1943/09.1TJLSB.L1-7 - Tribunal da Relação de Lisboa

Não tendo o banco demonstrado culpa da A. - sua cliente que foi vítima de extorsão por um cracker agindo, em ambiente informático, a partir da Rússia, utilizando uma técnica de phishing - é ele responsável pela reposição inteira à A. das quantias de que ficou privada na conta a prazo, perante a desproporção do risco para cada uma das partes e, sobretudo, porque só o banco, como instituição de âmbito profissional que actua no terreno, pode controlar os meios que podem evitar a vulnerabilidade do sistema ao crime informático.

(sumário da Relatora)

Acordam na Relação de Lisboa

Apelante/R.: Banco, S.A

Apelados/A.: L

Pedido: condenação do R. a restituir-lhe (a) a quantia de 16.800€; (b) a pagar-lhe a quantia de 353,40€, a título de juros vencidos; (c) a pagar-lhe a quantia de 1.000€, por danos não patrimoniais (d) tudo acrescido de juros vincendos à taxa legal, até efectivo e integral pagamento.

Alegou, em síntese que celebrou com o R. um contrato de home banking, mediante o qual o R. lhe permitita que acedesse, via telefone e internet, à sua conta de depósitos a prazo de que é titular solidária com o seu marido; para o efeito foi.lhe atribuído um cartão matriz de coordenadas com um elemento de identificação e um código secretos. Ora, em Março de 2009 foram efectuados movimentos ilícitos na mesma conta bancária, sendo certo que o R. não logrou impedir o acesso fraudulento à conta da A. que ainda se encontra desembolsada em 16.800 €. Mercê desta situação a A., que é reformada e vive da sua reforma, ficou em sobressalto, visto que o dinheiro da conta é destinado a prover necessidades inesperadas, designadamente com tratamentos médicos e com medicamentos, pelo que deve também ser ressarcida por danos morais no valor a esse título pedido.

O R. contestou, alegando, em síntese, que é alheio ao mecanismo fraudulento que determinou a subtracção dos montantes de que a A. foi desapossada. Aliás, só a A. ou pessoa da sua confiança pode ter facultado os dados que permitiram o desfalque, em virtude de os códigos serem secretos. Além disso, os factos aqui em causa estão a ser objecto de investigação criminal, tratando-se de uma questão prejudicial (sustentado, para já, a suspensão da instância); não existindo, por outro lado, qualquer nexo de causalidade entre o dano sofrido pela A. e a conduta do R. que agiu sem ilicitude e sem culpa, não podendo, pois, ser responsabilizado.

Conclui pela improcedência da acção e a consequente absolvição do pedido.

A A. respondeu, concluindo como na P.I

Foi indeferido o pedido de suspensão da instância, tendo sido proferido despacho saneador, indicados os factos assentes e organizada a base instrutória.

Foi proferida decisão, do seguinte teor: “…o Tribunal julga parcialmente procedente a presente acção, por parcialmente provada, e, em consequência, condena o Réu Banco , S.A., a restituir à Autora L a quantia de € 16 800,00, acrescida de 353,40€, a título de juros vencidos e o montante correspondente aos juros de mora vincendos, calculados à taxa anual de 4%, desde 17 de Outubro de 2009 até efectivo e integral pagamento, tendo absolvido o R. do pedido de condenação no pagamento de indemnização por danos não patrimoniais e respectivos juros.

É contra esta decisão que se insurge o recorrente, formulando as conclusões que a seguir se sintetizam:

A) O Contrato em apreço é um Contrato de Adesão; um contrato de utilização, acessório, instrumental, em relação ao contrato de depósito bancário;

B) É um contrato bilateral e sinalagmático e não um Contrato de Depósito e muito menos um depósito irregular;

C) Por tal facto, não é aplicável o regime consagrado no artigo 1206°, do Código Civil;

D) O Banco afastou a culpa, uma vez que provou que a conta foi movimentada, independentemente da sua actuação ou da vulnerabilidade do seu sistema informático;

E) Não prevendo Lei responsabilidade objectiva, não deverá o Banco Réu assumir isoladamente um risco, quando as vantagens do sistema são mútuas.

Em contra-alegações a A. concluiu pela confirmação da sentença recorrida.

II. 1 Como é sabido, o âmbito objectivo do recurso é definido pelas conclusões do recorrente (arts.º 684.º n.º 3 e 690.º, n.º 1, do Código de Processo Civil), importando, assim, decidir as questões nelas colocadas e, bem assim, as que forem de conhecimento oficioso, exceptuando-se aquelas cuja decisão fique prejudicada pela solução dada a outras, nos termos do art.º 660.º n.º 2, também do C.P.C

Assim a questão a decidir consiste fundamentalmente em saber se a responsabilidade pela extorsão fraudulenta de que a A. foi vítima por um cracker, que agiu através de meios informáticos a partir da Rússia, deve ser repartida equitativamente entre A. e R.

Importa ponderar o circunstancialismo de facto assente na sentença:

1. O R. é uma instituição bancária que exerce profissionalmente a actividade bancária e dessa actividade aufere lucros;

2. Por escrito particular datado de 27 de Dezembro de 2002, com o número …, o R. (que, à data, girava comercialmente sob a denominação de "Banco ") celebrou com a Autora um contrato de adesão epigrafado de …t _ Contrato de Adesão", por via do qual aquele permitia a esta beneficiar de um serviço por onde a A. podia aceder a serviços disponibilizados pelo R. através de internet, via telefónica ou outras formas de acesso remoto, possibilitando por esse meio, designadamente, obter informações sobre produtos e serviços do Banco, obter informações e realizar operações bancárias sobre contas de que fosse titular, realizar operações de subscrição/transacção de valores mobiliários ou resgate sobre produtos ou serviços disponibilizados;

3. Através desse serviço "…t" (que posteriormente o R. veio denominar de "……"), o R. permitia que a A. acedesse e movimentasse a conta de depósitos a prazo, de que é titular solidária com o seu marido, com o número …., sediada no balcão do R. em, através do telefone ou da internet, funcionando on-line;

4. Para tal, o R. atribuiu à A. um cartão matriz de coordenadas com um elemento de identificação secreto e um código também secreto;

5. Em 19 de Março de 2009, através do serviço "….", a conta de depósitos a prazo com o número ….., denominada "….", foi movimentada a débito sob a designação de "Transferência Caixa Automática", na quantia de € 10 250,00 (dez mil, duzentos e cinquenta euros);

6. Em 19 de Março de 2009, igualmente através do serviço "….", a identificada conta de depósitos a prazo foi novamente movimentada a débito, também sob a designação de "Transferência Caixa Automática", na quantia de € 6 800,00 (seis mil e oitocentos euros);

7. Em 23 de Março de 2009, o R. foi alertado para a existência das movimentações ilícitas ocorridas na conta da A. no dia 19 de Março de 2009;

8. Em 23 de Março de 2009, pelo mesmo serviço "Banc@online", a conta de depósitos a prazo em apreço foi de novo movimentada a débito, igualmente sob a designação de 'Transferência Caixa Automática", na quantia de € 10 540,00;

9. Tais movimentos a débito e transferências bancárias foram efectuados por alguém cuja identidade a A. desconhece, sem a sua autorização e contra a vontade desta;

10. A transferência da quantia de € 10.250,00, efectuada em 19 de Março de 2009, teve como destino uma conta de depósitos aberta na …, S.A.;

11. Por razões que a A. ignora e sobre as quais nenhuma explicação foi adiantada pelo R., no dia 23 de Março de 2009, sob a designação de "…., a aludida quantia de € 10 250,00 foi devolvida pelo R. à conta da A. em apreço;

12. Em 8 de Abril de 2009, igualmente sob a designação de '…., o R. devolveu à referida conta da A. a quantia de € 540,00;

13. Apesar dessas devoluções, a A. continua desembolsada da importância global de € 16 800,00;

14. Consta da cláusula 5.1 do mencionado contrato que "0 Banco compromete-se a manter sob rigorosa confidencialidade os Códigos Secretos e a informação constante do cartão atribuídos ao cliente";

15. Consta da cláusula 10., al./), do mencionado contrato (sob a epígrafe "Autorizações") que "0 cliente autoriza de forma irrevogável o Banco a, sempre que este o considere necessário: ( ... ) não executar ordens de transferência interbancária e pagamento de serviços superiores a € 2.500, bem como ordens de compra de valores mobiliários superiores a € 50.000";

16. Os movimentos a débito descritos deram origem a uma participação criminal levada a efeito por V junto da Polícia Judiciária (Directoria do Norte), com termo de notificação do participante a 24 de Março de 2009;

17. A A. é reformada e vive da sua reforma;

18. A quantia de que a A. está desembolsada foi conseguida ao longo de muitos anos de poupanças e de algumas privações por parte desta;

19. ( ... ) A qual, em virtude do acima descrito, vive em sobressalto;

20. A incerteza de poder reaver tal quantia muito a preocupa e angustia;

21. Trata-se de dinheiro destinado a prover a necessidades inesperadas, designadamente com tratamentos médicos e medicamentos;

22. A técnica do "phishing" baseia-se no envio de um e-mail fraudulento com o objectivo de obter códigos de acesso e dados financeiros, podendo envolver, nas suas formas mais apuradas, programas que se auto-instalam no computador de destino;

23. Estes programas, depois de recolhida a informação, enviam-na pela internet para um site controlado pelo autor da fraude, que pode fazer uso dessa informação;

24. A devolução de 23 de Março de 2009, com origem na …. deveu-se a uma recusa da titular da conta de destino ….;

25. A devolução de 8 de Abril de 2009, com origem na …., deveu-se a uma intervenção do R. junto desta instituição;

26. O R. diligenciou junto da …. em 24 de Março de 2009, com vista à restituição à A. dos valores em causa;

27. Os três códigos fornecidos à A. (número de adesão, código multicanal e cartão matriz) são únicos, intransferíveis e apenas do conhecimento desta;

28. As transmissões de informação entre o computador do cliente e o servidor do site do Grupo Banco …. são realizadas através de protocolo de encriptação SSL de 128 bits, a máxima encriptação que existe actualmente.

II.2. 2 Apreciando:

A questão que o banco recorrente suscita no recurso cinge-se no essencial a saber se poderá, neste caso, equacionar-se uma responsabilidade repartida, equitativamente, entre A. e R.. A resposta a esta questão, adianta-se desde já, não poderá ser afirmativa, independentemente da qualificação jurídica dos contratos envolvidos na relação negocial que as partes estabeleceram entre elas.

Na doutrina, de facto, tem-se discutido a qualificação jurídica da relação entre este contrato e o contrato de depósito celebrado entre as partes. Seja como for temos por assente que o home banking é uma figura contratual distinta do depósito, que envolveu uma proposta e uma aceitação. É claro que se cessar o contrato de depósito, não poderia subsistir um contrato que com ele está coligado e cuja existência não subsiste se não subsistir o primeiro. Não nos iremos deter, contudo, sobre este debate por nos parecer que o mesmo não assume relevo no contexto do enfoque que mais valorizamos e que se prende com a equidade na distribuição do risco.

O quadro legal a ter em conta abarca, como se verá, as normas atinentes à actividade bancária, à responsabilidade contratual, bem como ao direito probatório, às cláusulas contratuais gerais e à defesa do consumidor.

Está em causa, como se viu, um contrato designado por home banking, que as partes não discutem que se trata de um contrato de adesão (documentado a fls. 18), sendo, por isso, um contrato cujo clausulado é pré-elaborado e imposto à parte contratualmente mais fraca, a qual o ordenamento jurídico tem protegido através de diversos mecanismos em que avulta o controlo das condições gerais[1] e a protecção do consumidor[2].

Estamos no domínio de uma relação negocial complexa que necessariamente foi iniciada através de um contrato de abertura de conta, com pelo menos um depósito ou depósitos de quantias numa conta a prazo, por parte da A., e no âmbito da qual as partes inscreveram um novo contrato destinado a permitir a movimentação da conta "por via telefónica ou internet e por outras formas de acesso remoto que venham a ser criadas...".

Este contrato é uma das manifestações da revolução tecnológica no que toca às transferências electrónicas de fundos e que suscita "complexos problemas de direito probatório - v.g. , de repartição do ónus da prova - , bem como [...] em matéria de distribuição do risco"[3].

Trata-se de um contrato que veio permitir às partes "benefícios recíprocos. Os bancos libertam-se de meios humanos, simplificam processos e operações, disponibilizam-se ao cliente em jornada contínua e reforçam o encaminhamento das poupanças para o sistema bancário. Os consumidores desfrutam de um acesso mais continuado, mais rápido e mais fácil com a disponibilidade acrescida de fundos e a possibilidade de realização de outras operações, bem como obtenção de uma gama mais vasta de serviços - [...] , de forma incomparavelmente mais cómoda".

No caso dos autos, ao contrário do sustentado pelo R., não está provado qualquer descuido ou inadvertência por parte da utilizadora (prova que o banco não logrou e a quem, tal como a primeira instância, entendemos que competia).

Por seu turno, não temos no contrato qualquer cláusula expressa que nos aponte para as consequências do comportamento de um "cracker" (que como e bem se diz na sentença - é uma "pessoa que se dedica à extorsão usando os conhecimentos informáticos"), com origem na Rússia, utilizando a técnica de "phishing", consegue, via internet, obter o código de acesso à conta bancária da A

Para determinação da responsabilidade das partes, teremos que atender, em primeiro lugar, à circunstância de que o banco, enquanto depositário, estava contratualmente vinculado a restituir à A. importâncias do mesmo género e quantidade das que por ela lhe haviam sido confiadas mediante depósito na conta a prazo, tornando-se assim sua credora. O certo é que a mesma, por acção do supra-aludido mecanismo fraudulento, ainda se encontra desapossada da quantia de € 16.800,00.

Como vimos, os benefícios do contrato de home banking são recíprocos. Porém, há uma enorme desproporção no que toca ao risco que cada uma das partes corre com a celebração do negócio, mas também no que refere aos meios que cada uma delas dispõe para fazer face ao risco do negócio.

Na verdade, a supra-referida quantia é uma gota de água no oceano do volume de negócios do banco. Já no que toca à A., que é reformada e vive da sua reforma (n.º 17 dos factos), a quantia de que está desembolsada foi conseguida ao longo de muitos anos de poupanças e de algumas privações (n.º 18), tratando-se de dinheiro destinado a prover a necessidades inesperadas, designadamente com tratamentos médicos e medicamentos (n.º 21).

Como vemos, o que está em causa para o banco está no plano das insignificâncias mas, para a A., não será exagero afirmar, estará no domínio da própria subsistência. Além disso, o banco age no mercado de forma profissional, altamente organizada, que supostamente domina em alto grau as tecnologias de ponta, ao passo que a A., apesar de professora, poderá do ponto de vista informático sofrer de iliteracia total ou, mesmo que dotada de algumas competências, não serão seguramente comparáveis às de uma instituição que labora no mercado global e, ainda para mais, tão altamente competitivo.

Deste modo, na sociedade de informação em que vivemos, só o banco tem hipótese de controlar os riscos que para ele são mínimos e que poderão ser desastrosos para a A.. Por isso, numa óptica de defesa do consumidor, não tendo o banco demonstrado culpa da A. na movimentação fraudulenta da conta, o mesmo terá de suportar as consequências da fraude no circuito cuja fiabilidade, de resto, ele próprio se comprometeu contratualmente a garantir (art.º 5.1 do contrato junto a fls. 18)[4].

Trata-se, aliás, de um dever colateral típico no âmbito de uma relação obrigacional complexa: o dever de protecção e cuidado para com a pessoa e o património dos intervenientes[5], associado ao estatuído no art.º 9.º da Lei de Defesa do Consumidor (Lei n.º 24/96) que afirma no n.º 1 o direito do consumidor à protecção dos seus interesses económicos "impondo-se nas relações jurídicas de consumo a igualdade material dos intervenientes, a lealdade e a boa-fé, nos preliminares, na formação e ainda na vigência dos contratos".

Aliás, na própria bibliografia citada pelas partes, podemos encontrar referências a que "é ao banco que cabe assugurar a regularidade do funcionamento do sistema, para além do controlo dos meios técnicos utilizados, compreendendo-se, assim, que sobre ele recaia o risco de esse mesmo sistema gerar danos não imputáveis a culpa dos seus utilizadores[6].

A prestação feita, ainda que indevidamente, a terceiros, não dispensa o devedor de uma nova prestação, agora perante o credor (artigos 476.º/2 e 770.º CC)[7].

Consequentemente, afigura-se-nos que não merece censura a decisão recorrida.

III. Pelo disposto e decidindo, de acordo com as disposições legais citadas, nega-se provimento ao recurso e confirma-se a decisão recorrida.

Custas pelo apelante em ambas as instâncias.

Lisboa, 26 de Outubro de 2010

Maria Amélia Ribeiro

Graça Amaral

Ana Resende

[1] DL. n.º 446/85, de 25 de Outubro, alterado pelo DL. nº 220/95, de 31 de Agosto, que transpôs no direito interno a Directiva 93/13/CEE, do Conselho, de 5 de Abril de 1993, e pelo DL n.º 249/99, de 7 de Julho.

[2] Lei n.º 24/96, de 31 de Julho.

[3] Ac. STJ de 20.04.1999, Rel.: Cons. Garcia Marques.

[4] Lei n.º 24/96, de 22 de Agosto, que abrange inclusivamente os serviços prestados com carácter profissional no âmbito de uma actividade económica que visa a obtenção de lucris (art.º 2º).

[5] Pereira, Joel Timóteo Ramos (2005), Compêndio Jurídico da Sociedade da Informação, Quid Juris, p. 873.

[6] Guimarães, Maria Raquel (1999), As Tranferências Electrónicas de Fundos e os Cartões de Débito, pp. 230-231, apud contra-alegações da recorrida (fls. 15).

[7] Antunes Varela (1973), Das Obrigações em Geral, 2.º vol, 2.ª ed., Almedina, Coimbra, p. 35 e Ac. STJ, 2.02.2009.