4136/23.1 T8AVR.P1 - Tribunal da Relação do Porto

I- A expressão inglesa phising, a par de outras, como, por exemplo, vishing, entrou no nosso vocabulário e consiste num meio fraudulento de obtenção de dados enquanto iterde um processo fraudulento.

II- Verifica-se uma situação de negligência grosseira quando a pessoa não observa os deveres de cuidado de modo tal que só uma pessoa muito descuidada não o teria feito, ou seja, quando adote um comportamento bastante reprovável e injustificado, à luz dos normais critérios do senso comum aferidos a partir dos de uma pessoa normal numa sociedade espácio-temporalmente delimitada.

III- Dado que o art.º 114.º do Decreto-Lei n.º 91/2018, de 12/11, que (também) regula o Regime Jurídico dos Serviços de Pagamento e da Moeda Eletrónica (R.J.S.P.M.E.) prevê a responsabilidade do prestador de serviços de pagamento em caso de operação de pagamento não autorizada, para efeito da exclusão de responsabilidade prevista no art.º 115.º (que prevê a responsabilidade do ordenante em caso de pagamento de operação não autorizada), n.º 4, do mesmo Diploma, age com negligência grosseira a pessoa que entrou num link fraudulento semelhante ao da sua instituição bancária, introduzindo as credenciais de acesso, estranhando após não ter acesso aos dados da conta e, apesar de não ter ordenado qualquer transferência, através de um telefonema de interlocutora desconhecida (que, alegadamente pretenderia impedir a realização de uma transferência), recebido dois dias depois, lhe fornece os dados necessários (incluindo senha e códigos OTP, ou one-time password) enviados pelo banco em três s.m.s.'s distintos para o seu telemóvel: primeiro para aumentar o limite diário de transferência interbancária e, depois, para que esta fosse realizada.

IV- Assim, e por maioria de razão, se a responsabilidade do prestador de serviço é excluída, nos termos do mencionado art.º 115.º, n.º 4, quando a operação não foi autorizada, então mais excluída fica se o foi devido a negligência grosseira do ordenante.

APELAÇÃO N.º 4136/23.1T8AVR.P1

SUMÁRIO (art.º 663.º, n.º 7, do Código de Processo Civil, C.P.C.):

Acordam os Juízes na 3.ª Secção Cível do Tribunal da Relação do Porto, sendo

Relator: Jorge Martins Ribeiro;

1.ª Adjunta: Teresa Sena Fonseca e

2.ª Adjunta: Fátima Andrade.

ACÓRDÃO

I- RELATÓRIO

Nos presentes autos de ação declarativa de condenação, sob a forma de processo comum, é autora (A.) AA, titular N.I.F. ..., residente na Estrada ..., ..., ... Vagos, e é ré (R.) “Banco 1..., C.R.L.”, titular do N.I.P.C. ..., com sede na Rua ..., ..., Vagos.

Procedemos agora a uma síntese do processado relevante para o objeto do presente recurso.

A) Aos 06/08/2025 foi proferida a sentença objeto de recurso.

A. 1) O objeto do processo foi nela sumariado pelo seguinte modo:

“Peticiona a Autora a condenação do Réu no pagamento das quantias de 37.845,30 € e de 5.000,00 €, acrescidas de respetivos juros de mora.

Em apertada síntese alega que o Réu omitiu procedimentos de segurança relativos a operações bancárias realizadas através de homebanking, nomeadamente, implementando mecanismos de autenticação forte, tendo - em última análise - tal conduta omissiva permitido a transferência bancária abusivamente realizada do primeiro dos valores referidos.

Nessa sequência e como consequência desse facto, padeceu de uma condição emocional e psicológica que entende ser tutelada ao abrigo da responsabilidade civil por danos não patrimoniais, contabilizados no segundo valor em causa.

Regularmente citado, o Banco Réu pugna pelo cumprimento estrito dos ditames legais e regulamentares que lhe eram impostos e contrapõe que a transferência se deu por força da atuação da Autora, nomeadamente ao fornecer indevidamente credenciais sigilosas.

Foi requerida e deferida a intervenção principal de BB e CC, pois que cotitulares da conta à ordem n.º ...87”.

A. 2) Do dispositivo da mesma consta:

“Termos em que, julga-se o pedido dos Autores totalmente improcedente, absolvendo-se o Réu «Banco 1..., C.R.L.» de todo o peticionado.

Custas pelos Autores.

Registe e notifique”.

B) Aos 14/10/2025 a A. interpôs recurso, tendo por objeto a reapreciação da decisão da matéria de facto e da de Direito, tendo formulado as seguintes conclusões([1]) ([2]):

1. A Autora/Recorrente intentou a presente ação declarativa sob a forma de processo comum, peticionando que a aqui Ré/Recorrida, fosse condenada no pagamento das quantias de 37.845,30 €, e de 5.000,00 €, acrescidas de respetivos juros de mora;

2. Para sustentar o peticionado, alegou a Autor/Recorrente, em suma, que:

- Que a Ré/Recorrida violou procedimentos de segurança no âmbito de uma operação bancária, realizada através de homebanking, nomeadamente, no que diz respeito aos mecanismos de autenticação forte, o que permitiu a realização de uma transferência bancária, no primeiro valor referido supra, sem a sua autorização;

- Em consequência direta do sucedido, a Autora/Recorrente, padeceu de vários desequilíbrios emocionais, tendo peticionado, a título de danos não patrimoniais, a quantia de 5.000,00 €;

3. Em resposta ao peticionado pela Autora/Recorrente veio a Ré/Recorrida contestar, alegando que cumpriu todos os procedimentos de segurança, nomeadamente, o sistema de autenticação forte, e a alegada transferência ocorreu em consequência da atuação da Autora/Recorrente, por, alegadamente, ter fornecidos indevidamente as credenciais sigilosas;

4. Foi requerido e deferido a intervenção principal de BB, porquanto são titulares da conta bancária com o nº ...87;

5. Tendo sido realizado o julgamento e produzida toda a prova, veio o Tribunal a quo proferir sentença na qual concluía pela total improcedência do pedido formulado pela Autora/Recorrente;

6. Na sentença de que ora se recorre, considerou o Tribunal a quo como provado que a transferência em questão foi autorizada, uma vez que foi realizada após ter sido executado o procedimento de autenticação forte exigido à data, nomeadamente, a combinação de um fator de conhecimento (três dígitos aleatórios da password) e um fator de posse (código de OTP enviado por SMS), inseridos no sistema Banco 1... Online pela via da disponibilizada pela Ré/Recorrida ([3]);

7. Tendo igualmente o Tribunal a quo, considerado como provado que a Autora/Recorrente, seria sempre responsável pelas perdas que sofreu, uma vez a sua conduta integra o conceito de negligência grosseira;

8. O Tribunal a quo considerou como provados, com relevo para presente recurso, os factos nºs 7 a 12, 15, 16 e 17;

9. Os Autores/Recorrentes não concordam com o teor da sentença, não podendo, como tal, conformar-se com a decisão prolatada pelo Tribunal a quo, pelo que vêm interpor o presente Recurso de Apelação;

10. Em cumprimento do disposto no disposto nas alíneas a), b) e c) do nº 1, do artigo 640º do CPC, os Autores/Recorrentes, consideram que os factos elencados nos nºs 16 e 17 foram incorretamente julgados;

11. Em conformidade, e nos termos do referido preceito legal, os Autores/Recorrentes, nos termos do referido preceito legal, apresentam impugnação à referida matéria de facto;

12. Conforme exposto supra, os Autores/Recorrentes não concordam com o julgamento da matéria de facto correspondente aos nºs 16 e 17;

13. O facto nº 16: “A ordem de introdução desde dois fatores era, primeiro a introdução de três dígitos aleatórios da password e depois um código OTP”;

14. O facto nº 17: “Para acesso inicial ao homebanking, exigia-se número de adesão, chave multicanal uma OTP por SMS, sendo que para acessos subsequentes (até 90 dias), podia ser usado apenas número de adesão e chave multicanal.”

15. Os Autores/Recorrentes não concordam com o julgamento que o Tribunal a quo efetuou sobre os referidos factos;

16. O Tribunal a quo ao considerar como provados o facto 16), tendo, alegadamente, por base apenas elementos documentais, nomeadamente os registos nos logs bancários, que, conforme demonstrou, apresentam dizeres diferentes, os quais foram justificados por alegados erros humanos, funcionário da Ré/Recorrida, bem como, teve por base o depoimento apenas de algumas testemunhas arroladas pela Ré/Recorrida;

17. O Tribunal a quo desconsiderou totalmente e não valorou toda a demais prova documental que se encontra junto aos autos, bem como as declarações de parte da Autora/Recorrente, e depoimentos de outras testemunhas, mesmo das arroladas pela Ré/Recorrida;

18. Da imensa prova documental junta ao processo, nomeadamente, as informações que constavam, à data, no site da Ré/Recorrida, resulta claro que para se realizar operações de alteração de limites de diários e transferências, através do sistema homebanking, era exigido, primeiro, a introdução de três dígitos aleatórios da password e de seguida um código OTP, que era enviado no seguimento do inicio da operação, após introdução dos três dígitos aleatório da password, esta era a ordem, e não pode ser indiferente ou irrelevante para o sistema;

19. Pelo que, desde já se requer a V.Exa. que o facto 16 passe a ter a seguinte redação:

20. “A ordem de introdução desde dois fatores era, primeiro a introdução de três dígitos aleatórios da password e depois um código OTP”.

21. Quanto ao facto nº 17, dado como provado na sentença, entendem os Autores/Recorrentes que o mesmo deveria ter sido dado como provado, no entanto, devendo ser aditado a seguinte menção: “A 23 de Fevereiro de 2022 - data dos factos...”

22. O Tribunal a quo considerar como provados o facto 17, tendo por base unicamente o depoimento de algumas testemunhas arroladas pela Ré/Recorrida;

23. O Tribunal a quo desconsiderou totalmente e não valorou toda a demais prova documental que se encontra junto aos autos, e produzida em audiência de julgamento, nomeadamente, os depoimentos de outras testemunhas, em particular, das testemunhas arroladas pela Ré/Recorrida;

24. Pelo que, desde já se requer a V.Ex.ªs que o facto 17 passe a ter a seguinte redação:

25. “A 23 de Fevereiro de 2022 - data dos factos, para acesso inicial ao homebanking, exigia-se número de adesão, chave multicanal uma OTP por SMS, sendo que para acessos subsequentes (até 90 dias), podia ser usado apenas número de adesão e chave multicanal.”

26. Para além do incorreto julgamento da matéria de facto, entendem os Autores/Recorrentes que a sentença em análise, efetuou uma errada aplicação do Direito, violando os artigos 2º, al. d), 70º, nºs 1 e 2, 103º, nºs 1 a 5, 104º, nº 1, 108º,nº s 2 a 4, 113º, nºs 1, 3 e 4 114, nºs 1, 2, 8 e 10, e 115º, nºs 1 a 4, do Decreto-Lei nº 91/2028, de 12 de Novembro, e ainda os artigos 342º e 796º nº 1, ambos do Código Civil;

27. A sentença recorrida errou ao considerar demonstrado que a Ré/Recorrida logrou fazer prova que a Lei exige no artigo 113º nº 2 do citado diploma legal, para afastar a sua responsabilidade pela restituição da quantia que foi transferida da conta da Autora/Recorrente;

28. A sentença recorrida errou, ao demonstrar que a operação de alteração de limites de valor foi realizada, tendo a Ré/Recorrida dado cumprimento ao sistema de autenticação forte, tendo violado o artigo 104º do referido diploma legal;

29. A operação de alteração de limite do valor de 5.000,00 €, para o valor de 37.900,00 €, foi realizada sem ter sido cumprido o sistema de autenticação legal, conforme legalmente exigido;

30. A alteração de limite diário, foi realizada unicamente através do envio de um OTP, antes do envio da password, já esta operação está parametrizada e autorizada no sistema homebanking;

31. Em consequência, ficando prejudicada a alteração do limite diário, ficaria sempre prejudicada a transferência do valor de 37.845,30 €, que foi autorizada pela Ré/Recorrida, e não pela Autora/Recorrente;

32. A password da Autora/Recorrente, foi enviada para o seu telemóvel, violando, de forma manifesta todas as regras de segurança, no que diz respeito ao envio de passwords e credenciais, conforme estabelecido no artigo 25º do Regulamento delegado (UE) 2018/389 da comissão de 27 de novembro de 2017);

33. Acresce que, o envio da OTP e password, para o telemóvel da Autora/Recorrente, violou de forma manifesta o estabelecido exigido pelo artigo 2º do DL citado supra, na medida em que a violação de um deles, não comprometa a fiabilidade do outro, o que, in casu, sucedeu, e comprometeu a segurança da operação e o cumprimento do sistema de autenticação forte;

34. Em suma, a operação da transferência não foi consentida pela Autora/Recorrente, tendo em conta a forma acordada entre si e a Ré/Recorrida, correspondente essa falta de consentimento a uma operação não autorizada;

35. Em face do exposto, de acordo com os factos descritos supra, e tendo ficado, sobejamente demonstrado que a operação referente à transferência no valor de 37.845,30 €, não foi autorizada pela Autora/Recorrente, porquanto a Ré/Recorrida não deu cumprimento ao sistema de autenticação forte, deve a Ré/Recorrida ser condenada ao seu reembolso, bem como ao pagamento de juros demora, de acordo com o referido preceito legal;

36. Sem prescindir, no entendimento dos Autores/Recorrentes, mal andou o Tribunal a quo ao considerar que a conduta da Autora/Recorrente, AA, integra o conceito de negligência grosseira, tendo decidido que a mesma deve ser responsabilizada pelas suas perdas, nos termos do artigo 115º nº 3 do Decreto-Lei nº 91/2018, de 12 de Novembro;

37. O Tribunal a quo decidiu considerar como provado, que se verificou culpa da Autora/Recorrente, unicamente como base em alegadas ilações, presunções, e de acordo com os alegadas regras da experiência comum, olvidando-se, sem margem para dúvidas das concretas circunstâncias e factos que se verificaram e contribuíram para a Autora/Recorrente fornecer, sem culpa, os códigos aos burlões;

38. Cumpre desde sublinhar, porque o Tribunal a quo, nesta matéria, não o fez, que a Autora/Recorrente, recebeu uma chamada telefónica de uma pessoa que se fez passar funcionária do Departamento do Risco e Segurança da Ré/Recorrida;

39. A pessoa que de fez passar pela funcionaria da Ré/Recorrida, munida das informações sobre o nome, número de telefone e saldos bancários da Autora/Recorrente, criou nesta, uma legitima situação de confiança, de que estaria a falar efetivamente como uma funcionária da Ré/Recorrida, e não um qualquer interlocutor desconhecido, conforme consta na sentença, na fundamentação sobre a qualificação da conduta da Autora/Recorrente;

40. A obtenção das informações que tal pessoa obteve, sobre a conta bancária da Autora/Recorrente, nomeadamente, nome, número de telefone, e saldos bancários, em nada, de forma voluntária, aquela contribui para essa obtenção;

41. Ainda para efeitos de demonstrar que a conduta da Autora/Recorrente não poderia ser qualificada como negligência grosseira, cumpre ainda evidenciar que se afigura totalmente aceitável a conduta que a mesma adotou num momento de total aflição, nervosismo, e mesmo pânico, inerente a uma situação de quem recebe uma chamada telefónica do seu banco, e lhe transmite que, de imediato e com total rapidez, tem de fornecer os códigos que serão enviados para o seu telemóvel, (número de telemóvel que está associado à sua conta bancária, que o só banco teria conhecimento) para evitar que uma transferência de um valor da sua conta, alegadamente, fosse realizada por um alegado burlão;

42. Qualquer pessoa normal, nas mesmas circunstâncias, teria o mesmo comportamento da Autora/Recorrente, a fim de proteger o seu património;

43. A sentença que ora se recorrente, na parte que, alegadamente fundamentou a qualificação da Autora/Recorrente, desvaloriza totalmente o contexto, circunstâncias, estado de aflição, nervosismo e mesmo pânico, em que a mesma se encontrava, assim que recebeu a chamada telefónica de uma pessoa, que de forma credível, se fez passar por funcionária do banco e lhe pediu códigos enviados para o seu telemóvel, com o fim de evitar a realização de uma transferência fraudulenta.

44. Segundo a fundamentação do Tribunal a quo, a Autora/Recorrente, deveria, de forma pausada e tranquila, olhar para as mensagens que recebeu no seu telemóvel, ler com atenção, analisar, e então chegar à conclusão de que as mensagens eram suspeitas e não deveria fornecer;

45. Sendo público, as centenas de pessoas que já foram vítimas neste tipo de burlas, muitas com clientes da Ré/Recorrida, conforme foi demonstrado pelos depoimentos das testemunhas arroladas pela Ré/Recorrida;

46. Acresce que, assim que a Autora/Recorrente, quando foi informada pela tal pessoa, que ocorreu um erro e o processo teria de ser repetido, tendo recebido uma mensagem, agora com um valor diferente, aqui sim, a Autora/Recorrente, conseguiu ter o discernimento para perceber que algo não estava bem;

47. Em ato seguida, ligou para o Banco, aqui Ré/Recorrida e participou o ocorrido, em conduta de tal responsabilização e preocupação com a situação, tendo agido de acordo com o comportamento normal e adequado para o tipo de situação;

48. Em face do exposto, entendem os Autores/Recorrentes que atuação da Autora/Recorrente, AA, não pode ser qualificada como negligência grosseira;

49. De facto, de acordo com as circunstâncias concretas, expostas supra, em circunstâncias semelhantes, a culpa da Autora/Recorrente pode ser considerada como culpa relevante, mas entende-se que a mesma não alcançou o mais exigente nível da negligência grosseira para o qual, a falta de cuidado deveria ser escandalosa e o desleixo inadmissível, assim apreensível de modo generalizado;

50. Com toda a certeza, qualquer pessoa, nas circunstâncias concretas da Autora/Recorrente, teria o mesmo comportamento, a sua conduta não relevou falta de cuidado que possa ser qualificada como negligência grosseira, não se pode considerar que a sua conduta corresponda a um erro imperdoável, ou a uma desatenção ou incúria inexplicáveis;

51. O comportamento da Autora/Recorrente, na situação em apreço, foi totalmente justificável, consubstanciado uma autuação que qualquer pessoa, colocada nas mesma situação e circunstâncias, teria adotado;

52. É neste sentido que Ana Prata, segundo a sua lição in Cláusulas de Exclusão e Limitação da Responsabilidade contatual”, páginas 306 a 308 define o conceito de Negligência Grosseira como “um erro imperdoável, desatenção inexplicável, incúria indesculpável, vistos em confronto com o comportamento das pessoas, mesmo daquelas que são pouco diligentes”.

53. A conduta da Autora/Recorrente não pode ser qualificada como negligência grosseira;

54. Em conformidade com o exposto, é inequívoco que da sentença, não resulta provados factos que evidenciem ou demonstrem, de forma manifesta que a Autora/Recorrente, tenha praticado qualquer ato ou conduta que sejam integradores do conceito de legal de negligência grosseira.;

55. Em consequência, deve a Ré/Recorrida ser responsabilidade por reembolsar aos Autores/Recorrentes, no montante da transferência em causa, ou seja, na quantia de 37.845,30 €;

56. In casu, não se verificando a derrogação deste preceito legal, por força do artigo 115º do mesmo diploma legal, uma vez que, conforme sobejamente alegado, na conduta da Autora/Recorrente, não se verificou qualquer atuação fraudulenta ou incumprimento deliberado que possa ser enquadrado no conceito de negligência grosseira, e recair sobre a mesma a responsabilidade pelas suas perdas, conforme estabelecem os nºs 3 e 4 do mesmo preceito legal;

57. Não se verificando negligência grosseira da Autora/Recorrente, deve a Ré/Recorrida ser responsabilizada pelo reembolso da quantia da transferência em causa, ou seja, no valor de 37.845,30 €, acrescida de juros de mora;

58. Sem prescindir, entendem ainda os Autores/Recorrentes, que a Ré/Recorrida, in casu, violou de forma manifesta outas obrigações legais e contratuais;

59. Em suma, mais uma vez, entende-se que a Ré/Recorrida violou a sua obrigação de guarda dos montantes depositados pelos Autores/Recorrentes, tendo a mesma atuado com culpa, uma vez que não agiu com a diligência necessária a acautelar as quantias depositadas, nem antes, nem depois da concretização da burla;

60. Ré/Recorrida, tinha pleno conhecimento do modus operandi dos burlões, vários clientes seus foram vítimas da mesma burla, é do conhecimento público, e resulta dos depoimentos de várias testemunhas arroladas pela mesma, nomeadamente, Sra. DD, e, mesmo assim, nada fez para proteger o património dos Autores/Recorrentes;

61. As várias medidas que foram implementadas pela Ré/Recorrente, logo após a burla dos presentes autos, é o reconhecimento inquestionável que o seu sistema de homebanking, não era seguro, motivo pelo qual, vários clientes foram vítimas da mesma burla;

62. Em consequência do exposto, nomeadamente, da manifesta violação das obrigações a Ré/Recorrida, que resultam não só do Decreto-lei 91/2018, bem como das resultantes das obrigações que decorrem do contrato de deposito que foi celebrado com a Autora, nomeadamente, nos termos do artigo 796º do Código Civil, deve aquela ser condenada a reembolsar a quantia da transferência bancária que está em causa;

63. Finalmente, e estando devidamente provado o facto nº 10, deve a Ré/Recorrida ser condenada a pagar aos Autores/Recorrentes a quantia de 5.000,00 €, a título de danos não patrimoniais.

Nestes termos e nos melhores de direito que V.Ex.ªs doutamente suprirão, deve o presente Recurso de Apelação ser considerado procedente por provado, e consequentemente alterada a sentença proferida, devendo:

1. Ser declarada procedente por provada a impugnação da matéria de facto, nomeadamente, o erro de julgamento dos factos dados como provados na sentença, com os nºs 16 e 17, devendo os mesmos passarem a ter as seguintes redações: facto 16:“A ordem de introdução desde dois fatores era, primeiro a introdução de três dígitos aleatórios da password e depois um código OTP”; facto 17: “A 23 de Fevereiro de 2022 - data dos factos, para acesso inicial ao homebanking, exigia-se número de adesão, chave multicanal uma OTP por SMS, sendo que para acessos subsequentes (até 90 dias), podia ser usado apenas número de adesão e chave multicanal.”, com as devidas consequências legais;

2. Ser declarado que a operação referente à transferência no valor de 37.845,30 €, não foi autorizada pela Autora/Recorrente, porquanto a Ré/Recorrida não deu cumprimento ao sistema de autenticação forte, devendo a Ré/Recorrida ser condenada ao seu reembolso, bem como ao pagamento de juros demora, com as demais consequências legais;

3. Sem prescindir, deve ainda ser declarado que não se verificou negligência grosseira por parte da Autora/Recorrente, devendo a Ré/Recorrida ser responsabilizada pelo reembolso da quantia da transferência em causa, ou seja, no valor de 37.845,30 €, acrescida de juros de mora, com as demais consequências legais;

4. Sem prescindir, ser declarado que a Ré/Recorrida, violou, de forma manifesta, as obrigações que resultam não só do Decreto-lei 91/2018, bem como das resultantes das obrigações que decorrem do contrato de deposito que foi celebrado com a Autora/Recorrente, nomeadamente, nos termos do artigo 796º do Código Civil, devendo aquela, de qualquer forma, ser condenada a reembolsar a quantia da transferência bancária que está em causa, com as demais consequências legais;

5. Ser a Ré/Recorrida condenada a pagar à Autora/Recorrente a quantia de 5.000,00 €, a título de danos não patrimoniais, com as demais consequências legais;

6. Ser a Ré/Recorrida condenada no pagamento de custas e no que demais legal for.

Fazendo-se, assim, a costumada justiça, como é apanágio de V.Ex.ªs!

C) No dia 25/11/2025 foram apresentadas as contra-alegações([4]), com ampliação do objeto de recurso, em termos de decisão da matéria de facto (entre o demais, aditando-se dois factos novos), nada opondo a R. à pretendida alteração da redação do facto provado n.º 17 e foram formuladas as seguintes conclusões([5]):

I. A impugnação do facto provado n.º 16 deve improceder, mantendo-se a redação fixada pelo Tribunal a quo, uma vez inexiste qualquer elemento probatório idóneo que sustente a alteração pretendida pelo Recorrentes, segundo a qual a ordem de inserção, no Banco 1... Online, era obrigatoriamente primeiro os dígitos aleatórios da password e, em segundo lugar, a OTP de autorização.

II. A página da autenticação forte do website do Banco 1... apenas descrevia os elementos necessários para autenticação forte, nunca referindo (i) a existência de uma ordem de inserção obrigatória, nem, muito menos, (ii) a obrigatoriedade de inserir, em primeiro lugar, os três dígitos aleatórios da password, e em segundo lugar, a OTP de autorização.

III. As declarações de parte da Autora/Recorrente AA não relevam para efeitos de formulação de juízo do facto provado n.º 16, uma vez que tal facto é eminentemente técnico, exigindo conhecimento técnico especializado que a mesma não tem. A 1.ª Autora/Recorrente limita-se a emitir juízos ou perceções não fundados em conhecimento especializado e, por isso, carece de aptidão epistemológica para infirmar o que foi explicado por profissionais qualificados.

IV. O depoimento da testemunha EE é irrelevante para formulação de juízo quanto ao facto provado n.º 16 porquanto o próprio admite não possuir conhecimento técnico sobre o funcionamento do sistema multicanal e, consequentemente, do sistema de autenticação forte.

V. Os depoimentos das testemunhas Eng.ºs DD e FF confirmam que os dados eram solicitados na mesma página, sendo indiferente a ordem de inserção.

VI. Inexiste qualquer contradição entre o Documento n.º 1 junto com a Contestação e o Documento n.º 6 junto com o Requerimento apresentado pela Recorrida a 26 de abril de 2024 que imponha qualquer sequência obrigatória, sendo tecnicamente irrelevante a ordem de preenchimento das credenciais. Os referidos documentos não demonstram qualquer ordem de inserção das credenciais, apenas confirmam que ambos os fatores foram utilizados, tanto na alteração de limites de movimentação diária, como na autorização das transferências bancárias.

VII. Por outro lado, os Eng.ºs GG e FF - funcionários da Ré que detém conhecimento técnico do funcionamento do sistema de autenticação forte - afirmaram perentoriamente que o sistema não impunha qualquer sequência de introdução das credencias obrigatória, sendo tecnicamente irrelevante a ordem de preenchimento das credenciais.

VIII. Os meios de prova convocados pelo Recorrente não impõem decisão diversa quanto à formulação do facto provado n.º 16, não infirmam a convicção formada pelo tribunal recorrido e, na verdade, seguem em conformidade com o facto tal como foi julgado provado.

IX. Nestes termos, o facto provado n.º 16 deve manter-se inalterado, mantendo-se integralmente a decisão do Tribunal a quo a respeito deste facto.

X. A Ré/Recorrida nada tem a opor à alteração requerida quanto ao facto provado n.º 17, na medida em que é evidente que o Tribunal a quo, com a formulação de tal facto se reportava à data dos factos ora em discussão no presente litígio, pelo que se aceita que o referido facto seja reformulado nos termos propostos pelos Recorrentes.

XI. Toda a impugnação da matéria de direito efetuada pelos Recorrentes é construída com base em factos que não foram dados como provados pelo Tribunal a quo e relativamente aos quais os Recorrentes não formularam qualquer pedido de aditamento da matéria de facto em sede de recurso.

XII. Se os Recorrentes entendiam que determinados factos eram relevantes e deveriam integrar a matéria de facto, competia-lhes impugnar a decisão de facto, cumprindo os ónus do artigo 640.º do CPC, i.e., identificar os pontos concretos a alterar/aditar e indicar os meios de prova que imporiam decisão diversa - o que os Recorrentes não fizeram.

XIII. Não tendo os Recorrentes (i) identificado esses factos como factualidade a aditar ao conjunto de factos dados como provados, nem (ii) formulado pedido de inclusão no elenco de factualidade provada, nem (iii) cumprido os ónus probatórios e formais correspondentes, tais factos não integram a base factual do recurso e, por conseguinte, não poderão ser considerados na apreciação da matéria de direito.

XIV. A apreciação das questões de direito deve, portanto, ser efetuada exclusivamente com base nos factos dados como provados pelo Tribunal a quo, eventualmente apenas ajustados na estrita medida em que exista impugnação de facto admissível e procedente.

XV. O sistema de homebanking da Recorrida segue, cumpre e observa todas as regras de operacionalidade impostas não só pela Entidade Bancária Europeia, designadamente, no que se refere aos métodos de autenticação, mas também as que resultam do disposto no artigo 10.º, n.º 2), al. b) do Regulamento Delegado (UE) 2018/389 da Comissão, de 27 de novembro de 2017 e do Decreto-Lei n.º 91/2018, designadamente, o disposto no artigo 104.º deste diploma.

XVI. As operações de alteração de limites de movimentação diária e transferência foram autenticadas com recurso ao sistema de autenticação forte (inserção OTP e três dígitos aleatórios da password), cumprindo integralmente o disposto nos artigos 2.º e 104.º do Decreto-Lei n.º 91/2018.

XVII. A transferência bancária em apreço foi autorizada nos termos contratuais e legais, mediante a introdução das credenciais pessoais, secretas e intransmissíveis, pelo que não pode ser qualificada como operação não autorizada.

XVIII. A única relação entre as duas operações realizadas é a seguinte: a transferência no montante de 37.845,30 €, além de ter sido devidamente autenticada e autorizada - conforme concluiu o Tribunal a quo e será desenvolvido infra - só pôde ser executada nesse valor porque, previamente, o limite diário de movimentação da conta titulada pela Autora/Recorrida AA foi alterado, através do recurso a autenticação forte, para 38.000,00 €.

XIX. O mero reenvio da password já em vigor não configura um “fornecimento de novo elemento de segurança”, caindo fora do núcleo de proteção imediato do artigo 25.º do Regulamento delegado (UE) 2018/389 da comissão de 27 de novembro de 2017 - pelo que a Recorrida não incumpriu com tal preceito legal.

XX. A transferência em causa nos presentes autos foi autorizada, com recurso às credenciais de autenticação forte estabelecidas para a utilização do Banco 1... Online, atribuídas à adesão titulada pela 1.ª Autora, nos termos acordados pelas partes, conforme resulta das Cláusula 35,n.ºs 5, als. i), ii), iii), 7 e 8 e Cláusula 37.º, n.º 2, do Documento n.º 5 junto com a Contestação e para os efeitos do disposto no artigo 103.º, n.º 1 e 3 do RJSPME. Caindo, portanto, fora do escopo do artigo 114.º do Decreto-Lei n.º 91/2018.

XXI. Sem prejuízo, a atuação da 1.ª Autora/Recorrente, de transmitir a terceiros duas OTP - uma de alteração de limites diários; outra de autorização da transferência ordenada - e a sua password integral, configura negligência grosseira, nos termos do artigo 115.º, n.º 4 do RJSPME, conforme jurisprudência maioritária e recente.

XXII. Não se verificou qualquer incumprimento das obrigações legais ou contratuais por parte da Recorrida, tendo esta cumprido integralmente os deveres previstos no RJSPME e no contrato celebrado entre as partes.

XXIII. Ao divulgar as suas credenciais a terceiros, a Autora/Recorrente AA incumpriu com o disposto no artigo 110.º, n.º 1, al. a) do Decreto-Lei n.º 91/2018 e com o disposto na Cláusula 40., n.º 2 do Documento n.º 5 junto com a Contestação.

XXIV. As normas do Código Civil relativas ao contrato de depósito não têm aplicação ao caso, porquanto a relação bancária moderna se centra no contrato de conta-corrente e nos serviços de pagamento.

XXV. Atendendo à inexistência de facto ilícito praticado pela Recorrida, não pode esta ser responsabilizada pelos danos, sejam patrimoniais, sejam não patrimoniais, sofridos pela Recorrente.

XXVI. Sem prescindir, no caso de este douto Tribunal ad quem decidir revogar a sentença proferida pelo Tribunal a quo, o que apenas por hipótese e enquanto tal se admite, deve ser ampliado o objeto do recurso e retificar-se a matéria de facto dada como provada, através do aditamento de três factos.

XXVII. Apesar de tais factos terem sido acolhidos pelo Tribunal a quo, na fundamentação, não constam da lista de factualidade provada, o que gera uma contradição entre a fundamentação e o quadro factual, formalmente fixado, e uma obscuridade da decisão de facto, na medida em que o tribunal se apoiou nestes factos para decidir, mas não os incluiu expressamente no elenco de factualidade provada.

XXVIII. O Documento n.º 1 junto com o Requerimento apresentado pela Recorrida a 26 de abril de 2024, o depoimento prestado pelo Eng.º FF e a factualidade provada sob os n.ºs 12, 13 e 15 fundamentam o aditamento ao facto provado n.º 13, nos seguintes termos:

13- A. - A referida transferência bancária foi efetuada mediante a introdução de três dígitos aleatoriamente solicitados da password e da respetiva OTP de autorização, remetida exclusivamente para a Autora AA, por SMS.

XXIX. A conjugação dos factos provados n.º 11, 12 e 15, do Documento n.º 1 junto com o Requerimento apresentado pela Recorrida a 26 de abril de 2024 e dos depoimentos prestados pelos Eng.ºs FF e GG fundamentam o aditamento do seguinte facto à lista de factualidade provada:

19. Às 11:23:32 do dia 23 de fevereiro foi efetuada uma alteração dos limites de movimentação diária da adesão, ao Banco 1... Online, titulada pela Autora AA, para o montante de 38.000,00€, após a inserção dos três dígitos aleatoriamente solicitados da password e da OTP de autorização, remetida única e exclusivamente para o contacto telefónico associado à adesão titulada pela Autora AA.

O depoimento prestado pelo Eng.º HH e factualidade provada sob os n.º provados n.º 7, 11, 12 e 15 fundamentam o aditamento do seguinte facto à lista de factualidade provada:

20. - Inexistiu qualquer avaria técnica ou deficiência do Banco 1... Online que tenha afetado as operações de pagamento efetuadas.

Nestes termos e nos demais de Direito aplicáveis, deverá o recurso de apelação ser julgado totalmente improcedente, e em consequência ser a decisão do Tribunal a quo mantida nos seus exatos termos, com todas as legais consequências.

Subsidiariamente, caso a sentença venha a ser revogada, deverá o objeto do presente recurso ser ampliado para retificar a matéria de facto dada como provada, nos termos requeridos, com todas as legais e devidas consequências.

Ao julgardes assim, Venerandos Juízes Desembargadores, estareis uma vez mais a fazer JUSTIÇA!

D) Aos 09/12/2025 foi proferido despacho a admitir, corretamente, o requerimento de interposição de recurso, como sendo de apelação, com subida nos autos e atribuído o efeito devolutivo, nos termos dos artigos 644.º, n.º 1, al. a), 645.º, n.º 1, al. a), e 647.º, n.º 1, todos do C.P.C.

O objeto do recurso é delimitado pelas conclusões das alegações da recorrente, nos termos dos artigos 635.º, n.º 4, e 639.º, n.º 1 e n.º 2, do C.P.C., não podendo este Tribunal conhecer de matérias nelas não incluídas, a não ser que as mesmas sejam de conhecimento oficioso (como expresso nos artigos 608.º, n.º 2, in fine, aplicável ex vi do art.º 663, n.º 2, in fine, do C.P.C.).

Também está vedado a este Tribunal conhecer de questões novas (que não tenham sido objeto de apreciação na decisão recorrida), uma vez que os recursos são meros meios de impugnação de questões prévias judiciais, destinando-se, por natureza, à sua reapreciação e consequente confirmação, revogação ou anulação.

As questões (e não meras razões ou argumentos) a decidir são:

1) Se foram cumpridos os ónus da impugnação da decisão da matéria de facto.

2) Se a decisão da matéria de facto deve ser alterada.

3) Da aplicação do Direito aos factos.

II- FUNDAMENTAÇÃO

Os factos

Na sentença recorrida([6]) foi decidida a seguinte matéria de facto([7]).

Factos provados

1. A Autora é Cliente da Ré desde 08 de julho de 1997, data em que abriu a conta de depósito à ordem nº ...19, com outro cotitular.

2. A 23 de outubro de 2014, foi celebrado entre a Autora e outra cotitular, na qualidade de Clientes, e a Ré, na qualidade de Instituição de Crédito, um Contrato de Depósito, subjacente à abertura da conta de depósito à ordem n.º ...76;

3. A 24 de outubro de 2014, foi celebrado entre a Autora, a Senhora D. BB e o Senhor CC, na qualidade de Clientes, e a Ré, na qualidade de Instituição de Crédito, um Contrato de Depósito, subjacente à abertura da conta de depósito à ordem n.º ...78;

4. De acordo com o disposto na Ficha de Assinaturas de Pessoas Singulares, ficou estipulado entre as partes que a conta de depósito à ordem n.º ...87 ficaria sujeita ao regime de movimentação solidário, razão pela qual qualquer um dos seus três cotitulares detinha poderes para a movimentar isoladamente através dos instrumentos de pagamento que lhe fossem disponibilizados pela Ré para essa movimentação.

5. A transferência no montante de € 37.845,36 em causa nos presentes autos foi ordenada através da adesão da Autora ao Banco 1... Online Particulares a partir da referida conta de depósito à ordem n.º ...87.

6. No âmbito e em execução do referido contrato de depósito, a Autora aderiu, em data anterior a 26 de agosto de 2004, a um serviço homebanking que era disponibilizado pela SIBS - Forward Payment Solutions, SA (à data designada por SIBS- Sociedade Interbancária de Serviços, SA), tendo, na aludida data, o dito serviço migrado para os sistemas do Banco 1..., nos termos do Comprovativo do Histórico de Adesão, que ora se junta e se dá por integralmente reproduzido para todos os legais e devidos efeitos;

7. No dia 21/02/2022, após pesquisa em motor de busca na internet, a Autora AA introduziu o seu número de adesão e chave multicanal completos em página com natureza fraudulenta e aparência idêntica à de acesso ao hombanking da Ré;

8. No dia 23 de fevereiro de 2022, pelas 11h13min, a Autora AA recebeu uma chamada no seu telemóvel em que o interlocutor, do sexo feminino, se identificou como sendo funcionária da Ré, do Departamento do Risco e Segurança.

9. Mais informou, nessa qualidade, que tinham recebido um alerta de transferência bancária de um montante elevado, e que precisava de confirmar se seria a Autora que estava a fazer a alegada transferência bancária, o que esta negou.

10. De seguida, a referida pessoa informou a Autora AA que, uma vez que não era a mesma que estava a tentar fazer a transferência, seria necessário, para impedir que a transferência se concretizasse, agir rápido, tendo-lhe informado que iria enviar para o seu telemóvel, uns códigos para que a mesma pudesse bloquear a alegada transferência.

11. Durante a conversa telefónica que manteve com a referida senhora, a Autora AA recebeu no seu telemóvel as seguintes mensagens:

a. Banco 1... On-line 23-02-2022 11:22

Alteração de Limites

Conta: ...87

Limite: 37.900 EUR

Código de Autorização: ...51

b. Estimado(a) Cliente,

Conforme solicitado, informamos que a password atual da sua adesão é: ...84

c. Banco 1... On-line 23-02-2022 11:25

Transf. Contas Banco 1

Conta a debitar: ...87

IBAN: ...33

Montante: 37.845,36 EUR

Código de Autorização: ...07

d. Banco 1... On-line 23-02-2022 11:26

Alteração de Limites

Conta: ...27

Limite: 18.000 EUR

Código de Autorização: ...18

e. Banco 1... On-line 23-02-2022 11:28

Alteração de Limites

Conta: ...27

Limite: 18.000 EUR

Código de Autorização: ...95

f. Banco 1... On-line 23-02-2022 11:30

Transf. Contas Banco 1

Conta a debitar: ...27

IBAN: ...94

Montante: 17.253,61 EUR

Código de Autorização: ...09

12. A Autora AA forneceu à interlocutora, no decurso da chamada, os códigos constantes das três primeiras mensagens;

13. Nesse mesmo dia, pelas 11h26min, foi executada uma transferência bancária da conta n.º ...87 para uma outra conta bancária titulada por terceiro;

14. À data da realização da transferência o nome e telefone do titular da conta eram visíveis na área reservada - portanto, após autenticação com n.º de adesão e chave multicanal - do sistema de ho-mebanking;

15. A 23 de fevereiro de 2022 - data dos factos - para transferências e alteração de limites diários, exigia-se a introdução de três dígitos aleatórios da password e um código OTP (One Time Password) enviado por SMS;

16. A ordem de introdução destes dois fatores era considerada irrelevante pelo sistema;

17. Para acesso inicial ao homebanking, exigia-se número de adesão, chave multicanal e uma OTP por SMS, sendo que para acessos subsequentes (até 90 dias), podia ser usado apenas número de adesão e chave multicanal;

18. Por força da perda do valor da transferência realizada, a Autora padece, desde a data da sua realização, de sintomas de ansiedade, angústia e nervosismo.

Antes de passarmos a responder às duas primeiras questões já enunciadas([8]), passamos a enunciar os parâmetros doutrinais em que nos movemos, a fim de posteriormente, e de forma já mais sucinta, respondermos às questões.

Matéria de facto é, obviamente, a factualidade, não conclusões, ou inferências, pretendidas pelas partes e apresentadas como sendo factos, conquanto não integrem verdadeiramente factos.

Citando António Santos Abrantes Geraldes, Paulo Pimenta e Luís Filipe Pires de Sousa, “[n]o que concerne à distinção entre matéria de facto e matéria de direito, devem ser admitidas com mais naturalidade asserções que, no contexto da concreta ação, não correspondendo a puras «questões de direito», sejam algo mais do que puras «questões de facto» no sentido tradicional”([9]).

Contudo, e como estes autores clarificam, “[n]ão se encontra no CPC de 2013 uma norma como a do nº4 do art. 646º do CPC de 1961, que considerava «não escritas as respostas do [tribunal] sobre questões de direito». Esta opção não significa, obviamente, que seja admissível doravante a assimilação ente o julgamento da matéria de facto e o da matéria de direito ou que seja possível, através de uma afirmação de pendor jurídico, superar os aspetos que dependem da decisão da matéria de facto”([10]).

Também não pode ser confundida com um pretenso pedido de alteração da matéria de facto uma argumentação em torno dela, pois que o relevante é a interpretação que uma pessoa comum dela faria - evidentemente, menos abrangente, até, que a efetuável por um jurista.

Assim, independentemente de não atendermos ao que se nos afigurem juízos de valor (conclusivos), também os factos que, em si mesmos, se afigurem irrelevantes para a decisão de Direito a tomar perante as plausíveis soluções possíveis, serão desconsiderados - dado que, ainda que os pressupostos ónus da reapreciação da prova tenham sido cumpridos, nos termos dispostos no art.º 640.º do C.P.C., esta só deve ser efetuada se a eventual alteração da matéria de facto puder ser relevante para o enquadramento da questão à luz das diferentes e plausíveis soluções de Direito; se não o for, e como a lei proíbe a prática de anos inúteis, no art.º 130.º do C.P.C.([11]), não se justifica a reapreciação da decisão da matéria de facto irrelevante que seja pretendida em sede recursiva, sendo assim indeferida.

Nos termos do disposto no art.º 662.º, n.º 1, do C.P.C., cuja epígrafe é “[m]odificabilidade da decisão de facto”, “[a] Relação deve alterar a decisão proferida sobre a matéria de facto, se os factos tidos como assentes, a prova produzida ou um documento superveniente impuserem decisão diversa”, o que é aplicável em casos de recurso sobre a matéria de facto, desde que cumpridos os ónus previstos no art.º 640.º do C.P.C., ou então, mesmo que não o tenham sido, se estiver em causa a violação do direito probatório material([12]).

Nas palavras de António Santos Abrantes Geraldes, “sem embargo das modificações que podem ser oficiosamente operadas relativamente a determinados factos cuja decisão esteja eivada de erro de direito, por violação de regras imperativas, à Relação não é exigido, nem lhe é permitido que, de motu proprio, se confronte com a generalidade dos meios de [prova] para deles extrair, como se se tratasse de um novo julgamento, uma decisão inteiramente nova. Pelo contrário, as modificações a operar devem respeitar o que o recorrente, no exercício do seu direito de impugnação da decisão da matéria de facto indicou nas respetivas alegações que circunscrevem o objeto do recurso. Assim o determina o princípio do dispositivo que se revela através da delimitação do objeto do recurso (da matéria de facto) através das alegações”([13]).

Sobre a asserção do autor citado, “à Relação não é [exigido] como se se tratasse de um novo julgamento”([14]), consideramos pertinente um outro considerando, referente ao instituto de recurso, propriamente dito, em processo civil, enquanto instrumento de reação contra uma ilegalidade ou uma (patente) injustiça.

Sem prejuízo dos referidos poderes-deveres de o Tribunal da Relação alterar a matéria de facto, próprio de um regime de recurso que, nesta vertente, é tipicamente de substituição, também não pode deixar de ser tida em conta a vantagem do tribunal recorrido no que respeita à ponderação resultante da imediação e da oralidade.

A este propósito, citamos novamente Abrantes Geraldes, “[é] inegável que a gravação dos depoimentos por registo áudio ou por meio que permita a fixação da imagem (vídeo) nem sempre consegue traduzir tudo quanto pôde ser observado no tribunal a quo. Como a experiência o demonstra frequentemente, tanto ou mais importante que o conteúdo das declarações é o modo como são prestadas, as hesitações que as acompanham, as reações perante as objeções postas, a excessiva firmeza ou o compreensível enfraquecimento da [memória], sendo que a mera gravação dos depoimentos não permite o mesmo grau de perceção das referidas reações que, porventura, influenciaram a juiz da 1.ª instância. Na verdade, existem aspetos comportamentais ou reações dos depoentes que apenas são percecionados, apreendidos, interiorizados e valorados por quem os presencia e que jamais podem ficar gravados ou registados para aproveitamento posterior por outro tribunal que vá reapreciar o modo como no primeiro se formou a convicção do julgador”([15]).

Assim sendo, e por motivos metodológicos, se não fizermos expressa menção em sentido contrário, tal significa que a motivação da decisão de facto (e, inerentemente, esta) da primeira instância foi por nós acolhida.

Com o princípio da livre apreciação da prova, ao abrigo do disposto no 607.º, n.º 4 e n.º 5, do C.P.C., o legislador não pretende que se atinja a verdade ôntica mas a humanamente possível, atendendo-se aqui às dificuldades da natureza humana, a possível e plausível (à luz dos diferentes meios de prova disponíveis e nos termos da valoração legal dos mesmos ou direito probatório material - prova materialmente vinculada), tendo em conta a experiência comum e as regras da lógica, bastando-se assim um juízo de plausibilidade e verosimilhança para o standard, ou padrão, da prova: o de a realidade considerada provada ser mais provável do que a contrária.

Ou seja, na decisão da matéria de facto os juízos de experiência comum, de verosimilhança, de lógica e razoabilidade, têm um papel preponderante, não só por o Tribunal administrar a Justiça em nome do Povo, mas também por a decisão judicial ter como destinatários as partes e a comunidade.

Não obstante, a motivação de uma decisão da matéria de facto não pode - não tem de, nem deve - ser a reprodução escrita (exaustiva) do pensamento do julgador; basta-se com a possibilidade de o destinatário acompanhar e perceber as razões que nortearam tal processo gnosiológico.

Posto isto.

1) Se foram cumpridos os ónus da impugnação da decisão da matéria de facto.

Não obstante a conclusão n.º 8. “[o] Tribunal a quo considerou como provados, com relevo para presente recurso, os factos nºs 7 a 12, 15, 16 e 17”, como é patente, nas conclusões n.º 10 a 12.º, apenas ataca a decisão da matéria de facto relativamente aos factos n.º 16 e n.º 17([16]) ([17]), tendo, quanto a estes cumprido os ónus previstos no art.º 640.º do C.P.C.

2) Se a decisão da matéria de facto deve ser alterada.

Independentemente da (ir)relevância, apenas nos focaremos no facto n.º 16, porquanto a pretendida alteração ao 17 (na conclusão n.º 21,“ devendo ser aditado a seguinte menção: «[a] 23 de Fevereiro de 2022 - data dos factos...»”) foi admitida na conclusão n.º X da resposta ao recurso([18]), sendo que, como aí notado, é evidente que o tribunal a quo se reportava à data dos factos…

Como se isto não bastasse, a data já constava do facto n.º 15([19]).

Pretende a recorrente que em vez da redação atual (“16. A ordem de introdução destes dois fatores era considerada irrelevante pelo sistema” passe a ser: “A ordem de introdução desde dois fatores era, primeiro a introdução de três dígitos aleatórios da password e depois um código OTP”.

Precisamos de ter em conta o facto n.º 15:

15. A 23 de fevereiro de 2022 - data dos factos - para transferências e alteração de limites diários, exigia-se a introdução de três dígitos aleatórios da password e um código OTP (One Time Password) enviado por SMS;

16. A ordem de introdução destes dois fatores era considerada irrelevante pelo sistema”.

A presente situação é algo incomum, na medida em que a pretendida alteração poderia, no limite, ser considerada relevante, como também irrelevante para a solução de Direito, sendo esta última a que consideramos válida.

Vejamos.

Em primeiro lugar, a recorrente não impugnou a decisão da matéria de facto quanto a outros pontos, chamando nós a atenção para a seguinte sequência: factos provados números 4, 7, 9, 10, 11 e 12.

É que de tais factos, resulta, entre o mais, provado que depois de a A. ter acedido dia 21/02/2022 a página fraudulenta onde inseriu as credenciais de acesso à sua conta online na R., de ter então achado estranho nesse momento não ter tido acesso aos dados da conta, de não ter efetuado nenhuma ordem de transferência, de o ter assumido em telefonema de uma interlocutora desconhecida (recebido às 11.13 h. de dia 23/02/2022), e ainda assim, e no mesmo telefonema, fornece todos os dados para alteração de um limite de transferência([20]) (sabendo que não tinha ordenado alguma…) e, ainda por cima, forneceu todos os códigos / elementos([21]) necessários à concretização da transferência.

Ou seja, para uma pessoa que age desta forma seria irrelevante se houvesse (a pretendida) sequência na alteração do facto n.º 16…

Apesar de tautológico, mesmo que a alteração fosse procedente seria factual(e jurídica)mente irrelevante, pois a transferência ocorreu.

Em segundo lugar, e como é facto notório (valorável nos termos do artigo 412.º, n.º 1, do C.P.C.), as ligações a páginas de internet (login) implicam, no mínimo, duas informações e independentemente da designação que se lhes dê em cada página (aliás, a A. persiste neste recurso na mesma via argumentativa, no fundo, a de que uma password tem de ser alfabética, quando não, pode ser numérica - “código”, como entende a A., parecendo achar que tal não é uma password… -, pode ser alfabética ou alfanumérica): a 1.ª tanto pode ser chamada como número de adesão, número de contrato, nome (elenco exemplificativo de denominações), a 2.ª tanto pode ser um “código”, uma “password”, um código “PIN” ou uma chave multicanal (novamente um elenco exemplificativo); como observado na sentença recorrida, trata-se de “elementos de conhecimento”.

Mais recentemente, muitas entidades, até por causa de casos idênticos a este, passaram a utilizar, mesmo apenas só para o login, algo que antes era só usado para determinadas operações (no caso de bancos, por exemplo, alterações de limites diários de transferência, transferências, pagamentos, etc.), que é o chamado “elemento posse”, no caso, o telefone associado à conta para onde é enviado um s.m.s. com poucos minutos de duração / validade, com um código que integra o S.A.F. (sistema de autentificação forte).

Aliás, a única razão por que a A. foi contactada por telefone foi exatamente para que, além de alterar o limite diário de transferência, fornecesse os dados de autenticação forte, dado que o telemóvel associado à conta estava na posse dela e não da interlocutora …

Por fim, cumpre referir o seguinte: na sequência do que já antes dissemos, não conseguimos entender como uma pessoa que dois dias antes tinha achado estranho não conseguir aceder aos dados da conta e não tinha ordenado uma transferência, ao receber uma chamada de pessoa desconhecida (supostamente para impedir uma transferência de montante elevado), não vai imediatamente à agência do banco tratar pessoalmente do assunto e no local próprio, tanto mais que dia 23/02/2022 foi uma quarta-feira, dia útil, e a chamada foi em horário de expediente, às 11.13 h. (agência aberta)…

Não; ao invés, fornece os dados necessários para alteração do limite diário de uma transferência (que não tinha ordenado) e concretização da mesma - pelo que discordamos completamente da conclusão n.º 42 da recorrente, a de que nas circunstâncias do caso qualquer pessoa normal teria agido como a A.

Posto isto, e mantendo presentes os considerandos inicialmente tecidos quando à reapreciação da matéria de facto, concluímos pela irrelevância([22]) da pretendida alteração à matéria de facto que, de todo o modo, e pelo que já expusemos ao longo desta resposta, e em linha com a primeira instância, seria improcedente.

Constatámos que a motivação da decisão da matéria de facto foi escorreita e absolutamente lógica, fundamentando devidamente o processo de julgamento, valoração crítica dos meios de prova, efetuado para a prolação da decisão e concretizando facto a facto([23]), estando devidamente assente em juízos de lógica, verosimilhança e de experiência comum, fundamentando devidamente também (até para contradizer os considerandos da A. recorrente) a sua decisão (não só, mas também) no depoimento dos engenheiros informáticos GG e FF.

Improcede, pois, a alteração da decisão da matéria de facto.

O Direito

3) Da aplicação do Direito aos factos.

O recurso em apreço - como bem se vê dos raciocínios que se fazem sob as suas conclusões - apenas ataca a decisão de mérito da sentença recorrida no pressuposto da procedência da impugnação, relevante, da matéria de facto nele deduzida - e, com base em matéria de facto inexistente, tece considerandos em torno da que, efetivamente, se provou.

Como resulta do decidido, a matéria de facto da sentença recorrida mantém-se sem alteração relevante para a boa decisão da causa([24]).

Compreendemos a frustração, quiçá arrependimento, da A. pelo sucedido e pelo seu comportamento, culposo, sendo a culpa um juízo de desvalor, de censura.

Em diferentes aceções, a culpa pode ser dolosa ou negligente, leve, grave e grosseira.

É pacífico que se verifica uma situação de negligência grosseira quando a pessoa “deixe de observar os deveres de cuidado que só uma pessoa especialmente descuidada e incauta não teria observado, isto é, quando a sua conduta se apresente como altamente reprovável, indesculpável e injustificada, à luz do mais elementar senso comum”([25]).

Há, consabidamente, pessoas mais e menos cautelosas, mais e menos desconfiadas.

Os meios de comunicação social alertam, diariamente, para os mais diferentes tipos de burlas, incluindo as que implicam meios informáticos.

A expressão inglesa phising, a par de outras, como, por exemplo, vishing, entrou no nosso vocabulário e consiste num meio fraudulento de obtenção de dados enquanto iter de um processo fraudulento([26]).

Não temos nenhuma censura a fazer à motivação de Direito da sentença recorrida.

Citando parte dela, “[d]esde logo, importa sublinhar que a operação em causa foi executada mediante utilização dos mecanismos de segurança implementados pelo banco e que se encontravam em vigor à data dos factos, em conformidade com o disposto no Decreto-Lei n.º 91/2018, de 12 de novembro, e no Regulamento Delegado (UE) 2018/389, da Comissão. Com efeito, como resulta dos factos provados - designadamente dos pontos 5, 11, 13, 15 e 16 -, a transferência em questão foi realizada após ter sido executado o procedimento de autenticação forte exigido à data: combinação de um fator de conhecimento (três dígitos aleatórios da password) e um fator de posse (código OTP enviado por SMS), inseridos no sistema Banco 1... Online pela via disponibilizada pela [Ré]. [A]ntes se apurou que o sistema funcionou nos exatos termos para os quais foi concebido, validando as credenciais introduzidas e autorizando a operação nos moldes em que veio a ser concretizada. Tal realidade técnica impõe assim que se qualifique a operação como autorizada, nos termos e para os efeitos do artigo 113.º do Decreto-Lei n.º 91/2018. Note-se que, à luz deste preceito, quando um utilizador negue ter autorizado uma operação de pagamento, compete ao prestador do serviço de pagamento demonstrar que a mesma foi autenticada, devidamente registada, contabilizada e não foi afetada por qualquer deficiência técnica. Ora, como resulta inequivocamente da prova produzida, a Ré logrou fazê-lo”([27]).

Torna-se uma discussão algo estéril discutir o que é uma operação autorizada ou não autorizada, considerando nós que esta entra no âmbito de uma autorizada - dado que a A. forneceu todos os dados do S.A.F., incluindo o código OT.P., devido a negligência grosseira sua, a ordenante.

Dado que o art.º 114.º do Decreto-Lei n.º 91/2018, de 12/11, que (também) regula o Regime Jurídico dos Serviços de Pagamento e da Moeda Eletrónica (R.J.S.P.M.E.) prevê a responsabilidade do prestador de serviços de pagamento em caso de operação de pagamento não autorizada, para efeito da exclusão de responsabilidade prevista no art.º 115.º, n.º 4, do mesmo Diploma, age com negligência grosseira a pessoa que entrou num link fraudulento semelhante ao da sua instituição bancária, introduzindo as credenciais de acesso, estranhando após não ter acesso aos dados da conta e, apesar de não ter ordenado qualquer transferência, através de um telefonema de interlocutora desconhecida (que, alegadamente pretenderia impedir a realização de uma transferência), recebido dois dias depois, lhe fornece os dados necessários (incluindo senha e códigos OTP, ou one-time password) enviados pelo banco em três s.m.s.'s distintos para o seu telemóvel: primeiro para aumentar o limite diário de transferência interbancária e, depois, para que esta fosse realizada.

Assim, o presente recurso será julgado improcedente, até por maioria de razão (autorização), tendo em conta o regime previsto no art.º 115.º, n.º 4, para as operações que não o são

Improcedendo o recurso, fica prejudicado o conhecimento da ampliação do objeto do recurso deduzido pela R., nos termos do art.º 636.º, n.º 1 e n.º 2, do C.P.C. - isto sem prejuízo da natureza manifestamente conclusiva de algumas das alterações que pretendia introduzir na matéria de facto.

As custas da primeira instância e da apelação serão suportadas pela A. recorrente, por ter decaído, nos termos do art.º 527.º, n.º 1, e n.º 2, do C.P.C.

III- DECISÃO

Pelos motivos expostos, e nos termos das normas invocadas, acordam os juízes destes autos no Tribunal da Relação do Porto em julgar improcedente o recurso de apelação interposto pela A. recorrente.

As custas da primeira instância e da apelação serão suportadas pela A. recorrente, por ter decaído, nos termos do art.º 527.º, n.º 1, e n.º 2, do C.P.C.

Porto, 25/05/2026.

Este acórdão é assinado eletronicamente pelos respetivos:

Relator: Jorge Martins Ribeiro;

1.ª Adjunta: Teresa Sena Fonseca e

2.ª Adjunta: Fátima Andrade.

[1] Num articulado composto por 64 páginas (pp.)…

[2] Itálico, negrito, sublinhado e aspas no original.

[3] OTP é o acrónimo para a expressão inglesa One-Time Password, ou senha de uso único.

[4] Num articulado composto por 107 pp…

[5] Itálico e negrito no original.

[6] Cujo teor damos integralmente por reproduzido.

[7] Itálico no original.

[8] Que relembramos em nota:

1) Se foram cumpridos os ónus da impugnação da decisão da matéria de facto.

2) Se a decisão da matéria de facto deve ser alterada.

[9] Cf. António Santos Abrantes GERALDES, Paulo PIMENTA e Luís Filipe Pires de SOUSA, Código de Processo Civil Anotado, vol. I, 3.ª edição, Coimbra, Almedina, 2023, p. 860 (aspas e itálico no original).

[10] Cf. António Santos Abrantes GERALDES, Paulo PIMENTA e Luís Filipe Pires de SOUSA, Código de Processo Civil Anotado, vol. I, 3.ª edição, Coimbra, Almedina, 2023, p. 774 (interpolação nossa; aspas e itálico no original).

[11] Aproveitamos este momento para deixarmos em nota que a R., nas suas contra-alegações ao recurso interposto pela A., toca neste aspeto, com o que concordamos; não obstante, não cremos que a construção aí também feita sobre a falta de legitimidade da A. para impugnar certos factos colha, porquanto, como é evidente, a decisão apenas foi parcialmente favorável a cada uma das partes…

[12] Neste sentido, e exemplificativamente, cf. António Santos Abrantes GERALDES, Paulo PIMENTA e Luís Filipe Pires de SOUSA, Código de Processo Civil Anotado, vol. I, 3.ª edição, Coimbra, Almedina, 2023, pp. 857-858.

[13] Cf. António Santos Abrantes GERALDES, Recursos em Processo Civil, 7.ª edição atualizada, Coimbra, Almedina, 2022, pp. 340-341 (interpolação nossa e itálico no original).

[14] Interpolação nossa.

[15] Cf. António Santos Abrantes GERALDES, Recursos em Processo Civil, 7.ª edição atualizada, Coimbra, Almedina, 2022, p. 348 (interpolação nossa e itálico no original).

[16] “10. Em cumprimento do disposto no disposto nas alíneas a), b) e c) do nº 1, do artigo 640º do CPC, os Autores/Recorrentes, consideram que os factos elencados nos nºs 16 e 17 foram incorretamente julgados;

11. Em conformidade, e nos termos do referido preceito legal, os Autores/Recorrentes, nos termos do referido preceito legal, apresentam impugnação à referida matéria de facto;

12. Conforme exposto supra, os Autores/Recorrentes não concordam com o julgamento da matéria de facto correspondente aos nºs 16 e 17”.

[18] “X. A Ré/Recorrida nada tem a opor à alteração requerida quanto ao facto provado n.º 17, na medida em que é evidente que o Tribunal a quo, com a formulação de tal facto se reportava à data dos factos ora em discussão no presente litígio, pelo que se aceita que o referido facto seja reformulado nos termos propostos pelos Recorrentes”.

[19] “15. A 23 de fevereiro de 2022 - data dos factos - para transferências e alteração de limites diários, exigia-se a introdução de três dígitos aleatórios da password e um código OTP (One Time Password) enviado por SMS”.

[20] Transcrevemos em nota, novamente, o teor da mensagem a) do facto provado 11:

“a. Banco 1... On-line 23-02-2022 11:22

Alteração de Limites

Conta: ...87

Limite: 37.900 EUR

Código de Autorização: ...51”.

[21] Transcrevemos em nota, novamente, o teor das mensagens b) e c) do facto provado 11:

“b. Estimado(a) Cliente,

Conforme solicitado, informamos que a password atual da sua adesão é: ...84

c. Banco 1... On-line 23-02-2022 11:25

Transf. Contas Banco 1

Conta a debitar: ...87

IBAN: ...33

Montante: 37.845,36 EUR

Código de Autorização: ...07”.

[22] E, com o devido respeito por diferente juízo de valor, intrínseca e logicamente inconsequente…

[23] A motivação da decisão de facto consta de pp.5-13 da sentença, 8 páginas de um total de 21.

[24] Ressalvando o devido respeito por diferente juízo de valor, não vemos relevância para o caso a decidida alteração, por acordo, do facto provado n.º 17, pois é evidente que a sentença se reporta ao objeto do litígio e à data do evento causa de pedir... e constava já do facto provado n.º 15.

Redação primitiva:

“17. Para acesso inicial ao homebanking, exigia-se número de adesão, chave multicanal e uma OTP por SMS, sendo que para acessos subsequentes (até 90 dias), podia ser usado apenas número de adesão e chave multicanal”.

Nova redação: “A 23 de Fevereiro de 2022 - data dos factos, para acesso inicial ao homebanking, exigia-se número de adesão, chave multicanal uma OTP por SMS, sendo que para acessos subsequentes (até 90 dias), podia ser usado apenas número de adesão e chave multicanal”.

[25] Citamos, exemplificativamente, parte do ponto I do sumário do acórdão do S.T.J. proferido no processo n.º 05S3479, já aos 02/06/2006, relatado por Sousa Peixoto.

O acórdão está acessível em:

jurisprudencia.pt [18/05/2026 (itálico nosso)].

[26] Uma simples pesquisa google é elucidativa.

Transcrevemos, em nota, parte de uma:

“Phishing é um golpe digital em que criminosos se passam por entidades legítimas (como bancos, empresas ou órgãos do governo) para roubar informações pessoais, senhas ou dados [bancários].

Como funciona

O Iscamento: O atacante envia uma mensagem massiva criando um senso de urgência ou oportunidade (ex: "sua conta será bloqueada" ou "ganhou um prémio").

A Farsa: A mensagem contém um link que direciona a vítima para um site falso, mas com aparência idêntica ao original.

O Roubo: Ao inserir os dados no site falso, o utilizador entrega as suas informações diretamente ao [cibercriminoso].

Formas comuns de ataque

Email Phishing: O mais comum, onde e-mails fraudulentos simulam comunicações oficiais de marcas conhecidas.

Smishing: Phishing realizado através de mensagens de texto (SMS ou aplicações de mensagens).

Vishing: Golpes executados por chamadas telefónicas, onde o atacante se faz passar por funcionário de uma [instituição].

Como se proteger

Verifique o remetente: Confirme sempre o endereço de e-mail ou número de telefone exato que enviou a mensagem.

Desconfie de links: Evite clicar em links suspeitos ou encurtados. Aceda diretamente ao site oficial da instituição digitando o endereço no navegador.

Valide a urgência: Nenhuma instituição confiável pede senhas, códigos de autenticação ou dados de cartão de crédito por SMS ou [e-mail]”.

A informação está acessível em:

google.com

[18/05/2026 (interpolação e itálico nosso)].

[27] Interpolação nossa.