No passado dia 15 de outubro foi publicado um importante acórdão do Tribunal de Justiça da União Europeia, decidindo que, à luz do Direito da União, um banco está obrigado a reembolsar imediatamente o montante de uma operação não autorizada, mesmo que considere que o cliente cometeu uma negligência grosseira.

O caso que está em litígio no tribunal nacional é, infelizmente, comum. Uma cliente de um banco polaco foi vítima de fraude por phishing, cometida por um infrator não identificado que, fazendo se passar por interessado na compra de um objeto que a demandante havia colocado à venda numa plataforma, lhe enviou uma hiperligação fraudulenta que reproduzia a interface da plataforma e que tinha por objeto a confirmação da venda. Depois de ter seguido essa hiperligação, a demandante no processo principal acedeu a um sítio Internet que reproduzia a interface do seu banco e inseriu os seus dados de acesso ao serviço de banca eletrónica. Os dados assim obtidos permitiram ao infrator transferir, a partir da conta da demandante para uma conta que este detinha, o montante de 3 000 zlótis polacos (cerca de 705 euros). Esta operação de pagamento foi autorizada pelo infrator através de um código de confirmação transmitido por SMS e obtido da demandante sob o efeito desse engano.

No dia seguinte, a cliente comunicou a operação fraudulenta ao seu banco. Contudo, este recusou-se a reembolsar o montante da operação de pagamento não autorizada, alegando, nomeadamente, que o prejuízo por ela sofrido resultava do facto de, por negligência grosseira, não ter cumprido a sua obrigação de guardar com diligência o instrumento de pagamento em causa e de não o colocar à disposição de pessoas não autorizadas.

O utilizador de serviços de pagamento tem o dever de utilizar os instrumentos de pagamento de acordo com as condições que regem a sua emissão e utilização e deve tomar todas as medidas razoáveis para preservar a segurança das suas credenciais de segurança. Deve, ainda, comunicar, logo que tenha conhecimento dos factos e sem atraso injustificado, a perda, o furto, o roubo, a apropriação abusiva ou qualquer utilização não autorizada.

Contudo, o Direito Europeu e, em Portugal, o Regime Jurídico dos Serviços de Pagamento e da Moeda Eletrónica, prescrevem que o prestador de serviços de pagamento do ordenante deve reembolsá-lo imediatamente do montante da operação de pagamento não autorizada, após ter tido conhecimento da operação ou após esta lhe ter sido comunicada e, em qualquer caso, o mais tardar até ao final do primeiro dia útil seguinte àquele conhecimento ou comunicação. Só assim não será se o banco tiver motivos razoáveis para suspeitar de atuação fraudulenta do cliente/ordenante e comunicar por escrito esses motivos às autoridades judiciárias.

Assim, o facto de o prestador de serviços de pagamento considerar que o cliente tornou possível a operação não autorizada devido a negligência grosseira não lhe permite recusar o reembolso imediato. Note-se, contudo, que este é apenas o primeiro momento. Num segundo momento, o banco pode, se for o caso, reclamar junto do cliente o reembolso das perdas ocasionadas, se comprovar que estas resultam do facto de o cliente não ter cumprido, intencionalmente ou por negligência grosseira, as obrigações que lhe incumbem, designadamente a obrigação de proteger os seus dados de segurança personalizados. Caberá ao prestador de serviços de pagamento provar que o cliente agiu com negligência grosseira, caso em que este suporta as perdas resultantes de operações de pagamento não autorizadas até ao limite do saldo disponível ou da linha de crédito associada à conta ou ao instrumento de pagamento.

Em termos práticos, significa que o cliente não fica obrigado a tomar, ele próprio, a iniciativa de instaurar um processo para fazer valer o seu direito, com os custos e os inconvenientes que daí possam decorrer. Basta-lhe a comunicação ao banco, podendo, caso a sua pretensão de reembolso não seja imediatamente satisfeita, dar conhecimento à entidade reguladora, o Banco de Portugal.