17066/24.0T8LSB.L1-7 - Tribunal da Relação de Lisboa

Sumário1 I – O Regime Jurídico dos Serviços de Pagamento e da Moeda Electrónica aprovado pelo DL n.º 91/2018, de 12 de Novembro, de acordo com o disposto no artigo 113º, impõe sobre o prestador do serviço o ónus de prova no caso de o utilizador negar ter autorizado determinada operação: i. de que a operação de pagamento foi autenticada, devidamente registada e contabilizada; ii. de que essa operação de pagamento não foi afectada por avaria técnica ou qualquer outra deficiência do serviço por si prestado; iii. dos elementos que demonstrem a existência de fraude, de dolo ou de negligência grosseira da parte do utilizador de serviços de pagamento. II – Para efeitos do número 4 do artigo 115º do Regime Jurídico dos Serviços de Pagamento e da Moeda Electrónica, a negligência grosseira não se basta com a falta de cuidado que uma pessoa normalmente diligente teria naquela situação, dentro das circunstâncias do caso concreto, exigindo-se um nível de falta de cuidado mais elevado, um descuido ou desmazelo inadmissível para qualquer pessoa colocada naquela situação. III - Não atua com negligência grosseira o utilizador que funda a sua convicção de estar a interagir com o prestador de serviços de pagamento em contacto telefónico cuja interlocutora se apresenta como funcionária do departamento de fraude da instituição bancária, transmite amplo conhecimento sobre múltiplos elementos de identificação pessoal e dados da conta bancária, informa que se encontra em curso uma tentativa de fraude para transferência do valor de 12 000,00 €, que o utilizador não solicitou, e transmite todas as ordens com vista a proceder ao cancelamento imediato da operação, remetendo mensagem de correio electrónico com um link, a que o utilizador deve aceder, o que este faz, acedendo a uma página em tudo semelhante à página do site oficial da entidade bancária e onde introduz três coordenadas do cartão matriz e o código SMS Token, também enviado nesse momento, tudo se passando no decurso da chamada telefónica.

Acordam as Juízas na 7ª Secção do Tribunal da Relação de Lisboa RELATÓRIO CIFRA VERSÁTIL, LDA. intentou contra CAIXA GERAL DE DEPÓSITOS, S. A. a presente acção declarativa de condenação, com processo comum, pedindo a condenação da ré a pagar-lhe a quantia de 12 607,56 € (doze mil seiscentos e sete euros e cinquenta e seis cêntimos), acrescida de juros de mora calculados nos termos do referido artigo 114.º, n.º 10 do Regime Jurídico dos Serviços de Pagamento e da Moeda Electrónica, aprovado pelo Decreto-Lei n.º 91/2018 , de 12 de Novembro , desde a citação até integral pagamento. Alegou, para tanto, em síntese, o seguinte: A autora é titular, junto da ré, de uma conta de Depósitos à Ordem, tendo aderido ao serviço de homebanking, cujo acesso era permitido apenas aos sócios-gerentes, AA e marido, BB, cada um com um código de utilizador e um perfil diferentes; A sócia-gerente AA era a única pessoa que utilizava o serviço de homebanking da ré para efectuar transferências bancárias e proceder ao pagamento de serviços e compras, através do seu computador, acedendo ao sítio da internet da ré; No dia 20 de Fevereiro de 2024, a sócia-gerente recebeu uma chamada, no seu telemóvel, que está associado à conta bancária da autora na CGD, sendo informada que os sistemas de alarme da CGD tinham sido accionados, na sequência de um pedido de transferência, no valor de 12 000,00 €, sendo-lhe transmitidas diversas informações sobre dados da conta bancária e perguntado se tinha efectuado tal pedido, o que negou, sendo informada que ia receber um link electrónico para efectuar o cancelamento imediato da transferência; Recebeu um e-mail com um link que a remeteu para uma página da internet, que corresponderia à página oficial da ré e, seguindo as instruções da alegada funcionária da ré, clicou apenas no campo destinado ao cancelamento da transacção e inseriu um código de SMS que lhe foi enviado; Quando contactaram com a linha de apoio da Caixa Directa, os sócios-gerentes tomaram conhecimento de que a transferência fora concretizada e que a chamada recebida era fraudulenta; A autora nunca facultou a ninguém qualquer informação sobre a conta bancária e os elementos do serviço homebanking; A autora nunca facultou os seus dados de acesso a ninguém, pelo que a transferência foi ilegítima e não consentida e só foi possível devido à vulnerabilidade e fragilidade do sistema de segurança dos serviços da ré. A ré contestou pugnando pela improcedência da acção, alegando, muito em síntese, o seguinte: A autora repudiou a operação, mas foi a própria que optou por receber um e-mail , que lhe foi enviado de um remetente desconhecido e com um domínio que não pertencia à ré, o que devia saber; Ao clicar no link , a autora foi reencaminhada para uma página onde tinha de confirmar a morada da empresa, seleccionar o valor que pretendia cancelar, sendo que, para cancelar efectivamente o movimento, teria ainda de colocar 3 coordenadas da Matriz e bem assim o código de uma mensagem SMS Token que lhe seria remetida, o que fez, autorizando assim a operação; A cliente agiu grosseiramente ao aceitar que a chamada telefónica do telemóvel nº ... teria origem na Ré Caixa, uma vez que tal número era para si desconhecido e a não teve a preocupação de o confirmar; A ré tem activos alertas no momento do acesso ao próprio serviço, alertando os seus clientes de que não devem facultar dados pessoais, porque a Caixa nunca os solicita telefonicamente, nem por via do referido serviço e em nenhuma circunstância os solicita aos seus Clientes; As operações foram autenticadas, registadas e contabilizadas, não tendo sido afectadas por avaria técnica ou qualquer outra deficiência do serviço, pelo que a ré não poderia ter obstaculizado à sua realização; A autora agiu com negligência grosseira e deve suportar as perdas resultantes destas operações. Os autos prosseguiram a sua tramitação normal, foi realizada a audiência de julgamento e em 25 de Janeiro de 2026 foi proferida sentença que julgou a acção procedente, com o seguinte dispositivo: “Com os fundamentos de facto e de direito supra expostos, julga-se a presente ação procedente, por provada, e, em consequência, condena-se a Ré Caixa Geral de Depósitos, S.A. a pagar à Autora Cifra Versátil, Ld.ª a quantia de €12.000,00 (doze mil euros), acrescida de juros de mora contabilizados sobre o valor de capital, à taxa de juro civil, acrescida de 10 pontos percentuais, desde 20/02/2024, até efetivo e integral pagamento. Custas pela Ré - artigo 527º , nº 1 e 2 do Código de Processo Civil .” Inconformada com esta decisão, a ré veio interpor o presente recurso, concluindo a sua motivação, no essencial, nos seguintes termos: “[…] Da factualidade provada resulta que a Recorrida celebrou com a Recorrente um contrato de utilização dos canais digitais desta, a qual assim consentiu que a Recorrida tivesse acesso à conta bancária de que é titular por via da App instalada em equipamentos móveis, designadamente através do seu telemóvel e, por via do acesso ao site da Recorrente, usualmente designado por homebanking, através das credenciais de acesso que lhe forneceu sendo que, através de tal contrato, ficaram as partes obrigadas ao cumprimento dos deveres decorrentes do supra referido Regime Jurídico dos Serviços de Pagamento e da Moeda Electrónica. Nos termos do indicado regime, os bancos fornecem aos seus clientes senhas de acesso pessoais, bem como cartões matriz constituídos por uma infinidade de composições numéricas, que normalmente são solicitadas no final de cada operação efectuada por meios telemáticos e por forma a autenticá-la, já que esse cartão matriz deverá apenas ser do conhecimento do cliente, único a poder utilizá-lo, não lhe sendo permitido fornecer nenhum dos dados nele insertos a terceiros, uma vez que, quer o protocolo da página bancária, quer o tráfego de toda a informação nela processada, o que inclui as sobreditas senhas de acesso, são encriptadas, tornando impossível um terceiro obter ou alterar a informação depois de enviada; Cabe ao prestador do serviço assegurar a operacionalidade do complexo sistema informático utilizado e a regularidade do seu funcionamento, garantindo, também, a confidencialidade dos dispositivos de segurança que permitem aceder ao instrumento de pagamento; […] Ao utilizador do serviço de pagamento – que deve dispor de um conjunto de dispositivos de segurança, como o código de acesso, cartão matriz, entre outros, que lhe vão permitir aceder a esse serviço, dada a sua função de autenticação e identificação – exige-se que tome as medidas razoáveis em ordem a preservar a eficácia desses dispositivos; No caso dos autos, a Recorrida alegou ter ocorrido uma transferência no valor de € 12.000,00 efectuado com recurso aos canais digitais da Recorrente de que aquela é titular, operação essa que a Recorrida não autorizou, razão pela qual pretende a devolução por parte da Recorrente da quantia de € 12.000,00; […] A execução da ordem exige que o cliente tenha sido autenticado pelo prestador do serviço através de um procedimento que lhe permite verificar a identidade de um utilizador de serviços de pagamento ou a validade da utilização de um instrumento de pagamento específico, incluindo a utilização das credenciais de segurança personalizadas do utilizador; […] Cabe à Recorrente a prova de que todas as transacções que executou foram devidamente autorizadas pela cliente; […] Está, pois, assente que a operação bancária questionada (operação de pagamento) derivou da introdução de credenciais e códigos através da inserção de três coordenadas do cartão matriz e de um código SMS que foi recebido no telemóvel da sócia gerente, via SMS token, o que teve como consequência que o sistema do banco, aqui Recorrente, por estarem reunidos todos os requisitos de movimentação, tenha cumprido a instrução de pagamento; Verificou-se que as mensagens foram efectivamente enviadas para o telemóvel da Autora/Recorrida e a operação exigiu a inserção dos códigos remetidos por essa via; E ainda que o acesso tenha sido realizado por terceiros, a tal facto tem de ser alheia a Recorrente, porquanto incumbe aos clientes/utilizadores do serviço tomar as devidas cautelas para que os meios através dos quais acedem ao serviço de homebanking (computador e telemóvel) não sejam acedidos por terceiros; […] Exige-se, por isso, ao utilizador que tome todas as medidas razoáveis em ordem a preservar a eficácia desses dispositivos de segurança personalizados em vista de evitar que terceiros consigam aceder, fraudulentamente, através do sistema, à conta do cliente utilizador do serviço de homebanking, logrando apropriar-se de fundos aí existentes; […] A culpabilidade do ordenante constitui, pois, um pressuposto da responsabilidade por operações de pagamento não autorizadas, razão pela qual é necessário apreciar a respectiva conduta na sua relação com o comportamento devido, isto é, na perspectiva da violação de um dever jurídico ou da omissão do dever de diligência que lhe é imposto, bem como da intervenção da vontade nessa actuação; O Código Civil, no n.º 2 do artigo 487.º, estatui um critério de apreciação da culpa em abstracto, ao dispor: A culpa é apreciada, na falta de outro critério legal, pela diligência de um bom pai de família, em face das circunstâncias de cada caso; […] Não obstante erigir a culpabilidade do ordenante em pressuposto da responsabilidade por operações de pagamento não autorizadas, o Regime Jurídico dos Serviços de Pagamento não esclarece o que entende por negligência grosseira, à semelhança do que já acontecia com o anterior diploma que não dispunha o que entendia por culpa grave, sendo certo que o Código Civil igualmente não apresenta uma classificação dos graus de culpa, limitando-se a referências à distinção entre dolo e mera culpa e a uma menção esporádica a culpa grave, sem indicar qualquer critério de graduação da culpabilidade, pelo que se tem de atender ao previsto no Código Civil, designadamente ao citado artº. 487º, nº 2), por referência ao tipo de homem médio ou normal, medianamente sagaz, prudente, avisado e cuidadoso (fazendo reportar estas qualidades ao do utilizador do serviço em causa) que utiliza tais serviços; […] A Recorrida foi enganada, mas perante o banco/Recorrente, a transação foi autorizada pela Recorrida. E de facto, a Recorrida – ainda que se conceda que não estaria consciente do que estava a fazer – autorizou o movimento que põe em causa nestes autos, foi com as suas credenciais, que utilizou a pedido de terceiros, que as transacções foram feitas. Só a Recorrida é responsável pelo uso das suas credenciais que, note-se, não lhe foram roubadas, nem furtadas, que nem sequer perdeu. Facultou-as, voluntariamente, a pedido de terceiros, no decurso da chamada telefónica que recebeu; As ordens foram, portanto, autorizadas e consentidas (artigos 103.º,n.ºs 1 a 3, 104.º, do RJSPME, e 13.º do Regulamento Delegado (UE)2018/389); Assim sendo, a entidade bancária tem de praticar as operações na conta determinadas ou autorizadas pela cliente até ao limite da conta, correndo por conta desta última o risco de extravio ou dissipação; A Recorrente cumpriu todas as suas obrigações, nomeadamente, a de executar as ordens que a Recorrida, na posse de total capacidade jurídica, autorizou e consentiu [tanto mais que, estando reunidas todas as condições previstas no contrato-quadro celebrado com o ordenante, o prestador de serviços de pagamento que gere a conta deste não pode recusar a execução de uma ordem de pagamento autorizada (artigo 120.º do RJSPME), ordem que, quando foi, e bem, executada pelo banco, era irrevogável (artigo 121.º do RJSPME)]; Provou-se que a operação de pagamento foi autenticada, devidamente registada e contabilizada e que não foi afectada por avaria técnica ou qualquer outra deficiência do serviço prestado pela Recorrente, cfr. ponto 54 dos factos provados; […] A Recorrida utilizou as credenciais que a Recorrente lhe forneceu para aceder ao homebanking com frontal incumprimento dos seus deveres contratuais e legais, usando-os a pedido de terceiros de uma forma, mais que incauta, despropositada e contraditória com a lógica do sistema de segurança para que as credenciais servem; Do exposto decorre inequivocamente que a Recorrida incumpriu com as regras de segurança amplamente divulgadas pela Recorrente para acesso e utilização ao serviço de homebanking; […] Note-se que a actuação da Recorrida se traduziu, em síntese, em ter clicado num link que lhe foi remetido via e-mail, tendo posteriormente autenticado a operação com três coordenadas do cartão matriz, e inserido o código SMS token para confirmação da operação de transferência da quantia de € 12.000,00, como melhor consta dos factos provados sob os pontos nºs. 25º, 26º, 27º. 28º. 29º, 30º e 31º; Contudo, dos avisos publicados pela Recorrente expressamente consta o alerta de que o cliente nunca deve clicar em links que lhe sejam remetidos e que a Recorrente nunca remete links para obtenção de informações; […] Outrossim, a Recorrente sempre invocou o dolo ou a negligência grosseira da Recorrida quando atendeu aos pedidos da sua interlocutora telefónica clicando no link que recebeu via e-mail e introduzindo as credencias do cartão matriz e o SMS token que a Recorrente lhe remeteu; E nem o facto do telefonema ter sido recebido do número de telefone da Recorrente e da interlocutora da Recorrida se ter apresentado como funcionária da Caixa e conhecedora dos elementos de identificação da conta e respectivos últimos movimentos diminui a negligência gravemente grosseira do comportamento da Recorrida; […] Face a tudo o exposto, teria o Tribunal a quo de considerar que actuou a Recorrida de forma grosseiramente negligente pois que nesta situação em particular ficou demonstrado que a Recorrida desconsiderou todos os avisos de segurança expressos que constam do respectivo site de acesso ao serviço; Não podendo, ainda, exigir-se à Recorrente que, de acordo com o critério do homem médio, obrigue ou garanta que os seus Clientes tomem em consideração os alertas e avisos publicados e que não os desconsiderem como, claramente, aconteceu in casu ; À Recorrida seria, sim, exigível, que tivesse adoptado comportamento diferente na utilização do Serviço em questão pois a introdução das credenciais do cartão matriz e do SMS Token remetido, ainda que não tenha lido a respectiva mensagem, evidencia que o seu comportamento foi grosseiramente negligente; Assim, atento ao acima exposto, a prova produzida no caso sub judice, permitiu afastar, a culpa da Recorrente, e demonstrar a negligência grosseira da Recorrida, razão pela qual o tribunal a quo deveria ter concluído diferentemente, pela sua absolvição; Por todo o exposto, a Sentença Recorrida não fez uma correcta interpretação dos factos e sua subsunção às normas legais aplicáveis, designadamente o disposto no artº. 115º nº 4 do RJSPME, devendo, por isso, ser totalmente revogada e substituída por outra que absolva a Recorrente.” a. Termina pedindo a revogação da decisão recorrida e a sua substituição por outra que declare a total improcedência da acção. A autora/recorrida contra-alegou pugnando pela manutenção da decisão recorrida. b. II – OBJECTO DO RECURSO Nos termos dos art.ºs 635.º, n.º 4 e 639.º, n.º 1 do Código de Processo Civil há apreciar se a ré é responsável pela reposição do valor transaccionado a partir da conta bancária detida pela autora naquela instituição na data de 20 de Fevereiro de 2024. Colhidos que se mostram os vistos, cumpre apreciar e decidir. e. III - FUNDAMENTAÇÃO 1. – FUNDAMENTOS DE FACTO O Tribunal recorrido deu como provados os seguintes factos: A Autora é uma sociedade comercial por quotas, que se dedica, entre outras, à actividade de consultoria de marketing e comercial, nomeadamente no planeamento comercial para o mercado imobiliário. A Ré é uma instituição de crédito que exerce a actividade bancária, encontrando-se para o efeito autorizada e registada no Banco de Portugal. A Autora é titular, junto da Ré, de uma conta de Depósitos à Ordem, com o número .... A Autora abriu a conta referida em 3) a 08/08/2022. No dia 09/08/2022, a Autora aderiu ao serviço de homebanking da Ré que se designa por Caixadirecta Empresas. Apenas os sócios-gerentes da Autora, AA e o seu marido, BB, estavam autorizados a aceder ao serviço de homebanking da Ré, tendo, cada um deles, um código de utilizador e um perfil diferentes, para aceder ao referido serviço. A Autora é uma microempresa, do tipo familiar. O serviço de homebanking da Ré era utilizado apenas pelos sócios gerentes da Autora, AA e BB, sendo estes as únicas pessoas que tinham acesso aos elementos relativos à conta bancária da Autora, nomeadamente aos dados de acesso ao serviço de homebanking. O sócio-gerente da Autora, BB, utilizava o serviço de homebanking da Ré apenas para proceder à consulta do saldo bancário. A sócia gerente da Autora, AA, utilizava o serviço de homebanking da Ré para efectuar transferências bancárias e proceder ao pagamento de serviços e compras. AA utilizava o serviço de homebanking da Ré através do seu computador, via internet, onde acedia ao sítio da internet da Ré. Para realizar uma operação bancária, através do serviço de homebanking da Ré, no seu computador, AA seguia os seguintes passos: acedia ao sítio da internet da Ré; “clicava” no campo designado por “empresas”; inseria, depois, no teclado virtual da Ré, o “código de empresa”/número de contrato, que lhe foi fornecido pela Ré aquando da celebração do contrato de homebanking ; inseria, também no teclado virtual da Ré, o seu código “PIN”/“código de acesso”; inseria 3 (três) posições do cartão matriz (que também lhe foi fornecido pela Ré aquando da adesão ao serviço de homebanking ); e inseria um código que lhe era enviado pela Ré, via sms (“short message service”) - SMS Token , para o seu telemóvel, que estava associado à conta, para, assim, finalizar a operação . O computador utilizado por AA para aceder ao serviço de homebanking da Ré está protegido, nomeadamente, através de sistemas de antivírus e firewall . Também o computador utilizado por BB para aceder ao serviço de homebanking da Ré está protegido através de sistemas de antivírus e firewall . No dia 20 de Fevereiro de 2024, por volta das 14 h. e 30 min., AA, sócia gerente da Autora, recebeu uma chamada, no seu telemóvel. O número de telemóvel de AA está associado à conta bancária da Autora na Caixa Geral de Depósitos. Nessa chamada telefónica, a interlocutora, que tinha conhecimento do número de telemóvel da referida AA associado à conta da Caixa Geral de Depósitos, através do qual estabeleceu o contacto, falando num português fluente, cordial e profissional, identificou-se e referiu que estava a contactar a Autora do departamento de fraude da Caixa Geral de Depósitos. AA, sócia gerente da Autora, foi ainda informada pela interlocutora que os sistemas de alarme da Caixa Geral de Depósitos tinham sido accionados na sequência de um pedido de transferência no valor de 12 000,00 €, com origem na zona de Beja, a partir da conta bancária da Autora. A interlocutora identificou a sócia gerente da Autora através do seu nome completo: AA. Para confirmar que a situação se referia, efectivamente, à conta bancária da Autora, a referida interlocutora identificou ainda as seguintes informações: dados da conta bancária da Autora, nomeadamente o número da conta (...); códigos dos utilizadores associados à conta (da referida AA e do seu marido, BB); identificação completa dos sócios-gerentes da Autora, CC e AA; morada da Autora; número de identificação fiscal da Autora; e-mails associados à conta da Autora (i.e., o e-mail de AA e do seu marido, BB); identificação da gerente da agência da Caixa Geral de Depósitos do Estoril, DD; valor exacto do saldo da conta à data de 20 de Fevereiro de 2024; e (ix) identificação dos três últimos movimentos da conta. A interlocutora questionou ainda se tinha sido a sócia-gerente da Autora, AA, ou o outro sócio gerente da Autora, BB, a efectuar o pedido de transferência do valor de 12 000,00 €. A sócia-gerente da Autora respondeu que nem ela, nem o referido BB, tinham tentado fazer a transferência em causa. A sócia gerente da Autora foi então informada pela interlocutora de que estava a ser alvo de uma tentativa de fraude informática. Mais foi informada que para proceder ao cancelamento poderia optar por receber uma mensagem SMS ou um e-mail , tendo a Autora optado por receber através do e-mail . Ainda durante a chamada telefónica, a sócia-gerente da Autora recebeu um e-mail com um link que a remeteu para uma página da internet, que corresponderia à página oficial da Ré. Tal e-mail foi enviado do remetente ... . A página era semelhante à da Ré, com logótipo da Caixa Geral de Depósitos e o título “Cancelamento de transações”, tendo-a, a sócia-gerente da Autora, percepcionado como sendo a página oficial da Ré. No texto do mail constava um alerta que informava “caso não conclua o processo online, seu Nº de adesão, PIN e cartões de débito/crédito serão desactivados” . Seguindo as instruções da alegada funcionária da Ré, a sócia-gerente da Autora clicou no campo destinado ao cancelamento da transacção no valor de 12 000,00 €. Pelas 14 h. e 44 min., a sócia-gerente da Autora inseriu 3 coordenadas da Matriz. Seguindo as instruções da alegada funcionária da Ré, às 14 h. e 46 min. a sócia gerente da Autora inseriu um código de SMS enviado pela Caixa Geral de Depósitos, percepcionando que o mesmo se destinava ao cancelamento da transacção. O referido SMS foi enviado pela Ré, na mesma cadeia de SMS enviados anteriormente, pela Ré. Seguidamente, apareceu uma mensagem, na qual se referia o seguinte: “cancelamento efetuado com sucesso”. A sócia-gerente da Autora foi então informada pela sua interlocutora que, dentro de duas horas, por razões de segurança, os canais digitais associados à conta da Autora e respectivos cartões seriam cancelados, pelo se deveria dirigir com brevidade ao balcão da Caixa Geral de Depósitos da Autora, no Estoril. Após terminar a chamada, a sócia-gerente da Autora, AA, telefonou ao seu marido, BB, tendo-lhe dado conhecimento do teor do contacto telefónico da Caixa Geral de Depósitos que acabara de receber, no qual fora pela interlocutora informada que a Autora tinha sido alvo de uma tentativa de fraude informática. Logo no próprio dia 20/02/2024, cerca de uma hora após a transferência fraudulenta, a Autora, através do referido BB e AA, estabeleceu vários contactos com a Ré. BB tentou contactar, telefonicamente DD, gerente da agência da Caixa Geral de Depósitos do Estoril, mas esta não atendeu. Tentou ainda contactar EE, gerente de conta da Autora, mas esta também não atendeu a chamada telefónica. Não tendo conseguido entrar em contacto telefónico com DD e EE, funcionárias da Ré que eram as interlocutoras habituais da Autora na Caixa Geral de Depósitos, pelas 15 h. e 30 min., o referido BB enviou uma mensagem, via WhatsApp , para a gerente de conta da Autora, EE, referindo que estavam a ser alvo de um crime informático, conforme havia sido comunicado a AA na chamada telefónica que esta recebeu. EE respondeu a BB o seguinte: “ ligue para a cxdireta”. O sócio da Autora, BB enviou, depois, mensagem, via WhatsApp , para a gerente DD, na qual referiu que estava a sofrer um crime e que insistia em falar, questionando o que deveria fazer, não tendo obtido resposta. BB ligou então para a linha de apoio da Caixa Direta. Nessa chamada com a linha de apoio, BB tomou conhecimento de que a transferência no valor de 12 000,00 € fora concretizada para uma conta de destino domiciliada na Caixa Geral de Depósitos. A transferência referida em 43) fora concretizada às 14 h. e 47 min. e 29. BB foi ainda informado que a chamada que AA recebera, tinha sido, afinal, uma chamada fraudulenta. Os sócios-gerentes da Autora, BB e AA, ficaram extremamente confusos e perturbados com a referida informação. Na chamada telefónica que a sócia-gerente da Autora recebeu no dia 20/02/2024, esta não facultou à sua interlocutora quaisquer elementos relativos à conta bancária da Autora, nomeadamente os dados de acesso ao serviço de homebanking da Ré: número de contrato e o código PIN. Nesse mesmo dia 20/02/2024, às 17 h. e 54 min., BB enviou um e-mail para a gerente de conta da Autora, EE, com conhecimento para a gerente da agência da Caixa Geral de Depósitos do Estoril, DD, e para AA, no qual referiu, nomeadamente o seguinte: “Eu e a AA fomos vítimas de criminosos cibernéticos, poderíamos ter impedido a transferência quando tentei por telemóvel e via WhatsApp te contactar e a DD também. Enfim, sacaram 12 mil euros da conta da Cifra Versátil, já fomos a PSP, espero que a CGD tenha uma atitude exemplar e que fique do nosso lado nessa situação bizarra que deixa clara a falta de segurança do banco para cuidar do património dos clientes.” . A Ré Caixa Geral de Depósitos registou no dia 21/02/2024, através de AA, repúdio do movimento bancário ocorrido na conta da Autora a 20/02/2024. A transferência bancária no valor de 12 000,00 € não foi ordenada, autorizada e/ou consentida pela Autora, nomeadamente através de AA ou de BB, que eram as únicas pessoas autorizadas a movimentar a conta da Autora, e, também, os únicos detentores dos dados de acesso ao serviço de homebanking da Ré. A Autora foi alvo de uma intrusão no seu computador em data não concretamente apurada, mas anterior a 20/02/2024. Foi efectuada uma transferência bancária fraudulenta, no dia 20 de Fevereiro de 2024, da conta bancária da Autora para uma conta de terceiros, no montante de 12 000,00 € (doze mil euros). A operação foi registada através do IP habitualmente utilizado pela Autora. A operação descrita em 43) foi autenticada, registada e contabilizada sem registo de afectação de avaria técnica ou qualquer deficiência do serviço da Ré. A Autora apresentou no dia 21/02/2024 no DIAP - 3.ª Secção de Cascais uma queixa-crime relativamente à situação que levou à transferência referida em 43), que deu origem ao inquérito n.º 175/24.3PECSC. A transferência referida em 43) deixou de ser passível de recuperação a partir do momento em que foi imputado (”em autorização” ou “cativo”), uma vez que, nesse momento, já foi pago ao destinatário da transferência não podendo a mesma ser revertida. A quantia transferida foi de imediato mobilizada pelos titulares da conta destinatária, mediante transferências para outras instituições de crédito, pagamentos com cartão e levantamentos, não tendo sido possível à Ré contactar os respectivos titulares para autorizarem a referida reversão das operações. A Ré Caixa tem activos alertas no momento do acesso ao próprio serviço, alertando os seus clientes de que não devem facultar dados pessoais, porque a Caixa nunca os solicita telefonicamente nem por via do referido serviço. A Caixa Geral de Depósitos, designadamente em 10.07.2022, publicou no seu site institucional acessível ao público, mais concretamente na área relativa à segurança, anúncios que alertavam para fraudes. A Ré Caixa vai actualizando os alertas, consoante as fraudes que podem ser tentadas por terceiros, de modo a que os Clientes se possam precaver e impedir que sejam alvo das mesmas. Desde o dia 20/02/2024 e até à presente data, a Autora, através dos seus sócios-gerentes, AA e BB, reclamou, várias vezes, junto da Ré, quer verbalmente, quer por escrito, designadamente através dos seus advogados, para que esta lhe restituísse o valor que foi transferido, sem o seu conhecimento e/ou autorização, da sua conta bancária para a conta de terceiros. Nesse sentido, no dia 4 de Março de 2024, BB enviou um e-mail para a gerente da agência da Caixa Geral de Depósitos do Estoril, DD, com conhecimento para a gerente de conta da Autora, EE, e para a sua mulher, AA, no qual referiu, nomeadamente o seguinte: “Olá DD, bom dia! Por favor, já iniciamos o mês de março, em breve volto a emitir faturas e tenho contas a pagar na empresa em questão, por isso eu preciso saber qual é a resposta da CGD sobre os factos ocorridos no último dia 20/02/2024 para tomar providências. (…)”. Até à presente data, a Ré recusou-se a restituir os valores retirados da conta da Autora, declinando qualquer tipo de responsabilidade. A situação descrita levou a que os sócios-gerentes da Autora tivessem de recorrer a valores das suas poupanças pessoais para fazer face às despesas mensais da Autora, uma vez que esta ficou desprovida de meios para satisfazer os seus compromissos, nomeadamente perante os seus fornecedores. Após a recusa da Ré em restituir à Autora o valor que se encontrava depositado na sua conta bancária, os sócios-gerentes da Autora tomaram conhecimento de outras situações de fraude informática, através do serviço de homebanking da Ré, ocorridos no mesmo período. As duas chamadas telefónicas juntas pela Autora em requerimento de 28/03/2025 não foram realizadas no dia 20/02/2024. Da audição das duas chamadas telefónicas juntas pela Autora em requerimento de 28/03/2025 é possível constatar que não foi pedida autorização para a gravação das chamadas. O Tribunal a quo considerou não provados os seguintes factos: A conta de Depósitos à Ordem, com o número ..., foi aberta em 9 de Agosto de 2022. Era sempre através do endereço https://www.cgd.pt/ que a Ré acedia ao sítio da internet da Ré. AA referiu à Ré que relativamente a acessos ao contrato “costuma fazer através de motor de pesquisa e que na semana passada recorda-se de ter feito um acesso em que o site da Caixa parecia diferente”. Quando a Ré detectou e comunicou a transferência fraudulenta a BB e AA, logo no próprio dia 20/02/2024, podia ter agido imediatamente, nomeadamente através do bloqueio da movimentação do valor em causa. A Autora, nomeadamente através de AA e BB, facultou a terceiros o seu número de contrato da Caixa Geral de Depósitos. A Autora facultou a terceiros os códigos de acesso à sua conta bancária, PIN, ou as coordenadas do seu cartão matriz. A Autora, nomeadamente através de AA e BB, perdeu os seus dados de acesso ao serviço de homebanking da Ré (credenciais de autenticação), ou os mesmos foram extraviados, ou foram furtados e/ou roubados. Na situação ocorrida no dia 20/02/2024, a sócia-gerente da Autora facultou à sua interlocutora elementos relativos à conta bancária da Autora e os dados de acesso ao serviço de homebanking da Ré, nomeadamente o número de contrato, o número de adesão, código PIN e coordenadas do cartão matriz da Autora. Era do conhecimento de AA que a Ré não tem caixas de e-mail no domínio gmail . Por inúmeras vezes AA trocou e-mails com a Ré Caixa Geral de Depósitos, através da sua gestora de conta ou da gerente da Agência. A Autora foi ressarcida da quantia referida em 43). Em Fevereiro de 2024 a Ré Caixa Geral de Depósitos tinha em vigor um alerta de segurança, no sistema de caixa pop-up que abre sempre que o cliente acede ao sistema e-banking , alertando os clientes que devem sempre conferir com rigor os dados da transferência, designadamente o valor, número de conta, número de entidade e referência, mais esclarecendo que estes dados são remetidos via SMS Token. A Ré sabia que as duas chamadas telefónicas juntas pela Autora em requerimento de 28.03.2025 não “estão truncadas” e contêm a totalidade do que foi transmitido nessas chamadas telefónicas. A Ré tem obrigação de saber que as chamadas telefónicas referidas em n) foram realizadas no dia 18.02.2025. g. 3.2. – APRECIAÇÃO DO MÉRITO DO RECURSO Da responsabilidade da ré por transferência não autorizada A autora demandou a Caixa Geral de Depósitos visando obter desta a restituição do valor de 12 000,00 € que foi transferido da conta bancária que mantém junto desta instituição alegando ter sido vítima de uma fraude, por ter sido contactada telefonicamente por alguém que se apresentou como sendo funcionária da Caixa, revelando ter conhecimento de todos os elementos de identificação dos titulares, valores e movimentos efectuados nos últimos dias e alertando para o facto de alegadamente estar em curso uma transferência de 12 000,00 € para conta de terceiro, que a autora não autorizou e que, seguindo informações daquela pessoa, tentou cancelar, vindo, posteriormente, a tomar conhecimento de que a transferência fora efectivamente realizada, insistindo com a ré para lhe restituísse tal valor, por não ter autorizado tal movimento. Na sua contestação, a ré sustentou que foi autora quem deu autorização para a operação ser efectuada, tendo agido grosseiramente ao aceitar que a chamada telefónica, de um número desconhecido, tinha origem na ré Caixa, sem o confirmar, como poderia ter feito; que a ré alerta activamente os clientes nunca facultarem dados pessoais; que a autora não se questionou quando recebeu o e-mail , sabendo que a ré não tem caixas de mail no domínio gmail e clicou no link , sendo direccionada para uma página falsificada, onde introduziu os dados indispensáveis para a autenticação da operação, actuando com negligência grosseira. A decisão sobre a matéria de facto não foi objecto de impugnação, sendo de manter-se inalterada. Com base nos factos provados acima descritos e considerando aplicável o RJSPME, a decisão recorrida, julgando procedente a pretensão deduzida pela autora, apreciou a questão nos seguintes termos: “Decorre da factualidade provada que entre a Autora e a Ré foi celebrado um contrato de abertura de conta. […] Por outro lado, tendo resultado provado que a Autora entregou à Ré quantias monetárias para que as guardasse e restituísse quando fossem exigidas, é manifesto que entre as partes foi, ainda, celebrado um contrato de depósito bancário, tipicamente irregular (por ter por objeto coisas fungíveis), pelo que, com a entrega das quantias monetárias ao depositário ocorreu a transferência do direito de propriedade sobre mesmas para aquele ( art. 1144.º , do Código Civil ), que, por sua vez, ficou obrigado a restituir aos depositantes outro tanto do mesmo género ( art. 1142.º do Código Civil ), correndo contra o mesmo o risco de perecimento das referidas quantias (art. 796.º, n.º 1, do mesmo compêndio). Ficou provado que, em 09/08/2022, a Autora aderiu ao serviço de homebanking da Ré que se designa por CaixaDirecta, passando a ter acesso aos serviços do Banco, através da Internet. Resulta do exposto que as partes celebraram um contrato legalmente atípico, mas socialmente denominado por homebanking e que consiste na disponibilização, pela entidade bancária e mediante a aceitação de determinados condicionalismos, de serviço online, que permite ao cliente efetuar operações financeiras sobre as suas contas, através de uma página de internet segura do Banco, sem ter que se deslocar aos espaços físicos de agências e sucursais - vide Fernando Baptista Oliveira, em “Contratos Privados” , Vol. II, pág. 41. Por via do contrato de homebanking, a Ré disponibilizou à Autora a possibilidade de o utilizador lhe dar ordens e exigir a sua execução por via da plataforma eletrónica, pelo que, no caso concreto, o serviço de homebanking podia, como foi, ser utilizado como serviço de transferência bancária. Como tal, atento o disposto no artigo 159.º do Diploma, à situação sub judice deve ter-se por aplicável o regime do DL n.º 91/2018 , de 12 de novembro (Regime Jurídico dos Serviços de Pagamento e da Moeda Eletrónica). Apurou-se que, para a utilização dos serviços de homebanking , a Ré forneceu à Autora um código de acesso, um cartão Matriz e um código que lhe era enviado pela Ré, via sms, denominado SMS Token , por forma a identificar o cliente e autenticar as operações financeiras, sendo certo que os dois últimos elementos são encriptados, tornando quase impossível a sua obtenção por terceiros. Porém, resultou provado que, no dia 20/02/2024 o acesso à conta bancária da Autora foi realizado por terceiros, cuja identidade não foi apurada, os quais, sem o consentimento da Autora e através do sistema informático e da utilização de dados pertencentes apenas à Autora lograram retirar da conta desta a quantia de €12.000,00 (doze mil euros). Mais concretamente, apurou-se que a conduta dos terceiros não identificados desenrolou-se em dois momentos distintos: um primeiro momento, em relação ao qual nada se apurou (tempo, lugar, modo de ocorrência e extensão dos dados obtidos, sabendo-se, apenas, que terá ocorrido em momento prévio ao dia 20/02/2024, pelas 14:30h, tendo permitido a obtenção, por desconhecidos, dos dados da conta bancária da Autora, nomeadamente o número da conta; códigos de utilizador associado à conta; identificação completa dos sócios gerente da Autora, CC e AA; morada da Autora; número de identificação fiscal da Autora; e-mails associados à conta da Autora (i.e., o e-mail de AA e do seu marido, BB); identificação da gerente da agência da CGD do Estoril, DD; valor exato do saldo da conta à data de 20/02/2024 e identificação dos três últimos movimentos da conta por aquela titulada. um segundo momento, ocorrido no dia 20/02/2024, com início cerca das 14:30h, em que, após aceder ilegitimamente, por via online, à conta da Autora, terceiro(s) não identificado(s) telefonaram para AA, sócia gerente da Autora, apresentando-se como funcionária do departamento de fraude da Ré, comunicando-lhe a ocorrência de um pedido suspeito de transferência de €12.000,00, com origem na zona de Beja, a partir da conta bancária da Autora, questionando-a se tinha sido a sócia gerente da Autora, AA, ou o outro sócio gerente da Autora, BB, a efetuar o pedido de transferência desse valor e, ganhando a confiança daquela, através da comunicação de dados pessoais sensíveis e confidenciais que só o Banco podia ter, convenceu-a que poderia cancelar a suposta operação fraudulenta. E foi nesta convicção que a Autora seguiu os passos indicados: abriu o e-mail que recebeu (sem que tivesse indicado o seu endereço eletrónico no decurso da chamada), aí selecionou a opção « cancelamento de transações », tendo sido redirecionada para uma página de internet idêntica à da Ré, onde introduziu 3 coordenadas da Matriz e inseriu o código SMS Token que lhe foi remetido para o seu número de Telemóvel, na mesma cadeia de SMS enviados anteriormente pela Ré, para, alegadamente, autorizar o cancelamento da operação. Assim, ao longo do processo realizado no dia 20/02/2024, o(s) terceiro(s) não identificado: ou foi capturando os dados introduzidos por AA, sócia gerente da Autora, na página espelho, e foi introduzindo tais dados por via online na conta da Autora, dando ordem para realização de uma transferência bancária, sem conhecimento e consentimento da Autora; ou sem necessidade de captura e introdução de dados, mediante software que o(s) hacker(s) dispunha(m), os códigos introduzidos por AA na convicção de que se encontrava a dar uma ordem de cancelamento, executavam automaticamente a operação de transferência de €12.000,00. Afigura-se-nos, pois, inequívoco, que a ordem de transferência do dia 20/02/2024 não proveio da vontade consciente e esclarecida da Autora. Estamos, portanto, perante operações não autorizadas, pois o consentimento para a sua realização não foi prestado pela Autora. Ora, negando a Autora ter autorizado a transferência objeto dos autos, resulta do citado artigo 113.º do RJSPME que cabe à Ré a prova de que a operação de pagamento foi autenticada, devidamente registada e contabilizada e que não foi afetada por avaria técnica ou qualquer outra deficiência do serviço prestado pelo prestador de serviços de pagamento, devendo, ainda, apresentar elementos que demonstrem a existência de fraude, de dolo ou de negligência grosseira da parte do utilizador de serviços de pagamento. Face ao circunstancialismo do caso concreto, resulta assente que a Autora, na pessoa da sua sócia gerente AA, foi ludibriada por um terceiro, sem conluio da própria. De resto, a Ré também não colocou em causa a boa-fé da Autora. Alega, no entanto, que as ordens de transferência foram efetuadas nos termos contratualmente previstos, i.e, com introdução de 3 coordenadas do cartão Matriz e bem assim o código de uma mensagem SMS Token que foi remetida, por violação, negligente e grosseira, dos deveres de confidencialidade por parte da Autora, que facultou os seus elementos de autenticação a terceiros. Vejamos se lhe assiste razão. Nos últimos anos vulgarizaram-se novas e variadas modalidades de atuações ilícitas em que terceiros tentam fazer-se passar por prestadores de serviços de pagamento, num fenómeno designado por phishing (do inglês fishing «pesca»), e que aparece sob diversos formatos (blind phishing, clone phishing, smishing, vishing, spear phishing, whaling ), a par de outro, designado por pharming , todas elas redundando no acesso fraudulento, através de meios enganosos e sem o conhecimento ou autorização do respetivo titular, aos elementos identificativos e de autenticação de um utilizador de um sistema de pagamento eletrónico, por forma a permitir a utilização desse sistema pelo agente. Ao passo que no phishing o lesado recebe um e-mail (ou outra mensagem digital, v.g. via SMS, MMS ou WhatsApp) com um link e, ao clicar neste, é direcionado para um site falso, no pharming o utilizador digita o endereço certo, ou escolhe o site certo, mas é redirecionado para o falso porque o seu cache de DNS foi previamente viciado por um vírus ou porque (caso muito raro) o próprio servidor de DNS foi atacado. Seja como for, todos estes tipos de fraude ou burla carecem da prévia criação de uma cópia realista de um sítio da Internet para terem credibilidade e eficácia. Nesta sede, impõe-se relembrar que a internet é uma inovação recente, sendo que a rápida evolução no recurso aos meios tecnológicos não foi acompanhada por idêntica evolução ao nível da literacia digital, sendo inegável que é sobre as entidades bancárias (enquanto partes interessadas no regular funcionamento dos serviços financeiros digitais), que impende o dever de reforçar os conhecimentos e competências financeiras digitais dos consumidores, devendo sensibilizar os seus clientes para os riscos de segurança digital e para a promoção de transações online e digitais seguras. Como tal, na apreciação do comportamento do consumidor importa considerar, igualmente, a medida do cumprimento dos deveres de informação por parte do prestador do serviço de pagamento, quanto às medidas de segurança que devem ser adotadas para preservar a segurança do seu instrumento de pagamento. Por regra, como sucedeu no caso concreto, os agentes das operações de phishing e pharming recorrem a métodos de engenharia social que exploram emoções humanas como o medo, a urgência e a confiança na autoridade, sendo esta atualmente uma ameaça real que pode afetar qualquer pessoa. Assim, na apreciação da negligência grosseira, é entendimento deste Tribunal que importa atender ao comportamento do homem médio, quando colocado, simultaneamente, perante um isco camuflado por engenharia social e perante o concreto cumprimento dos deveres de informação por parte do prestador do serviço de pagamento. Regressando ao caso concreto, apurou-se que AA, sócia gerente da Autora, após ser convencida de que estava a ser contactada pelo departamento de fraude da Ré, acedeu a um link que lhe foi enviado por e-mail, tendo por remetente o endereço ... » , e aí foi encaminhada para um site contrafeito por terceiros com o intuito de capturar as suas credenciais de verificação e validação, o que efetivamente ocorreu. Perante a factualidade descrita, é inegável que a atuação retratada reconduz-se a uma situação de phishing , sendo que, no momento em que agiu, a Autora não representou como possível não ter entrado no site (verdadeiro) do Banco, atenta a semelhança gráfica entre a página falsa e a verdadeira, tendo introduzido os seus dados movida pelo propósito de, com urgência, cancelar uma operação iminente e fraudulenta e com total desconhecimento de que os seus elementos pessoais estavam a ser transmitidos a terceiros ou a validar uma operação contrária à que pretendia executar. Face ao contexto de stress e urgência que naturalmente rodeou a chamada que despoletou a conduta de AA, sócia gerente da Autora, aliado à falta de conhecimento por esta, naquele momento, da anterior obtenção por terceiros das credenciais de acesso à sua conta, não se pode afirmar que a Autora atuou sem o mínimo de diligência, porquanto a sua interlocutora manifestou ter conhecimento de elementos pessoais seus e do seu marido, sócios gerentes da Autora, e da Autora pessoa coletiva, e dos movimentos da sua conta bancária, informação que, em condições normais, só estaria disponível no Banco. Toda esta construção levaria qualquer homem médio colocado na posição de AA a acreditar que estava a ser contactada pelo seu Banco e que precisava de atuar do modo descrito para evitar a concretização da transferência iminente. Não descuramos que resultou provado que a Autora acedeu ao que acreditava ser o site do Banco através de um link (oculto) que recebeu no e-mail e que não atentou ao endereço eletrónico do remetente, sendo certo que não resultou alegado, nem provado, se leu o teor da mensagem que, no decurso da chamada, recebeu do sistema SMS Token, e o teor desta. De igual modo, não olvidamos que, caso tivesse atentado ao conteúdo do email teria constatado que o endereço de email do remetente do link de acesso à página falsa do Banco não tem o domínio da Ré (@cgd.pt), mas na verdade não pode deixar de se considerar que a indicação “cgd.empresas” no endereço constitui uma artimanha do burlão. E nesta sede importa notar que, quanto ao cumprimento dos deveres de informação por parte da Ré, tudo o que se apurou é que a Ré Caixa Geral de Depósitos, designadamente em 10/07/2022, publicou no seu site institucional acessível ao público, mais concretamente na área relativa à segurança, anúncios que alertavam para fraudes. A Ré não logrou provar, como se lhes impunha ( artigo 342.º , n.º 2, do Código Civil ), qualquer outra comunicação ao cliente, seja pessoalmente aquando da disponibilização/contratação do serviço de homebanking , quer sob a forma de SMS, email ou mensagem privada. E note-se que os alertas automáticos que surgem quando o utilizador pretende aceder ao serviço de homebanking se revela pouco eficaz, considerando que, muitas vezes, o acesso ao serviço de homebanking é efetuado em circunstâncias de necessidade e urgência na realização de operações financeiras corriqueiras do quotidiano e que não se compaginam com a análise do teor de uma janela de pop-up , com a qual o utilizador é confrontado, de forma inusitada, quando tem outra missão em vista, e para cuja concretização se lhe impõe que feche a janela pop-up, destruindo o intuito informativo pretendido, atentas as pobres condições de atenção do utilizador a tal informação, não por desleixo, mas por inoportunidade. Portanto, da factualidade apurada não resulta que a Ré tenha transmitido à Autora informação suficiente quanto às medidas de segurança que deveriam ser utilizadas para obstar a que os seus dados pudessem ser obtidos, de forma insidiosa, por terceiros. Neste contexto, cremos não ser decisivo, na apreciação da negligência como grosseira, a simples introdução de alguns elementos de segurança no site do Banco, nem a circunstância de o cliente ter acedido ao site através de um link. Na verdade, o fornecimento dos dados só pode adquirir censurabilidade que isenta a regra da responsabilidade do Banco nos casos em que, pelo modo e voluntariedade em que ocorreu, coloque o cliente/utilizador do instrumento de pagamento num registo flagrante de gravidade e reprovação, por deliberada e avulsa desconsideração dos deveres a que estava obrigado. Ademais, se é certo que Autora podia e devia ter lido os alertas de fraude, a verdade é que a surpresa e emergência da situação e a construção que foi feita para a ludibriar, poderia levar qualquer pessoa medianamente sagaz e cuidadosa a ser induzida em erro e a ser levada a ter exatamente o mesmo comportamento, quando colocada numa situação de necessidade em agir rapidamente para obstar à verificação de um prejuízo patrimonial. Veja-se que é da própria natureza das coisas que quem usa as credenciais de segurança na convicção de que o está a fazer para cancelar uma operação, não o faz por descuido ou falta de cautela, muito menos quando age desconhecendo que está a ser, insidiosamente, «espiado» à distância e que os seus dados estão a ser capturados. Note-se ainda que os elementos introduzidos pela Autora na página falsa para a qual foi encaminhada (elementos do cartão Matriz e código remetido via SMS Token ) não eram suficientes para, por si só, permitir o acesso ao serviço homebanking e à autenticação de operações, pois, como resulta dos factos provados, a Ré possui vários códigos de segurança nos seus canais digitais e, em caso algum, o acesso ao serviço e posterior autenticação de operação carece, unicamente, dos dados fornecidos, inconscientemente, por AA, sócia gerente da Autora. É, assim, entendimento deste Tribunal que a conduta de AA, sócia gerente da Autora, ao aceder a um link que a redirecionou para uma página idêntica à do Banco e ao introduzir, nessa página, as suas credenciais de autenticação de operação, convicta que estava a cancelar uma transferência fraudulenta e não a efetuá-la, não pode ser qualificada como negligência grosseira. Práticas fraudulentas como as descritas nestes autos, ocorrem porque, no atual contexto de literacia financeira digital, o seu grau de credibilidade e sofisticação atinge um grande número de pessoas minimamente avisadas e diligentes, e não apenas as extremamente descuidadas ou incautas, que revelam uma total e gritante falta de atenção perante circunstâncias em que seria evidente em termos de senso comum um outro comportamento. […] Assim e em síntese: não tendo a Ré logrado provar factualidade que permita imputar à Autora um comportamento grosseiramente negligente ou qualquer outra situação excecional prevista nos artigos 113.º, n.º 4, 115.º, n.º 3, 4 e 5 do RJSPME, a responsabilidade pela movimentação fraudulenta da conta bancária da Autora, no dia 20/02/2024, no valor de €12.000,00, recai sobre a Ré.” A decisão recorrida efectuou um correcto enquadramento jurídico da factualidade apurada, com uma análise atenta, ponderada e cuidada do regime legal aplicável e dos factos provados, no confronto com os pressupostos da responsabilidade imputável a cada uma das partes e com apelo à jurisprudência mais relevante dos tribunais superiores, concluindo, em síntese: Que, de modo não apurado, um terceiro teve acesso aos dados da conta bancária da autora e, num segundo momento, alguém, não identificado, alertou aqueça para uma possível fraude de transferência do valor de 12 000,00 €, levando-a a introduzir as coordenadas do cartão matriz e o SMS Token que lhe enviou para o telemóvel, acabando por ser autorizada a transferência ao invés do cancelamento pretendido pela autora; A transferência desse valor não decorreu da vontade consciente e esclarecida da autora, tratando-se de uma operação não autorizada por ela; Incumbia à ré a prova de existência de fraude ou de dolo ou negligência grosseira por parte do utilizador de serviços de pagamento; Na apreciação da negligência grosseira há que atender ao comportamento do homem médio, colocado perante um risco camuflado e o cumprimento concreto dos deveres de informação por parte do prestador do serviço de pagamento; v. Num contexto de stress e urgência, revelando o terceiro conhecimento de elementos pessoais dos sócios-gerentes da autora e movimentos bancários, que só o banco poderia conhecer, qualquer homem médio colocado na posição de AA acreditaria estar a ser contacto pelo seu banco e que necessitava de actuar conforme indicado para evitar a transferência iminente; vi. O mero fornecimento de dados, no contexto em que tal sucedeu, não é bastante para afastar a responsabilidade do banco. Não se descortinam razões para dissentir da interpretação efectuada pelo Tribunal recorrido, que se mostra correcta e adequada em função da factualidade apurada e à luz das normas jurídicas aplicáveis, sendo pacífica a convocação do RJSPME acima mencionado e, em concreto, os normativos legais transcritos na decisão recorrida. Todavia, sempre se aduzirá o seguinte. A ré/apelante não colocou em crise o regime jurídico convocado para solucionar o presente litígio. O RJSPME, aprovado pelo DL 91/2018 , de 12 de Novembro, que transpôs para a ordem jurídica interna a Directiva (UE) 2015/2366 do Parlamento Europeu e do Conselho, de 25 de Novembro de 2015, relativa aos serviços de pagamento no mercado interno (segunda Directiva de Serviços de Pagamento), que procedeu a uma revisão do enquadramento jurídico europeu em matéria de serviços de pagamento, visando a sua harmonização e obstar aos riscos potenciais para a segurança da cadeia de pagamentos e falta de protecção dos consumidores em determinados domínios, abrange todos os tipos de serviços de pagamentos electrónicos – cf. art.º 4º do RJSPME; veja-se também o Considerando (22) da Directiva (de notar que o legislador europeu erigiu a promoção do bom funcionamento dos sistemas de pagamentos num dos objectivos cruciais do Sistema Europeu dos Bancos Centrais – cf. art.º 127º, 2 do Tratado sobre o Funcionamento da União Europeia (ex-art.º 105/2 do Tratado da Comunidade Europeia)). Com o RJSPME pretendeu-se acompanhar a evolução tecnológica verificada no mercado de pagamentos e os novos tipos de serviços de pagamento, reforçando, em particular, substancialmente, os deveres de segurança dos prestadores de serviços de pagamento – cf. Miguel Pestana de Vasconcelos, A responsabilidade do banco por operações de pagamento não autorizadas no online banking, decorrente do novo regime de pagamentos (RSP II) , pág. 195. O diploma aplica-se aos serviços de pagamento, tal como definidos nos respectivos art.ºs 4º e 5º, entre eles, como é o caso, a transferência de fundos depositados numa conta de pagamento aberta junto do prestador de serviços de pagamento do utilizador – cf. art.º 4º, c) do RJSPME. A decisão recorrida abordou correctamente o modelo de responsabilidade delineado pelo Regime em apreço, com identificação dos deveres que recaem sobre o utilizador de um instrumento de pagamento e as obrigações que impendem sobre os prestadores de serviços de pagamento, conforme emerge do trecho supra transcrito, para onde se remete, tanto mais que não vem colocada em crise a apreciação jurídica ali efectuada. A discordância da apelante diz respeito à conclusão a que a 1ª instância chegou de não estar demonstrada uma actuação por banda da autora com negligência grosseira, pugnando a recorrente pela sua verificação positiva, assim pretendendo afastar a responsabilidade pela restituição do valor transferido a partir da conta da autora. Fá-lo com a seguinte ordem de fundamentos: Dos pontos 25) a 31) resulta provado que a operação de pagamento derivou da introdução de credenciais e códigos através da inserção de três coordenadas do cartão matriz e de um código SMS que foi recebido no telemóvel da sócia-gerente, via SMS Token , levando a que o sistema do banco tivesse por reunidos os requisitos de movimentação, cumprindo a instrução de pagamento; Compete ao utilizador tomar as devidas cautelas para que terceiros não acedam aos meios através dos quais usam o serviço de homebanking (computador e telemóvel), havendo que aferir a conduta do ordenante (culpa), na falta de outro critério, pela diligência de um bom pai de família ( art.º 487º , n.º 2 do Código Civil ); A recorrida foi enganada e ainda que não estivesse consciente do que estava a fazer, autorizou o movimento, com as suas credenciais, que utilizou a pedido de terceiros, pelo que as ordens foram autorizadas; a operação foi autenticada, registada e contabilizada; A autora usou as credenciais de forma incauta, despropositada e contraditória com a lógica do sistema de segurança para que servem; Dos factos 58) a 60) resulta que a ré divulga alertas e tentativas de fraude, designadamente, para que os clientes não facultem dados pessoais. A questão que releva apreciar é, pois, a de saber se os factos apurados permitem afirmar que a autora actuou com negligência grosseira e, por essa razão, a instituição bancária não deve proceder à restituição dos valores transferidos, por existir responsabilidade do ordenante – entendido este como “uma pessoa singular ou coletiva que é titular de uma conta de pagamento e que autoriza uma ordem de pagamento a partir dessa conta” (cf. art.º 2º, mm) do RJSPME) -, atento o disposto no art.º 115º, n.º 4 do RJSPME. Em rigor, confrontada com a argumentação aduzida na decisão recorrida, a apelante veio esgrimir os mesmos argumentos convocados já em sede de contestação, abstendo-se de contrariar as razões pelas quais, em face de todo o circunstancialismo descrito, a senhora juíza a quo considerou que qualquer cidadão médio, colocado na posição em que se encontrou a sócia-gerente da autora, teria agido ou podia ter agido do mesmo modo, não tendo usado de falta de diligência manifesta. A responsabilidade prevista nos art.ºs 114º e 115º do RJSPME, sendo um regime de responsabilidade civil, não assenta no princípio da culpa (do lesante), mas numa ideia de risco, ou seja, quem cria ou mantém um risco em proveito próprio – como é o caso da instituição bancária – deve suportar as consequências prejudiciais dele advenientes, por ser o principal beneficiário. Com a previsão da responsabilidade pelo risco pretendeu-se também incentivar o aperfeiçoamento e a adopção de medidas eficazes na prevenção do risco de ocorrência de situações danosas emergentes do funcionamento do sistema (no caso, electrónico) de pagamentos e de utilizações abusivas/fraudulentas de instrumentos de pagamento. Foi correctamente mencionado na decisão que, tal como decorre expressamente do disposto no art.º 113º, n.º 3 do RJSPME, a utilização do instrumento de pagamento registada pelo prestador de serviços de pagamento não é necessariamente suficiente, por si só, para provar que a operação de pagamento foi autorizada pelo ordenante, que este último agiu de forma fraudulenta, ou que não cumpriu, com dolo ou negligência grosseira, uma ou mais obrigações previstas no artigo 110.º do referido diploma legal. Como refere Patrícia Guerra, in A realização de operações de pagamento não autorizadas e a tutela do utilizador de serviços de pagamento em face do Regime Jurídico dos Serviços de Pagamento e da Moeda Eletrónica , pp. 25-26: “Em face do caráter diabólico que assumiria a demonstração por parte do utilizador de serviços de pagamento de um facto negativo – a não prestação de consentimento em dada operação de pagamento – a lei inverte o ónus da prova, em caso de operação de pagamento não autorizada. Esta inversão é ainda justificada pelo facto de os prestadores de serviços de pagamento estarem vinculados a observar um grau de competência técnica acrescido, que se reflete na utilização de sistemas informáticos sofisticados e robustos e de técnicas de registo detalhadas, que lhes permitem obter elementos sobre a operação de pagamento reclamada. […] ainda que a utilização da expressão “não necessariamente suficiente” introduza alguma margem de apreciação relativamente à prova fornecida por parte do prestador de serviços de pagamento, podendo, num caso concreto, considerar-se que o registo da utilização de um instrumento de pagamento é, por si só, “suficiente” para afastar o caráter não autorizado de uma operação de pagamento, não pode deixar de sublinhar-se que, em face das técnicas de registo e de contabilização atualmente disponíveis aos prestadores de serviços de pagamento, poderá ser extremamente difícil provar a autenticação de operações de pagamento alegadamente não autorizadas.” E mais à frente esclarece ainda, op. cit ., pp. 31-33: “[…] uma operação de pagamento é não autorizada quando o utilizador de serviços de pagamento não consente na sua realização, motivo pelo qual tanto é operação de pagamento não autorizada aquela que é efetuada, por iniciativa própria do prestador e sem autorização do utilizador, como aquela que é ordenada por um terceiro, em virtude de perda, de roubo ou de apropriação abusiva de instrumento de pagamento (um hacker, por exemplo)”. Não resultando provado que existiu actuação fraudulenta pelo lesado, ou que este não cumpriu as obrigações que lhe cabiam, deliberadamente ou com negligência grave, inexiste causa para presumir que a operação, ainda que validada, tenha sido autorizada – cf. neste sentido, ainda que a propósito do Regime Jurídico dos Serviços de Pagamento aprovado pelo DL 91/2018 , de 12 de Novembro, mas cujo art.º 113º, n.º 3 é similar ao mencionado art.º 70º, n.º 2 do RJSPME, Miguel Pestana Vasconcelos, A Responsabilidade do banco por operações de pagamento não autorizadas no Online Banking, decorrente do Novo regime de Serviços de Pagamento (RSP II) , in Revista Julgar, 42 Setembro-Dezembro 2020, pág. 205 – “[…] a simples utilização do instrumento de pagamento registada pelo prestador de serviços (incluindo o prestador do serviço de iniciação do pagamento, quando for o caso), não é necessariamente suficiente, por si só, para provar que a operação de pagamento foi autorizada pelo ordenante, que este último agiu de forma fraudulenta ou que não cumpriu, com dolo ou negligência grosseira, uma ou mais obrigações previstas no art. 110º (art.. 113º, n.º 2 RSP)”; cf. ainda acórdãos do Tribunal da Relação de Lisboa de 8-03-2018, 5525/16.3T8VNG.L1-6 e de 17-06-2014, 2131/11.2TJLSB.L1-1 . Parece, assim, claro que a simples prova de que a operação foi autenticada, registada e contabilizada sem registo de afectação de avaria técnica ou qualquer deficiência do serviço da ré – cf. ponto 54) dos factos provados – não é bastante para concluir que o utilizador autorizou a operação. Assim como o facto de a transferência não autorizada ter sido realizada via homebanking , com recurso às credenciais de acesso não permite concluir, por si só, que houve quebra da confidencialidade imputável ao utilizador - cf. art.º 110º, n.º 2 do RJSPME. Face ao circunstancialismo do caso concreto, seguro é que a autora, através da sua sócia-gerente, foi ludibriada por um terceiro, sem conluio da própria, não tendo a ré colocado em causa a boa-fé daquela. Sustenta, porém, a apelante que a ordem de transferência foi efectuada nos termos contratualmente previstos, ou seja, com introdução de códigos de autenticação forte, por violação, negligente e grosseira, dos deveres de confidencialidade por parte da autora, que facultou os seus elementos identificativos e de autenticação a terceiros. O conceito de negligência grosseira terá de ser densificado dentro dos parâmetros correctamente identificados na decisão recorrida, com apoio na jurisprudência, designadamente, aquela que foi ali convocada. Em anotação ao art.º 487º , n.º 2 do Código Civil , Henrique Sousa Antunes escreve: “Uma classificação de origem romana distingue as situações de desleixo ou imprudência (negligência) entre culpa grave ou lata , leve e levíssima . […] A falta de diligência do bom pai de família constitui a culpa leve. A inobservância do cuidado que apenas uma pessoa com diligência acima da média revelaria constitui uma culpa levíssima. É culpa grave a atuação que configure uma diligência inferior àquela «que até os homens medianamente negligentes adotam» (Vaz Serra)” – cf. Comentário ao Código Civil – Direito das Obrigações , UCP, pp.. 302-303. A negligência grosseira difere da falta de diligência ordinária ou culpa leve. Não basta a falta de cuidado que o bonus pater familae teria, ou seja, aquela atenção que um utilizador cuidadoso teria, dentro das circunstâncias do caso concreto. Exige-se um nível de falta de cuidado mais elevado, um desleixo inadmissível para qualquer pessoa colocada naquela situação – cf. Miguel Pestana de Vasconcelos, op. cit ., pág. 202; cf. acórdão do Supremo Tribunal de Justiça de 31-01-2019, 2344/16.0T8PNF.P1.S1 – “[…] em sede de culpabilidade do agente, é costume distinguir três formas de culpa, a saber: Culpa lata, grave ou grosseira , consistente na inobservância da diligência mínima adoptada até pelos homens medianamente negligentes; - Culpa leve , substanciada no incumprimento dos deveres de diligência do homem normalmente diligente; e - Culpa levíssima , traduzida na inobservância da diligência adoptada pelos homens especialmente diligentes. […] o Prof. Inocêncio Galvão Telles […] acrescenta: - “Quer a culpa grave (que também se diz culpa lata ) quer a culpa leve correspondem a condutas de que uma pessoa normalmente diligente – o “bonus pater familias” – se absteria. A diferença entre elas está em que a primeira só por uma pessoa particularmente negligente se mostra susceptível de ser cometida.” ; acórdão do Tribunal da Relação do Porto de 25-02-2025, 61/21.9T8OBR.P1. Como se realça na decisão recorrida, não se pode deixar de atender a todo o circunstancialismo que envolveu a sucessão dos eventos retratados nos autos e efectuando uma análise conjugada de todo o processo que conduziu à concretização da transferência do valor em causa, há que realçar emergir da factualidade provada o seguinte: Apenas os sócios-gerentes tinham acesso ao homebanking e respectivos códigos de utilizador, elementos da conta bancária e dados de acesso, sendo o acesso efectuado por computador que estava protegido através de sistemas de antivírus e firewall ; o computador da autora foi alvo de uma intrusão em data não concretamente apurada, mas anterior a 20 de Fevereiro de 2024; No dia 20 de Fevereiro de 2024, quando a sócia-gerente da autora foi contactada por telefone, a interlocutora revelou conhecimento de múltiplos elementos de identificação da titular da conta (número de telemóvel associado, dados da conta, códigos dos utilizadores, identificação dos sócios-gerentes, morada, número de identificação fiscal, valor do saldo, entre outros); A interlocutora anunciou uma transferência em curso no valor de 12 000,00 €, que seria anormal em face dos movimentos habituais e que a sócia-gerente negou ter ordenado, sendo informada que estaria a ser alvo de tentativa de fraude informática, ao que se aprestou a seguir as instruções que foram sendo dadas por aquela para cancelar a operação; Nessa sequência, aceitou receber um link por e-mail , que lhe foi enviado e onde clicou, sendo direccionada para página semelhante à da ré, com o logótipo da Caixa e o título “cancelamento de transacções”, percepcionando-a como sendo a página oficial da ré, tendo clicado no botão destinado ao cancelamento, e após introduziu as três coordenadas da matriz e, segundo as instruções da alegada funcionária da ré, inseriu o código SMS, que foi enviado na mesma cadeia de SMS enviados anteriormente pela ré, surgindo a mensagem “cancelamento efectuado com sucesso”; Após a chamada, a autora tentou contactar com a gerente de conta e apenas quando entrou em contacto com a linha de apoio da Caixa Directa, tomou conhecimento que a transferência tinha sido efectuada e que a chamada era fraudulenta; Durante a chamada telefónica a sócia-gerente não facultou quaisquer elementos relativos à conta bancária da autora ou os dados de acesso ao serviço de homebanking ; A transferência bancária não foi ordenada, autorizada e/ou consentida pela autora. Tal como se concluiu na decisão recorrida, é evidente que a transferência em causa não foi resultado de uma vontade consciente da autora, pois ao introduzir as coordenadas do cartão matriz e o código SMS Token , a sócia-gerente fê-lo com vista ao cancelamento de uma transferência iminente que não desejava – cf. art.º 103º, n.º 1 do RJSPME: “ Uma operação de pagamento ou um conjunto de operações de pagamento só se consideram autorizados se o ordenante consentir na sua execução.” São diversas as técnicas utilizadas para se alcançar a quebra de segurança do sistema controlado pelo banco, como disso dá conta Raquel Lima, in A responsabilidade pela utilização abusiva on-line de instrumentos de pagamento eletrónico na jurisprudência portuguesa , pág. 32 : “O acesso não autorizado à conta do titular pode aqui ser conseguido pela quebra de segurança do sistema controlado pelo banco, havendo a interceção das senhas enquanto estão a ser digitadas (conhecido por keylogging ), mas será mais comum ser conseguido através do uso dos códigos de acesso do utilizador. Os dados pessoais (número de conta ou de contrato, senha e os códigos de validação das operações) serão conhecidos pelo terceiro que atua fraudulentamente através de ataques de phishing ou pela técnica de pharming. O pharming é uma modalidade de fraude mais sofisticada na medida em que o utilizador é redirecionado pelo programa de navegação ( browser ) instalado no seu computador para uma página falsa, em tudo semelhante à verdadeira, quando digitaliza o endereço correto do serviço de banca on-line . Esta modalidade pode ser dirigida, não só a um computador pessoal mas a um servidor DNS ( Domain Name System ), sendo apelidado de “ DNS poisoning”. Neste caso, serão atingidos um enorme número de utilizadores que digitem o endereço (URL) correto da página de homebanking, que automaticamente, por alteração do endereço armazenado no DNS, são redirecionados para a página falsa. Nestas páginas falsas, o utilizador indica os códigos pessoais (número de contrato e senha) que permitem ao terceiro aceder à conta na página verdadeira. É, com frequência, pedida a atualização do cartão de coordenadas, vulgarmente conhecido como cartão matriz. Este pedido, leva o titular menos atento a indicar todos as combinações da sua matriz, permitindo ao terceiro a conclusão das operações de pagamento.” Parece ter sido esta a última situação verificada, tendo em conta que não se tratou de um clicar inconsequente num qualquer link recebido por mensagem electrónica aleatória, mas sim o culminar de todo um encadeamento criado pela interlocutora da chamada telefónica, que fez crer à sócia-gerente da autora que se tratava de uma funcionária do departamento de fraude da Caixa – revelando, aliás, um amplo conhecimento de todos os dados da conta bancária, o que reforça a confiança na fiabilidade daquilo que está a ser transmitido -, e que estava em risco de se concretizar uma operação não ordenada, impondo-se agir imediatamente para a evitar, criando, desse modo, uma situação de urgência e de stress , tudo se passando no decurso da chamada telefónica, sem a possibilidade de ser efectuado um juízo crítico sobre as informações transmitidas. Assim, ainda que actualmente os utilizadores da internet estejam conscientes dos perigos de abrir e descarregar ficheiros de e-mails desconhecidos e com aparência duvidosa, sendo, aliás, nesse sentido, os alertas da Caixa e, bem assim, para que não sejam facultados dados pessoais e que esta nunca os solicita telefonicamente (cf. ponto 58), não se pode deixar de ter em conta que, neste caso, o tipo de técnica fraudulenta utilizada é apurada, não tendo sido solicitados, directamente, à cliente os seus dados, mas esta foi sendo orientada para os introduzir numa página, que desconhecia ser fraudulenta, e no pressuposto de estar a efectuar o cancelamento da operação não desejada. Tenha-se em atenção que no Considerando (72) da Directiva (UE) 2015/2366 acima mencionada é fornecido um critério para a avaliação da negligência ou negligência grosseira cometida pelo utilizador referindo que “ deverão ser tidas em conta todas as circunstâncias. Os elementos de prova e o grau da alegada negligência deverão ser avaliados nos termos do direito nacional. Todavia, embora o conceito de negligência implique uma violação do dever de diligência, a negligência grosseira deverá significar mais do que mera negligência, envolvendo uma conduta que revela um grau significativo de imprudência; por exemplo, conservar as credenciais utilizadas para autorizar uma operação de pagamento juntamente com o instrumento de pagamento, num formato que seja aberto e facilmente detetável por terceiros […]”. A negligência grosseira relevante será aquela que se traduza numa “violação qualificada de um dever de diligência”, extraindo-se do exemplo dado no Considerando a “adopção de um comportamento que, objectivamente, contraria a própria existência dos mecanismos de segurança associados aos meios de pagamento” – cf. acórdão do Tribunal da Relação de Lisboa de 24-02-2026, 20592/24.8T8LSB.L1-7 . A jurisprudência portuguesa tem admitido a responsabilidade do titular que abre um e-mail suspeito e descarrega algum dos seus anexos, cedendo os seus dados de acesso ao sistema em resposta ao e-mail ou a terceiros e ainda em outras situações, como a realização de operações não solicitadas pelo utilizador em que surgem mensagens de erro que permitiriam a utilizador medianamente diligente aperceber-se de uma falha no procedimento por adoptado ou ainda quando a mensagem recebida diz precisamente o contrário daquilo que se pretende evitar – cf. acórdãos do Tribunal da Relação de Lisboa de 24-02-2026, 20592/24.8T8LSB.L1-7 e de 13-01-2026, 347/23.8T8CDN.L1-7 . Não é essa, porém, a situação dos autos. Na designada técnica de pharming a fraude é mais difícil de ser detectada por um utilizador comum, pois as páginas fraudulentas são “muitas vezes iguais às páginas do banco e identificadas como ligações seguras”, pelo que a censura a atribuir ao utilizador não poderá ser idêntica – cf. neste sentido, Raquel Lima, op. cit., pág. 46. Neste caso, a sócia-gerente, tendo actuado durante uma chamada telefónica e num momento de premência para evitar uma transferência que não ordenou, nem representou como possível não ser verdadeiro o site onde entrou na sequência do link que lhe foi enviado por quem se apresentou como sendo funcionária da Caixa e, movida pelo sentimento de confiança e pela necessidade de actuar rapidamente, forneceu nessa página os seus dados, confiante que estaria a evitar, desse modo, a fraude que, afinal, se veio a concretizar. Do que se apurou, já nessa página fraudulenta, a autora realizou aquelas que se assemelham ser as certificações e operações habituais, não tendo respondido a nenhum pedido incomum da página falsa, pelo que não se vislumbra que lhe possa ser assacada uma actuação censurável, afastada do agir normal de qualquer cidadão previdente e conhecedor dos riscos existentes na internet. É necessário ter em conta que se o conhecimento e a literacia informática têm vindo a sofrer uma evolução manifesta, abrangendo um número cada vez maior de cidadãos, por outra via, os esquemas fraudulentos são cada vez mais refinados, complexos e difíceis de detectar, estando sempre um passo adiante relativamente aos mecanismos estabelecidos para os evitar. Não se acolhe a afirmação da apelante de que a sócia-gerente da autora facultou a terceiros, voluntariamente, as suas credenciais. Fê-lo, é certo, mas convencida de que falava com uma pessoa idónea da instituição bancária, não tendo motivos aparentes para duvidar, tanto mais que aquela se revelou conhecedora de elementos de identificação e da conta bancária a que apenas a ré poderia ter acesso. Além disso, a introdução dos seus dados não foi facultada directamente à interlocutora e via telefone, mas sim numa página da internet que em tudo se assemelhava à página oficial da Caixa. Por outro lado, nessa página a informação que surgiu dizia expressamente “cancelamento de transacções”, o que reforçava a intenção de interromper o alegado processo em curso, para além de conter um aviso de cancelamento de número de adesão, PIN e cartões de débito/crédito, o que se enquadrava com uma situação de tentativa de fraude – cf. pontos 27) e 28) da matéria de facto provada. Ademais, a mensagem através do Short Message Service (SMS) foi enviada pela ré, na mesma cadeia de SMS enviados anteriormente por esta (cf. ponto 32), o que conferia à sócia-gerente da autora mais uma razão para acreditar que estava a interagir, com a plataforma de homebanking da ré, num ambiente cibernético confidencial. Certo que está amplamente divulgado que se não deve aceder à página da Caixa através de links remetidos por mensagem, mas neste caso existia a especificidade de alegadamente estar em curso uma tentativa de fraude e de ser necessário actuar para a evitar, cancelando a operação. Naquele momento, com aquela informação, com a urgência de evitar uma transferência irreversível, o discernimento não é o mesmo quando, por exemplo, uma pessoa está apenas em frente ao seu ecrã, lê as suas mensagens e pode formular um juízo sobre a fidedignidade dos respectivos conteúdos, sem a ameaça de um mal iminente. Pode eventualmente aceitar-se uma falta de cuidado, uma reacção rápida sem uma paragem para ponderação, mas não se acolhe a qualificação de negligência grosseira, enquanto conduta com um grau significativo de imprudência, como sucede quando alguém faculta todas as coordenadas do cartão matriz, associa um número de telemóvel desconhecido à sua conta bancária ou ao seu sistema de pagamento ou acondiciona os códigos de acesso juntamente com o cartão ou até quando recebe um e-mail de remetente desconhecido e descarrega anexos ou clica em links . Atento o específico circunstancialismo vivenciado pela sócia-gerente, cuja perturbação e preocupação são plenamente justificadas face à iminência de uma transferência de valor considerável não autorizada, e ao contrário do pretendido pela apelante, não é possível, dentro de um juízo de razoabilidade e de sindicância quanto à conduta minimamente diligente que qualquer pessoa colocada naquela posição deveria ter, qualificar como descuido inadmissível a actuação da autora que, tentando cancelar uma operação que não ordenou, introduziu três coordenadas do cartão matriz e o código SMS Token em página fraudulenta em tudo similar à da ré, convencida de estar a cancelar uma operação de transferência de valor da sua conta bancária. Recaindo sobre a ré/apelante o ónus da prova da negligência grosseira, que não logrou alcançar, é ela, enquanto prestadora de serviços de pagamento electrónico, que deve arcar com os danos potenciados pelas fragilidades do sistema de pagamento que comercializa. Improcede, assim, o presente recurso, devendo manter-se inalterada a decisão recorrida. Das Custas De acordo com o disposto no art. 527º , n.º 1 do CPC , a decisão que julgue a acção ou algum dos seus incidentes ou recursos condena em custas a parte que a elas houver dado causa ou, não havendo vencimento da acção, quem do processo tirou proveito. O n.º 2 acrescenta que dá causa às custas do processo a parte vencida, na proporção em que o for. Nos termos do art. 1º, n.º 2 do Regulamento das Custas Processuais considera-se processo autónomo para efeitos de custas, cada recurso, desde que origine tributação própria. A recorrente decai integralmente quanto à pretensão que trouxe a juízo, pelo que as custas (na vertente de custas de parte) ficam a seu cargo. DECISÃO Pelo exposto, acordam as juízas desta 7.ª Secção do Tribunal de Relação de Lisboa, em julgar improcedente a apelação, mantendo, em consequência, a decisão recorrida . As custas ficam a cargo da apelante. Lisboa, 13 de Outubro de 2026 Micaela Sousa AA Câmara Ana Rodrigues da Silva Elaborado pela relatora e da sua inteira responsabilidade – cf. artigo 663º , n.º 7 do Código de Processo Civil . 2. Adiante designado pela sigla RJSPME. 3. Adiante designado pela sigla CPC. 4. Revista Julgar 42 Setembro-Dezembro 2020. 5. Revista Electrónica de Direito, Junho 2016, N.º 2. 6. Acessível na Base de Dados Jurídico-documentais do Instituo de Gestão Financeira e Equipamentos da Justiça, IP em www.dgsi.pt , onde se encontram disponíveis todos os arestos adiante mencionados sem indicação de origem. 7. “O bom pai de família é uma bitola abstracta de diligência. Deve ser preenchida caso a caso e situação a situação: a diligência exigível a um banqueiro, a um canalizador, a um músico ou a um bailarino são distintas. Há que ponderar a exigência do cargo, a preparação requerida e as consequências de falhas.” – cf. António Menezes Cordeiro, Código Civil Comentado , II – Das Obrigações em Geral, CIDP 2021, pág. 426. 8. Revista Electrónica de Direito – Outubro 2016 – N.º 3. 9. Acórdão assinado digitalmente – cf. certificados apostos no canto superior esquerdo da primeira página.