1Objeto do recurso
O objeto do recurso é delimitado pelas conclusões da alegação do recorrente, não podendo este tribunal conhecer de matérias nelas não incluídas, a não ser que as mesmas sejam de conhecimento oficioso – cfr. arts. 635º, nº 4, 637º, nº 2, 1ª parte e 639º, nºs 1 e 2, todos do Código de Processo Civil.
Atendendo às conclusões das alegações apresentadas pela apelante, são as seguintes as questões a apreciar:
- -Se ocorre erro de julgamento, por errada apreciação das provas, e consequente alteração da decisão da matéria de facto;
- -Decidir se em conformidade, face à alteração, ou não, da matéria de facto e subsunção dos factos ao direito, deve ser alterada a análise jurídica.
- -Caso o recurso da autora seja procedente, apreciar a ampliação do âmbito do recurso.
- 2.Sentença recorrida
- 2.1.O Tribunal de 1ª Instância considerou provada a seguinte matéria de facto:
1 - A sociedade Autora é titular, no “Banco 1..., SA”, das contas bancárias a que correspondem os IBANs ... e ....
2 - Para acesso e movimentação de ambas as contas, a Autora dispunha do serviço de “homebanking”.
3 – O serviço de “homebanking” da R. permite aos seus clientes realizar transferências de fundos para beneficiários pré-definidos “confiáveis”, criados pelo utilizador, sem necessidade de inserir previamente o respectivo “IBAN”.
4 – Para criar cada um desses beneficiários, é necessária a inserção de um código de autorização enviado pelo banco R. através de “SMS”.
5 – Depois de criado tal beneficiário, apenas é necessária, para transferir fundos para este, a inserção da “password” do utilizador.
6 – A A, e o seu administrador BB tinham conhecimento desse processualismo, tendo, ao longo dos anos, criado uma lista de beneficiários nos moldes acima expostos.
7 - Cerca das 12 horas do dia 19 de Agosto de 2020, o referido administrador da Autora, BB, iniciou, no “desktop” da sua mesa de trabalho, os procedimentos necessários ao acesso aquelas contas através de referido sistema, inserindo na página internet do “Banco 1...”, após clicar no separador “Empresas”, o respectivo código de utilizador, a “password” e os algarismos pedidos do seu NIF, e accionando o certificado digital exigido para aquele acesso, instalado naquele seu “desktop”.
8 - Quando já se encontrava visível a página de utilizador e o referido administrador da Autora se preparava para iniciar as operações que tinha em vista, abriu-se automaticamente uma janela intitulada “Banco 1... - Atualização do módulo de Segurança”, iniciando-se automaticamente a execução de um programa intitulado “...”, apresentando diversos passos que passaram também a processar-se automaticamente.
9 – A abertura da referida janela resultou da prévia instalação, determinada por terceiros cuja identidade não se apurou, e por forma igualmente não apurada, de um programa informático malicioso, vulgo, “malware”, no computador da A., sem que esta ou seu administrador disso tivesse tido conhecimento.
10 – Tal “malware” permitiu que esse terceiro tivesse acesso ao computador da A. e à informação que aí foi inserida, designadamente, ao código de utilizador e à “password” de acesso ao serviço de “homebanking”.
11 - Quando se mostravam assinalados como executados alguns desses passos decorrentes da abertura daquela “janela”, sobrepôs-se uma pequena janela dando nota de que iria ser enviado por “SMS” um código para confirmar a continuação daquele processo.
12 – E, acto contínuo, apresentou-se no telemóvel do administrador da Autora, sequencialmente às mensagens provenientes do “Banco 1...” que são enviadas para confirmação de operações a que procede nas contas, o anunciado código, que o administrador da Autora inseriu no campo apresentado pela referida janela.
13 – Essa mensagem tinha o seguinte teor: “Banco 1... Emp – Criação de beneficiário – Tipo: Transferência Nacional IBAN ... – Código Autorização: *****...”
14 – Ao inserir esse código remetido através daquela mensagem, o Administrador da A. criou, sem disso se aperceber e de forma involuntária, um “beneficiário” de transferências de fundos, que foi adicionado à lista de beneficiários já existentes.
15 - Após a inserção desse código, o computador bloqueou, tendo o dito administrador o desligado de imediato da corrente, quebrando o acesso à rede.
16 - Após o reinício do computador, o administrador da Autora procedeu de novo às operações exigíveis para acesso às referidas contas via “homebanking” e descritas supra, tendo então constatado, ao consultar os movimentos da conta a que corresponde o IBAN ..., que ali constavam três lançamentos, sem indicação de hora, datados daquele dia 19 de agosto, classificados como “TRF p/ unipessoal” de € 9.876,00, € 9.987,00 e € 6.500,00, cada.
17 – As referidas quantias foram transferidas para a conta do “beneficiário” involuntariamente criado pelo administrador da A. e foram determinadas pela aludida pessoa não concretamente identificada através da utilização do código de utilizador e da “password” da A. que logrou obter através do aludido “malware”.
18 - Acto imediato, cerca das 12:20 horas, o administrador da Autora contactou telefonicamente o Banco, na pessoa da respectiva colaboradora CC, dando nota do sucedido, a qual confirmou a execução das referidas transferências, bloqueando então o acesso “online” às contas, e informando que iria apurar a situação.
19 - Cerca das 15:00 horas do referido dia, aquela colaboradora contactou telefonicamente o administrador da Autora, dando-lhe nota de que as transferências tinham sido executadas para uma conta no “Banco 2...” (Banco 2...) e que as quantias já não se encontravam neste Banco.
20 – A A. apresentou na Polícia Judiciária requerimento, datado de 24-8-2020, junto como doc. 4 à petição, relatando o sucedido.
21 – Após o sucedido, o Réu bloqueou a possibilidade de a Autora aceder a ambas as referidas contas via “Homebanking”, e bloqueou, ainda, a possibilidade de a Autora, mesmo em caixa “ATM”, ordenar transferências nessas duas contas usando o pertinente cartão.
22 – Por “e-mail” de 31 de Agosto de 2020, junto como doc. nº 5 à petição, a A. solicitou à R. que informasse se o assunto sofrera alguma evolução relevante e que esclarecesse como seria possível proceder em caixa “multibanco” a transferências relativas ao cartão da conta ....
23 – Por força do aludido bloqueio das duas contas, a A. viu-se impedida de proceder a quaisquer movimentos nas mesmas, à excepção de consultas em caixas “multibanco”, levantamentos em numerário dentro do limite de 400 € diários e pagamentos ao Estado e de serviços.
24 – Por força desse bloqueio das duas contas bancárias, a A. teve que realizar transferências bancárias através de outras contas tituladas pelos seus sócios e/ou familiares.
25 – Pelo mesmo motivo, os pagamentos recebidos pela A. tiveram que, durante algumas semanas, ser feitos para as aludidas contas de terceiros.
26 – A referida situação só cessou quando a A. procedeu à abertura de nova conta bancária noutra instituição financeira.
27 – A R. vem alertando os seus clientes, através de informação inserida na sua página informática de acesso ao “homebanking”, da possibilidade de instalação de “malware”, mostrando exemplos ilustrados de situações que podem ocorrer, designadamente, o surgimento de uma barra que vai sendo preenchida, aparentado estar a ser feita uma “instalação/actualização” e a solicitação de inserção de código a ser remetido via “SMS”.
28 – A R. recomenda, nesses avisos, que não seja acedido o “link” solicitado, bem como que seja lido atentamente o conteúdo das “SMS” remetidas, as quais poderão configurar uma tentativa de confirmação de transacção não solicitada pelo cliente.
2.2. E deu como não provados os factos seguintes:
1 – A A. e o seu administrador BB vêm utilizando o serviço de “homebanking” da R. há mais de 15 anos.
2 – Os acontecimentos acima descritos que conduziram à realização das referidas transferências ocorreu em virtude de alguém ter acedido ilegitimamente ao sistema informático do Banco Réu, não tendo este assegurado a operacionalidade e regularidade desse seu sistema informático.
3 – A A. tinha instalado no computador em causa um programa antivírus de marca “...”, o qual se encontrava actualizado.
4 - A A. não tinha instalado no computador em causa um programa antivírus. *
3Da impugnação da matéria de facto/erro de julgamento
Nas conclusões de recurso veio a apelante requerer a reapreciação da decisão de facto, em relação ao ponto 3 dos factos não provados, com fundamento em erro na apreciação da prova.
O art. 640º do CPC estabelece os ónus a cargo do recorrente que impugna a decisão da matéria de facto, nos seguintes termos:
- “1.Quando seja impugnada a decisão sobre a matéria de facto, deve o recorrente obrigatoriamente especificar, sob pena de rejeição:
- a)Os concretos pontos de facto que considera incorretamente julgados;
- b)Os concretos meios probatórios, constantes do processo ou de registo ou gravação nele realizada, que impunham decisão sobre os pontos da matéria de facto impugnados diversa da recorrida;
- c)A decisão que, no seu entender, deve ser proferida sobre as questões de facto impugnadas.
- 2.No caso previsto na alínea b) do número anterior, observa-se o seguinte:
- a)Quando os meios probatórios invocados como fundamento do erro na apreciação das provas tenham sido gravados, incumbe ao recorrente, sob pena de imediata rejeição do recurso na respetiva parte, indicar com exatidão as passagens da gravação em que funda o seu recurso, sem prejuízo de poder proceder à transcrição dos excertos que considere relevantes;
- b)Independentemente dos poderes de investigação oficiosa do tribunal, incumbe ao recorrido designar os meios de prova que infirmem as conclusões do recorrente e, se os depoimentos tiverem sido gravados, indicar com exatidão as passagens da gravação em que se funda e proceder, querendo, à transcrição dos excertos que considere importantes.
- 3.[…]”
O mencionado regime veio concretizar a forma como se processa a impugnação da decisão de facto, reforçando o ónus de alegação imposto ao recorrente, o qual terá que apresentar a solução alternativa que, em seu entender, deve ser proferida pela Relação em sede de reapreciação dos meios de prova.
Recai, assim, sobre o recorrente, o ónus, sob pena de rejeição do recurso, de determinar os concretos pontos da decisão que pretende questionar, ou seja, delimitar o objeto do recurso, motivar o seu recurso através da transcrição das passagens da gravação que reproduzem os meios de prova, ou a indicação das passagens da gravação que, no seu entendimento, impunham decisão diversa sobre a matéria de facto, a fundamentação, e ainda, indicar a solução alternativa que, em seu entender, deve ser proferida pelo Tribunal da Relação.
No caso concreto, o julgamento foi realizado com gravação dos depoimentos prestados em audiência, sendo que a apelante impugna a decisão da matéria de facto com indicação do ponto de facto alvo de impugnação, indica as provas a reapreciar, bem como a decisão que sugere, mostrando-se, assim, reunidos os pressupostos de ordem formal para proceder à reapreciação da decisão.
Tal como dispõe o nº 1 do art. 662º do CPC, a Relação deve alterar a decisão proferida sobre a matéria de facto “(…) se os factos tidos como assentes, a prova produzida ou um documento superveniente impuserem decisão diversa”.
No presente processo, como referido, a audiência final processou-se com gravação da prova produzida.
Segundo ABRANTES GERALDES, in Recursos no Novo Código de Processo Civil, pág. 225, e a respeito da gravação da prova e sua reapreciação, haverá que ter em consideração que funcionando o Tribunal da Relação como órgão jurisdicional com competência própria em matéria de facto, nessa reapreciação tem autonomia decisória, devendo consequentemente fazer uma apreciação crítica das provas, formulando, nesse julgamento, com inteira autonomia, uma nova convicção, com renovação do princípio da livre apreciação da prova.
Assim, compete ao Tribunal da Relação reapreciar as provas em que assentou a parte impugnada da decisão, face ao teor das alegações do recorrente e do recorrido, sem prejuízo de oficiosamente atender a quaisquer outros elementos probatórios que hajam servido de fundamento à decisão sobre os pontos da matéria de facto impugnados.
Cabe, ainda, referir que neste âmbito da reapreciação da prova vigora o princípio da livre apreciação, conforme decorre do disposto no art. 396º do Código Civil.
E é por isso que o art. 607º, nº 4 do CPC impõe ao julgador o dever de fundamentação da factualidade provada e não provada, especificando os fundamentos que levaram à convicção quanto a toda a matéria de facto, fundamentação essencial para o Tribunal de Recurso, nos casos em que há recurso sobre a decisão da matéria de facto, com vista a verificar se ocorreu, ou não, erro de apreciação da prova.
Posto isto, cabe analisar se assiste razão à recorrente, na parte da impugnação da matéria de facto.
A apelante entende que foi incorretamente dado como não provados o facto 3, o qual deveria ter sido dado como provado, face ao depoimento da testemunha AA e às declarações de parte do administrador da autora/recorrente.
Tal facto tem o seguinte teor: A Autora tinha instalado no computador em causa um programa antivírus de marca “...”, o qual se encontrava atualizado.
O Tribunal a quo fundamentou a resposta negativa a este facto, nos seguintes termos:
“Neste ponto, o legal representante da A. e a testemunha AA afirmaram que a A. tinha instalado em todos os computadores do escritório um programa antivírus. Também deram conta, que após se ter constatado a ocorrência das transferências, fizeram correr esse antivírus no computador, não tendo sido detectado qualquer “software” malicioso.
Porém, não foi junta aos autos qualquer prova documental demonstrativa destas afirmações: designadamente, o comprovativo de aquisição (ou da renovação da assinatura) desse programa antivírus, nem o relatório obtido após a análise efectuada pelo antivírus logo após o sucedido.
Assim, tais declarações, por si só, não são aptas a ter como demonstrada a instalação desse antivírus, nem têm potencialidade para tornar duvidosa a contaminação do computador da A. pelo referido “malware”.
Igualmente, também não foi produzida qualquer prova no sentido da inexistência desse programa antivírus: designadamente, não é de afastar a hipótese de a A. o ter efectivamente instalado no computador e de o mesmo não ter detectado (por exemplo, por se encontrar desactualizado) o “malware” que permitiu o acesso do terceiro aos códigos e à password.
Do exposto resultou a não demonstração dos “factos não provados” nºs. 3 e 4 (tendo-se optado por responder facticamente às duas versões – da existência e da inexistência do programa antivírus -, por ser duvidoso a quem incumbe o ónus da prova dessa matéria).”.
Ouvida a prova gravada, não podemos, ainda assim, deixar de concordar com a decisão do Tribunal a quo, bem fundamentada.
O facto em causa exigia uma prova sem qualquer dúvida, com base em prova documental, prova documental que não seria difícil de obter e juntar, sendo certo que entendemos que o ónus da prova de tal facto cabia à autora/recorrente.
Seja como for, a prova de que a autora teria, ou não, instalado no computador em causa um programa antivírus atualizado, não tem qualquer influência na decisão, desde logo, porque não é a existência de um antivírus que impede que venha a ocorrer um ataque informático num computador, como, aliás, se tem verificado pelas ocorrências de ataques a diversas instituições, certamente protegidas por antivírus, como a autora poderia também estar.
Tratando-se de um facto sem influência na decisão, e porque a lei – art. 130.º do CPC – proíbe a prática de atos inúteis, mantem-se, por ambos os motivos referidos, a matéria de facto tal como foi decidida pelo tribunal recorrido, improcedendo, assim, a respetiva impugnação.
4Motivação de Direito
Como a recorrente diz expressamente nas suas alegações de recurso, concorda com a explanação técnico jurídica expendida pelo Mmº Juiz a quo na sentença recorrida exceto na aplicação que a mesma faz aos factos dos autos do disposto no art. 113.º, nº 3 do Decreto-Lei 91/2018 de 12/11.
Este Regime Jurídico dos Serviços de Pagamento e da Moeda Eletrónica (RJSPME) regula o acesso à atividade das instituições de pagamento e a prestação de serviços de pagamento, bem como o acesso à atividade das instituições de moeda eletrónica e a prestação de serviços de emissão de moeda eletrónica (art. 1.º, n.º 1) e, nos termos do disposto no art. 3.º, n.º 1, é aplicável à atividade das instituições de pagamento com sede em Portugal e das respetivas sucursais, agentes e terceiros aos quais sejam subcontratadas funções operacionais, bem como à prestação de serviços de pagamento em Portugal pelas entidades legalmente habilitadas, nos termos previstos no n.º 3 do referido art. 3.º.
Resulta dos factos provados que a autora aderiu ao serviço de homebanking do banco réu, que permite que a mesma aceda via internet à sua conta bancária, podendo consultá-la e efetuar várias operações bancárias, pelo que estamos perante um serviço de pagamento prestado pelo banco réu, com utilização de um instrumento de pagamento, em que o banco réu é o prestador de serviços de pagamento e a autora a utilizadora desses serviços de pagamento (art. 2.º do referido diploma legal).
Tendo em conta o objeto do recurso, importa para a decisão ter em conta os seguintes preceitos do Dec. Lei nº 91/2028, de 12-11:
Artigo 110.º Obrigações do utilizador de serviços de pagamento associadas aos instrumentos de pagamento
1 - O utilizador de serviços de pagamento com direito a utilizar um instrumento de pagamento deve:
- a)Utilizar o instrumento de pagamento de acordo com as condições que regem a sua emissão e utilização, as quais têm de ser objetivas, não discriminatórias e proporcionais; e
- b)Comunicar, logo que tenha conhecimento dos factos e sem atraso injustificado, ao prestador de serviços de pagamento ou à entidade designada por este último, a perda, o furto, o roubo, a apropriação abusiva ou qualquer utilização não autorizada do instrumento de pagamento.
2 - Para efeitos da alínea a) do número anterior, o utilizador de serviços de pagamento deve tomar todas as medidas razoáveis, em especial logo que receber um instrumento de pagamento, para preservar a segurança das suas credenciais de segurança personalizadas.
Artigo 111.º Obrigações do prestador de serviços de pagamento associadas aos instrumentos de pagamento
1 - O prestador de serviços de pagamento que emite um instrumento de pagamento deve:
- a)Assegurar que as credenciais de segurança personalizadas do instrumento de pagamento só sejam acessíveis ao utilizador de serviços de pagamento que tenha direito a utilizar o referido instrumento, sem prejuízo das obrigações do utilizador do serviço de pagamento estabelecidas no artigo anterior;
- b)Abster-se de enviar instrumentos de pagamento não solicitados, salvo quando um instrumento deste tipo já entregue ao utilizador de serviços de pagamento deva ser substituído;
- c)Garantir a disponibilidade, a todo o momento, de meios adequados para permitir ao utilizador de serviços de pagamento proceder à comunicação prevista na alínea b) do n.º 1 do artigo 110.º ou solicitar o desbloqueio nos termos do n.º 4 do artigo 108.º;
- d)Facultar ao utilizador do serviço de pagamento, a pedido deste, os meios necessários para fazer prova, durante 18 meses após a comunicação prevista na alínea b) do n.º 1 do artigo 110.º, de que efetuou essa comunicação ou solicitou o desbloqueio nos termos do n.º 4 do artigo 108.º;
- e)Impedir qualquer utilização do instrumento de pagamento logo que a comunicação prevista na alínea b) do n.º 1 do artigo 110.º tenha sido efetuada.
2 - O prestador de serviços de pagamento assegura que a comunicação a que se refere a alínea c) do n.º 1 é efetuada a título gratuito, cobrando apenas, e se for caso disso, os custos diretamente imputáveis à substituição do instrumento de pagamento.
3 - O risco do envio ao utilizador de serviços de pagamento de um instrumento de pagamento ou das respetivas credenciais de segurança personalizadas corre por conta do prestador do serviço de pagamento.
Artigo 113.º Prova de autenticação e execução da operação de pagamento
1 - Caso um utilizador de serviços de pagamento negue ter autorizado uma operação de pagamento executada, ou alegue que a operação não foi corretamente efetuada, incumbe ao respetivo prestador do serviço de pagamento fornecer prova de que a operação de pagamento foi autenticada, devidamente registada e contabilizada e que não foi afetada por avaria técnica ou qualquer outra deficiência do serviço prestado pelo prestador de serviços de pagamento.
2 - Se a operação de pagamento tiver sido iniciada através de um prestador do serviço de iniciação do pagamento, recai sobre este último o ónus de provar que, no âmbito da sua esfera de competências, a operação de pagamento foi autenticada e devidamente registada, e não foi afetada por qualquer avaria técnica ou por outra deficiência relacionada com o serviço de pagamento por si prestado.
3 - Caso um utilizador de serviços de pagamento negue ter autorizado uma operação de pagamento executada, a utilização do instrumento de pagamento registada pelo prestador de serviços de pagamento, incluindo o prestador do serviço de iniciação do pagamento, se for caso disso, não é necessariamente suficiente, por si só, para provar que a operação de pagamento foi autorizada pelo ordenante, que este último agiu de forma fraudulenta, ou que não cumpriu, com dolo ou negligência grosseira, uma ou mais obrigações previstas no artigo 110.º
4 - Nas situações a que se refere o número anterior, o prestador de serviços de pagamento, incluindo, se for caso disso, o prestador do serviço de iniciação do pagamento, deve apresentar elementos que demonstrem a existência de fraude, de dolo ou de negligência grosseira da parte do utilizador de serviços de pagamento.
Artigo 114.º Responsabilidade do prestador de serviços de pagamento em caso de operação de pagamento não autorizada
1 - Sem prejuízo do disposto no artigo 112.º, o prestador de serviços de pagamento do ordenante deve reembolsar imediatamente o ordenante do montante da operação de pagamento não autorizada após ter tido conhecimento da operação ou após esta lhe ter sido comunicada e, em todo o caso, o mais tardar até ao final do primeiro dia útil seguinte àquele conhecimento ou comunicação.
2 - O prestador de serviços de pagamento do ordenante não está obrigado ao reembolso no prazo previsto no número anterior se tiver motivos razoáveis para suspeitar de atuação fraudulenta do ordenante e comunicar por escrito esses motivos, no prazo indicado no número anterior, às autoridades judiciárias nos termos da lei penal e de processo penal.
3 - Sempre que haja lugar ao reembolso do ordenante, o prestador de serviços de pagamento do ordenante deve assegurar que a data-valor do crédito na conta de pagamento do ordenante não é posterior à data em que o montante foi debitado na conta.
4 - No caso previsto no número anterior, o prestador de serviços de pagamento do ordenante, se for caso disso, repõe a conta de pagamento debitada na situação em que estaria se a operação de pagamento não autorizada não tivesse sido executada.
5 - Caso a operação de pagamento seja iniciada através de um prestador do serviço de iniciação do pagamento, o prestador de serviços de pagamento que gere a conta deve reembolsar imediatamente o ordenante do montante da operação de pagamento não autorizada após ter tido conhecimento da operação ou após esta lhe ter sido comunicada e, em todo o caso, o mais tardar até ao final do primeiro dia útil seguinte àquele conhecimento ou comunicação.
6 - O prestador de serviços de pagamento que gere a conta não está obrigado ao reembolso no prazo previsto no número anterior se o prestador do serviço de iniciação do pagamento lhe der conhecimento de que tem motivos razoáveis para suspeitar de atuação fraudulenta do ordenante e de que comunicou por escrito esses motivos às autoridades judiciárias nos termos da lei penal e de processo penal.
7 - Sempre que haja lugar ao reembolso ao ordenante, o prestador de serviços de pagamento que gere a conta deve, se for caso disso, repor a conta de pagamento debitada na situação em que estaria se a operação de pagamento não autorizada não tivesse sido executada.
8 - Se o prestador do serviço de iniciação de pagamento for responsável pela operação de pagamento não autorizada, deve indemnizar imediatamente o prestador de serviços de pagamento que gere a conta, a pedido deste, pelos danos sofridos ou pelos montantes pagos em resultado do reembolso ao ordenante, incluindo o montante da operação de pagamento não autorizada.
9 - Nos casos a que é aplicável o disposto no n.º 2 do artigo 113.º, recai sobre o prestador de serviços de iniciação do pagamento o ónus de provar que, no âmbito da sua esfera de competência, a operação de pagamento foi autenticada e devidamente registada, e não foi afetada por qualquer avaria técnica ou por outra deficiência relacionada com o serviço de pagamento por si prestado.
10 - Sempre que o ordenante não seja imediatamente reembolsado pelo prestador de serviços de pagamento, e não tenham sido detetados motivos razoáveis que constituam fundamento válido de suspeita de fraude, ou essa suspeita não tenha sido comunicada, por escrito, à autoridade judiciária nos termos da lei penal e de processo penal, são devidos ao ordenante juros moratórios, contados dia a dia desde a data em que o utilizador de serviços de pagamento tenha negado que autorizou a operação de pagamento executada, até à data do reembolso efetivo da mesma, calculados à taxa legal, fixada nos termos do Código Civil, acrescida de 10 pontos percentuais, sem prejuízo do direito à indemnização suplementar a que haja lugar.
Artigo 115.º Responsabilidade do ordenante em caso de operação de pagamento não autorizada
1 - Em derrogação do disposto no artigo 114.º, o ordenante pode ser obrigado a suportar as perdas relativas às operações de pagamento não autorizadas resultantes da utilização de um instrumento de pagamento perdido, furtado, roubado ou da apropriação abusiva de um instrumento de pagamento dentro do limite do saldo disponível ou da linha de crédito associada à conta ou ao instrumento de pagamento, até ao máximo de (euro) 50.
2 - O disposto no n.º 1 do presente artigo não se aplica caso:
- a)A perda, o furto, o roubo ou a apropriação abusiva de um instrumento de pagamento não pudesse ser detetada pelo ordenante antes da realização de um pagamento; ou
- b)A perda tiver sido causada por atos ou omissões de um trabalhador, de um agente ou de uma sucursal do prestador de serviços de pagamento, ou de uma entidade à qual as suas atividades tenham sido subcontratadas.
3 - O ordenante suporta todas as perdas resultantes de operações de pagamento não autorizadas, se aquelas forem devidas a atuação fraudulenta ou ao incumprimento deliberado de uma ou mais das obrigações previstas no artigo 110.º, caso em que não são aplicáveis os limites referidos no n.º 1.
4 - Havendo negligência grosseira do ordenante, este suporta as perdas resultantes de operações de pagamento não autorizadas até ao limite do saldo disponível ou da linha de crédito associada à conta ou ao instrumento de pagamento, ainda que superiores a (euro) 50.
5 - Se o prestador de serviços de pagamento do ordenante não exigir a autenticação forte do ordenante, este não deve suportar quaisquer perdas relativas a operação de pagamento não autorizada, salvo se tiver agido fraudulentamente.
6 - Caso o beneficiário ou o seu prestador de serviços de pagamento não aceite a autenticação forte do cliente, reembolsa os prejuízos financeiros causados ao prestador de serviços de pagamento do ordenante.
7 - Após ter procedido à comunicação a que se refere a alínea b) do n.º 1 do artigo 110.º, o ordenante não deve suportar quaisquer consequências financeiras resultantes da utilização de um instrumento de pagamento perdido, furtado, roubado ou abusivamente apropriado, salvo em caso de atuação fraudulenta.
8 - Se o prestador de serviços de pagamento não fornecer meios apropriados que permitam a comunicação, a qualquer momento, da perda, furto, roubo ou da apropriação abusiva de um instrumento de pagamento, conforme requerido pela alínea c) do n.º 1 do artigo 111.º, o ordenante não fica obrigado a suportar as consequências financeiras resultantes da utilização desse instrumento de pagamento, salvo nos casos em que tenha agido de modo fraudulento.
Do teor destes preceitos resulta que caso o utilizador do serviço de “homebanking” negue ter autorizado uma operação, o prestador do serviço só pode exonerar-se de responsabilidade se fizer a prova de que a operação foi, sem afetação de avaria técnica ou qualquer deficiência, regular e devidamente autenticada, registada e contabilizada; e de que a mesma operação se ficou a dever a fraude do utilizador ou a incumprimento doloso ou gravemente negligente, por parte deste, das obrigações, previstas no art. 110.º, ou seja, de utilizar o instrumento de pagamento de acordo com as condições que regem a sua emissão e utilização, tomando todas as medidas razoáveis para preservar a eficácia dos seus dispositivos de segurança personalizados, e de comunicar, sem atrasos injustificados, ao prestador de serviços de pagamento ou à entidade designada por este último, logo que deles tenha conhecimento, a perda, o roubo, a apropriação abusiva ou qualquer utilização não autorizada do instrumento de pagamento.
No caso em apreciação, a Autora/recorrente alegou e demonstrou que as transferências dadas como provadas não foram por si ordenadas.
Face aos factos provados, resulta também que a transferência em causa não se ficou a dever a qualquer avaria técnica ou deficiência, mas antes que o acesso ilegítimo à conta da autora/recorrente, através do serviço de “homebanking”, teve origem num software malicioso instalado num computador da própria recorrente, não tendo, pelo contrário, ficado provado que tal operação tenha sido causada por inoperacionalidade do sistema informático da Ré.
Perante esta situação, e da leitura conjugada das disposições legais supra, transcritas, decorre, no que para o caso interessa, que a entidade bancária prestadora de serviços de pagamento, no caso de realização de operações de pagamento não autorizadas sobre a conta do cliente através da utilização de serviço de homebanking, com recurso a fraude informática e/ou burla, apenas vê afastada a sua responsabilidade pelos danos sofridos pelo utilizador de serviços de pagamento se alegar e provar que o dano em causa se deveu a atuação dolosa ou negligência grosseira do utilizador do serviço.
A decisão do presente recurso passa, assim, por concluir o que se entende por negligência grosseira e se o Administrador da autora agiu em termos que devem considerar-se grosseiramente negligentes.
Ora, entendemos, desde logo, que a negligência grosseira não se basta com a falta de cuidado que uma pessoa normalmente diligente teria naquela situação, dentro das circunstâncias do caso concreto, exigindo-se um nível de falta de cuidado mais elevado, um descuido ou desmazelo inadmissível para qualquer pessoa colocada naquela situação (cfr., neste sentido, Ac. do Tribunal da Relação de Lisboa, de 24-01-2023, processo 16151/20.2T8LSB.L1-7).
O conceito de negligência grosseira, neste caso, deve apurar-se com referência à atuação de um utilizador do serviço de pagamento normalmente informado, diligente e cuidadoso, colocado nas mesmas circunstâncias, sendo que a negligência grosseira ocorrerá quando a omissão do dever de cuidado em que a negligência se traduz revelar que o comportamento observado se afastou do grau de diligência minimamente exigível e da observância de deveres de cuidado evidentes e manifestos.
A negligência grosseira corresponderá ao erro imperdoável, à desatenção inexplicável e à incúria indesculpável, vistos em confronto com o comportamento do comum das pessoas, mesmo daquelas pouco diligentes (Ana Prata, Cláusulas de Exclusão e Limitação da Responsabilidade Contratual, Reimpressão, pp. 306 a 308, citada no acórdão da Relação de Guimarães de 10/07/2019, disponível em www.dgsi.pt.).
No caso em apreciação, como se refere na sentença recorrida, “Decorre do “facto provado” nº 8 que a “janela” que se abriu quando o administrador da A. acedeu à área de “homebanking” intitulava-se “Banco 1... - Atualização do módulo de Segurança”.
Tal “janela” só foi aberta depois de o A. aceder à página de “homebanking” da R., em momento posterior à inserção dos respectivos códigos e “password” e ao accionamento do certificado digital.
Esta circunstância poderia inspirar segurança ao administrador A. quanto à regularidade do cenário com que se deparou.
Depois de abrir essa “janela”, iniciou-se automaticamente a execução de um programa intitulado “...”, apresentando diversos passos que passaram também a processar-se automaticamente.
A referida menção “...” corresponde a uma entidade fiável no campo da segurança informática; tal também terá reforçado a crença do legal representante na normalidade desse processo.
Além disso, em suporte da credibilidade da regularidade da operação, frise-se que o código de autorização que foi por aquele ulteriormente recebido por “SMS”, tal como anunciado pelo programa, foi enviado pela R. e provinha de um número telefónico por esta previamente usado para comunicar à A. outros códigos de autorização.
Até este momento, nenhum juízo de censura poderia ser assacado à conduta do legal representante da A.”.
Contudo, a mesma decisão considerou, de seguida, que “Porém, essa mensagem recebida pelo A. – descrita no “facto provado” nº 13 – continha menções aptas a levantar fortíssimas suspeitas quanto à (i)rregularidade da operação em curso.
Na verdade, constam dessa mensagem os seguintes dizeres: “Criação de beneficiário – Tipo: Transferência Nacional IBAN ... – Código de Autorização (…)”.
Decorre expressamente do teor dessa mensagem que o código ali mencionado destinar-se-ia à criação de um beneficiário de uma transferência bancária, a realizar para o NIB ali indicado.
Ora, o legal representante da A., quando acedeu à página de “homebanking” da R., não pretendia criar nenhum beneficiário “confiável”, nem efectuar qualquer transferência.
Assim sendo, não obstante as circunstâncias acima referidas poderem ter aligeirado o grau de diligência e de atenção do legal representante da A. (e sendo igualmente certo que não se provou a regularidade do surgimento das mensagens de aviso emitidas pela R., nem que as mesmas eram apresentadas sempre que se acedida ao serviço de “homebanking”), a verdade é que o teor expresso daquela mensagem era - exuberantemente - apto a suscitar fortíssimas suspeitas sobre a regularidade do processo em curso.
Assim, entendemos que ao inserir esse código constante da “SMS” no computador, o legal representante da A. agiu com acentuada desatenção e incúria.
Note-se, inclusivamente, que ficou provado – cfr. “facto provado nº 6 – que o legal representante da A. tinha conhecimento dos passos de criação de um beneficiário “confiável”.
Dito de outra forma: só actuando de forma gravemente negligente é que o administrador da A. não se apercebeu das consequências que decorreriam da inserção do código recebido naquela SMS – designadamente, a transferência de dinheiro para um beneficiário assim criado.
Se não tivesse agido imbuído dessa negligência grave, o legal representante da A. não podia ter deixado de alcançar as consequências que adviriam da inserção daquele código na página informática.
Face ao acima exposto, o grau de negligência associado a tal conduta não se pode considerar leve: não obstante as circunstâncias atenuantes acima referidas, o teor expresso da “SMS” recebida nunca poderia deixar de suscitar forte alarme a um utilizador medianamente diligente que a tivesse lido.
Nesta perspectiva, a subsequente inserção do código plasmado nessa “SMS” só pode ter ficado a dever-se a um descuido grave.
Assim sendo, conclui-se que as transferências mencionadas nos “factos provados” nº 16 e 17, levadas a cabo, de forma fraudulenta, pelo terceiro não identificado, ficaram a dever-se ao facto de o legal representante da A., nos termos dos arts. 113º, nº 3, e 110º, nºs. 1, al. a), e 2, do DL 91/2018, não ter tomado, de forma grosseiramente negligente, “todas as medidas razoáveis (…) para preservar a segurança das suas credenciais de segurança personalizadas.”.
Em suma: nos termos do mencionado art. 113º, nº 3, as operações referidas nos “factos provados” nºs 16 e 17 ficaram a dever-se a incumprimento grosseiramente negligente, por parte do legal representante da A., das obrigações previstas no art. 110º.”.
Não podemos deixar de concordar com esta decisão, sob pena de o fornecedor do serviço ser sempre responsabilizado, ainda que a situação pudesse ter sido evitada, caso o utilizador do serviço tivesse usado da diligência que se lhe impunha.
Sendo o legal representante da autora, uma pessoa habituada a usar o serviço de “homebanking”, e conhecedor dos riscos do uso desse meio, não podia ter atuado como atuou, sem proceder à leitura da mensagem que continha o ato que confirmou através da inserção do código que recebeu por SMS, atuando, desse modo, com negligência que deve considerar-se grosseira.
E assim sendo, conclui-se que o Réu/recorrido logrou ilidir a presunção de culpa que sobre si recaía por força dos preceitos citados supra.
Consequentemente, concluindo-se que a situação ocorrida ficou a dever-se à atuação gravemente negligente do administrador da Autora/recorrente, o Réu/recorrido não poderá ser responsabilizado pelos danos decorrentes da movimentação fraudulenta da conta bancária da Autora, como bem se decidiu na sentença impugnada.
Improcede, assim, o recurso, na totalidade.
Considerando a improcedência do recurso, desnecessário de torna a apreciação da ampliação do recurso, formulada pelo réu/recorrido, para o caso de o recurso proceder. III- DISPOSITIVO
Pelos fundamentos acima expostos, acordam os Juízes deste Tribunal da Relação em julgar a apelação totalmente improcedente, mantendo, consequentemente, a sentença recorrida nos seus precisos termos.
Custas a cargo da Apelante.
Porto, 2024-12-05
Manuela Machado
Isabel Ferreira
Paulo Duarte Teixeira
