Acórdão do Tribunal da Relação de Lisboa | |||
| Processo: |
| ||
| Relator: | TERESA PRAZERES PAIS | ||
| Descritores: | TRANSFERÊNCIA BANCÁRIA HOMEBANKING UTLIZAÇÃO IMPRUDENTE | ||
 | | ||
| Nº do Documento: | RL | ||
| Data do Acordão: | 04/16/2015 | ||
| Votação: | UNANIMIDADE | ||
| Texto Integral: | S | ||
| Texto Parcial: | N | ||
| | ||
| Meio Processual: | APELAÇÃO | ||
| Decisão: | IMPROCEDENTE | ||
| | ||
| Sumário: | - Segundo as regras que decorrem do DL 317/2009, de 30 de Outubro, porque a transferência não autorizada foi logo comunicada ao Banco, a este incumbe o ónus de alegar e provar que a operação fora autorizada pelo cliente, ou este agiu de forma fraudulenta ou não cumpriu, deliberada ou por forma gravemente negligente, as suas obrigações contratuais. - Provado que o cliente fez uma utilização imprudente, negligente e descuidada do serviço de "homebanking", tal afasta a responsabilidade do Banco pelos movimentos efectuados por terceiros. | ||
| Decisão Texto Parcial: | | ||
| |
| Decisão Texto Integral: | Acordam no Tribunal da Relação de Lisboa
M.... e J...., com morada na...., intentaram contra C... a presente acção de declarativa de condenação, com processo sumário, pedindo a condenação da Ré a restituir aos Autores a quantia de € 9.911,00 (nove mil e novecentos e onze Euros), bem como a pagar a quantia a título de juros vencidos, à taxa de 4 %, até ao dia 23 de Maio de 2013, no montante de € 1.703,61 (mil e setecentos e três Euros e sessenta e um cêntimos), bem como juros vincendos, à taxa legal, até efectivo e integral pagamento. Os Autores alegam, para tal, em síntese, que: -são titulares de uma conta à ordem da Ré, onde efectuavam movimentos correspondentes à sua vida familiar; Por escrito particular, a Ré celebrou com os Autores um contrato de adesão epigrafado de ”Contrato de Adesão", por vai do qual aquele permitia a estes um serviço por onde os Autores podiam aceder a serviços disponibilizados pela Ré através da internet, via telefónica ou outras formas de acesso remoto, possibilitando por este meio, designadamente, obter informações sobre produtos e serviços do banco, obter informações e realizar operações bancárias sobre contas de que fosse titular, realizarem operações de subscrição / transacção de valores mobiliários ou resgate sobre produtos ou serviço disponibilizados; Através desse serviço denominado caixa e-banking a Ré permitia que os Autores acedessem e movimentassem a conta de depósitos a prazo de que são titulares, através do telefone ou da internet funcionado on line; Para tal, a Ré atribuiu aos Autores um cartão matriz de coordenadas com um elemento de identificação secreto e um código também secreto, que lhe foi enviado; Nos dias 4 e 5 de Fevereiro de 2009, a conta de depósitos à ordem foi movimentada a débito, nas quantias de € 4.917,00 e de € 4.994,00; O Autor verificou posteriormente os movimentos, sem que para talos tivesse efectuado ou autorizado, tendo imediatamente procedido à comunicação à Ré a fim de se evitar a continuidade de tais movimentos; A Ré, após apreciação, informou os Autores que não existiam elementos objectivos que pudessem responsabilizar a C... pelos acessos alegadamente indevidos ao serviço, pelo que a Ré se recusava a proceder ao reembolso da quantia de € 9.911,00; * Regularmente citada, a Ré apresentou a sua contestação, impugnando a matéria alegada pelos Autores, esclarecendo algumas incorrecções e referindo que: -Os Autores facultaram a R... os códigos e elementos de segurança e acesso ao serviço caixa directa on line, a qual, por esse meio, acedia à conta bancária dos Autores, sem que todavia, fosse titular de contrato caixa directa on line e sem que fosse titular ou autorizada da conta bancária; R.... foi vítima de um fenómeno designado por "Phishing" ao aceder à conta bancária de sua mãe; A Autora tinha conhecimento que não lhe era permitido facultar a terceiros os códigos e elementos de segurança respeitantes ao serviço caixa directa on line, sabendo que os mesmos são secretos, pessoais e intransmissíveis; Os Autores ou R... inadvertidamente divulgaram na internet os seus códigos e elementos de segurança, que permitem o acesso à conta via serviço caixa directa on line, nomeadamente as combinações de números constante do cartão matriz, pelo que as transferências foram consenti das ou facilitadas, voluntária ou involuntariamente, pela própria Autora; Quem acedeu à conta bancária da Autora só o pôde fazer porque conhecia quer o número do contrato quer o número do código de acesso quer ainda ou todos ou parte das 64 combinações de 3 algarismos cada uma que compõem o cartão matriz, tudo códigos de autenticação; Não é possível ter conhecimento de todos esses códigos por outra forma que não seja a da sua inserção pela própria Autora ou por alguém a quem tenha divulgado tais códigos; Tendo em conta que os códigos de autenticação se encontrava correctos, as ordens de transferências não podiam ser recusadas pela C.... * MATÉRIA DE FACTO PROVADA 1 - A Ré C... é uma instituição bancária que exerce profissionalmente a actividade bancária, e dessa actividade aufere lucros (artigo 1.º da petição inicial). 2 - Os Autores M...e J....são titulares desde 9 de Agosto de 1982 da conta à ordem nº 0759.009276.700 da Ré, sediada na agência do Seixal (artigo 2.° da petição inicial e artigo 2.° da contestação ). 3 - Por escrito particular de 21 de Janeiro de 2009, a Ré celebrou com a Autora M.... um contrato de adesão epigrafado de "Contrato de Adesão" n.º 2183752, por via do qual aquele permitia a esta um serviço por onde a Autora podia aceder a serviços disponibilizados pela Ré através de internet, via telefónica, ou outras formas de acesso remoto, possibilitando por este meio, designadamente, obter informações sobre produtos e serviços do banco, obter informações e realizar operações bancárias sobre contas de que fosse titular, realizar operações de subscrição/transacção de valores mobiliários ou resgaste sobre produtos ou serviços disponibilizados, bem como a possibilidade de o utilizador, poder efectuar transferências bancárias para contas de terceiros (artigo 4.° da petição inicial e artigos 4.° e 5.° da contestação ). 4 - Através desse serviço denominado caixa e-banking a Ré permitia que a Autora M...acedesse e movimentasse a conta de depósitos a prazo de que é titular sediada no balcão da Ré no Seixal, através de telefone ou da internet funcionando online (artigo 5.° da petição inicial). 5 - A Ré atribuiu à Autora M...um cartão matriz de coordenadas com um elemento de identificação secreto e um código também secreto, que lhe foi enviado em 22 de Janeiro de 2009 (artigo 6.° da petição inicial e artigos 8.° e 29.° da contestação). 6 - Desde 22 de Janeiro de 2009 até 4 de Fevereiro de 2009 nenhum movimento foi efectuado por aquele serviço (artigo r da petição inicial). 7 - No dia 4 de Fevereiro de 2009, pelas 22:16 horas, a conta de depósitos à ordem com o nº 0007.59009276700, denominada "Caixa Directa Online" foi movimentada a débito sob a designação TRF CXDOL na quantia de € 4.917,00 (quatro mil novecentos e dezassete Euros) (artigo 8.° da petição inicial a artigo 11.° da contestação). 8 - Na madrugada do dia 5 de Fevereiro de 2009, às 00:39 horas, através do serviço "Caixa Directa Online" a conta de depósitos à ordem com o nº0007.59009276700 foi movimentada a débito sob a designação TRF CXDOL a quantia de € 4.994,00 (quatro mil novecentos e noventa e quatro Euros) (artigo 9.° da petição inicial e artigo 12.° da contestação ). 9 - Nesse mesmo dia, o Autor, de manhã, por volta das 11:00 horas, ao dirigir-se a uma caixa multibanco verificou os referidos movimentos (1.ª parte do artigo 10.° da petição inicial e artigo 13.° da contestação). 10 - Foi participada a ocorrência, no dia 5 de Fevereiro de 2009, pelas 13:15 horas, sendo efectuada por R... para o serviço de call-center da C ... (artigo 11.° da petição inicial e artigo 13.° da contestação). 11 - Em 6 de Fevereiro de 2009, a Autora procedeu junto do balcão da Ré à reclamação solicitando o reembolso dos valores debitados nos dias 4 e 5 de Fevereiro de 2009, efectuados nas Caixa Online, relativamente às supra referidas transferências que a Ré nos seus serviços internos acolheu e deu entrada sob os processos n.º 01909002865 e 01909002866 (parte do artigo 12.° da petição inicial e artigo 14.° da contestação). 12 - Os Autores, para além de terem procedido à comunicação escrita, comunicaram verbalmente aos funcionários da Ré o desespero de se verem desembolsados da referida quantia (1.ª parte do artigo 13.0 da petição inicial e artigo 15. da contestação). 13 - Por carta de 11 de Fevereiro de 2009, a Ré acusa a recepção da reclamação, informando de que o assunto se encontrava na Direcção de Auditoria Interna para conclusão e análise da situação para tomada duma decisão sobre o valor reclamado (artigo 14.º da petição inicial). 14 - Em 17 de Fevereiro de 2009, o Autor marido endereçou por carta registada nova reclamação (artigo 15.º da petição inicial). 15 - Em 20 de Março de 2009 e com referência às reclamações a Ré informou que" o assunto relacionado com as transferências no valor global de 9.911,00, que titula, via internet banking, através do serviço Caixa directa On-line, ainda está a ser apreciado por esta Direcção" (artigo 16.º da petição inicial). 16 - Em 23 de Março de 2009, o Autor apresentou nova reclamação (artigo I7.º da petição inicial). 17 - A Ré, por carta de 15 de Junho de 2009, conclui" não se apuraram elementos objectivos que possam responsabilizar a C,,, pelos acessos alegadamente indevidos ao n/serviço «Caixadirecta online», Em consequência, não se mostra possível atender o pedido de reembolso de € 9.9UOd' (artigo 18.º da petição inicial). 18 - A Ré informa que: "De acordo com as «Condições Gerais de Utilização do Serviço CaixaDirecta», sempre que uma operação seja realizada com a utilização de elementos de identificação estritamente pessoais e intransmissíveis, mesmo que indevida, presume-se que o foi pelo aderente e, portanto, da sua responsabilidade" (artigo 19.º da petição inicial). 19 - Os Autores, na sequência do sucedido, apresentaram queixa na Polícia Judiciária a que foi atribuído o NUIPC 178/09.1JFLSB, Serviços do Ministério Público de Seixal, 2.ª Secção, por crime de burla informática (artigo 20.º da petição inicial). 20 - Em 19 de Novembro de 2009, o Mandatário dos Autores comunicou à Ré que em seu entender a responsabilidade era desta, mais informando de que o caso tinha sido entregue à Polícia Judiciária para a investigação criminal respectiva (artigo 21.º da petição inicial). 21 - A Autora foi notificada do douto despacho do Ministério Público, proferido em 26 de Abril de 2013, que determinou o arquivamento dos autos pelas seguintes razões: "(..) Da ponderação da prova produzida, incluindo a informação bancária recolhida, decorre que, com grande probabilidade, R.... foi vítima dum fenómeno designado como “Phishing”: ao aceder pela internet à conta bancária de sua mãe. Este modo de cometer o crime de burla informática consiste na utilização pelos agentes do crime de programas maliciosos instalados nos computadores em que as vítimas acedem aos serviços de "homebankinq", que permitem a esses agentes tomar conhecimento das credenciais de segurança associadas à utilização desses serviços on-line. Assim, na posse desses elementos, os autores do crime conseguem, com tais credenciais de segurança, aceder à conta bancária das vítimas de ''Phishing': e transferir dessa para outras contas bancárias as quantias em dinheiro pretendidas. Habitualmente, neste tipo de fenómeno, a conta bancária destino de tais transferência não é sequer titulada pelos autores da burla, mas por um terceiro que não sabe ser a sua conta usada para cometer este tipo de crime. Assim os autores da burla conseguem, acedendo também à conta destino titulada por outrem, aceder ao dinheiro transferido da conta da vítima, sem serem identificados. Não sendo possível concluir, com base nos elementos de prova carreados para os autos, se foi isto o que sucedeu, isto é, se a conta de N.... foi usada por alguém como recipiente momentâneo do dinheiro transferido da conta da ofendida, tão pouco existem elementos que permitam concluir o contrário. Perante o silêncio do arguido, não é possível apurar se este sabia que o dinheiro lhe fora transferido, que teve alguma intervenção nesta operação, ou, ao invés, se foi mero instrumento dos autores do "phishing': que assim permanecem desconhecidos. Com base nos elementos probatórios, e sem mais prova que permita identificar os autores do esquema de "phishing” de que foi vítima a denunciante e sua filha , não existem dados suficientes para prosseguir com a investigação ou para /incriminar o arguido através duma acusação. (cf. artigo 22 da petição inicial). 22 - Os Autores facultaram a R... os códigos e elementos de segurança e acesso ao serviço caixa directa on line (artigo 20º da contestação). 23 - A qual, com esses elementos e por esse meio, acedeu à conta bancária dos Autores para proceder à activação do serviço (artigo 21º da contestação com esclarecimento). 24 – R... não é titular do contrato de caixa directa online com o nº 2183752 (parte do artigo 22º da contestação). 25 – R... divulgou na internet os códigos e elementos de segurança, que permitem o acesso à conta via serviço caixa directa on line, nomeadamente as combinações de números constante do cartão matriz (artigo 25º da contestação). 26 - O sistema homebanking, nessa altura, como hoje, emitia alertas de segurança aos respectivos utentes e que surgiam no ecrã do computador antes sequer de se poder aceder ao serviço caixa directa on line, avisando o utente que a C... nunca pede no login (entrada no serviço) a totalidade dos números do cartão matriz (artigo 32º da contestação). 27 - E mesmo após a entrada (login) no serviço "caixa directa" on-line, a C... jamais pede a totalidade dos dígitos do cartão matriz, mas sim apenas 3 dígitos, das 64 possíveis combinações de três dígitos que o cartão tem (artigo 36º da contestação). 28 - A exigência desses 3 dígitos, das 64 possíveis combinações inscritas no cartão matriz, a que só o cliente tem acesso, visa confirmar a operação pretendida pelo cliente, pois sem a sua introdução a operação bancária é recusada (artigo 37º da contestação). 29 - R... revelou na internet todas ou parte das possíveis combinações de três algarismos que lhe podiam ser solicitadas pelo sistema informático da C... para validar as suas operações bancárias (artigo 38º da contestação). 30 - A movimentação efectuada da conta da Autora foi executada porque foram correctamente introduzidos todos os códigos de autenticação que permitiam o acesso à conta e à sua movimentação (artigo 44º da contestação). 31 - As transferências bancárias reclamadas pelos Autores tiveram como destino a conta bancária titulada N... com o n.º0557.041873.600 na C..., tendo sido creditadas nesta conta (artigo 52. ° da contestação). ****************** A final foi proferida esta decisão: “Tendo em atenção as considerações expendidas e as normas legais citadas, julga-se a acção improcedente por não provada e, em consequência, decide-se absolver a Ré C ... do pedido formulado pelos Autores M...e J...” ********** É esta decisão que os AA impugnam, formulando estas conclusões: 1- Da factualidade apurada não resulta que tenha havido por banda da autora qualquer comportamento indiciador da quebra de segurança que tivesse proporcionado a um terceiro as coordenadas para a realização das operações bancárias via "homebanking". A Ré não provou que a autora tivesse qualquer tipo de comportamento que pudesse por em causa a segurança do sistema, nomeadamente, que tivesse quebrado o seu dever de segredo sobre as chaves de acesso e que por algum modo, voluntário, grosseiro, negligente ou outro as tivesse cedido a terceiro de forma a poder ser responsabilizada pela ocorrência fraudulenta. 2- O que aconteceu foi que a autora, através da sua filha " entrou" no que pensou ser a página da Ré para efectuar as suas operações, foram-lhe pedidas coordenadas, ao que aquela acedeu, sem se dar conta que estava afinal numa página "clonada", 3- Dando a sentença como assente na fundamentação da matéria de facto bem como no seu enquadramento jurídico de que houve uma violação fraudulenta do sistema informático que proporcionou o desvio do dinheiro da conta dos autores e depois dar por não provado que tais movimentos a debito e transferências bancárias foram efectuadas por alguém cujo, a identidade se desconhece sem a sua autorização e contra a vontade destes é no mínimo dissonante. A admitir-se que houve uma expressa autorização e foi por vontade da autora que tudo se operou, então estaríamos perante um conluio entre a autora e o beneficiário Nelson em que aquela tentou burlar a Ré, o que é um perfeito absurdo! 4- Decorre da fundamentação da matéria de facto antes ficou provado de que a filha dos autores entrou directamente na página que lhe apareceu no ecrã do seu do seu computador como sendo a página da Ré e nela fez certificações e operações (vítima de Pharming) 5- Os riscos da falha do sistema informático utilizado, bem como dos ataques cibernautas ao mesmo, têm de correr por conta do Réu, por tal conduzir o disposto no art. 796 nºl do Cc. Daqui decorre que os riscos pela utilização normal do sistema correm por conta do prestador de serviços, isto é sobre o Banco, o que não deixa de ser uma obrigação perfeitamente normal já que é o Banco que vai retirar os maiores benefícios económicos do seu bom funcionamento. 6- As três conclusões retiram -se do entendimento quer desta Relação quer do STJ, conforme jurisprudência citada à excepção do entendimento da Relação de Guimarães. 7--Não há nexo de causalidade decorrente da activação do serviço por banda da filha da autora e o dano. Do que se trata é de saber se o dano teria tido lugar sensivelmente do mesmo modo, no mesmo tempo e nas mesmas condições ainda que a preterição do dever não se tivesse verificado. Ou, dito de outro modo, pergunta-se em que medida a conduta conforme ao direito teria diminuído de forma significativa o risco de realização do evento lesivo, quebrando-se, em caso de resposta afirmativa, o nexo de ilicitude que se começava a desenhar com a violação normativa. No fundo, o lesante demonstra que o dano que emerge não se conexiona funcionalmente com a esfera de responsabilidade actualizada a partir da obliteração dos deveres de conduta. *************** A R. contra-alegou, pugnando pela improcedência do recurso. ******************** A questão colocada e que este Tribunal deve decidir, nos termos dos artigos 663 nº2,608 nº2,635 nº4 e 639nº/s 1 e 2 do CPC vigente, aprovado pela Lei nº 41/2013 de 26 de Junho, aplicável por força do seu artigo 5º nº1,em vigor desde 1 de Setembro de 2013 prende-se com a responsabilização da R /entidade bancária pela reposição de levantamentos efectuados na conta dos AA causados por uma burla informática. Vejamos … Dando aqui por reproduzidas as considerações explanadas na sentença acerca da nova realidade tecnológica ,a nível das relações bancárias, não temos dúvida que os AA foram vítimas de pharming a qual consiste em suplantar o sistema de resolução dos nomes de domínio para conduzir o usuário a uma pagina Web falsa, clonada da página real E mesmo após a entrada (login) no serviço "caixa directa" on-line, a C... jamais pede a totalidade dos dígitos do cartão matriz, mas sim apenas 3 dígitos, das 64 possíveis combinações de três dígitos que o cartão tem. E, a exigência desses 3 dígitos, das 64 possíveis combinações inscritas no cartão matriz, a que só o cliente tem acesso, visa confirmar a operação pretendida pelo cliente, pois sem a sua introdução a operação bancária é recusada. Dito de outro modo, o sistema de acesso à sua conta bancária através do serviço "caixa directa on line", só é possível através da introdução do número do contrato e de uma password e, efectuada qualquer operação, a sua validação depende da introdução 3 dígitos, das 64 possíveis, aleatoriamente pedidos. O que sucede é que a filha dos Autores R... ao pretender efectuar a activação do serviço home-banking, tentou entrar no sistema da Caixa Directa e transcreveu para o ecrã que lhe surgiu no computador que estava a usar a parte ou a totalidade das 64 possíveis combinações do cartão matriz de sua mãe, ou seja, divulgou na internet todas ou parte das combinações possíveis do referido cartão matriz, os códigos de autenticação. Quer isto dizer que R... não observou as regras de segurança emitidas pela R , a exigência dos 3 dígitos. E foi em função desta actuação que o terceiro obteve todos os elementos de segurança para efectuar as transferências. Por isso, atenta esta actuação da R... fica provado que os AA fizeram uma utilização imprudente, negligente e descuidada desse serviço, o que afasta a sua responsabilidade pelos movimentos bancários efectuados por terceiros. [1] Termos que damos aqui por reproduzido este excerto da sentença:”Assim e não se tendo verificado ilicitude da conduta da Ré e estando afastada a aplicação das regras de repartição do risco, atenta a prova da culpa da Autora na divulgação dos elementos de segurança a terceiro, improcede o pedido de condenação da Ré C...”. *************** R... não observou as regras de segurança emitidas pela R, a exigência dos 3 dígitos. E foi em função desta actuação que o terceiro obteve todos os elementos de segurança para efectuar as transferências. Por isso fica provado que os AA fizeram uma utilização imprudente, negligente e descuidada desse serviço, o que afasta a sua responsabilidade pelos movimentos bancários efectuados por terceiros. ************** Nos termos expostos, acordam negar a apelação confirmando, a decisão impugnada. 16/04/2015 Teresa Prazeres Pais Isoleta de Almeida e Costa Carla Mendes [1] |