserindo-se na relação bancária duradoura estabelecida entre a primeira Recorrente e a Recorrida. Constituíram atos de execução de um contrato-quadro previamente estabelecido entre as partes, mediante o qual a Recorrida se obrigou a disponibilizar à cliente um conjunto de serviços de pagamento e esta se obrigou a utilizar os instrumentos disponibilizados segundo as condições contratualmente acordadas e legalmente previstas.
Importa igualmente notar que o conceito de “serviço de pagamento” utilizado pelo legislador é particularmente amplo.
Nos termos do art. 4.º do RJSPME, nele se compreendem todos os serviços que permitam depositar, levantar ou transferir fundos, bem como as operações necessárias à gestão de contas de pagamento.
Nuno Tomás Cardoso (loc. cit., p. 212) sublinha que o atual diploma veio inclusivamente ampliar significativamente o catálogo dos serviços admitidos, prevendo novos serviços de informação sobre contas (account information services) e serviços de iniciação de pagamento (payment initiation services), reflexo de uma realidade financeira crescentemente digitalizada e interligada.
Em qualquer caso, todos estes serviços assentam numa ideia comum: a execução de operações de pagamento através da utilização de instrumentos de pagamento previamente convencionados entre prestador e utilizador.
É precisamente neste ponto que assume particular relevância o conceito de instrumento de pagamento, definido pelo art. 2.º do RJSPME como qualquer dispositivo personalizado ou conjunto de procedimentos acordados entre as partes para a emissão de ordens de pagamento. De acordo com Francisco Mendes Correia (loc. ult. cit., pp. 705-706), integram este conceito não apenas cartões bancários ou aplicações eletrónicas, mas também os códigos de autenticação, credenciais de acesso, palavras-passe, dispositivos de segurança personalizados e códigos dinâmicos de validação utilizados no contexto dos serviços de homebanking.
A utilização desses instrumentos constitui o mecanismo através do qual o utilizador manifesta a sua vontade de ordenar determinada operação.
Daí que a estrutura dogmática do sistema apresente evidentes afinidades com a figura do mandato. À semelhança do mandatário, o prestador de serviços de pagamento atua em nome e por conta do utilizador, executando as operações que este previamente autoriza através dos mecanismos de autenticação convencionados. Como consequência, impera no sistema o princípio da autorização prévia da operação.
É a utilização dos instrumentos de pagamento e dos dispositivos de autenticação acordados que, em regra, legitima a atuação do prestador e desencadeia a respetiva execução da ordem de pagamento.
É à luz deste enquadramento normativo e dogmático, característico do regime instituído pelo RJSPME, que deve ser apreciada a questão central suscitada pelas Recorrentes quanto à imputação da responsabilidade pelas operações de pagamento realizadas nos presentes autos.
***
1).3. Como se percebe, a adesão a um serviço de pagamento não origina apenas uma faculdade técnica de utilização de determinados instrumentos eletrónicos de movimentação de fundos. Gera, simultaneamente, uma relação jurídica complexa, integrada por um conjunto particularmente denso de direitos, deveres e ónus que recaem quer sobre o prestador de serviços de pagamento, quer sobre o respetivo utilizador.Na verdade, uma das preocupações fundamentais que presidiu à aprovação da DSP2 e, subsequentemente, do RJSPME, consistiu precisamente na definição de um modelo equilibrado de repartição dos riscos inerentes à utilização dos meios eletrónicos de pagamento.
Compreende-se que assim seja. As operações de pagamento executadas através de canais digitais colocam problemas específicos que não se verificavam na contratação bancária tradicional. A ausência de contacto presencial entre as partes, a utilização de mecanismos de autenticação à distância e a possibilidade de intervenção de terceiros através de meios informáticos criam zonas de risco que exigem uma prévia delimitação legal das esferas de responsabilidade de cada interveniente. Foi precisamente essa a opção seguida pelo legislador europeu.
Contudo, já dissemos, o legislador não pretendeu instituir um regime completo e autossuficiente que dispensasse o recurso às categorias gerais do direito das obrigações e da responsabilidade civil. Procurou antes estabelecer um conjunto de normas especiais destinadas a conformar a prestação dos serviços de pagamento e a repartir os riscos inerentes à respetiva utilização, deixando ao direito comum a tarefa de integrar e completar o regime sempre que tal se revele necessário. Nesta medida, os deveres impostos ao prestador de serviços de pagamento e ao utilizador assumem uma relevância central, uma vez que a solução das situações de operações não autorizadas depende, em larga medida, da identificação da esfera jurídica em que se produziu o incumprimento ou a violação dos deveres legalmente impostos.
Os deveres que recaem sobre o prestador de serviços de pagamento podem ser agrupados em duas categorias essenciais: os deveres de organização e segurança da atividade e os deveres de execução da relação contratual estabelecida com o utilizador.
No primeiro grupo encontram-se os deveres estruturais que o legislador faz impender sobre a instituição financeira enquanto entidade autorizada a exercer profissionalmente a atividade de prestação de serviços de pagamento.
No dizer de Nuno Tomás Cardoso (loc. cit., p. 213), o RJSPME estabelece um conjunto de obrigações de organização interna que se acrescentam às já decorrentes do regime geral das instituições de crédito e sociedades financeiras.
Desde logo, impõe-se às instituições a obrigação de implementar mecanismos adequados de gestão dos riscos operacionais e dos riscos de segurança associados à respetiva atividade, devendo existir procedimentos destinados à prevenção de incidentes, à mitigação dos respetivos efeitos e ao controlo permanente dos sistemas utilizados (artigo 70/3 do RJSPME).
Paralelamente, as instituições estão obrigadas a adotar medidas aptas a assegurar a confidencialidade e a integridade das credenciais de segurança personalizadas utilizadas pelos respetivos clientes (art. 104/3 do RJSPME), bem como a manter sistemas de registo que permitam, a todo o tempo, reconstituir as operações realizadas e comprovar o cumprimento das obrigações que sobre si recaem (art. 73 do RJSPME).
Tais deveres organizatórios revelam-se particularmente relevantes no contexto da banca eletrónica. Num ambiente em que grande parte das operações é executada através de sistemas automatizados e sem intervenção humana direta, a robustez dos mecanismos de autenticação, a fiabilidade dos canais de comunicação e a capacidade de deteção de comportamentos anómalos constituem pressupostos indispensáveis ao regular funcionamento do sistema.
Ao lado destes deveres estruturais surgem os deveres diretamente relacionados com a execução das operações concretas.
A este propósito, o art. 111 do RJSPME impõe ao prestador um conjunto de obrigações particularmente relevantes. Assim, compete-lhe assegurar que os instrumentos de pagamento e os respetivos dispositivos de segurança apenas sejam acessíveis ao respetivo utilizador; disponibilizar meios adequados para comunicação da perda, furto, apropriação abusiva ou utilização não autorizada desses instrumentos; facultar ao utilizador meios de prova das comunicações efetuadas; e impedir a utilização do instrumento logo que tenha sido comunicada qualquer utilização indevida ou fraudulenta.
Como refere Nuno Tomás Cardoso (loc. cit., p. 216), estes deveres constituem verdadeiros deveres conformadores da prestação a cargo do prestador de serviços de pagamento, sendo o respetivo incumprimento suscetível de determinar a sua responsabilidade civil contratual.
O sistema instituído pelo RJSPME não assenta, todavia, na atribuição ao prestador de um dever absoluto de garantia relativamente a toda e qualquer utilização fraudulenta dos instrumentos de pagamento. Pelo contrário, a própria lógica dos mecanismos de autenticação forte pressupõe uma participação ativa do utilizador na preservação da segurança do sistema.
É justamente por essa razão que o legislador faz recair sobre o utilizador um conjunto de deveres cujo incumprimento pode determinar a transferência, total ou parcial, dos prejuízos para a sua esfera jurídica.
O art. 110 do RJSPME identifica as duas obrigações fundamentais do utilizador.
Por um lado, deve utilizar os instrumentos de pagamento de acordo com as condições que regem a respetiva emissão e utilização. Por outro, deve comunicar ao prestador, sem demora injustificada, a perda, furto, apropriação abusiva ou qualquer utilização não autorizada de tais instrumentos.
A primeira destas obrigações assume especial relevância.
Com efeito, a utilização regular dos instrumentos de pagamento pressupõe a observância das regras de segurança previamente comunicadas pelo prestador e a preservação da confidencialidade dos respetivos elementos de autenticação. Por isso, o n.º 2 do mesmo artigo dispõe expressamente que o utilizador deve tomar todas as medidas razoáveis para preservar a segurança das credenciais de segurança personalizadas que lhe foram atribuídas.
Como observa Nuno Tomás Cardoso (loc. cit., p. 217), trata-se de um verdadeiro dever de diligência que deve ser aferido segundo o padrão objetivo do bom pai de família consagrado no art. 487/2 do Código Civil. O utilizador deve, por conseguinte, guardar os códigos de acesso, palavras-passe, elementos de autenticação e demais dispositivos de segurança de forma a impedir o respetivo conhecimento por terceiros, abstendo-se de os divulgar ou disponibilizar.
A razão de ser desta disciplina é evidente. Num sistema assente na autenticação eletrónica, os elementos de segurança personalizados funcionam como instrumentos de legitimação da operação. Quando uma operação é validada mediante a utilização das credenciais previamente acordadas, o sistema presume que a autorização procede do respetivo titular. Daí que o incumprimento dos deveres de custódia e confidencialidade possa assumir relevância decisiva na repartição dos prejuízos resultantes de operações não autorizadas.
Neste enquadramento, o problema central dos litígios envolvendo fraude informática não reside, frequentemente, na existência da fraude em si mesma considerada, realidade normalmente incontroversa, mas antes na determinação da forma como os agentes fraudulentos lograram obter acesso aos mecanismos de autenticação utilizados para validar as operações contestadas.
É precisamente por isso que, como veremos, a jurisprudência tem atribuído especial relevo à conduta do utilizador relativamente à conservação e utilização das credenciais de segurança.
Como nota Nuno Tomás Cardoso (loc. cit., pp. 217-218) apenas nos casos em que esteja em causa uma atuação meramente negligente em termos ligeiros poderá justificar-se a transferência do risco para o prestador. Diferentemente, quando o utilizador adote comportamentos incompatíveis com as regras elementares de preservação das credenciais de autenticação, poderá verificar-se uma situação de negligência grave ou grosseira suscetível de afastar a responsabilidade da instituição financeira.
Finalmente, cumpre referir o dever de comunicação imediata das utilizações indevidas dos instrumentos de pagamento.
Uma vez efetuada essa comunicação, cessa, em regra, a responsabilidade do utilizador pelas operações posteriormente realizadas, recaindo sobre o prestador o dever de impedir qualquer utilização subsequente do instrumento comprometido.
Resulta, assim, do regime legal vigente que a segurança dos serviços de pagamento não constitui uma responsabilidade exclusiva da instituição financeira nem, inversamente, um risco integralmente transferido para o utilizador. O sistema instituído pelo RJSPME assenta antes numa lógica de responsabilidade partilhada, através da qual o legislador distribui os riscos inerentes à utilização dos instrumentos eletrónicos de pagamento em função dos deveres de segurança que recaem sobre cada uma das partes.
A repartição substancial destes riscos encontra ainda expressão numa opção legislativa particularmente significativa em matéria de ónus da prova.
Com efeito, dispõe o art. 113 do RJSPME que, quando o utilizador negue ter autorizado uma operação de pagamento executada, incumbe ao respetivo prestador de serviços de pagamento provar que a operação foi autenticada, devidamente registada e contabilizada, não tendo sido afetada por avaria técnica ou qualquer outra deficiência do sistema.
O legislador foi mais longe. A demonstração da correta autenticação e do regular funcionamento dos mecanismos técnicos utilizados não é, por si só, suficiente para provar que a operação foi efetivamente autorizada pelo utilizador ou que este atuou de forma fraudulenta ou com negligência grosseira. Como assinala Nuno Tomás Cardoso (loc. cit., p. 230), trata-se de uma solução inovadora introduzida pelo atual regime jurídico, destinada a impedir que a mera prova do funcionamento regular do sistema permita ao prestador eximir-se ao dever de reembolso das operações contestadas.
Consequentemente, sobre a instituição financeira continua a recair o ónus de demonstrar os factos concretos suscetíveis de revelar que a operação foi validamente autorizada pelo utilizador ou que a sua execução se tornou possível em virtude de uma atuação fraudulenta ou gravemente negligente deste. A prova da regularidade técnica da operação constitui, assim, condição necessária, mas não suficiente, para afastar o regime protetivo instituído pelo RJSPME.
***
1).4. A adequada resolução do litígio exige ainda a prévia identificação das diversas situações contempladas pelo RJSPME em matéria de operações de pagamento autorizadas e não autorizadas, uma vez que a disciplina da responsabilidade varia em função da concreta origem da desconformidade verificada.Com efeito, o regime legal não parte de uma lógica binária assente apenas na distinção entre operações autorizadas e operações não autorizadas. O que verdadeiramente releva é a determinação da esfera jurídica em que se localiza a causa da operação contestada, isto é, a identificação do sujeito a quem deve ser imputada a vicissitude que permitiu a respetiva execução.
Como refere Francisco Mendes Correia (loc. ult. cit., pp- 707-708), podem distinguir-se quatro constelações fundamentais:
“a) caso a operação tenha realmente sido autorizada pelo utilizador;
b) caso a operação não tenha sido autorizada e a sua execução fique a dever-se a factos imputáveis ao prestador;
c) caso a operação não tenha sido autorizada e a sua execução fique a dever-se a factos imputáveis ao utilizador;
d) caso a operação não tenha sido autorizada e a sua execução fique a dever-se a factos imputáveis a terceiro.”
A cada uma destas hipóteses corresponde um regime jurídico próprio.
Nas palavras do mesmo autor, “teremos o contrato a funcionar no primeiro caso. No segundo caso, o pano de fundo é dado pelo regime geral da responsabilidade obrigacional. Nos dois últimos casos funcionam esquemas de imputação de danos baseados na responsabilidade pelo risco, atenuados, no terceiro caso, pelo instituto da culpa do lesado.”
A observação é particularmente relevante porque evidencia uma realidade frequentemente esquecida na litigância bancária contemporânea: a circunstância de determinada operação não ter sido materialmente desejada pelo titular da conta não significa, por si só, que os prejuízos daí decorrentes devam necessariamente ser suportados pela instituição financeira.
O sistema instituído pelo legislador europeu assenta antes numa lógica de repartição diferenciada dos riscos, fundada na concreta origem da perturbação ocorrida no processo de autenticação e execução da operação.
Importa começar pelas operações autorizadas.
Nos termos do art. 103 do RJSPME, uma operação de pagamento considera-se autorizada quando o ordenante tenha prestado o respetivo consentimento segundo a forma acordada com o prestador de serviços de pagamento.
Como assinala Nuno Tomás Cardoso (loc. cit., p. 218), a ordem de pagamento corresponde à instrução dada pelo ordenante ao respetivo prestador de serviços requerendo a execução de uma operação de pagamento, sendo concretizada através da utilização dos instrumentos de pagamento e dos mecanismos de autenticação previamente convencionados entre as partes.
Por sua vez, a operação de pagamento consiste no ato de depositar, transferir ou levantar fundos, independentemente da relação subjacente existente entre ordenante e beneficiário.
Da conjugação destes conceitos resulta que o consentimento validamente prestado pelo utilizador constitui o elemento legitimador da atuação do prestador.
Como referimos, a relação estabelecida entre o utilizador e o prestador apresenta evidentes afinidades estruturais com a figura do mandato. Nas palavras de Francisco Mendes Correia (loc. ult. cit., p. 706), “o prestador de serviços de pagamento atua em nome e por conta do utilizador, executando ordens de pagamento, à medida que as recebe.” Consequentemente, quando uma operação foi validamente autorizada através dos mecanismos de autenticação acordados, a respetiva execução constitui um ato devido por parte do prestador.
Verificados os pressupostos contratualmente estabelecidos, designadamente a existência de provisão suficiente na conta do ordenante, o banco não apenas pode executar a operação, como, em regra, não pode recusar a respetiva execução (art. 120/1 do RJSPME). Nuno Tomás Cardoso (loc. cit., p. 220) nota que, após a autenticação forte da operação e a receção da ordem de pagamento, esta assume natureza tendencialmente irrevogável, vigorando o princípio segundo o qual a ordem regularmente recebida pelo prestador não pode ser unilateralmente retirada pelo ordenante, salvo nos casos expressamente previstos na lei (arts. 103/6 e 121 do RJSPME).
Nestas situações, o débito da conta do cliente encontra plena justificação jurídica.
Conforme salienta Francisco Mendes Correia (loc. ult. cit., p. 709), uma vez executada a operação autorizada, o prestador adquire legitimidade para recuperar os custos em que incorreu por conta do utilizador, designadamente através do débito da respetiva conta de pagamento. A operação de débito constitui, assim, o corolário normal da execução de uma ordem de pagamento validamente autorizada.
Diversa é a situação quando a operação não foi autorizada e a respetiva execução resulta de incumprimento imputável ao prestador de serviços de pagamento.
Nestes casos, domina o regime da responsabilidade obrigacional. Como refere Francisco Mendes Correia (loc. ult. cit., pp. 709-710), estamos perante situações em que o prestador “tenha omitido atos devidos ou praticado atos que configurem o incumprimento ou o cumprimento defeituoso dos seus deveres obrigacionais.”
A título exemplificativo, podem enquadrar-se nesta categoria as hipóteses em que o prestador não implementa mecanismos de autenticação adequados, não bloqueia atempadamente o instrumento de pagamento após comunicação da respetiva utilização abusiva ou não disponibiliza ao cliente meios eficazes para comunicar situações de fraude.
Também Nuno Tomás Cardoso (loc. cit., pp. 223-224) identifica como casos paradigmáticos de responsabilidade do prestador: a omissão do bloqueio do instrumento de pagamento após a comunicação da sua utilização indevida; a falta de disponibilização de meios adequados para comunicar perdas, furtos ou utilizações abusivas; a violação de outros deveres contratuais de segurança e controlo inerentes à prestação do serviço.
Nestes casos, a solução legal encontra-se atualmente prevista no art. 114 do RJSPME. A instituição financeira fica obrigada a reembolsar imediatamente o montante da operação não autorizada, repor a conta na situação em que estaria se a operação não tivesse sido executada, suportar os juros previstos na lei e indemnizar os danos suplementares que eventualmente se demonstrem.
Como assinala Francisco Mendes Correia (loc. ult. cit., pp. 711-712), o legislador pretendeu consagrar uma verdadeira reconstituição natural da situação patrimonial do utilizador, em conformidade com o princípio geral decorrente do art. 562 do Código Civil.
Existe, porém, uma terceira hipótese, que assume particular relevância para os presentes autos.
Trata-se das situações em que a operação não foi autorizada mas a respetiva execução se tornou possível em consequência da violação, pelo próprio utilizador, dos deveres de utilização diligente dos instrumentos de pagamento e de preservação das credenciais de segurança personalizadas.
Neste domínio, o regime assenta nos arts. 110 e 115 do RJSPME.
Como explica Francisco Mendes Correia (loc. ult. cit., p. 714), o legislador estabelece essencialmente dois deveres fundamentais a cargo do utilizador: “a utilização dos instrumentos de pagamento de acordo com as condições que regem a sua emissão e utilização” e “a comunicação ao banco, sem atrasos justificados, da perda, roubo, apropriação abusiva ou outra qualquer utilização não autorizada dos instrumentos.”
Os deveres anteriormente referidos assumem particular relevância quando se coloca o problema da repartição das perdas resultantes de operações não autorizadas.
Na formulação legal, o utilizador deve tomar “todas as medidas razoáveis para preservar a eficácia dos seus dispositivos de segurança personalizados”.
Também Nuno Tomás Cardoso (loc. cit., p. 217) destaca que a utilização dos instrumentos de pagamento deve observar as regras de segurança comunicadas pelo prestador, incumbindo ao utilizador evitar a divulgação de palavras-passe, códigos de autenticação ou outros elementos suscetíveis de permitir a terceiros a realização de operações em seu nome.
A violação destes deveres pode dar origem a diferentes níveis de imputação.
A este propósito, Francisco Mendes Correia (loc. ult. cit., p. 715) identifica três graus distintos de censura: um primeiro nível correspondente à culpa leve; um segundo nível correspondente à negligência grave ou grosseira; um terceiro nível correspondente ao incumprimento deliberado ou à atuação fraudulenta do utilizador.
Segundo o mesmo Autor, a distinção relevante não reside entre negligência consciente e inconsciente, mas antes na intensidade objetiva da censura dirigida ao comportamento adotado.
Assim, “no primeiro nível de imputação negligente é relevante a culpa leve (...), ao passo que na culpa grave, que o próprio legislador designa por negligência grave, exige-se uma conduta que só seria suscetível de ser realizada por uma pessoa especialmente negligente.”
***
1).5. Identificada a disciplina aplicável às operações autorizadas e às operações não autorizadas imputáveis ao prestador ou ao utilizador, cumpre aprofundar a hipótese, particularmente frequente na litigância contemporânea associada à banca eletrónica, das operações não autorizadas cuja execução resulta da atuação ilícita de terceiros estranhos à relação contratual estabelecida entre o utilizador e o prestador de serviços de pagamento.Trata-se, aliás, da situação paradigmática dos modernos fenómenos de fraude informática.
São casos em que a operação não foi autorizada pelo titular da conta; não se demonstra qualquer incumprimento dos deveres de custódia, vigilância ou utilização diligente por parte do utilizador; e, simultaneamente, não é possível imputar ao prestador de serviços de pagamento qualquer violação dos deveres de segurança, autenticação ou controlo que sobre ele recaem.
Nestas situações, a operação fraudulenta resulta exclusivamente da atuação de terceiros que, através de mecanismos de fraude informática, engenharia social ou intrusão tecnológica, logram obter ou reproduzir as credenciais de autenticação necessárias à emissão da ordem de pagamento.
Ora, é precisamente neste domínio que o regime instituído pelo RJSPME revela toda a sua especificidade.
Com efeito, conforme sublinha Francisco Mendes Correia (loc. ult. cit., p. 718), estamos perante hipóteses em que o banco consegue demonstrar “a correta autenticação e registo da operação, bem como a integridade dos seus sistemas e procedimentos técnicos”, não lhe sendo imputável qualquer deficiência dos mecanismos de segurança, omissão de deveres de controlo ou falha de atuação após a comunicação da fraude.
Numa perspetiva clássica de responsabilidade civil, seria tentador concluir que, inexistindo culpa do prestador e não sendo igualmente imputável ao utilizador qualquer atuação censurável, o prejuízo deveria permanecer na esfera patrimonial deste último.
Não foi, porém, essa a solução adotada pelo legislador europeu.
Pelo contrário, o art. 114/1 do RJSPME (correspondente ao anterior art. 71) determina que, perante uma operação de pagamento não autorizada, o prestador de serviços de pagamento deve reembolsar imediatamente o ordenante do montante da operação e repor a conta na situação em que estaria se a operação não tivesse sido executada.
Como nota Francisco Mendes Correia (idem), esta solução não pode ser explicada exclusivamente mediante as categorias tradicionais da responsabilidade contratual. Na verdade, existem situações em que a operação não autorizada não é imputável nem ao utilizador nem ao prestador, sendo exclusivamente causada pela atuação fraudulenta de terceiro. Ainda assim, o legislador faz recair sobre a instituição financeira o dever de reconstituir a situação patrimonial do cliente.
Em conformidade, o autor conclui que estamos perante uma verdadeira hipótese de imputação objetiva das perdas, reconduzível dogmaticamente aos modelos de responsabilidade pelo risco. Nas suas palavras, “as perdas são objetivamente imputáveis ao prestador, que é depois livre de tentar identificar o terceiro para a respetiva recuperação.”
No mesmo sentido se pronuncia Nuno Tomás Cardoso (loc. cit., p. 228), para quem, nas operações imputáveis a terceiro, “independentemente da responsabilidade do terceiro, a entidade prestadora de serviços de pagamento encontra-se obrigada a reembolsar imediatamente o utilizador do montante da operação de pagamento não autorizada, ou ainda a repor a conta no estado em que se encontrava”, tratando-se de uma responsabilidade que deve ser enquadrada na categoria da responsabilidade objetiva ou pelo risco.
A razão de ser desta solução encontra-se expressamente refletida na própria Diretiva dos Serviços de Pagamento. Como se lê no Considerando 46 da DSP1, entendimento mantido pela DSP2, a confiança dos utilizadores constitui condição indispensável para assegurar o funcionamento harmonioso e eficiente do sistema de pagamentos: “o utilizador precisa de ter confiança quanto ao facto de que o prestador de serviços de pagamento irá executar a operação de pagamento de forma correta (...) Habitualmente, o prestador está em condições de apreciar os riscos inerentes a uma operação de pagamento. É o prestador que assegura o sistema de pagamentos (...).”
Esta qualificação não resulta expressamente da letra da lei. Constitui antes uma construção doutrinal destinada a explicar por que razão o prestador continua obrigado ao reembolso mesmo quando não se demonstra qualquer incumprimento dos deveres que sobre ele recaem.
A obrigação de reembolso surge, assim, desligada de qualquer juízo de culpa e fundada exclusivamente na afetação legal do risco inerente ao funcionamento do sistema de pagamentos.
A opção legislativa é, pois, deliberada. O risco associado ao funcionamento de um sistema tecnológico complexo, assente na utilização massiva de instrumentos eletrónicos de autenticação e transmissão de ordens, é transferido para a esfera dos sujeitos que profissionalmente exploram esse sistema e retiram do mesmo benefício económico.
Como observa Francisco Mendes Correia (loc. ult. cit., p. 719), trata-se de uma solução fundada na necessidade de “gerar e tutelar a confiança dos utilizadores no sistema de pagamentos”, fazendo recair os riscos inerentes ao funcionamento desse sistema sobre os participantes que se encontram objetivamente mais aptos para os controlar, repartir e absorver.
É precisamente neste contexto que assumem particular relevo os diversos mecanismos de fraude eletrónica que têm vindo a proliferar na utilização dos serviços de banca digital.
Entre eles destaca-se, desde logo, o phishing.
Conforme se explica no citado STJ 18.12.2013, o phishing consiste no envio de comunicações eletrónicas que aparentam provir da instituição financeira legítima, induzindo o utilizador a introduzir credenciais de autenticação numa página falsa que reproduz, com maior ou menor fidelidade, a aparência do sítio oficial do banco.
A doutrina espanhola tem descrito a figura em termos semelhantes.
Segundo Araya Alicia Estancona Pérez (“Responsabilidad de las entidades financieras ante el hackeo de cuentas bancarias. En particular, casos de phising”, Actualidad Jurídica Iberoamericana, n.º 18, fev. 2023, pp. 1590-1617), o phishing corresponde a uma atuação fraudulenta através da qual o utilizador é redirecionado para uma página eletrónica que constitui uma réplica quase perfeita da página genuína da instituição financeira, sendo persuadido a introduzir os respetivos códigos de acesso e credenciais pessoais.
Próximas desta realidade surgem outras modalidades de fraude.
Assim sucede com o denominado smishing, em que o contacto fraudulento é realizado mediante mensagens SMS aparentemente provenientes da instituição financeira, e com o chamado vishing, em que o contacto é efetuado através de chamadas telefónicas durante as quais o agente se apresenta como funcionário do banco ou de entidade pública.
Especial relevância tem igualmente o fenómeno do spoofing. Nesta modalidade, o terceiro fraudulento mascara ou falsifica elementos identificativos das comunicações eletrónicas, telefónicas ou digitais, fazendo-as surgir perante o utilizador como provenientes de uma fonte legítima de forma a fazer surgir a comunicação como proveniente da entidade legítima com quem o utilizador habitualmente se relaciona. O utilizador é assim confrontado com mensagens, correios eletrónicos ou chamadas que aparentam efetivamente provir da instituição bancária com a qual mantém relação contratual. Trata-se de uma técnica particularmente sofisticada de “engenharia social”, precisamente porque explora a confiança que o cliente deposita nos canais habituais de comunicação da instituição financeira.
A literatura recente identifica ainda modalidades mais complexas.
Entre elas merece destaque o pharming, referido por Nuno Tomás Cardoso (loc. cit., p. 231), no qual o sistema informático do utilizador é previamente comprometido através da instalação de programas maliciosos (malware), sendo subsequentemente redirecionado para páginas falsas mesmo quando introduz corretamente o endereço eletrónico autêntico da instituição financeira.
Associado a esta técnica surge frequentemente o denominado keylogging, através do qual programas ocultos registam todas as informações introduzidas pelo utilizador no teclado, incluindo palavras-passe, códigos de autenticação e elementos de validação de operações.
Mais recentemente, a doutrina tem igualmente identificado o fenómeno do SIM swapping, referido pela doutrina espanhola e pelos relatórios do Banco de Espanha, que consiste na obtenção fraudulenta de um duplicado do cartão SIM do utilizador, permitindo ao agente receber os códigos de autenticação enviados por SMS e concluir operações aparentemente validadas segundo os protocolos de autenticação forte.
A literatura recente identifica ainda esquemas de business e-mail compromise ou fraude do CEO, nos quais o agente fraudulento, após comprometer ou simular comunicações provenientes de entidades reputadas, induz o utilizador a ordenar voluntariamente uma transferência para conta pertencente ao agente ou a terceiro por este controlado.
Ora, perante esta crescente sofisticação dos processos de fraude, compreende-se a opção do legislador europeu por fazer incidir sobre o prestador dos serviços de pagamento o risco residual das operações não autorizadas cuja concreta génese permaneça indeterminada. É neste sentido que aponta RL 21.12.2017 (1318/09.2TBTNV.L1-6), Manuel Rodrigues, onde se concluiu que “não se tendo provado como foi obtido o acesso às credenciais de segurança utilizadas na autenticação das operações em causa (...), não se pode estabelecer um nexo de causalidade entre a conduta dos Autores e a realização das operações.” Acrescentou-se que, não demonstrando o banco qualquer comportamento doloso ou negligente do utilizador, lhe incumbia proceder ao reembolso das operações contestadas.
O entendimento resulta da lógica do atual art. 113 do RJSPME. Não basta ao prestador demonstrar que a operação foi corretamente autenticada, registada e contabilizada. A prova da regularidade técnica do sistema não permite concluir, por si só, que a operação foi autorizada pelo utilizador ou que este atuou com negligência grosseira. O ónus da prova da fraude, da atuação dolosa ou da negligência grave do utilizador continua a recair sobre o prestador de serviços de pagamento.
Daqui resulta uma consequência particularmente relevante: quando não seja possível demonstrar qualquer incumprimento dos deveres de segurança impostos ao utilizador, e quando a origem da fraude permaneça desconhecida ou reconduzível à atuação de terceiros, o regime legal não permite transferir automaticamente o prejuízo para a esfera patrimonial do cliente. Pelo contrário, nessas circunstâncias o risco da operação não autorizada permanece, em princípio, na esfera da instituição financeira, sem prejuízo do eventual exercício posterior dos direitos que esta possa ter contra os autores da fraude.
***
1).6. O tema tem sido objeto de vários arestos dos tribunais superiores.A título de exemplo, no citado STJ 18.12.2013 (6479/09.8TBBRG.G1.S1), apreciou-se uma situação de pharming na qual a representante da autora introduzira credenciais numa página clonada que lhe surgira no ecrã do computador pessoal. O tribunal atribuiu o risco dos ataques informáticos ao prestador de serviços de pagamento com fundamento no art. 796/1 do Código Civil, perante a ausência de culpa demonstrada do utilizador.
O também já citado RL 21.12.2017 (1318/09.2TBTNV.L1-6) debruçou-se sobre um litígio que envolvera desvios patrimoniais remotos operados por meios técnicos desconhecidos, nos quais a instituição bancária demonstrara a integridade informática do sistema mas omitira a prova de incúria do cliente. Depois de declarar a nulidade das cláusulas contratuais gerais que pretendiam inverter o ónus probatório ou presumir o consentimento do utilizador em caso de intromissão de terceiros, por contrariarem os arts. 20 e 21, f), do Regime Geral das Cláusulas Contratuais Gerais, a RL julgou improcedente a apelação da instituição de crédito, confirmando a sentença que obrigava o banco a restituir imediatamente os fundos subtraídos ao abrigo do art. 71/1 do então vigente RSP.
A variação factual da burla digital determinou a redefinição do juízo de censura em RL 12.07.2018 (2256/17.0T8LSB.L1-7), Higina Castelo. No caso, a utilizadora inserira a totalidade das coordenadas do cartão matriz numa página contrafeita acedida mediante uma hiperligação contida num correio eletrónico fraudulento (phishing). O tribunal considerou que a conduta preenchia o conceito de negligência grave e absolveu a instituição bancária das perdas sofridas pela cliente. O aresto sublinhou que a divulgação massiva de coordenadas de segurança violava frontalmente os deveres contratuais de custódia previstos no art. 67 do anterior RSP.
Em RL 22.02.2025 (7684/22.7T8LSB.L1-2), Fernando Caetano Besteiro, discutiram-se os contornos da negligência grosseira no âmbito do contrato-quadro de e-banking. Concluiu-se pela exclusão da responsabilidade do prestador de serviços num caso em que a utilizadora inserira 38 códigos de autenticação forte numa página clonada, as mensagens escritas autorizavam pagamentos reais de € 999,00 e € 500,00 e a instituição de crédito demonstrara a integridade do sistema informático nos termos do art. 113/3 do RJSPME. Entendeu-se que a introdução reiterada de chaves de validação contra os alertas explícitos da plataforma configurara um erro indesculpável que afastava a responsabilidade bancária ao abrigo do art. 115/4 do mesmo diploma.
Em RL 13.03.2025 (11019/23.3T8SNT.L1), Higina Castelo, enfrentou-se o fenómeno do typosquatting. A autora acedera a um sítio eletrónico falso por erro de digitação num motor de busca e enviara posições do cartão matriz e códigos de autorização por correio eletrónico. O tribunal absolveu o prestador de serviços de pagamento por qualificar a cedência voluntária de dados confidenciais através de mensagens digitais como uma infração grosseira ao art. 110/2 do RJSPME. A decisão validou ainda a dispensa de autenticação forte na segunda transferência ao abrigo do Regulamento Delegado (UE) 2018/389 da comissão de 27 de novembro de 2017, uma vez que a primeira operação validara o beneficiário como fiável.
Em RL 11.09.2025 (451/24.5T8LSB.L1-2), Inês Moura, o perfil profissional do utilizador foi considerado fator de agravamento do padrão de diligência exigível. No caso, um advogado com vasta experiência na gestão de massas insolventes validara acessos após receber uma mensagem contendo graves erros de sintaxe e ortografia relativa a uma aplicação informática móvel que sabia não utilizar. A RL confirmou a existência de negligência grosseira por a conduta do lesado se afastar de forma flagrante do comportamento expectável de um homem médio medianamente sagaz. O juízo de censura assentou nos critérios gerais do art. 487/2 do Código Civil.
Em RG 2.04.2025 (1284/24.4T8BRG.G1), Fernanda Proença Fernandes, apreciou-se um caso em que o gerente de uma sociedade comercial inserira chaves do cartão matriz numa janela de atualização sobreposta à página autêntica do banco e validara as operações após receber chamadas telefónicas simuladas que imitavam o número oficial de apoio. A decisão descaracterizou a negligência grosseira e condenou o banco ao reembolso das quantias subtraídas. O tribunal considerou que a simulação telefónica com falsificação de identidade institucional (spoofing) anulara a capacidade de deteção do engano por um utilizador comum.
No caso apreciado em RG 11.06.2025 (141/23.6T8VVD.G1), António Beça Pereira, a utilizadora introduzira códigos de segurança depois de receber um telefonema sobre uma intrusão na conta, embora as mensagens escritas de validação contivessem a indicação expressa de que os dados serviam para aprovar pagamentos a um comerciante e levantamentos remotos. O tribunal imputou o dano à cliente a título de negligência grosseira. Justificou a decisão pelo facto de a anuência a pagamentos comerciais contrariar o mais elementar senso comum de quem pretendia proteger o saldo bancário.
Em RG 18.09.2025 (3428/23.4T8VCT.G1), Paulo Reis, decidiu-se pela exclusão da responsabilidade bancária por ter resultado provada, a um tempo, a integridade funcional dos sistemas informáticos e a introdução regular das chaves de segurança sem qualquer avaria técnica e, a outro, a cedência negligente das credenciais pela utilizadora.
A intermediação de dados pessoais protegidos determinou o sentido de RG 30.10.2025 (1292/24.5T8VCT.G1), José Cravo. No caso apreciado, o utilizador sofrera uma burla de vishing na qual os atacantes detinham informações confidenciais prévias sobre a sua identidade e histórico de transações. A Relação descartou a negligência grosseira por entender que o domínio de dados sigilosos pelos criminosos mascarara a fraude e afastara o caráter grosseiro do desleixo do cliente.
O ónus probatório do prestador de serviços de pagamento foi reafirmado em RG 17.12.2025 (2236/23.7T8BCL.G1), Alexandra Rolim Mendes. A instituição bancária limitara-se a comprovar o registo informático das transferências eletrónicas remetidas para contas de terceiros sem concretizar a conduta desleixada da cliente. O tribunal condenou o banco no reembolso integral dos fundos e no pagamento de juros moratórios majorados em 10 pontos percentuais ao abrigo do art. 114/10 do RJSPME.
Em RP 12.02.2026 (3783/24.9T8AVR.P1), José Manuel Correia, densificou-se o conceito de erro indesculpável ao apreciar um caso em que o utilizador transmitira verbalmente chaves de acesso e códigos matriz durante uma chamada telefónica fraudulenta de spoofing, ignorando o texto da mensagem escrita que alertava para a ativação de autorizações e proibia a partilha de dados. O aresto revogou a decisão de primeira instância e declarou a negligência grosseira do lesado por violação do dever de custódia prescrito no art. 110/2 do RJSPME. A RP considerou que a conduta do cliente fora o fator exclusivo do desfalque financeiro.
Em RG 19.02.2026 (2182/23.4T8VCT.G1), Margarida Pinto Gomes, apreciou-se um caso em que a autora fora vítima de pharming ao ser redirecionada para um endereço eletrónico idêntico ao do banco quando tentava iniciar as suas consultas bancárias habituais. O tribunal manteve a condenação da instituição bancária por considerar que o mimetismo tecnológico do pharming impede o homem médio de detetar a intrusão, afastando a negligência grosseira. E, suma, aplicou-se a teoria das esferas de risco para manter o prejuízo na esfera do prestador.
Por fim, em RG 5.03.2026 (7263/24.4T8GMR.G1), Lígia Venade, concluiu-se pela negligência grosseira do utilizador com base numa presunção judicial construída ao abrigo do art. 349 do Código Civil. Estava em causa o furto de um cartão bancário deixado no interior de um veículo estacionado em local público, posteriormente utilizado com introdução correta do respetivo PIN. A Relação entendeu que a utilização imediata e sem erros do código permitia inferir que o respetivo titular não preservara adequadamente a confidencialidade das credenciais de segurança personalizadas, concluindo ainda que a custódia do cartão revelara um desmazelo incompatível com os deveres previstos no art. 110 do RJSPME.
A análise conjunta destes arestos permite-nos concluir que os tribunais superiores vêm interpretando de forma largamente uniforme o modelo de repartição do risco estabelecido pelo RJSPME, confirmando em larga medida as premissas teóricas anteriormente expostas.
Desde logo, verifica-se uma adesão praticamente consensual à ideia de que a responsabilidade pelas operações de pagamento não autorizadas deixou de poder ser analisada exclusivamente à luz dos esquemas clássicos da responsabilidade contratual, assentando antes num sistema especial de imputação legal do risco associado ao funcionamento dos serviços de pagamento eletrónicos.
Tanto a jurisprudência do Supremo Tribunal de Justiça como a das diversas Relações tem reiteradamente afirmado que o risco inerente ao funcionamento dos sistemas de banca eletrónica integra, em primeira linha, a esfera jurídica do prestador de serviços de pagamento. Tal orientação encontra expressão desde o STJ 18.12.2013 (6479/09.8TBBRG.G1.S1), onde já se defendia que os ataques informáticos constituem um risco inerente à atividade desenvolvida pela instituição bancária, até aos mais recentes RG 17.12.2025 (2236/23.7T8BCL.G1) e RG 19.02.2026 (2182/23.4T8VCT.G1), nos quais se reafirma que a mera demonstração da regularidade técnica dos sistemas não basta para afastar a obrigação de reembolso.
A jurisprudência confirma igualmente a leitura que fizemos do art. 113 do RJSPME relativamente ao ónus da prova. Constitui entendimento pacífico que o banco não se exonera da responsabilidade mediante a simples demonstração de que as operações foram autenticadas, registadas e contabilizadas sem avaria técnica. Exige-se ainda a demonstração de que o utilizador atuou de forma fraudulenta, dolosa ou grosseiramente negligente.
Esta orientação atravessa transversalmente toda a jurisprudência analisada, encontrando-se expressamente afirmada em RL 21.12.2017 (1318/09.2TBTNV.L1-6), RG 17.12.2025 (2236/23.7T8BCL.G1), RG 19.02.2026 (2182/23.4T8VCT.G1) e RP 12.02.2026 (3783/24.9T8AVR.P1).
A jurisprudência tem igualmente confirmado a relevância central do art. 110 do RJSPME enquanto norma delimitadora dos deveres de conduta do utilizador. A esmagadora maioria dos litígios acaba por concentrar-se não na discussão sobre a existência da fraude, normalmente incontroversa, mas na determinação de saber se a execução da operação se tornou possível devido à atuação de terceiro ou, pelo contrário, devido à violação pelo utilizador dos seus deveres de preservação das credenciais de segurança.
É precisamente neste domínio que se observa uma progressiva densificação jurisprudencial do conceito de negligência grosseira.
A este propósito, tem sido acolhida a construção doutrinal segundo a qual a negligência grosseira corresponde a uma atuação que se afasta não apenas do comportamento do homem médio diligente, mas inclusivamente do padrão mínimo de cuidado que poderia esperar-se de uma pessoa normalmente descuidada.
Os conceitos utilizados repetem-se de forma consistente: “erro imperdoável”, “incúria indesculpável”, “desatenção inexplicável”, “omissão das mais elementares cautelas” ou “violação grosseira dos deveres de segurança.”
A análise dos casos concretos evidencia, porém, uma distinção jurisprudencial cada vez mais marcada entre as situações em que o utilizador é vítima de mecanismos sofisticados de manipulação tecnológica e aqueles em que fornece voluntariamente credenciais de autenticação apesar dos alertas disponíveis.
Nos casos de pharming e de mecanismos tecnologicamente sofisticados de desvio de tráfego eletrónico, a tendência dominante continua a consistir na exclusão da negligência grosseira. É essa a solução adotada em STJ 18.12.2013 (6479/09.8TBBRG.G1.S1), RG 2.04.2025 (1284/24.4T8BRG.G1) e RG 19.02.2026 (2182/23.4T8VCT.G1). Nestes casos, os tribunais valorizam especialmente a circunstância de o utilizador ser conduzido a atuar num ambiente virtual praticamente indistinguível do legítimo, entendendo que o erro cometido pode ser compatível com o padrão de diligência de uma pessoa normalmente prudente. É particularmente significativa a afirmação reiterada de que o pharming, ao contrário do phishing tradicional, pode impedir objetivamente o homem médio de detetar a fraude, o que afasta a qualificação da conduta como grosseiramente negligente.
Diversamente, quando o utilizador fornece credenciais de autenticação perante alertas visíveis e inequívocos que revelam a verdadeira natureza das operações em curso, a jurisprudência tem vindo a afirmar com crescente frequência a existência de negligência grosseira. São exemplos paradigmáticos RL 12.07.2018 (2256/17.0T8LSB.L1-7), RL 22.02.2025 (7684/22.7T8LSB.L1-2), RL 13.03.2025 (11019/23.3T8SNT.L1), RL 11.09.2025 (451/24.5T8LSB.L1-2), RG 11.06.2025 (141/23.6T8VVD.G1) e RP 12.02.2026 (3783/24.9T8AVR.P1). Da leitura destes arestos resulta uma ideia particularmente relevante: o elemento decisivo já não reside apenas no facto de terem sido fornecidas credenciais, mas essencialmente na circunstância de o utilizador ter ignorado alertas explícitos sobre a natureza das operações que estava a validar.
A jurisprudência parece, assim, evoluir para um critério centrado no grau objetivo de evidência do risco.
Quanto mais inequívocas forem as informações disponibilizadas ao utilizador (identificação do beneficiário, indicação do montante, referência expressa a pagamentos, transferências ou levantamentos) maior é a probabilidade de o comportamento ser qualificado como negligência grosseira.
Pode igualmente identificar-se uma linha jurisprudencial quanto aos mecanismos probatórios utilizados para demonstrar a negligência grosseira.
Neste domínio destaque para RG 5.03.2026 (7263/24.4T8GMR.G1) em que se se admitiu que a negligência grosseira do utilizador pode ser demonstrada através de presunções judiciais fundadas nas regras da experiência comum. Entendeu-se que a utilização imediata de um cartão furtado mediante introdução correta do respetivo PIN permitia presumir que o titular não preservara adequadamente a confidencialidade das suas credenciais de segurança.
Por fim, a jurisprudência evidencia uma crescente preocupação com os deveres preventivos das próprias instituições financeiras. Embora a responsabilidade continue a assentar predominantemente na disciplina dos arts. 110 a 115 do RJSPME, várias decisões valorizam fatores como a monitorização de padrões anómalos de utilização, a deteção de campanhas massivas de fraude e a adequação dos alertas transmitidos aos clientes. Tal é particularmente visível em RG 30.10.2025 (1292/24.5T8VCT.G1), onde foi atribuída relevância à inação da instituição bancária perante um contexto conhecido de fraude em massa.
Em síntese, a jurisprudência confirma integralmente a estrutura dogmática anteriormente exposta: o risco-base das operações não autorizadas permanece, por força do RJSPME, na esfera do prestador de serviços de pagamento; contudo, essa afetação do risco cede quando o banco logra demonstrar que a execução da operação resultou de atuação fraudulenta, dolosa ou grosseiramente negligente do utilizador. A litigância recente tem consistido, essencialmente, na densificação jurisprudencial do conceito de negligência grosseira, conceito que a jurisprudência vem construindo casuisticamente a partir do padrão objetivo de diligência consagrado no art. 487/2 do Código Civil e dos concretos deveres de segurança previstos no art. 110 do RJSPME.
***
2). Revertendo agora ao caso concreto, importa determinar se a factualidade provada permite concluir, como fez a sentença recorrida, que a primeira Recorrente atuou com negligência grosseira nos termos dos arts. 110/2, 113/3 e 4 e 115/4 do RJSPME.Como resulta da matéria de facto assente, não se discute que as operações controvertidas não foram autorizadas pela primeira Recorrente. Resultou demonstrado que esta não pretendeu realizar qualquer das três transferências efetuadas, nos montantes de € 3 122,99, € 3 965,99 e € 3 050,00, tendo sido terceiros desconhecidos que, após obterem os elementos necessários à autenticação, procederam à emissão e validação das respetivas ordens de pagamento.
Também não se discute que a Recorrida logrou demonstrar que o seu sistema informático não foi afetado por qualquer avaria técnica ou deficiência operacional. Ficou expressamente provado no ponto 46 da matéria de facto que, à data dos acontecimentos, o serviço de banca eletrónica disponibilizado pela Recorrida não apresentava qualquer falha técnica suscetível de originar uma quebra da respetiva segurança.
Deste modo, o litígio não se situa nem no domínio das operações autorizadas, nem no âmbito das situações em que a operação não autorizada resulta de uma deficiência dos sistemas técnicos do prestador.
A questão decisiva consiste antes em saber se a execução das operações se tornou possível em consequência de uma atuação grosseiramente negligente da utilizadora.
Ora, é precisamente neste ponto que importa proceder a uma apreciação particularmente cuidadosa das concretas circunstâncias em que a fraude ocorreu.
Desde logo, importa notar que o episódio não se reconduz a uma simples situação de divulgação espontânea de credenciais a terceiros.
Os factos provados revelam antes uma fraude executada através de um mecanismo sucessivo de smishing, spoofing e vishing, cuidadosamente estruturado para criar na utilizadora a convicção de que se encontrava a interagir com a própria instituição bancária.
A primeira fase da fraude iniciou-se com a receção de uma mensagem SMS que a Recorrente acreditou provir do banco, circunstância expressamente reconhecida no ponto 7 dos factos provados.
A sofisticação do esquema não deve ser ignorada. Como observa Bruno Silva Palhão (“Os serviços de pagamento e as operações não autorizadas”, Cadernos de Direito Privado, n.º 65, 2019, pp. 3-17), a censurabilidade da conduta do utilizador não pode ser aferida abstraindo da concreta modalidade de fraude informática utilizada, devendo atender-se ao facto de determinados mecanismos de engenharia social poderem criar uma aparência de genuinidade particularmente intensa. O autor sublinha, a propósito da distinção entre phishing e pharming, que uma página falsa controlada pelo agente fraudulento pode constituir uma “reprodução fiel da original”, podendo mesmo revelar-se “um esquema quiçá indetetável”, situação em que será naturalmente menor a censurabilidade da atuação do utilizador enganado.
Na sequência das referidas mensagens, a Recorrente acedeu a uma hiperligação que a conduziu para uma página criada por terceiros mas que era, segundo o ponto 10 da matéria de facto, “em tudo idêntica” ao sítio eletrónico oficial da Recorrida.
Nesta fase inicial, a situação aproxima-se claramente das hipóteses de phishing avançado ou mesmo de pharming analisadas em STJ 18.12.2013 (6479/09.8TBBRG.G1.S1), RG 2.04.2025 (1284/24.4T8BRG.G1) e RG 19.02.2026 (2182/23.4T8VCT.G1), nas quais se entendeu que a mera introdução de credenciais num ambiente digital visualmente indistinguível do legítimo não traduz, por si só, atuação grosseiramente negligente.
O caso dos autos não se esgota, todavia, nessa primeira fase.
Após a obtenção do código de utilizador e do código multicanal, os agentes da fraude passaram a uma segunda etapa caracterizada pela realização de um contacto telefónico durante o qual uma pessoa que se identificou como funcionária da instituição bancária informou a Recorrente da existência de acessos ilegítimos às suas contas e da necessidade de transmitir determinados códigos de autenticação para impedir a concretização dessas operações.
Foi nesta sequência que a Recorrente recebeu, em três momentos distintos, mensagens SMS provenientes dos próprios sistemas da Recorrida, contendo códigos de autenticação destinados a validar as transferências ordenadas pelos fraudadores.
A apreciação desta segunda fase da atuação dos agentes fraudulentos exige, contudo, alguma cautela, porquanto a solução do caso não se apresenta inteiramente linear.
Por um lado, não pode ignorar-se que a primeira Recorrente acabara de ser contactada telefonicamente por uma pessoa que se identificara como funcionária da instituição bancária e que lhe comunicara estarem terceiros a tentar aceder ilegitimamente às suas contas, explicando-lhe que os códigos que iria receber eram precisamente o meio necessário para impedir ou bloquear essa atuação fraudulenta (factos 18 a 20). Por outro, resulta dos factos provados que a primeira Recorrente comunicou os códigos recebidos acreditando que as mensagens lhe estavam a ser enviadas no contexto desse procedimento de proteção e sem se aperceber de que os mesmos serviam para validar operações de transferência (factos 23, 27 e 31). Nada permite concluir que tivesse sequer representado a possibilidade de estar a autorizar a movimentação dos fundos depositados nas suas contas; pelo contrário, a factualidade provada aponta no sentido de estar convencida de que colaborava na prevenção de uma atuação ilícita de terceiros.
Acresce que a primeira Recorrente não utilizava o serviço de homebanking para realizar operações bancárias, limitando-se à consulta de movimentos e saldos (facto 5). Esta circunstância permite compreender uma menor familiaridade com os mecanismos de autenticação de operações de pagamento e com o teor habitual das mensagens de validação remetidas pela instituição financeira.
Por fim, também não pode ser desvalorizada a pressão inerente ao contexto em que os factos ocorreram. A informação de que terceiros estariam naquele momento a tentar aceder às suas contas era objetivamente apta a gerar preocupação, nervosismo e um sentimento de urgência suscetíveis de afetar a atenção dispensada ao conteúdo das mensagens recebidas.
Todos estes elementos permitem compreender o erro cometido pela Recorrente e poderiam, numa primeira aproximação, sustentar o entendimento de que a sua conduta, embora negligente, não ultrapassaria o domínio da negligência simples.
Afigura-se-nos, no entanto, que existe um aspeto da factualidade provada que assume relevo decisivo para a qualificação jurídica da situação. É precisamente neste aspeto que a factualidade dos autos se afasta significativamente dos casos decididos em RG 2.04.2025 (1284/24.4T8BRG.G1), RG 19.02.2026 (2182/23.4T8VCT.G1) ou RG 30.10.2025 (1292/24.5T8VCT.G1).
Na verdade, nos presentes autos não estamos perante uma situação em que os códigos foram introduzidos numa página aparentemente legítima sem que o utilizador tivesse sido confrontado com qualquer informação reveladora da verdadeira natureza da operação. Pelo contrário, resulta dos pontos 22, 26 e 30 da matéria de facto que cada uma das mensagens remetidas pela Recorrida identificava expressamente a operação concreta que se encontrava em validação. A primeira mensagem referia: "Transferência de 3122.99 EUR para ..."; a segunda mensagem referia: "Transferência 3965.99 EUR para IBAN ..."; a terceira mensagem referia: "Transferência de 3050 EUR para IBAN ...". Ou seja, em cada uma das três ocasiões a utilizadora foi confrontada com uma indicação expressa de que estava em causa a validação de uma transferência bancária.
Importa recordar que, segundo a versão apresentada pelos próprios agentes à primeira Recorrente, os códigos não se destinavam a autorizar transferências, mas antes a impedir acessos indevidos às respetivas contas bancárias. Existia, por conseguinte, uma discrepância objetiva entre a informação transmitida telefonicamente e o teor das mensagens remetidas pelos sistemas da Recorrida, discrepância essa que não ocorreu uma única vez, antes se reproduzindo em três momentos sucessivos e relativamente a três operações distintas.
É precisamente esta circunstância que aproxima o caso dos autos das situações apreciadas em RG 11.06.2025 (141/23.6T8VVD.G1), RL 22.02.2025 (7684/22.7T8LSB.L1-2) e RP 12.02.2026 (3783/24.9T8AVR.P1). Também nesses casos os utilizadores acreditavam estar a colaborar com a instituição bancária na prevenção ou neutralização de operações fraudulentas. Ainda assim, entendeu-se existir negligência grosseira porque as mensagens recebidas identificavam de forma clara e inequívoca operações de pagamento, levantamentos ou transferências incompatíveis com a finalidade alegadamente preventiva que lhes era apresentada pelos interlocutores fraudulentos.
A situação dos presentes autos revela uma assinalável proximidade com esta orientação jurisprudencial. Com efeito, uma coisa é a introdução de credenciais de acesso num ambiente eletrónico aparentemente legítimo, cuidadosamente concebido para reproduzir a identidade visual da instituição financeira e, desse modo, induzir em erro um utilizador médio quanto à sua autenticidade. Diversa, e substancialmente distinta, é a comunicação sucessiva de três códigos de autenticação sob o pretexto de impedir ou cancelar alegadas operações fraudulentas, quando as mensagens que os continham indicavam expressamente que os mesmos se destinavam à autorização de concretas transferências bancárias, identificando os respetivos montantes (de vários milhares de euros) e as contas beneficiárias para as quais os fundos seriam transferidos.
Já não está apenas em causa a confiança legitimamente gerada pelo mecanismo fraudulento inicial. O que assume relevo decisivo é que, perante informação objetiva, clara e reiteradamente transmitida pelos próprios sistemas da Recorrida acerca da verdadeira natureza das operações em curso, a primeira Recorrente facultou, ainda assim, os códigos necessários à respetiva validação. Por isso, a comunicação desses códigos não pode ser integralmente explicada pela indução em erro decorrente da fraude inicial, antes revelando uma desatenção particularmente grave perante sinais de alerta cuja clareza e repetição eram aptas a suscitar dúvidas num utilizador minimamente diligente.
Na verdade, como vimos, é de atribuir especial relevância à divulgação pelo utilizador de elementos de segurança que, pelas suas características e função, deveriam permanecer sob a sua exclusiva esfera de controlo. Neste sentido, escreve Bruno Silva Palhão (loc. cit., p. 13) que atua de forma censurável o utilizador que “não se limita a inserir as credenciais de segurança que habitualmente lhe são solicitadas pelo seu Banco mas, antes, divulga a quase totalidade das combinações do cartão matriz ou outras informações que o PSP não tenha por hábito solicitar aquando da confirmação da ordem de pagamento”, considerando que semelhante comportamento pode justificar a qualificação da atuação como gravemente negligente.
A circunstância de a primeira Recorrente não pretender realizar essas transferências constitui precisamente o elemento que deveria ter suscitado dúvidas quanto à legitimidade do procedimento que estava a ser seguido.
Acresce que a matéria de facto provada demonstra ainda a existência de alertas públicos de segurança disponibilizados pela Recorrida. Resultou provado que a instituição informava regularmente os seus clientes de que nunca enviava SMS com hiperligações, nunca solicitava o código multicanal completo, nunca pedia códigos de autorização para cancelar operações e nunca contactava clientes para solicitar códigos enviados por SMS.
É certo que a mera existência destes alertas não basta, por si só, para demonstrar negligência grosseira. Contudo, uma vez conjugados com o conteúdo objetivo das mensagens efetivamente recebidas pela primeira Recorrente, constituem um elemento adicional que reforça o juízo de censura da atuação adotada.
Deste modo, e apesar de se reconhecer a elevada sofisticação do esquema fraudulento utilizado, entende-se que o caso ultrapassa já o domínio da simples imprudência ou da negligência leve. Ao comunicar, em momentos sucessivos, códigos de autenticação cuja própria mensagem identificava expressamente como destinados à validação de transferências bancárias, a primeira Recorrente acabou por desconsiderar sinais de alerta que não poderiam deixar de suscitar dúvidas a um utilizador minimamente atento.
Acresce que, conforme assinala Bruno Silva Palhão (loc. cit., pp. 9-10), o núcleo dos deveres impostos ao utilizador dos serviços de pagamento encontra-se precisamente na obrigação de “tomar todas as medidas razoáveis” destinadas a preservar a eficácia e a confidencialidade dos dispositivos de segurança personalizados, incumbindo-lhe evitar a respetiva divulgação a terceiros e observar as regras de utilização transmitidas pela instituição financeira. A transmissão voluntária dos códigos de autenticação recebidos por SMS representa justamente a frustração daquele dever de custódia que o legislador pretendeu colocar na esfera do utilizador.
Nestas circunstâncias, afigura-se-nos que a atuação em causa se aproxima mais dos casos em que a jurisprudência tem reconhecido a existência de negligência grosseira do que daqueles em que a fraude operou através de mecanismos de mimetismo tecnológico absolutamente indetetáveis para o utilizador médio.
Consequentemente, acompanhando a solução adotada pela sentença recorrida, entendemos que a Recorrida logrou demonstrar a violação, pela primeira Recorrente, dos deveres de preservação e utilização prudente das credenciais de autenticação previstos no art. 110 do RJSPME, em termos suscetíveis de integrar o conceito de negligência grosseira para efeitos do disposto no art. 115/4 do mesmo diploma.
Esta conclusão não colide com a ideia de que o regime dos serviços de pagamento assenta numa lógica de afetação primária do risco ao prestador. Pelo contrário, como assinala Bruno Silva Palhão (loc. cit., pp. 13-14),, o prestador suporta normalmente os prejuízos decorrentes de operações não autorizadas porque sobre ele incide o dever de assegurar a segurança do sistema; todavia, essa afetação legal do risco cede quando o próprio utilizador viola os deveres de preservação e confidencialidade dos dispositivos de segurança personalizados que a lei coloca na sua esfera de controlo. É precisamente essa situação que a matéria de facto provada evidencia nos presentes autos.
A resposta à questão enunciada é, portanto, negativa, o que significa que o recurso improcede.
***
3). Vencidas, as Recorrentes devem suportar as custas do recurso, por aplicação do disposto no art. 527/1 e 2 do CPC.***
V.Nestes termos, acordam os Juízes Desembargadores da 1.ª Secção Cível do Tribunal da Relação de Guimarães em julgar o presente recurso de apelação improcedente e confirmar a sentença recorrida.
Custas pelas Recorrentes.
Notifique.
*
Guimarães, 13 de julho de 2026
Guimarães, 13 de julho de 2026
Os Juízes Desembargadores,
Gonçalo Oliveira Magalhães (Relator)
Rosália Cunha (1.ª Adjunta)
Pedro Manuel Quintas Ribeiro Maurício (2.º Adjunto)
[i] Disponível em https://dialnet.unirioja.es/servlet/articulo?codigo=9726769
[ii] Disponível em https://www.revistadedireitocivil.pt/revistas/ano-ii-1
[iii] Disponível, como os demais indicados, em www.dgsi.pt
[iv] Disponível em https://julgar.pt/a-execucao-incorreta-e-nao-autorizada-de-ordens-de-pagamento/