Quem foi o relator do acórdão 379/21.0T8FAR.E1.S1?

O relator foi Nelson Paulo Martins de Borges Carneiro, no Supremo Tribunal de Justiça.

Quando foi proferido o acórdão 379/21.0T8FAR.E1.S1?

O acórdão foi proferido em 23 de janeiro de 2024.

379/21.0T8FAR.E1.S1

Sumário

I - O contrato de “homebanking” celebrado entre a autora e banco réu é o acordo mediante qual o cliente adere a um serviço prestado pelo banco, que consiste na possibilidade de manter relações via internet, de forma a aceder a informações sobre produtos e serviços do banco; obter informações e realizar operações bancárias sobre contas de que a autora fosse titular e, realizar pagamentos, cobranças e operações de compra, venda, subscrição ou resgate sobre produtos ou serviços disponibilizados pelo banco. II - Apenas o prestador do serviço de pagamento (banco) pode assegurar a operacionalidade do complexo sistema informático utilizado e a regularidade do seu funcionamento, garantindo, também, a confidencialidade dos dispositivos de segurança que permitem aceder ao instrumento de pagamento. III - Por esta razão, recai sobre o banco prestador do serviço o risco das falhas e do deficiente fundamento do sistema impendendo ainda sobre o mesmo o ónus da prova de que a operação de pagamento não foi afetada por avaria técnica ou qualquer outra deficiência. IV - Ao utilizador do serviço de pagamento - que deve dispor de um conjunto de dispositivos de segurança, como o código de acesso, cartão matriz, entre outros, que lhe vão permitir aceder a serviço, dada a sua função de autenticação e identificação - exige-se que tome as medidas razoáveis em ordem a preservar a eficácia desses dispositivos.

Texto

RECURSO DE REVISTA1,2,3,4,5379-21.0T8FAR.E1.S1 RECORRENTE6ISOLALGARVE – COMPANHIA DE ISOLAMENTOS DO ALGARVE, LDA. RECORRIDO7BANCO COMERCIAL PORTUGUÊS, S.A. *** SUMÁRIO8,9 I – O contrato de “homebanking celebrado entre autora e banco réu é o acordo mediante o qual o cliente adere a um serviço prestado pelo banco, que consiste na possibilidade de manter relações via internet, de forma a aceder a informações sobre produtos e serviços do banco; obter informações e realizar operações bancárias sobre contas de que a autora fosse titular e, realizar pagamentos, cobranças e operações de compra, venda, subscrição ou resgate sobre produtos ou serviços disponibilizados pelo banco. II – Apenas o prestador do serviço de pagamentos (banco), pode assegurar a operacionalidade do complexo sistema informático utilizado e a regularidade do seu funcionamento, garantindo, também, a confidencialidade dos dispositivos de segurança que permitem aceder ao instrumento de pagamento. III – Por esta razão, recai sobre o banco prestador do serviço o risco das falhas e do deficiente funcionamento do sistema, impendendo ainda sobre o mesmo o ónus da prova de que a operação de pagamento não foi afetada por avaria técnica ou qualquer outra deficiência. IV – Ao utilizador do serviço de pagamento – que deve dispor de um conjunto de dispositivos de segurança, como o código de acesso, cartão matriz, entre outros, que lhe vão permitir aceder a esse serviço, dada a sua função de autenticação e identificação – exige-se que tome as medidas razoáveis em ordem a preservar a eficácia desses dispositivos. *** ACÓRDÃO10 Acordam os juízes da 1ª secção (cível) do Supremo Tribunal de Justiça: 1. RELATÓRIO ISOLALGARVE - COMPANHIA DE ISOLAMENTOS DO ALGARVE, LDA., intentou ação declarativa de condenação, sob a forma de processo comum, contra BANCO COMERCIAL PORTUGUÊS, S.A., pedindo a condenação deste a pagar-lhe a quantia de 64 064,89€, acrescida de juros de mora, contados desde a data da citação e até integral pagamento. Foi proferida sentença em 1ª instância que julgando a ação parcialmente procedente por provada, condenou o réu a pagar à autora a quantia de 54 392,90€, acrescida de 10% e de juros de mora, à taxa de juros civis, contados desde 16-07-2020 e até efetivo e integral pagamento. O Tribunal da Relação de Évora, após alteração da decisão sobre a matéria de facto, proferiu acórdão que julgou procedente o recurso, revogando a decisão recorrida, que substituiu por outra a julgar improcedente a ação e absolvendo o réu do pedido. Inconformada, veio a autora interpor recurso de revista deste acórdão, tendo extraído das alegações11,12 que apresentou as seguintes CONCLUSÕES13: a) O presente litígio tem na sua génese um contrato de home banking (igualmente referido como banco internético, e-banking, banco online ou banca eletrónica) b) Em 16/07/2020, a recorrida foi surpreendida com a existência de várias operações bancárias realizadas através da referida plataforma online ( traduzidas em pagamentos e transferências), que perfaziam o montante de 56 990,00€, efetuadas, sem o seu consentimento e autorização, para destinatários que lhe eram completamente desconhecidos. c) Imediatamente, foi comunicada tal situação à recorrida, d) A recorrida apenas devolveu à recorrente o montante de 2597,10 € (dois mil quinhentos e noventa e sete euros e dez cêntimos). e) Por tal facto, a recorrente intentou a presente demanda pedindo a condenação da recorrida no montante de 61 064,89€ a título de indemnização por danos patrimoniais, acrescida de juros calculados à taxa legal, contados desde a citação e até integral pagamento, bem como o pagamento da quantia de 3000,00€, a título de indemnização por danos não patrimoniais, acrescida de juros calculados à taxa legal e contados desde a data da citação e até integral pagamento. f) A recorrida apresentou a sua contestação; g) Das alegações das partes, resultou a condenação em 1.ª instância da recorrida ao pagamento à recorrente da quantia de €54.392,90, acrescida de 10% e de juros de mora, à taxa de juros civis, contados desde 16.07.2020 até efetivo e integral pagamento. h) A recorrida interpôs recurso para o douto Tribunal a quo no qual impugnou a decisão de facto e a reapreciação do mérito da causa, tendo o douto Tribunal a quo julgado parcialmente procedente a impugnação da decisão de facto e concluído com a absolvição da recorrida do pedido. i) Considera a recorrente que o acórdão recorrido, ao absolver a recorrida do pedido, violou o estabelecido no artigo 70.º do DL n.º 317/2009 de 30.10, aplicável à data dos factos ( sem prejuízo da aplicação das disposições contidas no novo regime previstos no D/L n.º 91/2018, de 12.11, cfr. artigo 159.º do referido diploma). j) Não decorre dos factos que, apesar do facto aditado 23-a, tenha sido a recorrente a proceder à introdução dos códigos enviados para o seu número de telemóvel. k) Motivo pelo qual, a realidade fáctica provada é insuficiente para que o Tribunal a quo concluísse com a decisão proferida., l) O acarreta um vício da insuficiência de matéria de facto para a decisão de direito. m) Julgou mal o Tribunal a quo ao aplicar, atenta a factualidade dada como provada, erradamente o artigo 70.º do RSP, na medida que, por um lado, a matéria dada como provada é insuficiente para que se conclua que a recorrida logrou fazer a prova imposta pelo n.º 1 do art. 70.º do RSP, n) Assim, sempre deveria ter sido considerado como não provado o ónus imposto à recorrida ( Cfr. 799.º n.º 1 e 796.º n.º 1 do Código Civil e art. 70 n.º 1 do RSP). o) Igualmente, violou o Tribunal a quo o disposto no n.º 2 do art. 70.º do RSP, na medida que, não conta no acervo dos factos dados como provados, que a recorrente agiu de forma fraudulenta ou que não cumpriu deliberadamente ou por negligência grave, uma ou mais das suas obrigações decorrentes do contrato de home banking celebrado com a recorrida, motivo pelo qual, sempre deveria a recorrida ter sido considerada, pelo Tribunal a quo, responsável pelos danos sofridos pela recorrente, em conformidade com o estabelecido no referido normativo e regime aplicável. p) Assim, deverá o acórdão recorrido ser revogado e substituído em conformidade com a matéria supra alegada, assim como, com as consequências legais que V. Ex.ºs venham a entender ser a legalmente admissíveis A recorrida contra-alegou, pugnando pela improcedência da revista e a manutenção do acórdão recorrido. Colhidos os vistos14, cumpre decidir. OBJETO DO RECURSO15,16 Emerge das conclusões de recurso apresentadas por ISOLALGARVE – COMPANHIA DE ISOLAMENTOS DO ALGARVE LDA, ora recorrente, que o seu objeto está circunscrito à seguinte questão: 1.) Saber se o banco/recorrido fez a prova que lhe é imposta pelo artigo 70º, do Regime dos Sistemas de Pagamento, isto é, se as transações feitas pela autora/recorrente a partir do seu computador foram por esta autorizadas. 2. FUNDAMENTAÇÃO 2.1. FACTOS PROVADOS NA 1ª E 2ª INSTÂNCIA 1- A autora é uma sociedade que tem por objeto a colocação de isolamentos e revestimentos na indústria da construção civil. 2- Era titular da conta de depósitos à ordem com o n.º ...362, domiciliada junto do réu na Sucursal ... com o código n.º 1642. 3- Há pelo menos 10 anos a gerente da autora solicitou ao réu a adesão ao serviço por este prestado através de plataforma eletrónica (área empresa do milleniumbcp.pt) que lhe permitia aceder aos movimentos daquela conta e realizar pagamentos e transferências. 4- Para o efeito foi-lhe fornecido pelo réu o Certificado Digital, composto por um Código de Adesão com 15 dígitos e que foi instalado no computador que a autora possuía na sua sede, o Código de Utilizador e a Password de acesso. 5- Para a entrada na referida plataforma era ainda pedida a introdução, de forma aleatória, de duas posições do Número de Identificação Fiscal da autora. 6- Para confirmação de operação de pagamento ou transferência era pedida a introdução de um Código de Autorização, o qual era enviado para o telemóvel com o n.º ...962, que fora indicado pela gerente da autora ao réu. 7- A gerente da autora mantinha na sua posse as credenciais de acesso e utilizava quase diariamente aquela plataforma para consultar movimentos da conta bancária, efetuar pagamentos ou transferências bancárias. 8 - No dia 16.07.2020, por volta das 11h03m39ss, a gerente da autora iniciou o acesso à referida plataforma através do computador existente na sede da empresa, que utilizava o sistema operativo Windows 7, tendo como browser o Internet Explorer 11. 9- Após a gerente da autora introduziu o Código de Utilizador (J...), a Password de acesso e dois números do NIF. 10 – eliminado. 11- eliminado. 12- eliminado. 13- Pelas 11:15:46h foi efetuado o Envio de Ficheiros PSM no valor de 2997,00€ e para confirmar esta operação foi emitido pelo réu, às 11:13:39h, um Código de Autorização para o n.º de telemóvel ...962 (com o seguinte conteúdo: “MBCP Emp - Envio Ficheiro – Cta Deb: ...362EUR - Tipo: PSM - N. reg:3 - Mont:2997,00EUR - Data Proc:16/07/2020 - Codigo Autorizacao:1221618). 14- Pelas 11:29:01h foi efetuada uma Transferência Nacional no valor de €1000,00 para o IBAN PT...05, com o beneficiário “AA”, o descritivo “PAGAMENTOS” e para confirmar esta operação foi emitido pelo réu às 11:27:32h um Código de Autorização para o nº de telemóvel ...962 (com o seguinte conteúdo: “MBCP Emp -Transferencia Nacional – Cta Debito:...362EUR – IBAN Destino: PT...05 - Montante:1000,00EUR - Código Autorizacao: 1621801). 15- Pelas 11:31:48h foi efetuada uma Transferência Nacional no valor de €9.999,00 para o IBAN PT...05, com o beneficiário “AA”, o descritivo “PAGAMENTOS” e para confirmar esta operação foi emitido pelo réu, às 11:30:58h, um Código de Autorização para o nº de telemóvel ...962 (com o seguinte conteúdo: “MBCP Emp -Transferencia Nacional – Cta Debito:...362EUR – IBAN Destino: PT...05 - Montante:9999,00EUR - Codigo Autorizacao: 1401366). 16- Pelas 11:35:05h foi efetuada uma Transferência Nacional Imediata no valor de €9.998,00 para o IBAN PT...95, com o beneficiário “BB”, o descritivo “PAGAMENTOS” e para confirmar esta operação foi emitido pelo réu, às 11:34:25h, um Código de Autorização para o n.º de telemóvel ...962 (com o seguinte conteúdo: “MBCP Emp -Transferencia Nacional – Cta Debito:...362EUR – IBAN Destino:PT...95 - Montante:9998,00EUR -Codigo Autorizacao: 1659571). 17- Pelas 11:39:02h foi efetuado um pagamento de serviços no valor de €999,00 para a entidade ...00 - M... com a referência ...47 e esta transação foi confirmada com o Código de Autorização enviado por SMS, às 11:38:17h, para o n.º de telemóvel ...962 (com o seguinte conteúdo: “MBCP Emp - Pagamento Servicos -Cta/Cartao: ...362 -Entidade:...00 - Referencia:769791347 - Montante:999,00EUR - Codigo Autorizacao:1301643). 18- Pelas 11:43:33h foi efetuada uma Transferência Nacional Imediata no valor de €10.000,00 para o IBAN PT...60, tendo com o beneficiário “CC”, o descritivo “PAGAMENTOS” e para confirmar esta operação foi emitido pelo réu, às 11:42:55h, um Código de Autorização para o n.º de telemóvel ...962 (com o seguinte conteúdo: “MBCP Emp - Transferencia Nacional – Cta Debito:...362EUR – IBAN Destino:PT...60 - Montante:10 000,00EUR - Codigo Autorizacao: 2910214). 19- Pelas 11:46:00h foi efetuada uma Transferência Nacional no valor de €10.000,00 para o IBAN PT...05, com o beneficiário “DD”, o descritivo “PAGAMENTOS” e para confirmar esta operação foi emitido pelo réu, às 11:45:14h, um Código de Autorização para o n.º de telemóvel ...962 (com o seguinte conteúdo: “MBCP Emp -Transferencia Nacional – Cta Debito:...362EUR – IBAN Destino: PT...05 - Montante:10 000,00EUR -Codigo Autorizacao: 1483321). 20- Pelas 11:47:57h foi efetuado um pagamento de serviços no valor de €998,00 para a entidade ...00 - M... com a referência ...19 e esta transação foi confirmada com o Código de Autorização enviado por SMS, às 11:47:20h, para o n.º de telemóvel ...962 (com o seguinte conteúdo: “MBCP Emp - Pagamento Servicos - Cta/Cartao: ...362 -Entidade:...00 - Referencia:914315619 - Montante:998,00EUR - Codigo Autorizacao:2421862). 21- Pelas 11:58:21h foi efetuado um pagamento de serviços no valor de €999,00 para a entidade ...00 - M... com a referência ... e esta transação foi confirmada com o Código de Autorização enviado por SMS, às 11:57:47h, para o n.º de telemóvel ...962 (com o seguinte conteúdo: “MBCP Emp - Pagamento Servicos - Cta/Cartao: ...362 -Entidade:21800 - Referencia:506126591 - Montante:999,00EUR - Codigo Autorizacao:4171431). 22- Pelas 12:01:29h foi efetuada uma Transferência Nacional no valor de €10.000,00, para o IBAN PT...94, com o beneficiário “EE”, o descritivo “PAGAMENTOS” e para confirmar esta operação foi emitido pelo réu, às 12:00:09h, um Código de Autorização para o n.º de telemóvel ...962 (com o seguinte conteúdo: “MBCP Emp -Transferencia Nacional – Cta Debito:...362EUR – IBAN Destino: PT...94 - Montante:10 000,00EUR - Codigo Autorizacao: 6324297). 23- Os pagamentos e transferências referidos em 13. a 22. foram efetuados com utilização do Código de Utilizador da autora, confirmados com duas posições aleatórias do NIF e com a introdução dos Códigos de Autorização enviados por “SMS” para o telemóvel n.º ...962. 23 a - O código de autorização para cada uma das operações bancárias referidas nos pontos de facto n.ºs 13 a 22 foi recebido no telemóvel com o número ali identificado que era detido e se encontrava sob o domínio de pessoa humana que estava no mesmo local que o computador que tinha o Certificado Digital para as operações bancárias e só depois da introdução tempestiva dos códigos de autorização emitidos para cada uma daquelas operações (transferência/pagamento) o sistema informático do Banco cumpriu a instrução de cada uma das referidas operações. 24 - Pelas 11:18:41h foi tentada uma Transferência Nacional, no valor de €10.000,00 para o Iban PT...05, com o beneficiário “AA” e para confirmar esta transação foram enviados pelo réu, às 11:19:00h, dois Códigos de Autorização para o n.º de telemóvel ...962, os quais não foram introduzidos na plataforma (com os seguintes conteúdos: “MBCP Emp -Transferencia Nacional-Cta Debito: ...362EUR-IBAN Destino:PT...05 - Montante: 10.000,00EUR - Codigo Autorizacao: 1541482” e “MBCP Emp - Transferencia Nacional - Cta Debito: ...362EUR – IBAN Destino:PT...05 - Montante: 10.000,00EUR -Codigo Autorizacao: 1261181). 25- Foi tentado o Envio de Ficheiros PSM, no valor de €1.998,00, com Códigos de Autorização enviados para o n.º de telemóvel ...962, pelas 12:07:04h (com o seguinte conteúdo: “MBCP Emp - Envio Ficheiro – Cta Deb:...362EUR - Tipo: PSM - N. reg:2 - Mont:1.998,00EUR – Data Proc:16/07/2020 - Codigo Autorizacao:238573), pelas 12:07:08h (com o seguinte conteúdo: “MBCP Emp - Envio Ficheiro – Cta Deb:...362EUR - Tipo:PSM - N. reg:2 - Mont:1.998,00EUR – Data Proc:16/07/2020 - Codigo Autorizacao: 1529425), pelas 12:08:04h (com o seguinte conteúdo: “MBCP Emp - Envio Ficheiro – Cta Deb:...362EUR - Tipo: PSM - N. reg:2 - Mont:1.998,00EUR – Data Proc:16/07/2020 - Codigo Autorizacao:1961641) e pelas 12:08:05h (com o seguinte conteúdo: “MBCP Emp - Envio Ficheiro – Cta Deb:...362EUR - Tipo: PSM - N. reg:2 - Mont:1.998,00EUR – Data Proc:16/07/2020 - Codigo Autorizacao:2359345). 26- Estas operações não foram realizadas porque não foram introduzidos na plataforma os Códigos de Autorização que haviam sido enviados para o telemóvel n.º ...962. 27- Pelas 15h50m58ss a gerente da autora acedeu à plataforma. 28 – (eliminado). 29- (eliminado) 30- Deslocou-se à Sucursal ... do réu, onde chegou por volta das 16h00m, em estado de ansiedade e quase pânico. 31- Ao contar o sucedido os colaboradores do banco réu comunicaram-lhe que se tratava de um caso de fraude e que deveria apresentar queixa. 32- Pelas 14h37m daquele dia havia sido enviado um e-mail por FF, do Gabinete de Gestão Aplicacional e Segurança do réu, para a Sucursal ..., referindo que na sequência de um alerta Paywatch (SIBS) verificaram-se 3 transações suspeitas na conta da autora, solicitando o contato do cliente e que se aferisse se se tratavam de transações fidedignas (cf. doc. de fls.23vº/24, cujo teor se dá por integralmente reproduzido). 33- O qual não obteve resposta por parte dos colaboradores da Sucursal .... 34- Após o referido em 31. os colaboradores da Sucursal ... bloquearam os movimentos na conta bancária e pelas 16h47m comunicaram que se tratava de fraude e solicitaram a devolução de todas as transferências realizadas naquele dia (cf. doc. de fls.24vº, cujo teor se dá por integralmente reproduzido). 35- Nesse mesmo dia a gerente da autora apresentou reclamação junto do réu relativa aos débitos realizados sem o seu consentimento (cf. doc. de fls.25, cujo teor se dá por integralmente reproduzido). 36 - E apresentou denuncia na Divisão Policial de ... da Polícia de Segurança Pública à qual foi atribuído o NUIPC 000748/20.3... (cf. doc. de fls.25vº/26, cujo teor se dá por integralmente reproduzido). 37- Em 28.07.2020 foi restituído à autora o montante de 2.597,10 €. 38- Em 11.09.2020 a autora enviou carta registada ao réu, solicitando a devolução do restante montante (cf. doc. de fls.26vº/28vº, cujo teor se dá por reproduzido). 39- Em 11.11.2020 o réu respondeu referindo que “não tem o Banco qualquer responsabilidade nas transações em causa, considerando que todos os mecanismos de processamento e validação utilizados encontram-se no Banco registados em nome da Sra. D. GG e da Isolalgarve C Isolamentos Algarve Lda., nomeadamente o Código de Adesão, o Certificado Digital, o Código de Utilizador, a Password, duas posições do Número Fiscal, número de telemóvel para a receção dos Códigos de Autorização com a identificação clara e inequívoca da operação a realizar e respetiva confirmação com esse código” (cf. doc. de fls.29/30, cujo teor se dá por reproduzido). 40- Referindo, ainda, que “quanto aos pagamentos de serviços, e conforme oportunamente transmitido por contato telefónico, é necessário que procedam ao registo de reclamação sobre os montantes da fraude, através do site da entidade de Pagamento M... em https://onlinepaymentplatform.com/en/contact.” (cf. doc. de fls.29/30, cujo teor se dá por reproduzido). 41- O banco réu tem no seu site, à disposição dos clientes, diversos avisos de segurança e recomendações para acesso ao portal do banco e segurança no acesso ao portal de empresa, onde se detalham aspetos para prevenir fraudes. 42 - Alertando os clientes para eventuais tentativas de uso indevido dos dados dos clientes, páginas que têm semelhança com a do banco de entre outras. 43 - A autora nunca questionou a operadora de telemóvel Vodafone sobre a possibilidade de clonagem ou acesso indevido ao seu telemóvel, no período em que ocorreram todas operações identificadas nos números 13 a 22 dos factos dados como provados. 44 - O site de homebanking do Banco não sofreu, no período em que foram feitas as transferências da conta do Autor nenhum ataque informático ou qualquer tentativa de intrusão ou utilização ilícita por parte de terceiros. 2.2. FACTOS NÃO PROVADOS NA 1ª E 2ª INSTÂNCIA a) Apenas a gerente da autora tem acesso às credenciais que lhe permitem o acesso à plataforma informática. b) Era impossível a utilização das credenciais sem o conhecimento da gerente da autora. c) O réu efetuou o bloqueio das operações realizadas antes das 14h37m e das 16h00m. d) O sistema de segurança do réu consegue identificar as movimentações não consentidas pelo titular da conta resultantes da intromissão de “piratas informáticos”. e) O computador utilizado pela gerente da autora encontrava-se vulnerável a ataques cibernéticos e era obsoleto. f) A autora sofreu constrangimentos e transtornos devido à indisponibilidade na conta bancária dos montantes referidos em 13. a 22. g) Apareceu no ecrã do computador uma página em branco que a impossibilitou de efetuar qualquer operação. h) Após voltar a aceder à plataforma, introduziu o Código de Utilizador, a Password e dois números do NIF, voltando a aparecer uma página em branco. i) A gerente da autora realizou duas tentativas de entrar novamente na plataforma, desligando e voltando a ligar o computador. j) Supôs que o serviço estaria indisponível e foi almoçar. l) E conseguiu verificar que haviam sido realizadas as transferências e os pagamentos referidos em 13 a 22. m) As transferências e os pagamentos referidos em 13 a 22 não foram efetuados, nem consentidos, pela gerente da autora desconhecendo os respetivos destinatários.; n) Nesse momento constatou que havia recebido no seu telemóvel várias mensagens contendo os códigos de autorização para a realização dessas operações que não havia utilizado. 2.3. O DIREITO Importa conhecer o objeto do recurso, circunscrito pelas respetivas conclusões, salvas as questões cuja decisão esteja prejudicada pela solução dada a outras, e as que sejam de conhecimento oficioso17 (não havendo questões de conhecimento oficioso são as conclusões de recurso que delimitam o seu objeto). 1.) SABER SE O BANCO/RECORRIDO FEZ A PROVA QUE LHE É IMPOSTA PELO ARTIGO 70º, DO REGIME DOS SISTEMAS DE PAGAMENTO, ISTO É, SE AS TRANSAÇÕES FEITAS PELA AUTORA/RECORRENTE A PARTIR DO SEU COMPUTADOR FORAM POR ESTA AUTORIZADAS. A recorrente alegou que “não decorre dos factos que, apesar do facto aditado 23-a, tenha procedido à introdução dos códigos enviados para o seu número de telemóvel, motivo pelo qual, a realidade fáctica provada é insuficiente para que o Tribunal a quo concluísse tal afirmação, o que desde logo acarreta um vício da insuficiência de matéria de facto para a decisão de direito obtida, pois da factualidade vertida na decisão não se colhe elementos que, podendo e devendo ser indagados, são necessários para que se possa formular um juízo seguro de condenação ou de absolvição”. Mais alegou que “verificando-se um ataque informático (in casu via pharming), cabia à recorrida o ónus de provar que efetivamente essas obrigações não foram cumpridas, assim como, provar que as operações in casu foram autorizadas pela Autora”. Por fim, alegou que “não conta no acervo dos factos dados como provados, que tenha agido de forma fraudulenta ou que não cumpriu deliberadamente ou por negligência grave, uma ou mais das suas obrigações decorrentes do contrato de home banking celebrado com a recorrida, motivo pelo qual, sempre deveria a recorrida ter sido considerada, pelo Tribunal a quo, responsável pelos danos sofridos”. Está provado que: – A autora era titular da conta de depósitos à ordem com o n.º ...362, domiciliada junto do réu na Sucursal ... com o código n.º ...42 – facto provado nº 2. – Há pelo menos 10 anos a gerente da autora solicitou ao réu a adesão ao serviço por este prestado através de plataforma eletrónica (área empresa do milleniumbcp.pt) que lhe permitia aceder aos movimentos daquela conta e realizar pagamentos e transferências – facto provado nº 3. – Para o efeito foi-lhe fornecido pelo réu o Certificado Digital, composto por um Código de Adesão com 15 dígitos e que foi instalado no computador que a autora possuía na sua sede, o Código de Utilizador e a Password de acesso – facto provado nº 4. – Para a entrada na referida plataforma era ainda pedida a introdução, de forma aleatória, de duas posições do Número de Identificação Fiscal da autora – facto provado nº 5. – Para confirmação de operação de pagamento ou transferência era pedida a introdução de um Código de Autorização, o qual era enviado para o telemóvel com o n.º ...962, que fora indicado pela gerente da autora ao réu – facto provado nº 6. – Os pagamentos e transferências referidos em 13. a 22. foram efetuados com utilização do Código de Utilizador da autora, confirmados com duas posições aleatórias do NIF e com a introdução dos Códigos de Autorização enviados por “SMS” para o telemóvel n.º ...962 – facto provado nº 23. – O site de homebanking do Banco não sofreu, no período em que foram feitas as transferências da conta do Autor nenhum ataque informático ou qualquer tentativa de intrusão ou utilização ilícita por parte de terceiros – facto provado nº 44. Vejamos a questão. Para efeitos do presente regime jurídico entende-se por «contrato quadro» um contrato de prestação de serviços de pagamento que rege a execução futura de operações de pagamento individuais e sucessivas e que pode enunciar as obrigações e condições para a abertura de uma conta de pagamento – art. 2º/o, do anexo I, do Regime dos Sistemas de Pagamento (RSP), aprovado pelo art. 2º, do DL nº 317/2009, de 30-10. Para efeitos do presente regime jurídico entende-se por «conta de pagamento» uma conta detida em nome de um ou mais utilizadores de serviços de pagamento, que seja utilizada para a execução de operações de pagamento – art. 2º/q, do anexo I, do RSP. Uma operação de pagamento ou um conjunto de operações de pagamento só se consideram autorizados se o ordenante consentir na sua execução – art. 65º/1, do anexo I, do RSP. O consentimento deve ser dado previamente à execução da operação, salvo se for acordado entre o ordenante e o respetivo prestador do serviço de pagamento que o mesmo seja prestado em momento posterior – art. 65º/2, do anexo I, do RSP. O consentimento referido nos números anteriores deve ser dado na forma acordada entre o ordenante e o respetivo prestador do serviço de pagamento, sendo que, em caso de inobservância da forma acordada, se considera que a operação de pagamento não foi autorizada – art. 65º/3, do anexo I, do RSP. O utilizador de serviços de pagamento com direito a utilizar um instrumento de pagamento tem a obrigação de utilizar o instrumento de pagamento de acordo com as condições que regem a sua emissão e utilização, e comunicar, sem atrasos injustificados, ao prestador de serviços de pagamento ou à entidade designada por este último, logo que deles tenha conhecimento, a perda, o roubo, a apropriação abusiva ou qualquer utilização não autorizada do instrumento de pagamento – art. 67º/1/a/b, do anexo I, do RSP. Para efeitos da alínea a) do número anterior, o utilizador de serviços de pagamento deve tomar todas as medidas razoáveis, em especial ao receber um instrumento de pagamento, para preservar a eficácia dos seus dispositivos de segurança personalizados – art. 67º/2, do anexo I, do RSP. O prestador de serviços de pagamento que emite um instrumento de pagamento tem a obrigação de assegurar que os dispositivos de segurança personalizados do instrumento de pagamento só sejam acessíveis ao utilizador de serviços de pagamento que tenha direito a utilizar o referido instrumento, sem prejuízo das obrigações do utilizador do serviço de pagamento estabelecidas no artigo anterior – art. 68º/1/a, do RSP. Caso um utilizador de serviços de pagamento negue ter autorizado uma operação de pagamento executada, ou alegue que a operação não foi corretamente efetuada, incumbe ao respetivo prestador do serviço de pagamento fornecer prova de que a operação de pagamento foi autenticada, devidamente registada e contabilizada e que não foi afetada por avaria técnica ou qualquer outra deficiência – art. 70º/1, do RSP. Caso um utilizador de serviços de pagamento negue ter autorizado uma operação de pagamento executada, a utilização do instrumento de pagamento registada pelo prestador de serviços de pagamento, por si só, não é necessariamente suficiente para provar que a operação de pagamento foi autorizada pelo ordenante, que este último agiu de forma fraudulenta ou que não cumpriu, deliberadamente ou por negligência grave, uma ou mais das suas obrigações decorrentes do artigo 67.º – art. 70º/2, do RSP. Sem prejuízo do disposto no artigo 69.º, em relação a uma operação de pagamento não autorizada, o prestador de serviços de pagamento do ordenante deve reembolsá-lo imediatamente do montante da operação de pagamento não autorizada e, se for caso disso, repor a conta de pagamento debitada na situação em que estaria se a operação de pagamento não autorizada não tivesse sido executada – art. 71º/1, do RSP. O presente Regime Jurídico não prejudica a validade dos contratos em vigor relativos aos serviços de pagamento nele regulados, sendo-lhes desde logo aplicáveis as disposições que se mostrem mais favoráveis aos utilizadores de serviços de pagamento – art. 159º, do anexo I, ao D/L n.º 91/2018, de 12-11, que aprovou o novo Regime Jurídico dos Serviços de Pagamento e da Moeda Eletrónica, transpondo a Diretiva (UE) 2015/2366, revogando18. Normalmente, o estabelecimento de uma relação de clientela entre o Banco e o cliente tem início com a abertura de conta, que pode assumir várias modalidades. Pode ser uma conta de depósito, à ordem, a prazo, com pré-aviso; pode ser uma conta de títulos, de valores. Em todos os casos, é uma conta corrente estabelecida entre o banqueiro e o seu cliente19. Contrato de conta bancária (ou abertura de conta) é o acordo havido entre uma instituição bancária e um cliente através do qual se constitui, disciplina e baliza a respetiva relação jurídica bancária20,21,22,23. Pelo depósito bancário o cliente ou um terceiro entregam ao Banco uma quantia para crédito duma conta24. Não corresponde ao típico contrato de depósito, porque transfere para o banco a propriedade da quantia depositada, ficando o titular da conta com apenas um direito de crédito sobre o Banco25,26,27. É um negócio indireto usualmente designado como “depósito irregular” que se traduz numa manipulação do tipo do depósito para fins que lhe não são típicos, mas que permite alcançar28. Ora, está provado que ”a autora era titular da conta de depósitos domiciliada junto do réu na Sucursal Sotavento Negócios” e, “solicitou a adesão ao serviço prestado pelo réu através de plataforma eletrónica que lhe permitia aceder aos movimentos daquela conta e realizar pagamentos e transferências” (factos provados nºs 2 e 3). Entramos aqui no chamado home banking (Banco internético, e-banking, banco online, online banking, às vezes também banco virtual, banco eletrónico), concretizado pela possibilidade conferida pela entidade bancária aos seus clientes, mediante a aceitação de determinados condicionalismos, a utilizar toda uma panóplia de operações bancárias, on line, relativamente às contas de que sejam titulares, utilizando para o efeito canais telemáticos que conjugam os meios informáticos com os meios de comunicação à distância (canais de telecomunicação), por meio de uma página segura do banco, que se reveste de grande utilidade, especialmente para utilizar os serviços do banco fora do horário de atendimento ou de qualquer lugar onde haja acesso à Internet29,30. Através deste serviço que os bancos põem à disposição dos seus clientes, estes podem efetuar, além do mais, consultas de saldos, pagamentos de serviços/compras, carregamentos de telemóveis, transferências de valores depositados para contas próprias ou de terceiros, para a mesma ou para diversa instituição de crédito31. O progresso tecnológico dos últimos anos, veio revolucionar todo o comércio jurídico, nomeadamente a nível das relações bancárias, pois começamos com a emissão de cartões, de crédito e de débito, sendo que com estes se podem realizar uma infinidade de operações utilizando-se para o efeito os terminais de caixa automática, vulgo ATM e podemos agora, através dos sistemas de homebanking, aceder a uma variedade de operações bancárias, on line, utilizando para o efeito um computador pessoal32. Para o efeito os bancos fornecem aos seus clientes senhas de acesso pessoais, bem como cartões matriz constituídos por uma infinidade de composições numéricas, que normalmente são solicitadas no final de cada operação efetuada por meios telemáticos e por forma a autenticá-la, já que esse cartão matriz deverá apenas ser do conhecimento do cliente, único a poder utilizá-lo, não lhe sendo permitido fornecer nenhum dos dados nele insertos a terceiros, uma vez que, quer o protocolo da página bancária, quer o tráfego de toda a informação nela processada, o que inclui as sobreditas senhas de acesso, são encriptadas, tornando quase impossível um terceiro obter ou alterar a informação depois de enviada33. Apenas o prestador do serviço pode assegurar a operacionalidade do complexo sistema informático utilizado e a regularidade do seu funcionamento, garantindo, também, a confidencialidade dos dispositivos de segurança que permitem aceder ao instrumento de pagamento34. Por esta razão, recai sobre o banco prestador do serviço o risco das falhas e do deficiente funcionamento do sistema, impendendo ainda sobre o mesmo o ónus da prova de que a operação de pagamento não foi afetada por avaria técnica ou qualquer outra deficiência35. Ao utilizador do serviço de pagamento – que deve dispor de um conjunto de dispositivos de segurança, como o código de acesso, cartão matriz, entre outros, que lhe vão permitir aceder a esse serviço, dada a sua função de autenticação e identificação – exige-se que tome as medidas razoáveis em ordem a preservar a eficácia desses dispositivos36. Nos autos, a recorrente alegou que as operações bancárias (transferências e pagamentos), não foram por si realizadas, e nem autorizou que fossem efetuadas. Quando assim seja, o prestador de serviços de pagamento só pode executar uma operação ou um conjunto de operações que tenha sido devidamente autorizado pelo utilizador do serviço. Como refere o tribunal a quo “o consentimento para a execução das operações tem de ser dado pelo ordenante nos termos acordados e terá que ser prévio à operação e, caso não tendo sido prestado nos termos acordados, a operação considera-se não autorizada”. “A execução da ordem exige também que o cliente tenha sido autenticado pelo prestador do serviço através de um procedimento que lhe permite verificar a identidade de um utilizador de serviços de pagamento ou a validade da utilização de um instrumento de pagamento específico, incluindo a utilização das credenciais de segurança personalizadas do utilizador”. Assim, “se o utilizador de serviços negar ter autorizado a operação, ou alegar que ela foi incorretamente efetuada, cabe ao prestador dos serviços de pagamento provar que a operação de pagamento foi autenticada, devidamente registada e contabilizada e que não foi afetada por avaria técnica ou qualquer outra deficiência do serviço prestado pelo prestador de serviços de pagamento”. Ao prestador de serviços de pagamento incumbe, pois, a prova de que todas as transações que executou foram devidamente autorizadas pela cliente. Ora, provou-se que os pagamentos e transferências foram efetuados com utilização do Código de Utilizador da autora, confirmados com duas posições aleatórias do NIF e com a introdução dos Códigos de Autorização enviados por “SMS” para o telemóvel n.º 962 (facto provado n.º 23), número esse que fora indicado pela gerente da autora ao réu (facto provado n.º 6). Temos, pois, que os movimentos bancários (transferências/ pagamentos) derivaram da introdução de credenciais e códigos através do computador da autora/recorrente, incluindo, a introdução dos códigos de autorização que foram recebidas no seu telemóvel e, ato contínuo, o sistema do banco/recorrido por estarem reunidos todos os requisitos de movimentação cumpriu as sucessivas instruções de transferência. Assim, as mensagens foram efetivamente enviadas para o telemóvel da autora/recorrente e as operações exigiram a inserção dos códigos remetidos por essa via. Conforme entendimento do tribunal a quo, que subscrevemos, “O banco réu logrou fazer a prova que lhe é imposta pelo supra citado artigo 70.º do RSP, ou seja, que todas as transações que executou e que estão em discussão nos autos foram realizadas a partir do computador da autora, com as credenciais da autora e foram confirmadas pelos códigos enviados para o número de telemóvel indicado pela gerente da autora, pelo que foram por ela autorizadas, e que só após a introdução dos códigos de autorização respetivos é que o sistema do banco – que não foi acometido de qualquer avaria técnica ou de intrusão ilícita de terceiros durante o período em causa – deu cumprimento às instruções da ordenante”. A recorrente alegou ainda que “não decorre dos factos que tenha procedido à introdução dos códigos enviados para o seu número de telemóvel”. Porém, provou-se que “o código de autorização para cada uma das operações bancárias foi recebido no telemóvel com o número ali identificado que era detido e se encontrava sob o domínio de pessoa humana que estava no mesmo local que o computador que tinha o Certificado Digital para as operações bancárias e só depois da introdução tempestiva dos códigos de autorização emitidos para cada uma daquelas operações (transferência/pagamento) o sistema informático do Banco cumpriu a instrução de cada uma das referidas operações”. Assim, mesmo que não tenha sido a recorrente/autora a efetuar as operações bancárias, nem consentido nas mesmas, porém, disponibilizou os meios de acesso à conta, uma vez que todas as operações ocorridas o foram a partir do seu computador e telemóvel. Mas mesmo que esse acesso tenha sido realizado por terceiros, a tal facto é alheio o banco/recorrido, porquanto incumbia à recorrente tomar as devidas cautelas para que o computador e o telemóvel não fossem acedidos por terceiros37. Isto porque o utilizador do serviço de pagamento tem de dispor de um conjunto de dispositivos de segurança (código de acesso, cartão matriz, etc.) que lhe vão permitir aceder a esse serviço. Esses dispositivos de segurança personalizados têm uma função de autenticação, permitindo identificar o utilizador e verificar se este é efetivamente o cliente que contratou o serviço de homebanking38. Exige-se, por isso, ao utilizador que tome todas as medidas razoáveis em ordem a preservar a eficácia desses dispositivos de segurança personalizados. Esses dispositivos de segurança personalizados visam evitar que terceiros consigam aceder, fraudulentamente, através do sistema, à conta do cliente utilizador do serviço de homebanking, logrando apropriar-se de fundos aí existentes39. E, verificou-se algum ataque informático (in casu, via pharming), de modo a ter o banco/recorrido de provar que as obrigações decorrentes do contrato de home banking não foram cumpridas pela autora/recorrente. Pensamos que não. Entre as técnicas mais frequentemente utilizadas por terceiros para aceder, fraudulentamente, através do sistema, à conta do cliente utilizador do serviço de homebanking, contam-se: (i) o phishing, que consiste “o envio de mensagens de correio eletrónico, que provêm aparentemente do banco prestador do serviço, tentando obter dados confidenciais que permitam o acesso ao serviço de pagamento eletrónico; e (ii) o pharming, uma técnica mais sofisticada em que é «corrompido» o próprio nome de domínio de uma instituição financeira, redirecionando o utilizador para um site falso – em tudo similar ao verdadeiro – sempre que este digita no teclado a morada correta do seu banco” 40,41. Os riscos da falha do sistema informático utilizado, bem como dos ataques cibernautas ao mesmo, têm de correr por conta dos bancos, por a tal conduzir o disposto no art. 796º/1, do CCivil42,43. Ao prestador dos serviços bancários cabe, pois, por lei assegurar a qualidade e segurança do sistema que permita movimentar a conta apenas a quem tem legitimidade, depositando, levantando ou transferindo fundos44. O risco de funcionamento deficiente ou inseguro do sistema de prestação de serviços de pagamento ou transferência localiza-se, portanto, na esfera do seu prestador, a quem incumbe a responsabilidade por operações não autorizadas pelo cliente nem devidas a causa imputável ao cliente45. Ora, provou-se que o site de homebanking do Banco não sofreu, no período em que foram feitas as transferências da conta do Autor nenhum ataque informático ou qualquer tentativa de intrusão ou utilização ilícita por parte de terceiros (facto provado nº 44). Concluindo, não tendo o site de homebanking sofrido qualquer ataque informático, não tinha o Banco/recorrido o ónus de provar que a operação de pagamento não foi afetada por avaria técnica ou qualquer outra deficiência. Só caso o site de homebanking tivesse sofrido algum ataque informático, é que o Banco/recorrido teria de provar que as obrigações decorrentes do contrato não foram cumpridas pela autora/recorrente (v.g., que violou o contrato divulgando na internet dados pessoais, secretos e intransmissíveis relativos ao seu acesso). Destarte, não tendo o Banco/recorrido de provar que as obrigações decorrentes do contrato de home banking não foram cumpridas pela autora/recorrente, por não ter o site sofrido qualquer ataque informático, há que confirmar o acórdão recorrido. 3. DISPOSITIVO 3.1. DECISÃO Pelo exposto, acordam os juízes desta secção cível (1ª) do Supremo Tribunal de Justiça em julgar improcedente a revista e, consequentemente, em confirmar-se o acórdão recorrido. 3.2. REGIME DE CUSTAS Custas pela recorrente (na vertente de custas de parte, por outras não haver46), porquanto a elas deu causa por ter ficado vencida47. Lisboa, 2024-01-2348,49 (Nelson Borges Carneiro) – Relator (Maria João Vaz Tomé) – 1º adjunto (Manuel Aguiar Pereira) – 2º adjunto _____________________________________________ 1. As decisões judiciais podem ser impugnadas por meio de recursos – art. 627º/1, do CPCivil.↩︎ 2. Recursos, «em sentido técnico-jurídico, são os meios específicos de impugnação das decisões judiciais, através dos quais se obtém o reexame da matéria apreciada pela decisão recorrida» – FERREIRA DE ALMEIDA, Direito Processual Civil, volume II, 2ª edição, p. 463.↩︎ 3. No nosso sistema processual (no que à apelação e à revista) predomina o «esquema do recurso de reponderação»: o objeto do recurso é a decisão impugnada, encontrando-se à partida, vedada a produção defeitos jurídicos ex-novo. Através do recurso, o que se visa é a impugnação de uma decisão já ex-ante proferida que não o julgamento de uma qualquer questão nova. Uma relevante exceção ao modelo de reponderação é a que se traduz nas questões de conhecimento oficioso: o tribunal superior pode sempre apreciar qualquer dessas questões ainda que não suscitadas perante o tribunal a quo – FERREIRA DE ALMEIDA, Direito Processual Civil, volume II, 2ª edição, p. 468.↩︎ 4. Os recursos são ordinários ou extraordinários, sendo ordinários os recursos de apelação e de revista e extraordinários o recurso para uniformização de jurisprudência e a revisão – art. 627º/2, do CPCivil.↩︎ 5. A lei estabelece uma divisão entre recursos ordinários e recursos extraordinários a partir de um critério formal ligado ao trânsito em julgado da decisão. Enquanto os recursos ordinários pressupõem que ainda não ocorreu o trânsito em julgado, devolvendo-se ao tribunal de recurso a possibilidade de anular, revogar ou modificar a decisão, os recursos extraordinários são interpostos depois daquele trânsito – ABRANTES GERALDES – PAULO PIMENTA – PIRES DE SOUSA, Código de Processo Civil Anotado, volume 1º, 2ª ed., p. 777.↩︎ 6. Aquele que interpõe o recurso – FERREIRA DE ALMEIDA, Direito Processual Civil, volume II, 2ª edição, p. 477.↩︎ 7. Aquele contra quem se interpõe o recurso – FERREIRA DE ALMEIDA, Direito Processual Civil, volume II, 2ª edição, p. 477.↩︎ 8. O juiz que lavrar o acórdão deve sumariá-lo – art. 663º/7, do CPCivil.↩︎ 9. O sumário não faz parte da decisão, consistindo tão só numa síntese daquilo que fundamentalmente foi apreciado com mero valor de divulgação jurisprudencial. Por tais motivos, o sumário deve ser destacado do próprio acórdão, sendo da exclusiva responsabilidade do relator – ABRANTES GERALDES, Recursos em Processo Civil, Novo Regime, p. 301.↩︎ 10. O acórdão principia pelo relatório, em que se enunciam sucintamente as questões a decidir no recurso, expõe de seguida os fundamentos e conclui pela decisão, observando-se, na parte aplicável, o preceituado nos artigos 607.º a 612.º – art. 663º/2, do CPCivil.↩︎ 11. Para além do dever de apresentar a sua alegação, impende sobre o recorrente o ónus de nela concluir, de forma sintética, pela indicação dos fundamentos por que pede a alteração ou anulação da decisão – ónus de formular conclusões (art. 639º/1) – FERREIRA DE ALMEIDA, Direito Processual Civil, volume II, 2ª edição, p. 503.↩︎ 12. As conclusões exercem ainda a importante função de delimitação do objeto do recurso, como clara e inequivocamente resulta do art. 639º/3. Conforme ocorre com o pedido formulado na petição inicial, as conclusões devem corresponder à identificação clara e rigorosa daquilo que o recorrente pretende obter do tribunal superior, em contraposição com aquilo que foi decidido pelo tribunal a quo – ABRANTES GERALDES – PAULO PIMENTA – PIRES DE SOUSA, Código de Processo Civil Anotado, volume 1º, 2ª ed., p. 795.↩︎ 13. O recorrente deve apresentar a sua alegação, na qual conclui, de forma sintética, pela indicação dos fundamentos por que pede a alteração ou anulação da decisão. Versando o recurso sobre matéria de direito, as conclusões devem indicar, as normas jurídicas violadas; o sentido com que, no entender do recorrente, as normas que constituem fundamento jurídico da decisão deviam ter sido interpretadas e aplicadas, e invocando-se erro na determinação da norma aplicável, a norma jurídica que, no entendimento do recorrente, devia ter sido aplicada – art. 639º/1/2 ex vi do art. 679º, ambos do CPCivil.↩︎ 14. Na sessão anterior ao julgamento do recurso, o processo, acompanhado com o projeto de acórdão, vai com vista simultânea, por meios eletrónicos, aos dois juízes-adjuntos, pelo prazo de cinco dias, ou, quando tal não for tecnicamente possível, o relator ordena a extração de cópias do projeto de acórdão e das peças processuais relevantes para a apreciação do objeto da apelação – art. 657º/2 ex vi do art. 679º, ambos do CPCivil.↩︎ 15. Todas as questões de mérito que tenham sido objeto de julgamento na sentença recorrida e que não sejam abordadas nas conclusões do recorrente, mostrando-se objetiva e materialmente excluídas dessas conclusões, têm de se considerar decididas, não podendo de elas conhecer o tribunal de recurso.↩︎ 16. Vem sendo entendido que o vocábulo “questões” não abrange os argumentos, motivos ou razões jurídicas invocadas pelas partes, antes se reportando às pretensões deduzidas ou aos elementos integradores do pedido e da causa de pedir, ou seja, entendendo-se por “questões” as concretas controvérsias centrais a dirimir.↩︎ 17. Relativamente a questões de conhecimento oficioso e que, por isso mesmo, não foram suscitadas anteriormente, deve ser assegurado o contraditório, nos termos do art. 3º/3, do CPCivil.↩︎ 18. O art. 3º, do D/L n.º 91/2018, de 12-11, revogou o regime jurídico que regulava o acesso à atividade das instituições de pagamento e a prestação de serviços de pagamento, aprovado pelo Decreto-Lei n.º 317/2009, de 30-10.↩︎ 19. PEDRO PAIS DE VASCONCELOS – PEDRO LEITÃO PAIS DE VASCONCELOS, Direito Comercial, Volume I, 2ª edição, p. 286.↩︎ 20. ENGRÁCIA ANTUNES, Direito dos Contratos Comerciais, p. 483.↩︎ 21. O contrato de abertura de conta é um negócio jurídico que marca o início de uma relação bancária complexa entre o banqueiro e o cliente e traça o quadro básico do relacionamento entre tais entidades. Podendo considerar-se como um contrato a se: próprio, com características irredutíveis e uma função autónoma – Ac. Supremo Tribunal de Justiça de 2010-10-07, Relator: SERRA BAPTISTA, http://www.dgsi.pt/jstj.↩︎ 22. Por via do contrato de abertura de conta ou conta-corrente bancária, o banco obriga-se, fundamentalmente, a prestar ao seu cliente o chamado serviço de caixa, efetuando os pagamentos solicitados e a cobrança de valores e, em geral, recebendo dinheiro ou valores por conta do cliente, registando em conta-corrente as várias operações que se forem sucedendo – Ac. Supremo Tribunal de Justiça de 2009-11-12, Relator: SANTOS BERNARDINO, http://www.dgsi.pt/jstj.↩︎ 23. Designa-se por contrato de conta bancária (ou abertura de conta) o acordo havido entre uma instituição bancária e um cliente «através do qual se constitui, disciplina e baliza a respetiva relação jurídica bancária – Ac. Supremo Tribunal de Justiça de 2013-12-18, Relatora: ANA PAULA BOULAROT, http://www.dgsi.pt/jstj.↩︎ 24. PEDRO PAIS DE VASCONCELOS – PEDRO LEITÃO PAIS DE VASCONCELOS, Direito Comercial, Volume I, 2ª edição, p. 287.↩︎ 25. PEDRO PAIS DE VASCONCELOS – PEDRO LEITÃO PAIS DE VASCONCELOS, Direito Comercial, Volume I, 2ª edição, p. 287.↩︎ 26. Esta figura contratual tem sido subsumida na espécie negocial de depósito (arts. 1185º e 1187º do CCivil), através do qual a autora colocou a disposição do réu o seu dinheiro e para que este o guardasse e o restituísse quando fosse exigido, constituindo esta figura um depósito irregular ao qual se aplicam as regras do mútuo, com as necessárias adaptações – Ac. Supremo Tribunal de Justiça de 2013-12-18, Relatora: ANA PAULA BOULAROT, http://www.dgsi.pt/jstj.↩︎ 27. O depósito bancário tem a natureza de depósito irregular, podendo integrar uma relação plural do lado do depositante – Ac. Supremo Tribunal de Justiça de 2011-02-22, Relator: SEBASTIÃO PÓVOAS, http://www.dgsi.pt/jstj.↩︎ 28. PEDRO PAIS DE VASCONCELOS – PEDRO LEITÃO PAIS DE VASCONCELOS, Direito Comercial, Volume I, 2ª edição, p. 287.↩︎ 29. Ac. Supremo Tribunal de Justiça de 2013-12-18, Relatora: ANA PAULA BOULAROT, http://www.dgsi.pt/jstj.↩︎ 30. O contrato de “homebanking” – que a lei também qualifica de “contrato-quadro” (art. 2.º, al. m), do Regime dos Sistemas de Pagamento (RSP), aprovado pelo DL n.º 317/2009, de 30-10) – celebrado entre autora e banco réu – é o acordo mediante o qual o cliente adere a um serviço prestado pelo banco, que consiste na possibilidade de manter relações via internet, de forma a: (i) aceder a informações sobre produtos e serviços do banco; (ii) obter informações e realizar operações bancárias sobre contas de que a autora fosse titular; (iii) realizar pagamentos, cobranças e operações de compra, venda, subscrição ou resgate sobre produtos ou serviços disponibilizados pelo banco – Ac. Supremo Tribunal de Justiça de 2016-12-16, Relator: PINTO DE ALMEIDA, http://www.dgsi.pt/jstj.↩︎ 31. Ac. Supremo Tribunal de Justiça de 2013-12-18, Relatora: ANA PAULA BOULAROT, http://www.dgsi.pt/jstj.↩︎ 32. Ac. Supremo Tribunal de Justiça de 2013-12-18, Relatora: ANA PAULA BOULAROT, http://www.dgsi.pt/jstj.↩︎ 33. Ac. Supremo Tribunal de Justiça de 2013-12-18, Relatora: ANA PAULA BOULAROT, http://www.dgsi.pt/jstj.↩︎ 34. Ac. Supremo Tribunal de Justiça de 2016-12-14, Relator: PINTO DE ALMEIDA, http://www.dgsi.pt/jstj.↩︎ 35. Ac. Supremo Tribunal de Justiça de 2016-12-14, Relator: PINTO DE ALMEIDA, http://www.dgsi.pt/jstj.↩︎ 36. Ac. Supremo Tribunal de Justiça de 2016-12-14, Relator: PINTO DE ALMEIDA, http://www.dgsi.pt/jstj.↩︎ 37. O prestador de serviços de pagamento tem a obrigação de assegurar que os dispositivos de segurança personalizados do instrumento de pagamento só sejam acessíveis ao utilizador de serviços de pagamento que tenha direito a utilizar o referido instrumento – art. 68º/1/a, do RSP.↩︎ 38. MARIA RAQUEL GUIMARÃES, A repartição dos prejuízos decorrentes de operações fraudulentas de banca eletrónica, CDP 41-61 apud Ac. Supremo Tribunal de Justiça de 2016-12-14, Relator: PINTO DE ALMEIDA.↩︎ 39. Ac. Supremo Tribunal de Justiça de 2016-12-14, Relator: PINTO DE ALMEIDA, http://www.dgsi.pt/jstj.↩︎ 40. Ac. Supremo Tribunal de Justiça de 2016-12-14, Relator: PINTO DE ALMEIDA, http://www.dgsi.pt/jstj.↩︎ 41. O phishing (do inglês fishing «pesca») pressupõe uma fraude eletrónica caracterizada por tentativas de adquirir dados pessoais, através do envio de e-mails com uma pretensa proveniência da entidade bancária do recetor, por exemplo, a pedir determinados elementos confidenciais (número de conta, número de contrato, número de cartão de contribuinte ou qualquer outra informação pessoal), por forma a que este ao abri-los e ao fornecer as informações solicitadas e/ou ao clicar em links para outras páginas ou imagens, ou ao descarregar eventuais arquivos ali contidos, poderá estar a proporcionar o furto de informações bancárias e a sua utilização subsequente. A outra modalidade de fraude online é o pharming a qual consiste em suplantar o sistema de resolução dos nomes de domínio para conduzir o usuário a uma pagina Web falsa, clonada da página real, baseando-se o processo, sumariamente, em alterar o IP numérico de uma direção no próprio navegador, através de programas que captam os códigos de pulsação do teclado (os ditos keyloggers), o que pode ser feito através da difusão de vírus via spam, o que leva o usuário a pensar que está a aceder a um determinado site – por exemplo o do seu banco – e está a entrar no IP de uma página Web falsa, sendo que ao indicar as suas chaves de acesso, estas serão depois utilizadas pelos crackers, para acederem à verdadeira página da instituição bancária e aí poderem efetuar as operações que entenderem, destinando-se ambas as técnicas (phishing e pharming) à obtenção fraudulenta de fundos – Ac. Supremo Tribunal de Justiça de 2013-12-18, Relatora: ANA PAULA BOULAROT, http://www.dgsi.pt/jstj.↩︎ 42. Ac. Supremo Tribunal de Justiça de 2013-12-18, Relatora: ANA PAULA BOULAROT, http://www.dgsi.pt/jstj.↩︎ 43. Daí que recaiam sobre o banco prestador do serviço o risco das falhas e do deficiente funcionamento do sistema (como decorreria também do disposto no art. 796º do CC), impendendo ainda sobre este o ónus da prova de que a operação de pagamento não foi afetada por avaria técnica ou qualquer outra deficiência – Ac. Supremo Tribunal de Justiça de 2016-12-14, Relator: PINTO DE ALMEIDA, http://www.dgsi.pt/jstj.↩︎ 44. CALVÃO DA SILVA, Conta corrente bancária: operação não autorizada e responsabilidade civil, RLJ 144-315 apud Ac. Supremo Tribunal de Justiça de 2016-12-14, Relator: PINTO DE ALMEIDA.↩︎ 45. CALVÃO DA SILVA, Conta corrente bancária: operação não autorizada e responsabilidade civil, RLJ 144-315 apud Ac. Supremo Tribunal de Justiça de 2016-12-14, Relator: PINTO DE ALMEIDA.↩︎ 46. Como o conceito de custas stricto sensu é polissémico, porque é suscetível de envolver, nos termos do artigo 529º/1, além da taxa de justiça, que, em regra, não é objeto de condenação – os encargos e as custas de parte, importa que o juiz, ou o coletivo de juízes, nos segmentos condenatórios das partes no pagamento de custas, expressem as vertentes a que a condenação se reporta – SALVADOR DA COSTA, As Custas Processuais, Análise e Comentário, 7ª ed., p. 8.↩︎ 47. A decisão que julgue a ação ou algum dos seus incidentes ou recursos condena em custas a parte que a elas houver dado causa ou, não havendo vencimento da ação, quem do processo tirou proveito – art. 527º/1, do CPCivil.↩︎ 48. A assinatura eletrónica substitui e dispensa para todos os efeitos a assinatura autógrafa em suporte de papel dos atos processuais – art. 19º/2, da Portaria n.º 280/2013, de 26/08, com as alterações introduzidas pela Portaria n.º 267/2018, de 20/09.↩︎ 49. Acórdão assinado digitalmente – certificados apostos no canto superior esquerdo da primeira página.↩︎

Sumário

II- Apenas o prestador do serviço de pagamento (banco) pode assegurar a operacionalidade do complexo sistema informático utilizado e a regularidade do seu funcionamento, garantindo, também, a confidencialidade dos dispositivos de segurança que permitem aceder ao instrumento de pagamento.

III- Por esta razão, recai sobre o banco prestador do serviço o risco das falhas e do deficiente fundamento do sistema impendendo ainda sobre o mesmo o ónus da prova de que a operação de pagamento não foi afetada por avaria técnica ou qualquer outra deficiência.

IV- Ao utilizador do serviço de pagamento - que deve dispor de um conjunto de dispositivos de segurança, como o código de acesso, cartão matriz, entre outros, que lhe vão permitir aceder a serviço, dada a sua função de autenticação e identificação - exige-se que tome as medidas razoáveis em ordem a preservar a eficácia desses dispositivos.

Texto Integral

RECURSO DE REVISTA1,2,3,4,5379-21.0T8FAR.E1.S1

RECORRIDO7BANCO COMERCIAL PORTUGUÊS, S.A.

SUMÁRIO8,9

I- O contrato de “homebanking celebrado entre autora e banco réu é o acordo mediante o qual o cliente adere a um serviço prestado pelo banco, que consiste na possibilidade de manter relações via internet, de forma a aceder a informações sobre produtos e serviços do banco; obter informações e realizar operações bancárias sobre contas de que a autora fosse titular e, realizar pagamentos, cobranças e operações de compra, venda, subscrição ou resgate sobre produtos ou serviços disponibilizados pelo banco.

II- Apenas o prestador do serviço de pagamentos (banco), pode assegurar a operacionalidade do complexo sistema informático utilizado e a regularidade do seu funcionamento, garantindo, também, a confidencialidade dos dispositivos de segurança que permitem aceder ao instrumento de pagamento.

III- Por esta razão, recai sobre o banco prestador do serviço o risco das falhas e do deficiente funcionamento do sistema, impendendo ainda sobre o mesmo o ónus da prova de que a operação de pagamento não foi afetada por avaria técnica ou qualquer outra deficiência.

IV- Ao utilizador do serviço de pagamento – que deve dispor de um conjunto de dispositivos de segurança, como o código de acesso, cartão matriz, entre outros, que lhe vão permitir aceder a esse serviço, dada a sua função de autenticação e identificação – exige-se que tome as medidas razoáveis em ordem a preservar a eficácia desses dispositivos.

ACÓRDÃO10

Acordam os juízes da 1ª secção (cível) do Supremo Tribunal de Justiça:

1. RELATÓRIO

ISOLALGARVE - COMPANHIA DE ISOLAMENTOS DO ALGARVE, LDA., intentou ação declarativa de condenação, sob a forma de processo comum, contra BANCO COMERCIAL PORTUGUÊS, S.A., pedindo a condenação deste a pagar-lhe a quantia de 64 064,89€, acrescida de juros de mora, contados desde a data da citação e até integral pagamento.

Foi proferida sentença em 1ª instância que julgando a ação parcialmente procedente por provada, condenou o réu a pagar à autora a quantia de 54 392,90€, acrescida de 10% e de juros de mora, à taxa de juros civis, contados desde 16-07-2020 e até efetivo e integral pagamento.

O Tribunal da Relação de Évora, após alteração da decisão sobre a matéria de facto, proferiu acórdão que julgou procedente o recurso, revogando a decisão recorrida, que substituiu por outra a julgar improcedente a ação e absolvendo o réu do pedido.

Inconformada, veio a autora interpor recurso de revista deste acórdão, tendo extraído das alegações11,12 que apresentou as seguintes

CONCLUSÕES13:

a) O presente litígio tem na sua génese um contrato de home banking (igualmente referido como banco internético, e-banking, banco online ou banca eletrónica)

b) Em 16/07/2020, a recorrida foi surpreendida com a existência de várias operações bancárias realizadas através da referida plataforma online ( traduzidas em pagamentos e transferências), que perfaziam o montante de 56 990,00€, efetuadas, sem o seu consentimento e autorização, para destinatários que lhe eram completamente desconhecidos.

c) Imediatamente, foi comunicada tal situação à recorrida,

d) A recorrida apenas devolveu à recorrente o montante de 2597,10 € (dois mil quinhentos e noventa e sete euros e dez cêntimos).

e) Por tal facto, a recorrente intentou a presente demanda pedindo a condenação da recorrida no montante de 61 064,89€ a título de indemnização por danos patrimoniais, acrescida de juros calculados à taxa legal, contados desde a citação e até integral pagamento, bem como o pagamento da quantia de 3000,00€, a título de indemnização por danos não patrimoniais, acrescida de juros calculados à taxa legal e contados desde a data da citação e até integral pagamento.

f) A recorrida apresentou a sua contestação;

g) Das alegações das partes, resultou a condenação em 1.ª instância da recorrida ao pagamento à recorrente da quantia de €54.392,90, acrescida de 10% e de juros de mora, à taxa de juros civis, contados desde 16.07.2020 até efetivo e integral pagamento.

h) A recorrida interpôs recurso para o douto Tribunal a quo no qual impugnou a decisão de facto e a reapreciação do mérito da causa, tendo o douto Tribunal a quo julgado parcialmente procedente a impugnação da decisão de facto e concluído com a absolvição da recorrida do pedido.

i) Considera a recorrente que o acórdão recorrido, ao absolver a recorrida do pedido, violou o estabelecido no artigo 70.º do DL n.º 317/2009 de 30.10, aplicável à data dos factos ( sem prejuízo da aplicação das disposições contidas no novo regime previstos no D/L n.º 91/2018, de 12.11, cfr. artigo 159.º do referido diploma).

j) Não decorre dos factos que, apesar do facto aditado 23-a, tenha sido a recorrente a proceder à introdução dos códigos enviados para o seu número de telemóvel.

k) Motivo pelo qual, a realidade fáctica provada é insuficiente para que o Tribunal a quo concluísse com a decisão proferida.,

l) O acarreta um vício da insuficiência de matéria de facto para a decisão de direito.

m) Julgou mal o Tribunal a quo ao aplicar, atenta a factualidade dada como provada, erradamente o artigo 70.º do RSP, na medida que, por um lado, a matéria dada como provada é insuficiente para que se conclua que a recorrida logrou fazer a prova imposta pelo n.º 1 do art. 70.º do RSP,

n) Assim, sempre deveria ter sido considerado como não provado o ónus imposto à recorrida ( Cfr. 799.º n.º 1 e 796.º n.º 1 do Código Civil e art. 70 n.º 1 do RSP).

o) Igualmente, violou o Tribunal a quo o disposto no n.º 2 do art. 70.º do RSP, na medida que, não conta no acervo dos factos dados como provados, que a recorrente agiu de forma fraudulenta ou que não cumpriu deliberadamente ou por negligência grave, uma ou mais das suas obrigações decorrentes do contrato de home banking celebrado com a recorrida, motivo pelo qual, sempre deveria a recorrida ter sido considerada, pelo Tribunal a quo, responsável pelos danos sofridos pela recorrente, em conformidade com o estabelecido no referido normativo e regime aplicável.

p) Assim, deverá o acórdão recorrido ser revogado e substituído em conformidade com a matéria supra alegada, assim como, com as consequências legais que V. Ex.ºs venham a entender ser a legalmente admissíveis

A recorrida contra-alegou, pugnando pela improcedência da revista e a manutenção do acórdão recorrido.

Colhidos os vistos14, cumpre decidir.

OBJETO DO RECURSO15,16

Emerge das conclusões de recurso apresentadas por ISOLALGARVE – COMPANHIA DE ISOLAMENTOS DO ALGARVE LDA, ora recorrente, que o seu objeto está circunscrito à seguinte questão:

1. ) Saber se o banco/recorrido fez a prova que lhe é imposta pelo artigo 70º, do Regime dos Sistemas de Pagamento, isto é, se as transações feitas pela autora/recorrente a partir do seu computador foram por esta autorizadas.

2. FUNDAMENTAÇÃO

2.1. FACTOS PROVADOS NA 1ª E 2ª INSTÂNCIA

1- A autora é uma sociedade que tem por objeto a colocação de isolamentos e revestimentos na indústria da construção civil.

2- Era titular da conta de depósitos à ordem com o n.º ...362, domiciliada junto do réu na Sucursal ... com o código n.º 1642.

3- Há pelo menos 10 anos a gerente da autora solicitou ao réu a adesão ao serviço por este prestado através de plataforma eletrónica (área empresa do milleniumbcp.pt) que lhe permitia aceder aos movimentos daquela conta e realizar pagamentos e transferências.

4- Para o efeito foi-lhe fornecido pelo réu o Certificado Digital, composto por um Código de Adesão com 15 dígitos e que foi instalado no computador que a autora possuía na sua sede, o Código de Utilizador e a Password de acesso.

5- Para a entrada na referida plataforma era ainda pedida a introdução, de forma aleatória, de duas posições do Número de Identificação Fiscal da autora.

6- Para confirmação de operação de pagamento ou transferência era pedida a introdução de um Código de Autorização, o qual era enviado para o telemóvel com o n.º ...962, que fora indicado pela gerente da autora ao réu.

7- A gerente da autora mantinha na sua posse as credenciais de acesso e utilizava quase diariamente aquela plataforma para consultar movimentos da conta bancária, efetuar pagamentos ou transferências bancárias.

8- No dia 16.07.2020, por volta das 11h03m39ss, a gerente da autora iniciou o acesso à referida plataforma através do computador existente na sede da empresa, que utilizava o sistema operativo Windows 7, tendo como browser o Internet Explorer 11.

9- Após a gerente da autora introduziu o Código de Utilizador (J...), a Password de acesso e dois números do NIF.

10- eliminado.

11- eliminado.

12- eliminado.

13- Pelas 11:15:46h foi efetuado o Envio de Ficheiros PSM no valor de 2997,00€ e para confirmar esta operação foi emitido pelo réu, às 11:13:39h, um Código de Autorização para o n.º de telemóvel ...962 (com o seguinte conteúdo: “MBCP Emp - Envio Ficheiro – Cta Deb: ...362EUR - Tipo: PSM - N. reg:3 - Mont:2997,00EUR - Data Proc:16/07/2020 - Codigo Autorizacao:1221618).

14- Pelas 11:29:01h foi efetuada uma Transferência Nacional no valor de €1000,00 para o IBAN PT...05, com o beneficiário “AA”, o descritivo “PAGAMENTOS” e para confirmar esta operação foi emitido pelo réu às 11:27:32h um Código de Autorização para o nº de telemóvel ...962 (com o seguinte conteúdo: “MBCP Emp -Transferencia Nacional – Cta Debito:...362EUR – IBAN Destino: PT...05 - Montante:1000,00EUR - Código Autorizacao: 1621801).

15- Pelas 11:31:48h foi efetuada uma Transferência Nacional no valor de €9.999,00 para o IBAN PT...05, com o beneficiário “AA”, o descritivo “PAGAMENTOS” e para confirmar esta operação foi emitido pelo réu, às 11:30:58h, um Código de Autorização para o nº de telemóvel ...962 (com o seguinte conteúdo: “MBCP Emp -Transferencia Nacional – Cta Debito:...362EUR – IBAN Destino: PT...05 - Montante:9999,00EUR - Codigo Autorizacao: 1401366).

16- Pelas 11:35:05h foi efetuada uma Transferência Nacional Imediata no valor de €9.998,00 para o IBAN PT...95, com o beneficiário “BB”, o descritivo “PAGAMENTOS” e para confirmar esta operação foi emitido pelo réu, às 11:34:25h, um Código de Autorização para o n.º de telemóvel ...962 (com o seguinte conteúdo: “MBCP Emp -Transferencia Nacional – Cta Debito:...362EUR – IBAN Destino:PT...95 - Montante:9998,00EUR -Codigo Autorizacao: 1659571).

17- Pelas 11:39:02h foi efetuado um pagamento de serviços no valor de €999,00 para a entidade ...00 - M... com a referência ...47 e esta transação foi confirmada com o Código de Autorização enviado por SMS, às 11:38:17h, para o n.º de telemóvel ...962 (com o seguinte conteúdo: “MBCP Emp - Pagamento Servicos -Cta/Cartao: ...362 -Entidade:...00 - Referencia:769791347 - Montante:999,00EUR - Codigo Autorizacao:1301643).

18- Pelas 11:43:33h foi efetuada uma Transferência Nacional Imediata no valor de €10.000,00 para o IBAN PT...60, tendo com o beneficiário “CC”, o descritivo “PAGAMENTOS” e para confirmar esta operação foi emitido pelo réu, às 11:42:55h, um Código de Autorização para o n.º de telemóvel ...962 (com o seguinte conteúdo: “MBCP Emp - Transferencia Nacional – Cta Debito:...362EUR – IBAN Destino:PT...60 - Montante:10 000,00EUR - Codigo Autorizacao: 2910214).

19- Pelas 11:46:00h foi efetuada uma Transferência Nacional no valor de €10.000,00 para o IBAN PT...05, com o beneficiário “DD”, o descritivo “PAGAMENTOS” e para confirmar esta operação foi emitido pelo réu, às 11:45:14h, um Código de Autorização para o n.º de telemóvel ...962 (com o seguinte conteúdo: “MBCP Emp -Transferencia Nacional – Cta Debito:...362EUR – IBAN Destino: PT...05 - Montante:10 000,00EUR -Codigo Autorizacao: 1483321).

20- Pelas 11:47:57h foi efetuado um pagamento de serviços no valor de €998,00 para a entidade ...00 - M... com a referência ...19 e esta transação foi confirmada com o Código de Autorização enviado por SMS, às 11:47:20h, para o n.º de telemóvel ...962 (com o seguinte conteúdo: “MBCP Emp - Pagamento Servicos - Cta/Cartao: ...362 -Entidade:...00 - Referencia:914315619 - Montante:998,00EUR - Codigo Autorizacao:2421862).

21- Pelas 11:58:21h foi efetuado um pagamento de serviços no valor de €999,00 para a entidade ...00 - M... com a referência ... e esta transação foi confirmada com o Código de Autorização enviado por SMS, às 11:57:47h, para o n.º de telemóvel ...962 (com o seguinte conteúdo: “MBCP Emp - Pagamento Servicos - Cta/Cartao: ...362 -Entidade:21800 - Referencia:506126591 - Montante:999,00EUR - Codigo Autorizacao:4171431).

22- Pelas 12:01:29h foi efetuada uma Transferência Nacional no valor de €10.000,00, para o IBAN PT...94, com o beneficiário “EE”, o descritivo “PAGAMENTOS” e para confirmar esta operação foi emitido pelo réu, às 12:00:09h, um Código de Autorização para o n.º de telemóvel ...962 (com o seguinte conteúdo: “MBCP Emp -Transferencia Nacional – Cta Debito:...362EUR – IBAN Destino: PT...94 - Montante:10 000,00EUR - Codigo Autorizacao: 6324297).

23- Os pagamentos e transferências referidos em 13. a 22. foram efetuados com utilização do Código de Utilizador da autora, confirmados com duas posições aleatórias do NIF e com a introdução dos Códigos de Autorização enviados por “SMS” para o telemóvel n.º ...962.

23 a - O código de autorização para cada uma das operações bancárias referidas nos pontos de facto n.ºs 13 a 22 foi recebido no telemóvel com o número ali identificado que era detido e se encontrava sob o domínio de pessoa humana que estava no mesmo local que o computador que tinha o Certificado Digital para as operações bancárias e só depois da introdução tempestiva dos códigos de autorização emitidos para cada uma daquelas operações (transferência/pagamento) o sistema informático do Banco cumpriu a instrução de cada uma das referidas operações.

24- Pelas 11:18:41h foi tentada uma Transferência Nacional, no valor de €10.000,00 para o Iban PT...05, com o beneficiário “AA” e para confirmar esta transação foram enviados pelo réu, às 11:19:00h, dois Códigos de Autorização para o n.º de telemóvel ...962, os quais não foram introduzidos na plataforma (com os seguintes conteúdos: “MBCP Emp -Transferencia Nacional-Cta Debito: ...362EUR-IBAN Destino:PT...05 - Montante: 10.000,00EUR - Codigo Autorizacao: 1541482” e “MBCP Emp - Transferencia Nacional - Cta Debito: ...362EUR – IBAN Destino:PT...05 - Montante: 10.000,00EUR -Codigo Autorizacao: 1261181).

25- Foi tentado o Envio de Ficheiros PSM, no valor de €1.998,00, com Códigos de Autorização enviados para o n.º de telemóvel ...962, pelas 12:07:04h (com o seguinte conteúdo: “MBCP Emp - Envio Ficheiro – Cta Deb:...362EUR - Tipo: PSM - N. reg:2 - Mont:1.998,00EUR – Data Proc:16/07/2020 - Codigo Autorizacao:238573), pelas 12:07:08h (com o seguinte conteúdo: “MBCP Emp - Envio Ficheiro – Cta Deb:...362EUR - Tipo:PSM - N. reg:2 - Mont:1.998,00EUR – Data Proc:16/07/2020 - Codigo Autorizacao: 1529425), pelas 12:08:04h (com o seguinte conteúdo: “MBCP Emp - Envio Ficheiro – Cta Deb:...362EUR - Tipo: PSM - N. reg:2 - Mont:1.998,00EUR – Data Proc:16/07/2020 - Codigo Autorizacao:1961641) e pelas 12:08:05h (com o seguinte conteúdo: “MBCP Emp - Envio Ficheiro – Cta Deb:...362EUR - Tipo: PSM - N. reg:2 - Mont:1.998,00EUR – Data Proc:16/07/2020 - Codigo Autorizacao:2359345).

26- Estas operações não foram realizadas porque não foram introduzidos na plataforma os Códigos de Autorização que haviam sido enviados para o telemóvel n.º ...962.

27- Pelas 15h50m58ss a gerente da autora acedeu à plataforma.

28- (eliminado).

29- (eliminado)

30- Deslocou-se à Sucursal ... do réu, onde chegou por volta das 16h00m, em estado de ansiedade e quase pânico.

31- Ao contar o sucedido os colaboradores do banco réu comunicaram-lhe que se tratava de um caso de fraude e que deveria apresentar queixa.

32- Pelas 14h37m daquele dia havia sido enviado um e-mail por FF, do Gabinete de Gestão Aplicacional e Segurança do réu, para a Sucursal ..., referindo que na sequência de um alerta Paywatch (SIBS) verificaram-se 3 transações suspeitas na conta da autora, solicitando o contato do cliente e que se aferisse se se tratavam de transações fidedignas (cf. doc. de fls.23vº/24, cujo teor se dá por integralmente reproduzido).

33- O qual não obteve resposta por parte dos colaboradores da Sucursal

34- Após o referido em 31. os colaboradores da Sucursal ... bloquearam os movimentos na conta bancária e pelas 16h47m comunicaram que se tratava de fraude e solicitaram a devolução de todas as transferências realizadas naquele dia (cf. doc. de fls.24vº, cujo teor se dá por integralmente reproduzido).

35- Nesse mesmo dia a gerente da autora apresentou reclamação junto do réu relativa aos débitos realizados sem o seu consentimento (cf. doc. de fls.25, cujo teor se dá por integralmente reproduzido).

36- E apresentou denuncia na Divisão Policial de ... da Polícia de Segurança Pública à qual foi atribuído o NUIPC 000748/20.3... (cf. doc. de fls.25vº/26, cujo teor se dá por integralmente reproduzido).

37- Em 28.07.2020 foi restituído à autora o montante de 2.597,10 €.

38- Em 11.09.2020 a autora enviou carta registada ao réu, solicitando a devolução do restante montante (cf. doc. de fls.26vº/28vº, cujo teor se dá por reproduzido).

39- Em 11.11.2020 o réu respondeu referindo que “não tem o Banco qualquer responsabilidade nas transações em causa, considerando que todos os mecanismos de processamento e validação utilizados encontram-se no Banco registados em nome da Sra. D. GG e da Isolalgarve C Isolamentos Algarve Lda., nomeadamente o Código de Adesão, o Certificado Digital, o Código de Utilizador, a Password, duas posições do Número Fiscal, número de telemóvel para a receção dos Códigos de Autorização com a identificação clara e inequívoca da operação a realizar e respetiva confirmação com esse código” (cf. doc. de fls.29/30, cujo teor se dá por reproduzido).

40- Referindo, ainda, que “quanto aos pagamentos de serviços, e conforme oportunamente transmitido por contato telefónico, é necessário que procedam ao registo de reclamação sobre os montantes da fraude, através do site da entidade de Pagamento M... em https://onlinepaymentplatform.com/en/contact.” (cf. doc. de fls.29/30, cujo teor se dá por reproduzido).

41- O banco réu tem no seu site, à disposição dos clientes, diversos avisos de segurança e recomendações para acesso ao portal do banco e segurança no acesso ao portal de empresa, onde se detalham aspetos para prevenir fraudes.

42- Alertando os clientes para eventuais tentativas de uso indevido dos dados dos clientes, páginas que têm semelhança com a do banco de entre outras.

43- A autora nunca questionou a operadora de telemóvel Vodafone sobre a possibilidade de clonagem ou acesso indevido ao seu telemóvel, no período em que ocorreram todas operações identificadas nos números 13 a 22 dos factos dados como provados.

44- O site de homebanking do Banco não sofreu, no período em que foram feitas as transferências da conta do Autor nenhum ataque informático ou qualquer tentativa de intrusão ou utilização ilícita por parte de terceiros.

2.2. FACTOS NÃO PROVADOS NA 1ª E 2ª INSTÂNCIA

a) Apenas a gerente da autora tem acesso às credenciais que lhe permitem o acesso à plataforma informática.

b) Era impossível a utilização das credenciais sem o conhecimento da gerente da autora.

c) O réu efetuou o bloqueio das operações realizadas antes das 14h37m e das 16h00m.

d) O sistema de segurança do réu consegue identificar as movimentações não consentidas pelo titular da conta resultantes da intromissão de “piratas informáticos”.

e) O computador utilizado pela gerente da autora encontrava-se vulnerável a ataques cibernéticos e era obsoleto.

f) A autora sofreu constrangimentos e transtornos devido à indisponibilidade na conta bancária dos montantes referidos em 13. a 22.

g) Apareceu no ecrã do computador uma página em branco que a impossibilitou de efetuar qualquer operação.

h) Após voltar a aceder à plataforma, introduziu o Código de Utilizador, a Password e dois números do NIF, voltando a aparecer uma página em branco.

i) A gerente da autora realizou duas tentativas de entrar novamente na plataforma, desligando e voltando a ligar o computador.

j) Supôs que o serviço estaria indisponível e foi almoçar.

l) E conseguiu verificar que haviam sido realizadas as transferências e os pagamentos referidos em 13 a 22.

m) As transferências e os pagamentos referidos em 13 a 22 não foram efetuados, nem consentidos, pela gerente da autora desconhecendo os respetivos destinatários.;

n) Nesse momento constatou que havia recebido no seu telemóvel várias mensagens contendo os códigos de autorização para a realização dessas operações que não havia utilizado.

2.3. O DIREITO

Importa conhecer o objeto do recurso, circunscrito pelas respetivas conclusões, salvas as questões cuja decisão esteja prejudicada pela solução dada a outras, e as que sejam de conhecimento oficioso17 (não havendo questões de conhecimento oficioso são as conclusões de recurso que delimitam o seu objeto).

1. ) SABER SE O BANCO/RECORRIDO FEZ A PROVA QUE LHE É IMPOSTA PELO ARTIGO 70º, DO REGIME DOS SISTEMAS DE PAGAMENTO, ISTO É, SE AS TRANSAÇÕES FEITAS PELA AUTORA/RECORRENTE A PARTIR DO SEU COMPUTADOR FORAM POR ESTA AUTORIZADAS.

A recorrente alegou que “não decorre dos factos que, apesar do facto aditado 23-a, tenha procedido à introdução dos códigos enviados para o seu número de telemóvel, motivo pelo qual, a realidade fáctica provada é insuficiente para que o Tribunal a quo concluísse tal afirmação, o que desde logo acarreta um vício da insuficiência de matéria de facto para a decisão de direito obtida, pois da factualidade vertida na decisão não se colhe elementos que, podendo e devendo ser indagados, são necessários para que se possa formular um juízo seguro de condenação ou de absolvição”.

Mais alegou que “verificando-se um ataque informático (in casu via pharming), cabia à recorrida o ónus de provar que efetivamente essas obrigações não foram cumpridas, assim como, provar que as operações in casu foram autorizadas pela Autora”.

Por fim, alegou que “não conta no acervo dos factos dados como provados, que tenha agido de forma fraudulenta ou que não cumpriu deliberadamente ou por negligência grave, uma ou mais das suas obrigações decorrentes do contrato de home banking celebrado com a recorrida, motivo pelo qual, sempre deveria a recorrida ter sido considerada, pelo Tribunal a quo, responsável pelos danos sofridos”.

Está provado que:

- A autora era titular da conta de depósitos à ordem com o n.º ...362, domiciliada junto do réu na Sucursal ... com o código n.º ...42 – facto provado nº 2.

- Há pelo menos 10 anos a gerente da autora solicitou ao réu a adesão ao serviço por este prestado através de plataforma eletrónica (área empresa do milleniumbcp.pt) que lhe permitia aceder aos movimentos daquela conta e realizar pagamentos e transferências – facto provado nº 3.

- Para o efeito foi-lhe fornecido pelo réu o Certificado Digital, composto por um Código de Adesão com 15 dígitos e que foi instalado no computador que a autora possuía na sua sede, o Código de Utilizador e a Password de acesso – facto provado nº 4.

- Para a entrada na referida plataforma era ainda pedida a introdução, de forma aleatória, de duas posições do Número de Identificação Fiscal da autora – facto provado nº 5.

- Para confirmação de operação de pagamento ou transferência era pedida a introdução de um Código de Autorização, o qual era enviado para o telemóvel com o n.º ...962, que fora indicado pela gerente da autora ao réu – facto provado nº 6.

- Os pagamentos e transferências referidos em 13. a 22. foram efetuados com utilização do Código de Utilizador da autora, confirmados com duas posições aleatórias do NIF e com a introdução dos Códigos de Autorização enviados por “SMS” para o telemóvel n.º ...962 – facto provado nº 23.

- O site de homebanking do Banco não sofreu, no período em que foram feitas as transferências da conta do Autor nenhum ataque informático ou qualquer tentativa de intrusão ou utilização ilícita por parte de terceiros – facto provado nº 44.

Vejamos a questão.

Para efeitos do presente regime jurídico entende-se por «contrato quadro» um contrato de prestação de serviços de pagamento que rege a execução futura de operações de pagamento individuais e sucessivas e que pode enunciar as obrigações e condições para a abertura de uma conta de pagamento – art. 2º/o, do anexo I, do Regime dos Sistemas de Pagamento (RSP), aprovado pelo art. 2º, do DL nº 317/2009, de 30-10.

Para efeitos do presente regime jurídico entende-se por «conta de pagamento» uma conta detida em nome de um ou mais utilizadores de serviços de pagamento, que seja utilizada para a execução de operações de pagamento – art. 2º/q, do anexo I, do RSP.

Uma operação de pagamento ou um conjunto de operações de pagamento só se consideram autorizados se o ordenante consentir na sua execução – art. 65º/1, do anexo I, do RSP.

O consentimento deve ser dado previamente à execução da operação, salvo se for acordado entre o ordenante e o respetivo prestador do serviço de pagamento que o mesmo seja prestado em momento posterior – art. 65º/2, do anexo I, do RSP.

O consentimento referido nos números anteriores deve ser dado na forma acordada entre o ordenante e o respetivo prestador do serviço de pagamento, sendo que, em caso de inobservância da forma acordada, se considera que a operação de pagamento não foi autorizada – art. 65º/3, do anexo I, do RSP.

O utilizador de serviços de pagamento com direito a utilizar um instrumento de pagamento tem a obrigação de utilizar o instrumento de pagamento de acordo com as condições que regem a sua emissão e utilização, e comunicar, sem atrasos injustificados, ao prestador de serviços de pagamento ou à entidade designada por este último, logo que deles tenha conhecimento, a perda, o roubo, a apropriação abusiva ou qualquer utilização não autorizada do instrumento de pagamento – art. 67º/1/a/b, do anexo I, do RSP.

Para efeitos da alínea a) do número anterior, o utilizador de serviços de pagamento deve tomar todas as medidas razoáveis, em especial ao receber um instrumento de pagamento, para preservar a eficácia dos seus dispositivos de segurança personalizados – art. 67º/2, do anexo I, do RSP.

O prestador de serviços de pagamento que emite um instrumento de pagamento tem a obrigação de assegurar que os dispositivos de segurança personalizados do instrumento de pagamento só sejam acessíveis ao utilizador de serviços de pagamento que tenha direito a utilizar o referido instrumento, sem prejuízo das obrigações do utilizador do serviço de pagamento estabelecidas no artigo anterior – art. 68º/1/a, do RSP.

Caso um utilizador de serviços de pagamento negue ter autorizado uma operação de pagamento executada, ou alegue que a operação não foi corretamente efetuada, incumbe ao respetivo prestador do serviço de pagamento fornecer prova de que a operação de pagamento foi autenticada, devidamente registada e contabilizada e que não foi afetada por avaria técnica ou qualquer outra deficiência – art. 70º/1, do RSP.

Caso um utilizador de serviços de pagamento negue ter autorizado uma operação de pagamento executada, a utilização do instrumento de pagamento registada pelo prestador de serviços de pagamento, por si só, não é necessariamente suficiente para provar que a operação de pagamento foi autorizada pelo ordenante, que este último agiu de forma fraudulenta ou que não cumpriu, deliberadamente ou por negligência grave, uma ou mais das suas obrigações decorrentes do artigo 67.º – art. 70º/2, do RSP.

Sem prejuízo do disposto no artigo 69.º, em relação a uma operação de pagamento não autorizada, o prestador de serviços de pagamento do ordenante deve reembolsá-lo imediatamente do montante da operação de pagamento não autorizada e, se for caso disso, repor a conta de pagamento debitada na situação em que estaria se a operação de pagamento não autorizada não tivesse sido executada – art. 71º/1, do RSP.

O presente Regime Jurídico não prejudica a validade dos contratos em vigor relativos aos serviços de pagamento nele regulados, sendo-lhes desde logo aplicáveis as disposições que se mostrem mais favoráveis aos utilizadores de serviços de pagamento – art. 159º, do anexo I, ao D/L n.º 91/2018, de 12-11, que aprovou o novo Regime Jurídico dos Serviços de Pagamento e da Moeda Eletrónica, transpondo a Diretiva (UE) 2015/2366, revogando18.

Normalmente, o estabelecimento de uma relação de clientela entre o Banco e o cliente tem início com a abertura de conta, que pode assumir várias modalidades. Pode ser uma conta de depósito, à ordem, a prazo, com pré-aviso; pode ser uma conta de títulos, de valores. Em todos os casos, é uma conta corrente estabelecida entre o banqueiro e o seu cliente19.

Contrato de conta bancária (ou abertura de conta) é o acordo havido entre uma instituição bancária e um cliente através do qual se constitui, disciplina e baliza a respetiva relação jurídica bancária20,21,22,23.

Pelo depósito bancário o cliente ou um terceiro entregam ao Banco uma quantia para crédito duma conta24.

Não corresponde ao típico contrato de depósito, porque transfere para o banco a propriedade da quantia depositada, ficando o titular da conta com apenas um direito de crédito sobre o Banco25,26,27.

É um negócio indireto usualmente designado como “depósito irregular” que se traduz numa manipulação do tipo do depósito para fins que lhe não são típicos, mas que permite alcançar28.

Ora, está provado que ”a autora era titular da conta de depósitos domiciliada junto do réu na Sucursal Sotavento Negócios” e, “solicitou a adesão ao serviço prestado pelo réu através de plataforma eletrónica que lhe permitia aceder aos movimentos daquela conta e realizar pagamentos e transferências” (factos provados nºs 2 e 3).

Entramos aqui no chamado home banking (Banco internético, e-banking, banco online, online banking, às vezes também banco virtual, banco eletrónico), concretizado pela possibilidade conferida pela entidade bancária aos seus clientes, mediante a aceitação de determinados condicionalismos, a utilizar toda uma panóplia de operações bancárias, on line, relativamente às contas de que sejam titulares, utilizando para o efeito canais telemáticos que conjugam os meios informáticos com os meios de comunicação à distância (canais de telecomunicação), por meio de uma página segura do banco, que se reveste de grande utilidade, especialmente para utilizar os serviços do banco fora do horário de atendimento ou de qualquer lugar onde haja acesso à Internet29,30.

Através deste serviço que os bancos põem à disposição dos seus clientes, estes podem efetuar, além do mais, consultas de saldos, pagamentos de serviços/compras, carregamentos de telemóveis, transferências de valores depositados para contas próprias ou de terceiros, para a mesma ou para diversa instituição de crédito31.

O progresso tecnológico dos últimos anos, veio revolucionar todo o comércio jurídico, nomeadamente a nível das relações bancárias, pois começamos com a emissão de cartões, de crédito e de débito, sendo que com estes se podem realizar uma infinidade de operações utilizando-se para o efeito os terminais de caixa automática, vulgo ATM e podemos agora, através dos sistemas de homebanking, aceder a uma variedade de operações bancárias, on line, utilizando para o efeito um computador pessoal32.

Para o efeito os bancos fornecem aos seus clientes senhas de acesso pessoais, bem como cartões matriz constituídos por uma infinidade de composições numéricas, que normalmente são solicitadas no final de cada operação efetuada por meios telemáticos e por forma a autenticá-la, já que esse cartão matriz deverá apenas ser do conhecimento do cliente, único a poder utilizá-lo, não lhe sendo permitido fornecer nenhum dos dados nele insertos a terceiros, uma vez que, quer o protocolo da página bancária, quer o tráfego de toda a informação nela processada, o que inclui as sobreditas senhas de acesso, são encriptadas, tornando quase impossível um terceiro obter ou alterar a informação depois de enviada33.

Apenas o prestador do serviço pode assegurar a operacionalidade do complexo sistema informático utilizado e a regularidade do seu funcionamento, garantindo, também, a confidencialidade dos dispositivos de segurança que permitem aceder ao instrumento de pagamento34.

Por esta razão, recai sobre o banco prestador do serviço o risco das falhas e do deficiente funcionamento do sistema, impendendo ainda sobre o mesmo o ónus da prova de que a operação de pagamento não foi afetada por avaria técnica ou qualquer outra deficiência35.

Ao utilizador do serviço de pagamento – que deve dispor de um conjunto de dispositivos de segurança, como o código de acesso, cartão matriz, entre outros, que lhe vão permitir aceder a esse serviço, dada a sua função de autenticação e identificação – exige-se que tome as medidas razoáveis em ordem a preservar a eficácia desses dispositivos36.

Nos autos, a recorrente alegou que as operações bancárias (transferências e pagamentos), não foram por si realizadas, e nem autorizou que fossem efetuadas.

Quando assim seja, o prestador de serviços de pagamento só pode executar uma operação ou um conjunto de operações que tenha sido devidamente autorizado pelo utilizador do serviço.

Como refere o tribunal a quo “o consentimento para a execução das operações tem de ser dado pelo ordenante nos termos acordados e terá que ser prévio à operação e, caso não tendo sido prestado nos termos acordados, a operação considera-se não autorizada”.

“A execução da ordem exige também que o cliente tenha sido autenticado pelo prestador do serviço através de um procedimento que lhe permite verificar a identidade de um utilizador de serviços de pagamento ou a validade da utilização de um instrumento de pagamento específico, incluindo a utilização das credenciais de segurança personalizadas do utilizador”.

Assim, “se o utilizador de serviços negar ter autorizado a operação, ou alegar que ela foi incorretamente efetuada, cabe ao prestador dos serviços de pagamento provar que a operação de pagamento foi autenticada, devidamente registada e contabilizada e que não foi afetada por avaria técnica ou qualquer outra deficiência do serviço prestado pelo prestador de serviços de pagamento”.

Ao prestador de serviços de pagamento incumbe, pois, a prova de que todas as transações que executou foram devidamente autorizadas pela cliente.

Ora, provou-se que os pagamentos e transferências foram efetuados com utilização do Código de Utilizador da autora, confirmados com duas posições aleatórias do NIF e com a introdução dos Códigos de Autorização enviados por “SMS” para o telemóvel n.º 962 (facto provado n.º 23), número esse que fora indicado pela gerente da autora ao réu (facto provado n.º 6).

Temos, pois, que os movimentos bancários (transferências/ pagamentos) derivaram da introdução de credenciais e códigos através do computador da autora/recorrente, incluindo, a introdução dos códigos de autorização que foram recebidas no seu telemóvel e, ato contínuo, o sistema do banco/recorrido por estarem reunidos todos os requisitos de movimentação cumpriu as sucessivas instruções de transferência.

Assim, as mensagens foram efetivamente enviadas para o telemóvel da autora/recorrente e as operações exigiram a inserção dos códigos remetidos por essa via.

Conforme entendimento do tribunal a quo, que subscrevemos, “O banco réu logrou fazer a prova que lhe é imposta pelo supra citado artigo 70.º do RSP, ou seja, que todas as transações que executou e que estão em discussão nos autos foram realizadas a partir do computador da autora, com as credenciais da autora e foram confirmadas pelos códigos enviados para o número de telemóvel indicado pela gerente da autora, pelo que foram por ela autorizadas, e que só após a introdução dos códigos de autorização respetivos é que o sistema do banco – que não foi acometido de qualquer avaria técnica ou de intrusão ilícita de terceiros durante o período em causa – deu cumprimento às instruções da ordenante”.

A recorrente alegou ainda que “não decorre dos factos que tenha procedido à introdução dos códigos enviados para o seu número de telemóvel”.

Porém, provou-se que “o código de autorização para cada uma das operações bancárias foi recebido no telemóvel com o número ali identificado que era detido e se encontrava sob o domínio de pessoa humana que estava no mesmo local que o computador que tinha o Certificado Digital para as operações bancárias e só depois da introdução tempestiva dos códigos de autorização emitidos para cada uma daquelas operações (transferência/pagamento) o sistema informático do Banco cumpriu a instrução de cada uma das referidas operações”.

Assim, mesmo que não tenha sido a recorrente/autora a efetuar as operações bancárias, nem consentido nas mesmas, porém, disponibilizou os meios de acesso à conta, uma vez que todas as operações ocorridas o foram a partir do seu computador e telemóvel.

Mas mesmo que esse acesso tenha sido realizado por terceiros, a tal facto é alheio o banco/recorrido, porquanto incumbia à recorrente tomar as devidas cautelas para que o computador e o telemóvel não fossem acedidos por terceiros37.

Isto porque o utilizador do serviço de pagamento tem de dispor de um conjunto de dispositivos de segurança (código de acesso, cartão matriz, etc.) que lhe vão permitir aceder a esse serviço.

Esses dispositivos de segurança personalizados têm uma função de autenticação, permitindo identificar o utilizador e verificar se este é efetivamente o cliente que contratou o serviço de homebanking38.

Exige-se, por isso, ao utilizador que tome todas as medidas razoáveis em ordem a preservar a eficácia desses dispositivos de segurança personalizados.

Esses dispositivos de segurança personalizados visam evitar que terceiros consigam aceder, fraudulentamente, através do sistema, à conta do cliente utilizador do serviço de homebanking, logrando apropriar-se de fundos aí existentes39.

E, verificou-se algum ataque informático (in casu, via pharming), de modo a ter o banco/recorrido de provar que as obrigações decorrentes do contrato de home banking não foram cumpridas pela autora/recorrente.

Pensamos que não.

Entre as técnicas mais frequentemente utilizadas por terceiros para aceder, fraudulentamente, através do sistema, à conta do cliente utilizador do serviço de homebanking, contam-se: (i) o phishing, que consiste “o envio de mensagens de correio eletrónico, que provêm aparentemente do banco prestador do serviço, tentando obter dados confidenciais que permitam o acesso ao serviço de pagamento eletrónico; e (ii) o pharming, uma técnica mais sofisticada em que é «corrompido» o próprio nome de domínio de uma instituição financeira, redirecionando o utilizador para um site falso – em tudo similar ao verdadeiro – sempre que este digita no teclado a morada correta do seu banco” 40,41.

Os riscos da falha do sistema informático utilizado, bem como dos ataques cibernautas ao mesmo, têm de correr por conta dos bancos, por a tal conduzir o disposto no art. 796º/1, do CCivil42,43.

Ao prestador dos serviços bancários cabe, pois, por lei assegurar a qualidade e segurança do sistema que permita movimentar a conta apenas a quem tem legitimidade, depositando, levantando ou transferindo fundos44.

O risco de funcionamento deficiente ou inseguro do sistema de prestação de serviços de pagamento ou transferência localiza-se, portanto, na esfera do seu prestador, a quem incumbe a responsabilidade por operações não autorizadas pelo cliente nem devidas a causa imputável ao cliente45.

Ora, provou-se que o site de homebanking do Banco não sofreu, no período em que foram feitas as transferências da conta do Autor nenhum ataque informático ou qualquer tentativa de intrusão ou utilização ilícita por parte de terceiros (facto provado nº 44).

Concluindo, não tendo o site de homebanking sofrido qualquer ataque informático, não tinha o Banco/recorrido o ónus de provar que a operação de pagamento não foi afetada por avaria técnica ou qualquer outra deficiência.

Só caso o site de homebanking tivesse sofrido algum ataque informático, é que o Banco/recorrido teria de provar que as obrigações decorrentes do contrato não foram cumpridas pela autora/recorrente (v.g., que violou o contrato divulgando na internet dados pessoais, secretos e intransmissíveis relativos ao seu acesso).

Destarte, não tendo o Banco/recorrido de provar que as obrigações decorrentes do contrato de home banking não foram cumpridas pela autora/recorrente, por não ter o site sofrido qualquer ataque informático, há que confirmar o acórdão recorrido.

3. DISPOSITIVO

3.1. DECISÃO

Pelo exposto, acordam os juízes desta secção cível (1ª) do Supremo Tribunal de Justiça em julgar improcedente a revista e, consequentemente, em confirmar-se o acórdão recorrido.

3.2. REGIME DE CUSTAS

Custas pela recorrente (na vertente de custas de parte, por outras não haver46), porquanto a elas deu causa por ter ficado vencida47.

Lisboa, 2024-01-2348,49

(Nelson Borges Carneiro) – Relator

(Maria João Vaz Tomé) – 1º adjunto

(Manuel Aguiar Pereira) – 2º adjunto

1. As decisões judiciais podem ser impugnadas por meio de recursos – art. 627º/1, do CPCivil.↩︎

2. Recursos, «em sentido técnico-jurídico, são os meios específicos de impugnação das decisões judiciais, através dos quais se obtém o reexame da matéria apreciada pela decisão recorrida» – FERREIRA DE ALMEIDA, Direito Processual Civil, volume II, 2ª edição, p. 463.↩︎

3. No nosso sistema processual (no que à apelação e à revista) predomina o «esquema do recurso de reponderação»: o objeto do recurso é a decisão impugnada, encontrando-se à partida, vedada a produção defeitos jurídicos ex-novo. Através do recurso, o que se visa é a impugnação de uma decisão já ex-ante proferida que não o julgamento de uma qualquer questão nova. Uma relevante exceção ao modelo de reponderação é a que se traduz nas questões de conhecimento oficioso: o tribunal superior pode sempre apreciar qualquer dessas questões ainda que não suscitadas perante o tribunal a quo – FERREIRA DE ALMEIDA, Direito Processual Civil, volume II, 2ª edição, p. 468.↩︎

4. Os recursos são ordinários ou extraordinários, sendo ordinários os recursos de apelação e de revista e extraordinários o recurso para uniformização de jurisprudência e a revisão – art. 627º/2, do CPCivil.↩︎

5. A lei estabelece uma divisão entre recursos ordinários e recursos extraordinários a partir de um critério formal ligado ao trânsito em julgado da decisão. Enquanto os recursos ordinários pressupõem que ainda não ocorreu o trânsito em julgado, devolvendo-se ao tribunal de recurso a possibilidade de anular, revogar ou modificar a decisão, os recursos extraordinários são interpostos depois daquele trânsito – ABRANTES GERALDES – PAULO PIMENTA – PIRES DE SOUSA, Código de Processo Civil Anotado, volume 1º, 2ª ed., p. 777.↩︎

6. Aquele que interpõe o recurso – FERREIRA DE ALMEIDA, Direito Processual Civil, volume II, 2ª edição, p. 477.↩︎

7. Aquele contra quem se interpõe o recurso – FERREIRA DE ALMEIDA, Direito Processual Civil, volume II, 2ª edição, p. 477.↩︎

8. O juiz que lavrar o acórdão deve sumariá-lo – art. 663º/7, do CPCivil.↩︎

9. O sumário não faz parte da decisão, consistindo tão só numa síntese daquilo que fundamentalmente foi apreciado com mero valor de divulgação jurisprudencial. Por tais motivos, o sumário deve ser destacado do próprio acórdão, sendo da exclusiva responsabilidade do relator – ABRANTES GERALDES, Recursos em Processo Civil, Novo Regime, p. 301.↩︎

10. O acórdão principia pelo relatório, em que se enunciam sucintamente as questões a decidir no recurso, expõe de seguida os fundamentos e conclui pela decisão, observando-se, na parte aplicável, o preceituado nos artigos 607.º a 612.º – art. 663º/2, do CPCivil.↩︎

11. Para além do dever de apresentar a sua alegação, impende sobre o recorrente o ónus de nela concluir, de forma sintética, pela indicação dos fundamentos por que pede a alteração ou anulação da decisão – ónus de formular conclusões (art. 639º/1) – FERREIRA DE ALMEIDA, Direito Processual Civil, volume II, 2ª edição, p. 503.↩︎

12. As conclusões exercem ainda a importante função de delimitação do objeto do recurso, como clara e inequivocamente resulta do art. 639º/3. Conforme ocorre com o pedido formulado na petição inicial, as conclusões devem corresponder à identificação clara e rigorosa daquilo que o recorrente pretende obter do tribunal superior, em contraposição com aquilo que foi decidido pelo tribunal a quo – ABRANTES GERALDES – PAULO PIMENTA – PIRES DE SOUSA, Código de Processo Civil Anotado, volume 1º, 2ª ed., p. 795.↩︎

13. O recorrente deve apresentar a sua alegação, na qual conclui, de forma sintética, pela indicação dos fundamentos por que pede a alteração ou anulação da decisão. Versando o recurso sobre matéria de direito, as conclusões devem indicar, as normas jurídicas violadas; o sentido com que, no entender do recorrente, as normas que constituem fundamento jurídico da decisão deviam ter sido interpretadas e aplicadas, e invocando-se erro na determinação da norma aplicável, a norma jurídica que, no entendimento do recorrente, devia ter sido aplicada – art. 639º/1/2 ex vi do art. 679º, ambos do CPCivil.↩︎

14. Na sessão anterior ao julgamento do recurso, o processo, acompanhado com o projeto de acórdão, vai com vista simultânea, por meios eletrónicos, aos dois juízes-adjuntos, pelo prazo de cinco dias, ou, quando tal não for tecnicamente possível, o relator ordena a extração de cópias do projeto de acórdão e das peças processuais relevantes para a apreciação do objeto da apelação – art. 657º/2 ex vi do art. 679º, ambos do CPCivil.↩︎

15. Todas as questões de mérito que tenham sido objeto de julgamento na sentença recorrida e que não sejam abordadas nas conclusões do recorrente, mostrando-se objetiva e materialmente excluídas dessas conclusões, têm de se considerar decididas, não podendo de elas conhecer o tribunal de recurso.↩︎

16. Vem sendo entendido que o vocábulo “questões” não abrange os argumentos, motivos ou razões jurídicas invocadas pelas partes, antes se reportando às pretensões deduzidas ou aos elementos integradores do pedido e da causa de pedir, ou seja, entendendo-se por “questões” as concretas controvérsias centrais a dirimir.↩︎

17. Relativamente a questões de conhecimento oficioso e que, por isso mesmo, não foram suscitadas anteriormente, deve ser assegurado o contraditório, nos termos do art. 3º/3, do CPCivil.↩︎

18. O art. 3º, do D/L n.º 91/2018, de 12-11, revogou o regime jurídico que regulava o acesso à atividade das instituições de pagamento e a prestação de serviços de pagamento, aprovado pelo Decreto-Lei n.º 317/2009, de 30-10.↩︎

19. PEDRO PAIS DE VASCONCELOS – PEDRO LEITÃO PAIS DE VASCONCELOS, Direito Comercial, Volume I, 2ª edição, p. 286.↩︎

20. ENGRÁCIA ANTUNES, Direito dos Contratos Comerciais, p. 483.↩︎

21. O contrato de abertura de conta é um negócio jurídico que marca o início de uma relação bancária complexa entre o banqueiro e o cliente e traça o quadro básico do relacionamento entre tais entidades. Podendo considerar-se como um contrato a se: próprio, com características irredutíveis e uma função autónoma – Ac. Supremo Tribunal de Justiça de 2010-10-07, Relator: SERRA BAPTISTA, http://www.dgsi.pt/jstj.↩︎

22. Por via do contrato de abertura de conta ou conta-corrente bancária, o banco obriga-se, fundamentalmente, a prestar ao seu cliente o chamado serviço de caixa, efetuando os pagamentos solicitados e a cobrança de valores e, em geral, recebendo dinheiro ou valores por conta do cliente, registando em conta-corrente as várias operações que se forem sucedendo – Ac. Supremo Tribunal de Justiça de 2009-11-12, Relator: SANTOS BERNARDINO, http://www.dgsi.pt/jstj.↩︎

23. Designa-se por contrato de conta bancária (ou abertura de conta) o acordo havido entre uma instituição bancária e um cliente «através do qual se constitui, disciplina e baliza a respetiva relação jurídica bancária – Ac. Supremo Tribunal de Justiça de 2013-12-18, Relatora: ANA PAULA BOULAROT, http://www.dgsi.pt/jstj.↩︎

24. PEDRO PAIS DE VASCONCELOS – PEDRO LEITÃO PAIS DE VASCONCELOS, Direito Comercial, Volume I, 2ª edição, p. 287.↩︎

25. PEDRO PAIS DE VASCONCELOS – PEDRO LEITÃO PAIS DE VASCONCELOS, Direito Comercial, Volume I, 2ª edição, p. 287.↩︎

26. Esta figura contratual tem sido subsumida na espécie negocial de depósito (arts. 1185º e 1187º do CCivil), através do qual a autora colocou a disposição do réu o seu dinheiro e para que este o guardasse e o restituísse quando fosse exigido, constituindo esta figura um depósito irregular ao qual se aplicam as regras do mútuo, com as necessárias adaptações – Ac. Supremo Tribunal de Justiça de 2013-12-18, Relatora: ANA PAULA BOULAROT, http://www.dgsi.pt/jstj.↩︎

27. O depósito bancário tem a natureza de depósito irregular, podendo integrar uma relação plural do lado do depositante – Ac. Supremo Tribunal de Justiça de 2011-02-22, Relator: SEBASTIÃO PÓVOAS, http://www.dgsi.pt/jstj.↩︎

28. PEDRO PAIS DE VASCONCELOS – PEDRO LEITÃO PAIS DE VASCONCELOS, Direito Comercial, Volume I, 2ª edição, p. 287.↩︎

29. Ac. Supremo Tribunal de Justiça de 2013-12-18, Relatora: ANA PAULA BOULAROT, http://www.dgsi.pt/jstj.↩︎

30. O contrato de “homebanking” – que a lei também qualifica de “contrato-quadro” (art. 2.º, al. m), do Regime dos Sistemas de Pagamento (RSP), aprovado pelo DL n.º 317/2009, de 30-10) – celebrado entre autora e banco réu – é o acordo mediante o qual o cliente adere a um serviço prestado pelo banco, que consiste na possibilidade de manter relações via internet, de forma a: (i) aceder a informações sobre produtos e serviços do banco; (ii) obter informações e realizar operações bancárias sobre contas de que a autora fosse titular; (iii) realizar pagamentos, cobranças e operações de compra, venda, subscrição ou resgate sobre produtos ou serviços disponibilizados pelo banco – Ac. Supremo Tribunal de Justiça de 2016-12-16, Relator: PINTO DE ALMEIDA, http://www.dgsi.pt/jstj.↩︎

31. Ac. Supremo Tribunal de Justiça de 2013-12-18, Relatora: ANA PAULA BOULAROT, http://www.dgsi.pt/jstj.↩︎

32. Ac. Supremo Tribunal de Justiça de 2013-12-18, Relatora: ANA PAULA BOULAROT, http://www.dgsi.pt/jstj.↩︎

33. Ac. Supremo Tribunal de Justiça de 2013-12-18, Relatora: ANA PAULA BOULAROT, http://www.dgsi.pt/jstj.↩︎

34. Ac. Supremo Tribunal de Justiça de 2016-12-14, Relator: PINTO DE ALMEIDA, http://www.dgsi.pt/jstj.↩︎

35. Ac. Supremo Tribunal de Justiça de 2016-12-14, Relator: PINTO DE ALMEIDA, http://www.dgsi.pt/jstj.↩︎

36. Ac. Supremo Tribunal de Justiça de 2016-12-14, Relator: PINTO DE ALMEIDA, http://www.dgsi.pt/jstj.↩︎

37. O prestador de serviços de pagamento tem a obrigação de assegurar que os dispositivos de segurança personalizados do instrumento de pagamento só sejam acessíveis ao utilizador de serviços de pagamento que tenha direito a utilizar o referido instrumento – art. 68º/1/a, do RSP.↩︎

38. MARIA RAQUEL GUIMARÃES, A repartição dos prejuízos decorrentes de operações fraudulentas de banca eletrónica, CDP 41-61 apud Ac. Supremo Tribunal de Justiça de 2016-12-14, Relator: PINTO DE ALMEIDA.↩︎

39. Ac. Supremo Tribunal de Justiça de 2016-12-14, Relator: PINTO DE ALMEIDA, http://www.dgsi.pt/jstj.↩︎

40. Ac. Supremo Tribunal de Justiça de 2016-12-14, Relator: PINTO DE ALMEIDA, http://www.dgsi.pt/jstj.↩︎

41. O phishing (do inglês fishing «pesca») pressupõe uma fraude eletrónica caracterizada por tentativas de adquirir dados pessoais, através do envio de e-mails com uma pretensa proveniência da entidade bancária do recetor, por exemplo, a pedir determinados elementos confidenciais (número de conta, número de contrato, número de cartão de contribuinte ou qualquer outra informação pessoal), por forma a que este ao abri-los e ao fornecer as informações solicitadas e/ou ao clicar em links para outras páginas ou imagens, ou ao descarregar eventuais arquivos ali contidos, poderá estar a proporcionar o furto de informações bancárias e a sua utilização subsequente. A outra modalidade de fraude online é o pharming a qual consiste em suplantar o sistema de resolução dos nomes de domínio para conduzir o usuário a uma pagina Web falsa, clonada da página real, baseando-se o processo, sumariamente, em alterar o IP numérico de uma direção no próprio navegador, através de programas que captam os códigos de pulsação do teclado (os ditos keyloggers), o que pode ser feito através da difusão de vírus via spam, o que leva o usuário a pensar que está a aceder a um determinado site – por exemplo o do seu banco – e está a entrar no IP de uma página Web falsa, sendo que ao indicar as suas chaves de acesso, estas serão depois utilizadas pelos crackers, para acederem à verdadeira página da instituição bancária e aí poderem efetuar as operações que entenderem, destinando-se ambas as técnicas (phishing e pharming) à obtenção fraudulenta de fundos – Ac. Supremo Tribunal de Justiça de 2013-12-18, Relatora: ANA PAULA BOULAROT, http://www.dgsi.pt/jstj.↩︎

42. Ac. Supremo Tribunal de Justiça de 2013-12-18, Relatora: ANA PAULA BOULAROT, http://www.dgsi.pt/jstj.↩︎

43. Daí que recaiam sobre o banco prestador do serviço o risco das falhas e do deficiente funcionamento do sistema (como decorreria também do disposto no art. 796º do CC), impendendo ainda sobre este o ónus da prova de que a operação de pagamento não foi afetada por avaria técnica ou qualquer outra deficiência – Ac. Supremo Tribunal de Justiça de 2016-12-14, Relator: PINTO DE ALMEIDA, http://www.dgsi.pt/jstj.↩︎

44. CALVÃO DA SILVA, Conta corrente bancária: operação não autorizada e responsabilidade civil, RLJ 144-315 apud Ac. Supremo Tribunal de Justiça de 2016-12-14, Relator: PINTO DE ALMEIDA.↩︎

45. CALVÃO DA SILVA, Conta corrente bancária: operação não autorizada e responsabilidade civil, RLJ 144-315 apud Ac. Supremo Tribunal de Justiça de 2016-12-14, Relator: PINTO DE ALMEIDA.↩︎

46. Como o conceito de custas stricto sensu é polissémico, porque é suscetível de envolver, nos termos do artigo 529º/1, além da taxa de justiça, que, em regra, não é objeto de condenação – os encargos e as custas de parte, importa que o juiz, ou o coletivo de juízes, nos segmentos condenatórios das partes no pagamento de custas, expressem as vertentes a que a condenação se reporta – SALVADOR DA COSTA, As Custas Processuais, Análise e Comentário, 7ª ed., p. 8.↩︎

47. A decisão que julgue a ação ou algum dos seus incidentes ou recursos condena em custas a parte que a elas houver dado causa ou, não havendo vencimento da ação, quem do processo tirou proveito – art. 527º/1, do CPCivil.↩︎

48. A assinatura eletrónica substitui e dispensa para todos os efeitos a assinatura autógrafa em suporte de papel dos atos processuais – art. 19º/2, da Portaria n.º 280/2013, de 26/08, com as alterações introduzidas pela Portaria n.º 267/2018, de 20/09.↩︎

49. Acórdão assinado digitalmente – certificados apostos no canto superior esquerdo da primeira página.↩︎

Sumário

Texto

Metadados do documento

Sumário

Texto Integral

1. RELATÓRIO