Acordam os Juízes na 7ª Secção do Tribunal da Relação de Lisboa:
I- RELATÓRIO
M… intentou a presente ação de condenação, em processo declarativo comum, contra a C…, S.A., pedindo a condenação da R. ao pagamento da quantia de €4.000,00, referente ao depósito a prazo levantado indevidamente, acrescida da indemnização de €5.000,00, a título de danos morais e patrimoniais, e juros à taxa legal de 5% ao ano, desde o cancelamento indevido do depósito a prazo até integral pagamento.
Para tanto, alegou ser cliente da R., tendo aí uma conta de depósitos à ordem à qual se encontrava associada uma conta de depósitos a prazo. Sucede que a R. transferiu da conta de depósitos a prazo para a conta de depósitos à ordem e, posteriormente, para a conta de um terceiro, um total de €4.000,00, sem que a A. tenha dado quaisquer instruções bancárias nesse sentido. Em consequência desses factos, para além do prejuízo patrimonial, sofreu danos morais, resultado da vergonha sofrida junto de amigos e familiares, cujo ressarcimento reclama.
Citada, veio a R. contestar impugnando parte dos factos alegados pela A. e alegando que atuou de acordo com a diligência que lhe era exigível, negando qualquer responsabilidade no sucedido, concluindo pela sua absolvição do pedido.
Findos os articulados, foi proferido despacho saneador, com dispensa de realização da audiência prévia, em face da manifesta simplicidade da causa, sendo admitidos os meios de prova requeridos.
Após, veio a ser designada audiência final e, finda a produção de prova e discutida a causa, foi proferida sentença que julgou a ação totalmente improcedente, absolvendo a R. de todos os pedidos contra si formulados.
A A. recorreu dessa sentença para o Tribunal da Relação de Lisboa que, por acórdão de 5 de abril de 2022, anulou oficiosamente o julgamento, nos termos do Art. 662.º n.º 2 al. c) e d) do C.P.C., por forma a permitir que a Mm.ª Juíza que prolatou a sentença recorrida pudesse corrigir o vício verificado, ampliando a matéria de facto para incluir especificamente na sentença o facto alegado pela A. no artigo 13.º da petição inicial, seja nos factos provados, seja nos factos não provados, de acordo com a versão que julgou efetivamente provada, ou não provada, em função da convicção a que chegou, a qual deveria ser explicitada de forma clara e coerente.
Regressados os autos ao Tribunal a quo, veio de imediato a ser proferida sentença, em cumprimento do assim ordenado, tendo no final julgado de novo a ação totalmente improcedente, absolvendo a R. de todos os pedidos contra si formulados.
É dessa sentença que a A. vem agora interpor recurso de apelação, apresentando no final as seguintes conclusões:
1.º A Autora, conforme consta da sentença não autorizou, nem permitiu que a sua conta de depósitos a prazo fosse movimentada.
2.º Ré atuou negligentemente ao movimentar a sua conta de depósitos a prazo, sem autorização da Autora e ao efetuar as transferências bancárias para nome terceiros desconhecidos.
3.º Ao efetuar as referidas transferências a Ré sem autorização da Autora violou o contrato de depósito bancário.
4.º Deve a Ré ser condenada a pagar a importância de € 4.000,00 acrescida de juros de mora à taxa legal desde a citação até ao efetivo pagamento.
Pede assim que a sentença seja revogada e a R. condenada a pagar á A. a referida importância que foi transferida para terceiros, sem sua autorização.
A R. respondeu ao recurso, sobrelevando das suas contra-alegações as seguintes conclusões:
I. –Entende a C… que não assiste qualquer razão à recorrente, não merecendo a decisão sub judice a censura que lhe é imputada, pelo que deverá a sentença proferida em primeira instância ser mantida por este Tribunal ad quem;
II. –Constitui princípio geral do direito processual que o Tribunal deve resolver todas as questões que as partes tenham submetido à sua apreciação – situação que se verificou no caso dos autos;
III. –Nenhuma razão assiste à recorrente, pois bem andou o Tribunal a quo no julgamento que fez da prova carreada aos autos, não merecendo a sua decisão qualquer reparo ou censura, tendo-se aquele Tribunal pronunciado sobre a matéria do artigo 13.º da douta p.i., como ordenado pelo Acórdão proferido em 05 de Abri de 2022.
Ora,
IV- Afiguram-se-nos rigorosas as conclusões do Tribunal a quo, decorrentes da prova produzida e em conformidade com a fundamentação vertida na douta decisão sobre a matéria de facto e de Direito, decaindo inteiramente o teor das alegações da autora.
Assim,
V- Alega a autora, nas suas doutas alegações, que a nova sentença desrespeitou o determinado pelo mencionado Acórdão;
VI- Sendo certo que, no entendimento da C…, a (nova) sentença abordou – de forma direta e inequívoca – o alegado em sede de p.i., designadamente no seu artigo 13.º.
Senão vejamos,
VII- Da douta sentença em crise constam, nos factos dados como provados e não provados evidências de que a matéria do artigo 13.º da p.i. foi devidamente abordado (vejam-se os n.ºs 7. e 19., dos factos e provados e ii. e vii. dos factos na provados, transcritos supra);
VIII- Não tendo resultado provado que as instruções advieram de terceiros em relação à autora nem que as mesmas não tenham sido autorizadas ou de algum modo pela mesma consentidas:
«Mais, resultou como não provado que as instruções tenham advindo de um terceiro em relação à Autora, assim como que as movimentações efetuadas não tenham sido autorizadas ou de algum modo consentidas pela Autora (artigo 13.º da petição inicial)».
IX- Tendo, assim, o Tribunal a quo, já no plano de Direito, perante a existência de dúvida sobre a realidade de um facto e sobre a repartição do ónus da prova, resolvido, com base no artigo 414.º do CPC, contra a parte a quem o facto aproveita – no caso, a autora.
X- No que à – alegada -, ausência de negligência por parte da autora diz respeito, cumpre esclarecer que é comummente aceite recaindo sobre a entidade bancária o dever de prestar, ao cliente, um serviço de banca à distância (homebanking) eficaz e seguro;
XI- Recaindo sobre o cliente deveres acessórios de conduta, como o da utilização correta do serviço e de confidencialidade relativamente ao código de acesso pessoal à conta e aos dispositivos de segurança personalizados fornecidos pela entidade bancária;
XII- Remetendo-se, neste campo, para abundante jurisprudência, designadamente, o Acórdão do Tribunal da Relação do Porto, de 14/07/2020, processo n.º 1482/17.7T8PRD.P2 (disponível para consulta em www.dgsi.pt), o Acórdão do Tribunal da Relação do Porto, de 14/07/2020, processo n.º 22158/17.0T8PRT.P1 (disponível em www.dgsi.pt), o Acórdão do Tribunal da Relação de Lisboa, de 12/07/2018, processo n.º 2256/10.0T8LSB.L1, 7.ª Secção – Cível e o Acórdão do Tribunal da Relação do Porto, de 14/07/2020 cujos excertos relevantes se encontram transcritos, supra.
XIII- Incumbia, assim, à C…, afastar a presunção de culpa a seu cargo, alegando e provando que a transferência dos montantes em causa nos autos não decorreu de culpa sua, por ter cumprido com todos os deveres de cuidado e diligência que lhe exigiam, alegando e provando que a depositante – a aqui recorrente – teve uma atuação gravemente negligente – o que foi devidamente justificado e tido como factos provados em sede de julgamento.
Ora,
XIV- Resultou provado que a autora, uma vez contactada por terceiros, via correio eletrónico forneceu as informações solicitadas nessa mensagem de correio eletrónico (Doc. 6., junto com a douta p.i.);
XV- Porém, alega a recorrente, não houve negligência da sua parte, mas por banda da C… – alegação com a qual a C… não pode concordar, tendo em consideração toda a defesa fáctica e de Direito apresentada em sede de contestação e produzida em audiência de julgamento, como ficou aturadamente justificado, supra.
XVI- Devendo, inversamente ao pretendido pela recorrente, considerar-se que estamos perante uma negligência grosseira e grave da autora, aqui recorrente.
XVII- Importa aqui recordar que a negligência grosseira constitui uma negligência qualificada, consubstanciando uma grave omissão das cautelas necessárias para evitar a realização do facto antijurídico, quando não foi observado, de forma pouco habitual, o cuidado exigido, ou que, no caso concreto, resultaria evidente para qualquer pessoa, sendo a culpa é agravada pelo elevado teor de imprevisão ou de falta de cuidados elementares, adotando-se uma conduta de manifesta irreflexão ou ligeireza.
XVIII- Neste contexto, a factualidade apurada permite atribuir à recorrente uma negligência qualificada, em que a culpa é agravada pelo elevado teor de imprevisão ou de falta das precauções exigidas pela mais elementar prudência, tendo adotado uma conduta de manifesta irreflexão ou ligeireza, pelos factos já mencionados e atempadamente provados.
XIX- Ainda que não se considerasse que a recorrente violou deliberadamente o dever de guarda dos dispositivos de segurança pessoais associados ao serviço fornecido peta C…, a verdade é que agiu de forma muito descuidada, demonstrando negligência grave;
XX- Porquanto a recorrente era constantemente alertada para os indícios de fraude, de maneira a estar, naturalmente, consciente de que os pedidos feitos nestas páginas falsas não são legítimos.
XXI- Deste modo, no nosso entendimento e s.m.o., seria inaceitável que se viesse a responsabilizar a C… numa situação em que – como correu in casu – existiu uma conduta negligente grave da recorrente, que forneceu a terceiros os seus códigos pessoais de acesso, que serviram para a movimentação na sua conta por banda desses mesmos terceiros.
XXII- Permitindo-lhes concretizar as operações à primeira tentativa, sem qualquer erro de introdução;
Pediu assim que seja negado provimento ao recurso e a manutenção da sentença.
II- QUESTÕES A DECIDIR
Nos termos dos Art.s 635º, n.º 4 e 639º, n.º 1 do C.P.C., as conclusões delimitam a esfera de atuação do tribunal ad quem, exercendo uma função semelhante à do pedido na petição inicial (vide: Abrantes Geraldes in “Recursos no Novo Código de Processo Civil”, Almedina, 2017, pág. 105 a 106). Esta limitação objetiva da atuação do Tribunal da Relação não ocorre em sede da qualificação jurídica dos factos ou relativamente a questões de conhecimento oficioso, desde que o processo contenha os elementos suficientes a tal conhecimento (cfr. Art. 5º n.º 3 do Código de Processo Civil). Também não pode este Tribunal conhecer de questões novas que não tenham sido anteriormente apreciadas porquanto, por natureza, os recursos destinam-se apenas a reapreciar decisões proferidas (Vide: Abrantes Geraldes, Ob. Loc. Cit., pág. 107).
Assim, em termos sucintos, as questões essenciais a decidir são as seguintes:
a) -O cumprimento pela sentença recorrida do acórdão de 5 de abril de 2022; e
b) -A verificação dos pressupostos da obrigação de indemnização emergente de responsabilidade contratual, tendo em especial atenção a presunção de culpa e a distribuição do ónus de prova decorrente dos Art.s 68.º, 70.º n.º 3 e 72.º n.º 1 do Dec.Lei n.º 317/2009, aqui aplicáveis.
Corridos que se mostram os vistos, cumpre decidir.
III- FUNDAMENTAÇÃO DE FACTO
A sentença sob recurso considerou como provada a seguinte factualidade:
1. –No desenvolvimento da referida atividade, a A. no ano de 2003, celebrou com a R. um contrato de depósitos à ordem, a que correspondeu a conta de Depósitos à Ordem com o n.º 0….
2. –Em 23/10/2007, M… foi adicionada à indicada conta, na qualidade de “autorizada”.
3. –A referida conta, tinha associada a conta de depósitos à ordem, uma conta de depósitos a prazo com o número 3…, no valor de €7.000,00.
4. –O depósito a prazo celebrado entre a A. e a R. foi constituído em 26/10/2010, pelo prazo de 4 anos, sendo os juros calculados anualmente, creditados na conta de depósitos á ordem associada, de acordo com as seguintes taxas de juros:
i. -1.º ano: 2,00% / 1,570%
ii. -2.º ano: 2,500%/1,963%
iii. -3.º ano: 3,500% /2.748%
iv. -4.º ano: 5,00% / 3.925%.
5. –O depósito a prazo era mobilizável a qualquer momento, total ou parcialmente.
6. –A A. foi contactada via correio eletrónico por alguém fazendo-se passar pela R
7. –A A. forneceu as informações solicitadas nessa mensagem de correio eletrónico.
8. –No dia 04/12/2013, foi transferida a quantia de €7.000,00 da conta de depósitos a prazo para a conta de depósito à ordem.
9. –No dia 04/12/2013, foi transferida a quantia de €2.000,00 da conta de depósitos à ordem para a conta de L….
10. –No dia 05/12/2013, foi transferida a quantia de €2.000,00 da conta de depósitos à ordem para a conta de L….
11. –A R. presta um serviço de homebanking, designado por “M…24”, tendo a A. aderido a esse serviço.
12. –Das “Condições Gerais de Comercialização de Produtos e Serviços” da R. consta que “o Cliente compromete-se […] a guardar sob segredo os seus elementos de identificação PIN e Chave Alfanumérica, bem como a prevenir adequadamente a utilização abusiva por parte de terceiros. O Cliente é o único responsável por todos os prejuízos resultantes da utilização indevida dos Serviço M…24 por parte de terceiros […]” (clausula 9.16).
13. –Em 09/04/2013, a A. subscreveu um contrato de adesão ao serviço de homebanking, do qual consta que “todas as ordens transmitidas pelo Cliente ao M… através do Serviço M…24 […] gozarão de plenos efeitos jurídicos, não podendo o Cliente alegar a falta de assinatura manuscrita para o cumprimento das ordens transmitidas” (clausula 2.3).
14. –Para o efeito, a R. atribuiu à A. códigos de acesso/credenciais de utilização.
15. –Os códigos de acesso/credenciais de utilização fornecidos aos clientes que aderem ao serviço M…24, são pessoais e intransmissíveis e funcionam a três níveis de segurança, designadamente:
a. - Um número de identificação M…, atribuído e entregue ao cliente no momento da adesão;
b. - Um código PIN multicanal, composto por seis dígitos, atribuído e entregue ao cliente no momento da adesão, PIN esse que o cliente altera, obrigatoriamente, aquando do seu primeiro acesso ao serviço (permitindo estas duas credenciais – apenas – a realização de operações e consultas que não comportem alterações de património – como, no caso em apreço, mobilização de um depósito a prazo para uma conta de depósitos à ordem coma mesma titularidade);
c. - Um cartão matriz, que consiste num cartão de coordenadas com 72 posições, cada uma com 3 dígitos (logo, 216 dígitos, no total), para validação de operações passíveis de alteração do património detido pelos clientes.
16. –O cartão matriz é remetido via CTT para o endereço dos clientes em estado de pré - ativo, passível de ser ativado pelos clientes mediante validação de códigos de acesso (através do número de cliente e do PIN multicanal) como é explicado aos clientes e como consta do site do M…24.
17. –A A. ativou o seu cartão matriz em 30/04/2013.
18. –Em todos os acessos ao serviço de homebankingsão apresentadas as seguintes informações: “O M… apenas lhe solicita a indicação de 2 posições do seu Cartão Matriz nas operações em que o seu património é alterado, por exemplo na realização de uma Transferência Interbancária ou Pagamento de Serviços, entre outros”; “Na ativação do Cartão Matriz não são solicitadas posições do mesmo.”; “O M… nunca lhe solicitará a realização de qualquer atualização de segurança de códigos de identificação via e-mail, nem procede ao envio de e-mails com links diretos para o site oficial.”; “Para validar operações que alterem o seu património no Net24 e restantes canais à distância, são apenas solicitadas 2 coordenadas aleatórias do seu cartão Matriz, e nunca a totalidade das mesmas”.
19. –As operações de transferência acima mencionadas foram efetuadas via homebanking, com a introdução de 4 posições do cartão matriz (distintas em cada operação), inseridas à primeira tentativa, sem erro.
20. –No dia 05/12/2013, na sequência de um alerta de fraude de outro cliente, a A. foi contactada telefonicamente por uma funcionária da R. a informar que detetou dois movimentos anómalos na conta da A., cada de um de €2.000,00 euros.
21. –No dia 05/12/2013, a conta de L… tinha um saldo positivo de €246,15.
22. –Aquando das operações bancárias em causa, o sistema informático da R. não foi alvo de qualquer ataque ou quebra de segurança informáticas.
A sentença recorrida considerou como não provados os seguintes factos:
i. -As instruções para realização das transferências bancárias dadas como provadas provieram da R
ii. -As instruções para realização das transferências bancárias dadas como provadas provieram de um terceiro.
iii. -O valor da conta de depósitos a prazo era de €8.750,00.
iv. -A A. diligenciou junto da R. para que essa anulasse as operações bancárias dadas como provadas.
v. -Em consequência dos factos, a A. sofreu transtornos, aborrecimentos, inquietação, desgosto, tristeza, mal estar e sofrimento.
vi. -Em consequência dos factos, a A. sentiu vergonha junto de pessoas amigas e familiares.
vii. -As movimentações a débito e a crédito efetuadas na sua conta não foram autorizadas ou de algum modo consentidas pela A
Tudo visto, cumpre apreciar.
IV- FUNDAMENTAÇÃO DE DIREITO
Fixadas questões que fazem parte do objeto da presente apelação, cumprirá então sobre elas nos debruçarmos pela sua ordem de precedência lógica, começando pelo alegado incumprimento do acórdão de 5 de abril de 2022.
1. –Do cumprimento do acórdão de 5 de abril de 2022.
Como já deixámos consignado no relatório do presente acórdão, a sentença ora recorrida foi proferida na sequência, e em cumprimento, do acórdão, deste mesmo coletivo, datado de 5 de abril de 2022, que anulou oficiosamente o julgamento, nos termos do Art. 662.º n.º 2 al. c) e d) do C.P.C., por forma a permitir que fosse corrigido o vício verificado de omissão de pronúncia sobre o concreto facto alegado pela A. no artigo 13.º da petição inicial, ampliando a matéria de facto para incluir especificamente esse facto, seja rol dos factos provados, seja no dos factos não provados, de acordo com a versão que se tenha julgado provada, em função da convicção a que sobre ela se tenha chegado, a qual deveria ser explicitada de forma clara e coerente.
A Recorrente, impugnando esta nova decisão, começa logo por sustentar que o acórdão de 5 de abril de 2022 não foi devidamente cumprido pela sentença recorrida. O que é contraditado, em contra-alegações, pela Recorrida.
Apreciando, verificamos que a decisão do Tribunal da Relação foi cumprida, porque o facto que constava do artigo 13.º da petição inicial consta agora do ponto “vii.” dos factos não provados, tendo a Mm.ª Juíza, que prolatou essa nova sentença, especificado na fundamentação sobre a sua convicção relativa a esse facto que: «Os factos dados como não provados resultaram da falta de prova quanto aos mesmos»; e mais à frente explicitou ainda que: «Mais, resultou como não provado que as instruções tenham advindo de um terceiro em relação à Autora, assim como que as movimentações efetuadas não tenham sido autorizadas ou de algum modo consentidas pela Autora (artigo 13.º da petição inicial).
«Por um lado, o Tribunal não nega a existência de um processo de natureza criminal, cuja acusação se encontra junta aos autos por iniciativa deste Tribunal, e as suspeitas que recaem sobre terceiros de utilização abusiva dos códigos e credenciais de acesso da Autora para realizar essas transferências, o que resulta também dos factos dados como provados em 6 e 7 (alegados e provados pela Ré). Mas essas suspeitas não constituem prova suficiente de que tenham necessariamente de ter sido esses terceiros a efetuar as concretas movimentações em causa (cfr. artigo 623.º do Código de Processo Civil a contrario, uma vez que nem sequer ainda existe qualquer decisão penal condenatória), prova essa que tinha de ser realizada na audiência de julgamento que teve lugar nestes autos.
«Por outro lado, a prova que foi produzida nestes autos foi no sentido de que existiam duas titulares das contas bancárias em causa e que podiam aceder à mesma e realizar operações, sendo que foram efetuadas três operações bancárias com os códigos e credenciais de acesso corretos, sem qualquer indicação de erro. Assim, nenhum indício existia perante a Ré de que as operações bancárias em causa poderiam estar a ser feitas, não pela Autora, mas por um terceiro com intuitos ilegítimos, verificando-se a possibilidade de ter sido uma das titulares da conta bancária a efetuar essas operações bancárias, sendo a prova produzida pela Autora (meramente documental) insuficiente para afastar essa presunção de facto (de que possa ter sido a Autora e/ou a outra titular da conta bancária a dar as instruções bancárias, uma vez que detinham os códigos e credenciais que o permitiam).
«Assim, resta a dúvida sobre quem ordenou as operações bancárias em causa (terceiros, Autora ou outra titular da conta bancária) e, consequentemente, sobre se as mesmas não foram autorizadas ou consentidas pela Autora, pelo que, por força do disposto no artigo 414.º do Código de Processo Civil, terão esses factos de resultar como não provados». (sic – com sublinhado nosso).
Não pode assim restar a mínima dúvida sobre o cumprimento do ordenado, porque o facto omisso mostra-se incluído na factualidade julgada pelo Tribunal a quo, sendo claro qual foi o iter lógico que conduziu à decisão de julgar o mesmo por não provado. Pelo que, nada mais há a ordenar quanto a este aspeto.
2. –Da responsabilidade civil e obrigação de indemnização.
Debruçando-nos agora sobre o mérito da causa, cumpre relembrar que a presente ação visa a condenação da R. ao pagamento de €4.000,00, referente a valor de depósito a prazo que foi indevidamente levantado da conta da A., a que acresceria uma indemnização por danos morais e patrimoniais de €5.000,00 e juros, por motivo de a R., enquanto instituição bancária onde estavam depositados os valores monetários em causa, ter permitido essas movimentações, sem autorização ou consentimento da titular da conta.
A sentença recorrida julgou a ação improcedente, porque entendeu que a R. não incumpriu o contrato que a vinculava à A., tendo as movimentações bancárias sido resultado pelo menos de negligência grosseira da própria A., que forneceu a terceiros os seus códigos de acesso e de todas as coordenadas aleatórias do seu “cartão matriz”.
A Recorrente não concorda com a decisão recorrida, por continuar a entender que não foi uma titular da conta quem ordenou as movimentações bancárias em causa, tendo essas operações decorrido à sua revelia, não tendo atuado com negligência grave ou grosseira, pois foi a R. quem permitiu que as suas contas fossem movimentadas.
A Recorrida sustenta que foi feita prova suficiente da existência de comportamento gravemente negligente por parte da A., que forneceu a terceiros informações que estavam na sua disponibilidade e exclusiva guardar, não sendo o Banco responsável pelos prejuízos alegados, na medida em que cumpriu com os deveres de cuidado que legal e contratualmente lhe estavam atribuídos.
Contrapostas as posições, temos de partir da consideração de que a pretensão da A. funda-se na existência de contrato de depósito bancário que vinculava ambas as partes.
A doutrina tradicional costumava assemelhar o contrato de depósito bancário de fundos monetários ao contrato de mútuo. E, de facto, o depósito bancário não é um mero contrato de depósito tal como ele é definido no Art. 1185º do C.C
Efetivamente, resulta desse preceito que o contrato de depósito é aquele pelo qual uma das partes entrega à outra uma coisa para que esta a guarde e restitua quando exigida. Só que nos depósitos bancários comuns, a obrigação de guarda e restituição não se refere exatamente à coisa entregue, mas a coisa do mesmo género. Ao que acresce que o banco não se limita a guardar a quantia depositada, ficando com a faculdade de executar operações de crédito com os fundos que lhe são entregues, sendo por isso muitas vezes estabelecido o dever de pagar juros ao depositante pela disponibilidade financeira que lhe é proporcionada.
Deste modo, quando estão em causa depósitos de coisa fungíveis, designadamente de fundos monetários, porque o depósito aparece num cruzamento de obrigações que assemelham esse negócio jurídico ao contrato de mútuo, optou o legislador por integrar estes contratos no âmbito do conceito de “contrato de depósito irregular” (Art. 1205º do C.C.), ao qual se aplica, na medida do possível, o regime próprio do contrato de mútuo (Art. 1206º do C.C.).
As principais diferenças do contrato de depósito irregular em relação ao contrato de depósito em sentido estrito são: que o primeiro é um contrato translativo do domínio da coisa; nele desaparece praticamente a obrigação de custódia da coisa; e a obrigação de restituição converte-se de específica em genérica (Vide: Pires de Lima e Antunes Varela - in “Código Civil Anotado” Vol. II, 3ª Ed., pág. 783).
É exatamente em atenção a estas semelhanças que o depósito bancário é equiparado por natureza ao depósito irregular, nos termos supra considerados e, por isso está sujeito, em grande medida, às regras próprias do mútuo (Art. 1142º e ss. do C.C.), sendo certo que devem ser tomados em consideração os desvios previstos nos Art.s 406º e 407º do Cód. Comercial e da regulamentação legal própria estabelecida em legislação bancária avulsa (Vide, a propósito: Menezes Cordeiro in “Manual de Direito Bancário”, 1998, pág. 479 e in “Da Compensação no Direito Civil e no Direito Bancário”, 2003, pág. 225; com uma interpretação mais casuística entre o depósito irregular e o contrato de mútuo: Paula Ponces Camacho in “Do Contrato de Depósito Bancário”, 1998, pág. 145 e ss).
Nestes termos, o depósito bancário de fundos monetários é por regra um negócio jurídico real “quad constituitionem”, porque nasce com a entrega do dinheiro ou dos valores ao banco. É um contrato unilateral, na medida em que dele somente emergem obrigações para uma das partes, designadamente o banco, que fica obrigado a restituir coisa do mesmo género da depositada e, eventualmente, a pagar os juros. Finalmente, é ainda um negócio translativo, na medida em que o depósito implica a transmissão da propriedade da coisa depositada. Portanto, a questão da titularidade dos fundos depositados em conta bancária fica diluída nesta relação contratual, de tal forma, que ao depositante não assiste o poder de reivindicar o depositado como coisa sua (Art. 1311º do C.C.), mas somente um mero direito de crédito de receber coisa do mesmo género e qualidade por parte do banco (Art. 1142º “ex vi” Art. 1206º do C.C.).
Em grande medida é o cumprimento desta a obrigação que a A. pretende fazer exigir pela presente ação, quando formulou a sua pretensão principal de pagamento de €4.000,00, tendo ainda por base o exercício do direito a indemnização decorrente de responsabilidade contratual da R., nos termos dos Art.s 798º e ss. do C.C., em que se sustenta também o pedido de reparação de danos morais.
Nos termos do Art. 798º do C.C., o devedor que falte culposamente ao cumprimento da obrigação torna-se responsável pelo prejuízo que causa ao credor.
São assim pressupostos da responsabilidade civil contratual: a) o facto objetivo do não cumprimento duma obrigação por parte do devedor; b) a ilicitude; c) a culpa; d) o prejuízo sofrido pelo credor; e e) o nexo de causalidade entre o facto e o prejuízo (Vide: Antunes Varela in “Das Obrigações em Geral”, Vol. II, 4ª Ed., pág. 90 e ss.).
O facto voluntário alegado pela A., pressuposto do seu direito, é que a R. operou a transferência de €7.000,00 da conta a prazo da A. para a sua conta à ordem e, depois, transferiu, por 2 vezes, €2.000,00 para a conta de um terceiro. Sendo que, essas operações bancárias foram dadas por provadas nos pontos 8., 9. e 10. dos factos provados na sentença recorrida.
Sucede que, essas operações foram realizadas em sistema de homebanking, ao qual a A. aderiu por contrato celebrado em 9 de abril de 2013 (cfr. doc. de fls. 53 a 54), o que pressupôs a introdução de 4 posições do cartão matriz, distintas em cada uma dessas 3 operações, as quais foram inseridas à primeira tentativa e sem qualquer erro (cfr. factos provados 11 a 19 da sentença recorrida). Portanto, de algum modo, se poderá dizer que o facto voluntário imputado ao Banco resultou do cumprimento de ordem que, pelo menos na aparência, emanava da titular das contas bancárias.
A ilicitude desse comportamento resultaria do facto do Banco ter executado operações bancárias a crédito e débito nas contas de depósitos a prazo e à ordem em nome da A. de forma alegadamente não autorizada, sem o conhecimento ou consentimento da respetiva titular.
Sucede que, este facto, que foi alegado no artigo 13.º da petição inicial, consta agora dado por não provado no ponto vii. da matéria de facto não provada da sentença recorrida, sendo que a Recorrente não impugna a decisão sobre a matéria de facto, nos termos do Art. 640.º do C.P.C
Se tivesse sido provado que foi a A. quem ordenou essas operações, ou por qualquer forma as autorizou, a consequência inevitável seria a improcedência da ação (neste sentido: Ac. S.T.J. de 5/4/2016 (Proc. n.º 4640/11.4TBRG.G2.S1- Relator: Martins Sousa, disponível em www.dgsi.pt) de que se destaca o seguinte segmento do seu sumário: «V- O disposto no art. 796.º, n.º 1, do CC, só se aplica ao pagamento feito pelo banco a terceiro sem o consentimento do titular da conta, e não também ao pagamento feito em execução de ordem deste mesmo titular»).
Não se tendo provado que essa operação resultou de ordem da A., ou do seu consentimento, como foi o caso dos autos, a solução jurídica é substancialmente mais complexa, sendo certo que ela já não passa pelo regime geral da responsabilidade civil contratual (v.g. Art. 798.º do C.C.), por faltar desde logo a prova dos factos que poderiam retirar a conclusão de que o comportamento do Banco foi ilícito (cfr. Art. 342.º n.º 1 do C.C.).
Assim, por exemplo, no acórdão do Supremo Tribunal de Justiça de 14 de dezembro de 2016 (Proc. n.º 1063/12.1TVLSB.L1.S1 – Relator: Pinto de Almeida, também disponível em www.dgsi.pt), defende-se a seguinte posição: «I- O contrato de “homebanking” – que a lei também qualifica de “contrato-quadro” (art. 2.º, al. m), do Regime dos Sistemas de Pagamento (RSP), aprovado pelo DL n.º 317/2009, de 30-10) – celebrado entre autora e banco réu – é o acordo mediante o qual o cliente adere a um serviço prestado pelo banco, que consiste na possibilidade de manter relações via internet, de forma a: (i) aceder a informações sobre produtos e serviços do banco; (ii) obter informações e realizar operações bancárias sobre contas de que a autora fosse titular; (iii) realizar pagamentos, cobranças e operações de compra, venda, subscrição ou resgate sobre produtos ou serviços disponibilizados pelo banco. II- Apenas o prestador do serviço de pagamentos referido em I- o banco – pode assegurar a operacionalidade do complexo sistema informático utilizado e a regularidade do seu funcionamento, garantindo, também, a confidencialidade dos dispositivos de segurança que permitem aceder ao instrumento de pagamento. III - Por esta razão, recai sobre o banco prestador do serviço o risco das falhas e do deficiente funcionamento do sistema, impendendo ainda sobre o mesmo o ónus da prova de que a operação de pagamento não foi afetada por avaria técnica ou qualquer outra deficiência (cf. art. 70.º do referido Regime dos Sistemas de Pagamento). IV- Ao utilizador do serviço de pagamento – que deve dispor de um conjunto de dispositivos de segurança, como o código de acesso, cartão matriz, entre outros, que lhe vão permitir aceder a esse serviço, dada a sua função de autenticação e identificação – exige-se que tome as medidas razoáveis em ordem a preservar a eficácia desses dispositivos. V- Entre as técnicas mais frequentemente utilizadas por terceiros para aceder, fraudulentamente, através do sistema, à conta do cliente utilizador do serviço de homebanking, contam-se: (i)- o phishing,que consiste no envio de mensagens de correio eletrónico, que provêm aparentemente do banco prestador do serviço, tentando obter dados confidenciais que permitam o acesso ao serviço de pagamento eletrónico; e (ii) o pharming, uma “técnica mais sofisticada em que é «corrompido» o próprio nome de domínio de uma instituição financeira, redirecionando o utilizador para um site falso – em tudo similar ao verdadeiro – sempre que este digita no teclado a morada correta do seu banco”. VI- Havendo quebra de segurança resultante da intromissão abusiva de terceiros, que lograram, por meio desconhecido, obter os dispositivos de segurança que permitiram o acesso às contas, não é adequado concluir ser aquela quebra imputável ao utilizador do serviço de pagamento apenas por ter este facultado os referidos dispositivos à contabilista, uma “auxiliar”, sendo esta atuação conforme com a diligência de um homem médio e, por isso, razoável, inexistindo negligência grave. VII- Se o banco réu não demonstrou, como era seu ónus, que o utilizador tenha tido qualquer comportamento suscetível de pôr em causa a segurança do sistema, desconhecendo-se o modo como os terceiros lograram obter os dispositivos de segurança, tem o mesmo a obrigação de reembolsar imediatamente o ordenante do montante da operação de pagamento não autorizada (art. 71.º, n.º 1, do Regime dos Sistemas de Pagamento)». (sublinhados nossos)
No acórdão do Supremo Tribunal de Justiça de 18/12/2013 (Proc. n.º 6479/09.8TBBRG.G1.S1 – Relatora: Ana Paula Boularot, disponível no mesmo sítio) é defendido que: «III. O phishing (do inglês fishing «pesca») pressupõe uma fraude eletrónica caracterizada por tentativas de adquirir dados pessoais, através do envio de e-mails com uma pretensa proveniência da entidade bancária do recetor, por exemplo, a pedir determinados elementos confidenciais (número de conta, número de contrato, número de cartão de contribuinte ou qualquer outra informação pessoal), por forma a que este ao abri-los e ao fornecer as informações solicitadas e/ou ao clicar em links para outras páginas ou imagens, ou ao descarregar eventuais arquivos ali contidos, poderá estar a proporcionar o furto de informações bancárias e a sua utilização subsequente. IV. A outra modalidade de fraude online é o pharming a qual consiste em suplantar o sistema de resolução dos nomes de domínio para conduzir o usuário a uma pagina Web falsa, clonada da página real, baseando-se o processo, sumariamente, em alterar o IP numérico de uma direção no próprio navegador, através de programas que captam os códigos de pulsação do teclado (os ditos keyloggers), o que pode ser feito através da difusão de vírus via spam, o que leva o usuário a pensar que está a aceder a um determinado site – por exemplo o do seu banco – e está a entrar no IP de uma página Web falsa, sendo que ao indicar as suas chaves de acesso, estas serão depois utilizadas pelos crackers, para acederem à verdadeira página da instituição bancária e aí poderem efetuar as operações que entenderem, destinando-se ambas as técnicas (phishing e pharming) à obtenção fraudulenta de fundos. V. Os riscos da falha do sistema informático utilizado, bem como dos ataques cibernautas ao mesmo, têm de correr por conta dos bancos, do aqui Réu portanto, por a tal conduzir o disposto no artigo 796º, nº1 do CCivil, não se tendo provado, como não se provou, que tivesse havido culpa da Autora. VI. A esse mesmo resultado se chega com a aplicação do DL 317/2009, de 30 de Outubro, que transpôs para a nossa ordem jurídica o novo enquadramento comunitário em matéria de serviços de pagamentos, maxime a Diretiva 2007/64/CE do Parlamento Europeu e do Conselho de 13 de Novembro, o qual, não obstante seja posterior aos factos em causa nesta ação, a eles é aplicável, ex vi do seu artigo 101º, nº1 no qual se predispõe que «O regime constante do presente diploma regime jurídico não prejudica a validade dos contratos em vigor relativos aos serviços de pagamento nele regulados, sendo-lhes desde logo aplicáveis as disposições do presente regime jurídico que se mostrem mais favoráveis aos utilizadores de serviços de pagamentos»).
Portanto, a questão é resolvida, não em função da ilicitude do comportamento dos Bancos que disponibilizam os serviços de homebanking, mas fundamentalmente em razão da repartição do risco de perda do património, da responsabilidade por esse risco, sem olvidar o contributo que o próprio cliente possa ter dado para a consumação do dano verificado.
Inquestionavelmente que nas situações descritas como pharming, como o dano traduz a consumação de um risco derivado de falha na segurança do próprio sistema informático utilizado, a responsabilidade pela reparação dos prejuízos está legalmente atribuída ao Banco (cfr. Art. 68.º n.º 2 do regime anexo ao Dec.Lei n.º 317/2009 então em vigor), pois é este quem disponibiliza o correspondente serviço, que assim se prova ser vulnerável aos ataques de cibernautas, justificando-se que o risco de perda tenha de correr por conta dos bancos, quanto mais não fosse por mera decorrência do disposto no Art. 796.º n.º 1 do C.C
A solução é diferente nas situações descritas como fishing, que pressupõem um comportamento de terceiros, configurável como fraude eletrónica, que passa pela obtenção dados pessoais, através do envio de e-mails com uma pretensa proveniência da entidade bancária do recetor, por exemplo, a pedir determinados elementos confidenciais, como o número de conta, o número de contrato, o número de cartão de contribuinte e outras informações que estão na disponibilidade do cliente. Nesse caso, como tem de existir sempre a colaboração ativa do titular da conta bancária, ou do autorizado a movimentá-la, a responsabilidade pelas perdas patrimoniais já poderá não ser imputável ao banco, nomeadamente se este cumpriu todas as regras de segurança (v.g. Art. 68.º n.º 1 e 69.º do Regime Jurídico anexo ao Dec.Lei n.º 317/2009 então em vigor), sendo a movimentação bancária resultado do comportamento, ainda que involuntário, do cliente.
Entra aqui em consideração o “Regime Jurídico dos Serviços de Pagamento e da Moeda Eletrónica”, tendo em atenção que à data dos factos estava em vigor aquele que se mostrava aprovado em anexo ao Dec.Lei n.º 317/2009 de 30/10, e que foi republicado pelo Dec.Lei n.º 242/2012 de 07/11 (sendo certo que, entretanto, esse regime já foi revogado pelo Dec.Lei n.º 91/2018, de 12 de novembro).
Dispunha assim então o Art. 72.º do citado Regime Jurídico, em vigor à data dos factos, que:
«1- No caso de operações de pagamento não autorizadas resultantes de perda, de roubo ou da apropriação abusiva de instrumento de pagamento, com quebra da confidencialidade dos dispositivos de segurança personalizados imputável ao ordenante, este suporta as perdas relativas a essas operações dentro do limite do saldo disponível ou da linha de crédito associada à conta ou ao instrumento de pagamento, até ao máximo de (euro) 150.
«2- O ordenante suporta todas as perdas resultantes de operações de pagamento não autorizadas, se aquelas forem devidas a atuação fraudulenta ou ao incumprimento deliberado de uma ou mais das obrigações previstas no artigo 67.º, caso em que não são aplicáveis os limites referidos no n.º 1.
«3- Havendo negligência grave do ordenante, este suporta as perdas resultantes de operações de pagamento não autorizadas até ao limite do saldo disponível ou da linha de crédito associada à conta ou ao instrumento de pagamento, ainda que superiores a (euro) 150, dependendo da natureza dos dispositivos de segurança personalizados do instrumento de pagamento e das circunstâncias da sua perda, roubo ou apropriação abusiva.
«4- Após ter procedido à notificação a que se refere a alínea b) do n.º 1 do artigo 67.º, o ordenante não suporta quaisquer consequências financeiras resultantes da utilização de um instrumento de pagamento perdido, roubado ou abusivamente apropriado, salvo em caso de atuação fraudulenta.
«5- Se o prestador de serviços de pagamento não fornecer meios apropriados que permitam a notificação, a qualquer momento, da perda, do roubo ou da apropriação abusiva de um instrumento de pagamento, conforme requerido pela alínea c) do n.º 1 do artigo 68.º, o ordenante não fica obrigado a suportar as consequências financeiras resultantes da utilização desse instrumento de pagamento, salvo nos casos em que tenha agido de modo fraudulento».
Realce-se ainda que o Art. 67.º do mesmo regime jurídico estabelecida que:
«1- O utilizador de serviços de pagamento com direito a utilizar um instrumento de pagamento tem as seguintes obrigações:
«a) - Utilizar o instrumento de pagamento de acordo com as condições que regem a sua emissão e utilização; e
«b) - Comunicar, sem atrasos injustificados, ao prestador de serviços de pagamento ou à entidade designada por este último, logo que deles tenha conhecimento, a perda, o roubo, a apropriação abusiva ou qualquer utilização não autorizada do instrumento de pagamento.
«2- Para efeitos da alínea a) do número anterior, o utilizador de serviços de pagamento deve tomar todas as medidas razoáveis, em especial ao receber um instrumento de pagamento, para preservar a eficácia dos seus dispositivos de segurança personalizados».
No caso concreto dos autos, apesar de não se ter provado que as instruções para a realização das transferências vieram da R. (v.g. facto não provado i.), nem que não foram autorizadas ou consentidas pela A. (v.g. facto não provado vii.), provou-se pelo menos que a A. foi contactada via correio eletrónico por alguém que se fez passar pela R. (facto provado 6.), tendo a A. fornecido as informações solicitadas nessa mensagem de correio eletrónico (facto provado 7.), tudo levando a crer que tenham sido estes factos que terão determinado as transferências referidas em 8. a 10. dos factos provados.
Portanto, é provável que estejamos perante uma situação de fishing, já que o problema não resultou de qualquer ataque informático ao sistema de segurança do banco (cfr. facto provado 22.), estando assim afastada a hipótese de pharming.
Certo é que, todas essas transferências, como já vimos, foram realizadas pelo sistema de homebanking (cfr. facto provado 19.), que pressupunha a introdução de 4 posições do cartão matriz, que estava na inteira disponibilidade da A., sendo que essas 4 inserções foram feitas, todas à primeira tentativa e sem qualquer erro (cfr. facto provado 19). Pelo que, as transferências, ou foram feitas pela própria A., ou por pessoa terceira que teve acesso aos seus dados pessoais, que estavam na sua inteira disponibilidade.
É inequívoco que todos os dados pessoais que permitiam a realização dessas operações bancárias estavam no domínio da A., que se comprometeu guardar segredo sobre eles, conforme decorre da cláusula 9.16 das “condições gerais de comercialização de produtos e serviços” (cfr. facto provado 12.), sendo que a A. não cumpriu essa obrigação, como resulta provado (v.g. factos provados em 6. e 7.).
Portanto, se essas ordens não emanaram da própria A., terá sido certamente, pelo menos, com a sua colaboração ativa, que essas transferências foram feitas, pois sem ela essas operações bancárias jamais teriam ocorrido por iniciativa do banco, que se limitou a seguir as ordens transmitidas por via eletrónica e de acordo com o sistema de segurança estabelecido.
É de admitir que a colaboração prestada pela A. pode ter sido involuntária, mas o grau de responsabilidade pelo sigilo e integridade da informação detida é muito elevado, até porque estabelecido no seu próprio interesse e por ter a potencialidade de por em risco a integridade do seu crédito patrimonial sobre o banco.
É básica a exigência do cumprimento do dever elementar de não facultar informação sigilosa e pessoal através da internet ou outros meios impessoais de comunicação. Pelo que, a violação do dever de cuidado, no sentido de preservar a informação pessoal e a eficácia dos dispositivos de segurança personalizados, só pode ser tida como grosseira, pois o banco nunca estará a contar que seja o próprio cliente a facilitar a terceiros dados confidenciais que permitam afetar os saldos bancários nele depositados.
Facultar a um desconhecido dados pessoais que possam permitir ou facilitar a ocorrência de transferências das suas contas bancárias é aumentar exponencialmente o risco desse dano se vir verificar efetivamente. Por isso, semelhante tipo de comportamento só pode ser tido como integrando o conceito de “negligência grave” ou “grosseira”, que é pressuposta no funcionamento do n.º 3 do Art. 72.º do Regime Jurídico dos Serviços de Pagamento e da Moeda Eletrónica, aprovado em anexo ao Dec.Lei n.º 317/2009 de 30/10, devendo a responsabilidade pelo risco desse dano competir inteiramente ao cliente, e não ao banco.
Pelo que, a presente ação só poderia ser julgada improcedente, improcedendo as conclusões que sustentam o contrário, não havendo motivo algum para deixarmos de manter a decisão recorrida.
V- DECISÃO
Pelo exposto, acorda-se em julgar a apelação improcedente, por não provada, mantendo-se integralmente a sentença recorrida.
- Custas pela apelante (Art. 527º n.º 1 do C.P.C.).
Lisboa, 14 de fevereiro de 2023
Carlos Oliveira
Diogo Ravara
Ana Rodrigues da Silva
