4. Conhecendo do mérito do recurso:
4.1 Da impugnação da matéria de facto
O Autor/Apelante, em sede recursiva, manifesta-se discordante da decisão que apreciou a matéria de facto quanto aos factos considerados não provados sob as alíneas B) e C), invocando, ainda, a sua contradição com o facto provado sob o ponto 25.
Pugna que os factos não provados B) e C) sejam dados como provados, embora se nos afigure que a resposta que diz pretender quanto à factualidade contida na alínea C) não coincida com o que pretende, dado o teor da alínea em causa.
Vejamos, então.
No caso vertente, atento o teor da impugnação à matéria de facto apresentada afigura-se-nos que mostram-se minimamente cumpridos os requisitos da impugnação da decisão sobre a matéria de facto previstos no artigo 640.º do Código de Processo Civil.
Entende-se actualmente, de uma forma que se vinha já generalizando nos tribunais superiores, hoje largamente acolhida no artigo 662.º do Código de Processo Civil, que no seu julgamento, a Relação, enquanto tribunal de instância, usa do princípio da livre apreciação da prova com a mesma amplitude de poderes que tem a 1ª instância (artigo 655.º do anterior Código de Processo Civil e artigo 607.º, n.º 5, do actual Código de Processo Civil), em ordem ao controlo efectivo da decisão recorrida, devendo sindicar a formação da convicção do juiz, ou seja, o processo lógico da decisão, recorrendo com a mesma amplitude de poderes às regras de experiência e da lógica jurídica na análise das provas, como garantia efectiva de um segundo grau de jurisdição em matéria de facto; porém, sem prejuízo do reconhecimento da vantagem em que se encontra o julgador na 1ª instância em razão da imediação da prova e da observação de sinais diversos e comportamentos que só a imagem fornece.
Como refere A. Abrantes Geraldes “a Relação deve alterar a decisão da matéria de facto sempre que, no seu juízo autónomo, os elementos de prova que se mostrem acessíveis determinem uma solução diversa, designadamente em resultado da reponderação dos documentos, depoimentos e relatórios periciais, complementados ou não pelas regras de experiência.”.
Importa, pois, por regra, reexaminar as provas indicadas pelo recorrente e, se necessário, outras provas, máxime as referenciadas na fundamentação da decisão em matéria de facto e que, deste modo, serviram para formar a convicção do Julgador, em ordem a manter ou a alterar a referida materialidade, exercendo-se um controlo efectivo dessa decisão e evitando, na medida do possível, a anulação do julgamento, antes corrigindo, por substituição, a decisão em matéria de facto.
Terá que haver sempre um grau de convicção indispensável e suficiente para justificar a decisão, que não pode ser, de modo algum, arbitrária, devendo a fundamentação funcionar como meio de justificação e compreensão do processo lógico e convincente da sua formação.
Tendo presentes os elementos probatórios e demais motivação, vejamos então se, na parte colocada em crise pelo réu/impugnante, a referida análise crítica corresponde à realidade dos factos ou se a matéria em questão merece, e em que medida, a alteração pretendida.
Adiantamos, desde já, que se nos afigura que a referida factualidade foi devidamente apreciada pelo Tribunal a quo.
Conforme atrás referimos, entende o Apelante que a sentença em crise enferma de erro de julgamento e que o facto provado sob o ponto 25 encontra-se em contradição com os factos não provados B) e C) e concluiu pedindo que os mesmos deverão ser considerados provados.
Para tanto, solicita à colação os depoimentos das testemunhas BB, CC e DD que, segundo o mesmo, impunham decisão diversa sobre aqueles concretos pontos da matéria de facto impugnada.
Diga-se, desde já, que, em regra, não há contradição entre factos provados e não provados.
Isto porque, relativamente aos factos não provados, será como se não existissem ou sequer tivessem sido alegados. Apenas excepcionalmente poderá haver contradição, entre uns e outros, quando, por exemplo, o facto seja o mesmo, uma vez que a mesma realidade não pode resultar como provada e não provada nos autos, ou quando os factos colidam lógica e factualmente por terem “nexo incindível em termos de inteligibilidade, podendo, assim, encerrar contradição ou obscuridade”
Vejamos, agora, o que ficou a constar dos factos não provados B) e C).
Consta dos referidos factos:
“b. Que as operações referidas em factos provados 6., 7., 9., 10., 11., 12., 13., 14. e 15. só fossem validamente concretizadas porque a A. introduziu ou deu a conhecer a terceiro as três posições do cartão matriz solicitadas, elementos sem os quais não teria sido possível concluir o pedido;
c. Que em algum momento, e por alguma via, a A. tenha dado conhecimento a terceiros (i) do número de adesão e do PIN de acesso de 6 dígitos, necessários ao acesso à app Banco 1... e (ii) da OTP e das posições do cartão matriz, que permitiram a execução das operações de ativação das notificações por notificação push e deixar cartão matriz em casa.”.
O Apelante sustenta, no entanto, que do depoimento prestado pela testemunha BB entre o minuto 00:03:35 e o minuto 00:12:47 se retira que a testemunha “... confirmou, para além da autenticação das operações, que os alertas foram enviados para o número móvel que estava registado no sistema central do banco e que era o telemóvel usado para os códigos de autenticação para o cliente”.
Quanto à testemunha CC, invoca o Apelante que, no depoimento prestado entre os minutos 00:26:29 a 00:34:52, “... a Recorrida mencionou a uma colaboradora que terá recebido uma chamada telefónica que achava que seria de alguém do banco nos dias anteriores ao dia 25.11.2021, e que terá recebido um SMS”.
Por fim, do depoimento da testemunha DD, entre os minutos 00:23:48 a 00:31:47, concluiu o Apelante que “(...) a Recorrida informou que tinha recebido uma chamada do banco; após essa chamada não reconheceu determinados movimentos e deslocou-se ao balcão. Reforçou que a Recorrida sabia os cuidados que tinha de ter com os seus dados pessoais.”.
Analisando, assim, as referidas passagens constata-se que não resulta de nenhum dos depoimentos prestados que a Apelada tenha introduzido ou dado a conhecer a terceiro as três posições do cartão matriz solicitadas (cf. facto não provado B)) ou, bem assim, que tenha dado conhecimento a terceiros do número de adesão e do PIN de acesso de seis dígitos necessários ao acesso à app, ou da OTP e das posições do cartão matriz necessárias à realização das operações (cf. facto não provado C)).
Com efeito, a testemunha BB apenas referiu que existiu um acesso, no dia 22 de Novembro de 2021, tendo o mesmo sido feito através do número de adesão e do PIN de seis dígitos e que, para a activação das notificações push é necessário inserir três dígitos do cartão matriz.
Porém, não se afere do seu depoimento que tal acesso só foi feito “... porque a A. introduziu ou deu a conhecer a terceiro as três posições do cartão matriz solicitadas...” (cf. facto não provado B)).
De resto, a testemunha admitiu, expressamente, que o PIN de seis dígitos “supostamente só pode ser do conhecimento do cliente” e o cartão matriz “supostamente também só está na posse do cliente”.
Ou seja, o depoimento em causa alicerça-se em suposições e a conclusão pela mesma extraída de que tais dados só serão do conhecimento de terceiros se o Cliente os divulgar a terceiros mostra-se desacompanhada de qualquer meio de prova que a mesma tenha presenciado.
Por sua vez, do depoimento da testemunha CC, apenas, se afere que a Apelada recebeu uma chamada telefónica e uma SMS em data anterior ao dia 25.
Todavia, é a própria testemunha que admite, expressamente, “... a informação relativamente à chamada não foi a mim directamente...” e “Portanto, eu como disse, o contacto da chamada e a informação relativamente à chamada não foi a mim directamente, mas a uma colaboradora e que terá sido alguém do banco que lhe pareceu bastante credível pela informação que partilhava. Sr. dr., sinceramente, não tenho presente se comunicou que lhe desse códigos ou não.”.
Assim, não tendo conhecimento directo sobre os referidos factos, não se pode concluir, com base no mesmo, no sentido pretendido pelo Apelante.
Além disso, relativamente às passagens do depoimento da testemunha DD, sustenta-se que a Apelada teria recebido uma chamada do Banco e que, após esse momento, a mesma se apercebeu que tinha sido vítima de fraude. Refere-se, ainda, que, aquando da adesão aos canais directos, em 2007, foi transmitido à Apelada quais as normas de segurança a ter em conta.
No entanto, relativamente aos factos respeitantes a Novembro de 2021, não existe qualquer menção ou conhecimento directo sobre se a Apelada introduziu ou deu a conhecer os dados do seu cartão matriz, o número de adesão, o PIN de acesso de seis algarismos ou a OTP que permitiria a realização das operações.
Além disso, a Apelada referiu, inequivocamente “(...) recebi uma mensagem, no dia 25, em que me dirigi ao banco (...) a mensagem tinha um link, ao qual eu me dirigi ao banco, porque, avisada pela D. DD, várias vezes, que não abrisse nunca nenhum link, e salvaguardando a minha humildade e também um pouco ignorante, nunca fiz isso, então fui ao banco, quando recebi o link, fui ao banco perguntar o que se passava ou o que é que aquilo queria dizer” (minutos 02:10 a 03:24);
“(...) entretanto a menina vê e disse “Abriu?” e eu disse “Não! Por isso é que estou cá, não abri.” e eles certificaram-se que eu não tinha aberto, até porque, entretanto a menina chama o Dr. CC e disseram “Alto! Isto houve aqui um assalto...” ou pronto, uma burla.” (minuto 04:47 a 05:09);
“(...) o Dr. CC sempre me disse “Tenha calma, D. AA, que nós vamos resolver a situação, isto foi uma fraude, e eu estou a tratar disso, liguei para Lisboa, agora já não é da minha parte, mas nós estamos a tratar disso; ou da minha parte sozinho”, seria com outros (...)” (minuto 13:50 a 14:08);
“[Juiz] Se o Dr. CC quando lhe disse “Isto foi uma fraude”, foi o que a Sra. disse, aconteceu só à Sra. ou aconteceu a mais clientes? [Apelada] Naquela altura éramos onze. Onde ou doze, creio eu. Não tenho bem... Ele falou nisso, onze ou doze.” (minuto 14:20 a minuto 14:40);
“[Juiz] A Sra. reside sozinha? [Apelada] Sim. [Juiz] Costuma emprestar o seu telemóvel? [Apelada] Não. [Juiz] A Sra. disse-me que é empresária e cabeleireira. Lá no salão, deixa o telemóvel pousado? [Apelada] Não. [Juiz] Alguma vez facultou as suas credenciais de acesso à aplicação a alguém? [Apelada] Não, não. Claro que não Sra. Dra. Juíza. [Juiz] Alguma vez partilhou com alguém os seus códigos recebidos por SMS? [Apelada] Não, não. Até porque era muito avisada pelos meus filhos e tudo... “Mamã, tem cuidado” e tudo, eu não tenho nada no telemóvel, nem sequer registava no telemóvel, era no livro que eu tinha, no tal livrinho que tenho em casa (minuto 21:28 a minuto 22:05).
Ou seja, resulta das declarações da Apelada que, assim que se apercebeu de algo suspeito, dirigiu-se de imediato ao Banco, sem nunca ter aberto qualquer hiperligação, uma vez que estava devidamente alertada para os riscos dessa conduta.
E, já no Banco, transmitiram-lhe que a sua conta tinha sido movimentada, tratando-se de um caso de fraude, à semelhança do que havia acontecido a perto de uma dúzia de clientes do mesmo Banco.
Atente-se que, conforme o Tribunal a quo, ainda, salientou, na sua Motivação, do depoimento da testemunha CC pode aferir-se que “(...) a A. não terá sido a única cliente a relatar estas movimentações bancárias indevidas/ não autorizadas, afirmando mesmo que “a A. foi alvo de uma fraude!” e que “só no balcão de ... houve entre 9 a 11 situações semelhantes”.
De resto, não existe qualquer contradição entre dar-se como provado que as operações foram devidamente autenticadas (cf. facto provado 25) e, bem assim, se considerar não provado que as operações em questão só foram validamente concretizadas porque a Apelada introduziu, ou deu a conhecer a terceiros, quaisquer dados de acesso (cf. factos provados B) e C)), dado que, conforme o Tribunal a quo sustentou, os factos não provados decorreram de ausência de prova em sentido contrário.
Ou seja, sempre teria o Apelante que alegar e, bem assim, provar um qualquer comportamento da Apelada de onde se pudesse extrair as referidas conclusões.
Assim sendo, afigura-se-nos que não merece reparo a resposta dada aos referidos pontos da matéria de facto.
A matéria de facto que fica em definitivo julgada provada é assim fixada em 1ª instância.
4.2 Do mérito da decisão
O apelante clama pela revogação da sentença de que recorre.
Mantendo-se, todavia, inalterada a decisão relativa à matéria de facto afigura-se-nos que, à luz da mesma, se deve manter a decisão proferida pelo Tribunal a quo.
Como é sabido e é referido na sentença em crise, a lei consagra um regime detalhado, altamente protector do utilizador dos serviços quando em causa estejam operações bancárias não autorizadas. Sendo que, para afastar a sua responsabilidade o prestador de serviços (o banco) terá que apresentar elementos que demonstrem a exigência de fraude, de dolo ou de negligencia grosseira por parte do utilizador dos serviços de pagamento (artigo 113º, nº 4 do RJSPME[1]).
Tal regime protector é, pois, um afloramento do princípio fundamental plasmado no artigo 73º do RGICSF[2], segundo o qual: “as instituições bancárias devem assegurar, em todas as atividades que exerçam elevados níveis de competência técnica, garantindo que a sua organização empresarial funcione com os meios humanos e materiais adequados a assegurar condições apropriadas de qualidade e de segurança.”.
Estamos no domínio duma relação de confiança existente entre o banco e o cliente, que comete àquele a gestão do seu património, como refere L.M. Pestana de Vasconcelos[3] “atendendo à relação de confiança que se cria entre as partes, ou melhor do cliente no banqueiro, a quem aquele comete a gestão de grande parte da sua vida patrimonial, decorrem deveres de informação, proteção do património e de aconselhamento.”, o que sempre adviria já das exigências de boa-fé na execução do contrato, plasmadas no n.º 2 do artigo 762º do Código Civil, que se traduzem, na relação bancária, numa intensa proteção do património do cliente que este lhe confiou.
E a justificação económica para tais especiais deveres é clara: o cliente paga diversas comissões, em crescendo, pela realização de operações de pagamento. Um dos núcleos da contraprestação do banco pela comissão paga (que tem sempre nos termos da lei de ter como correspetivo um serviço efetivo por parte do banco - artigo 3.º, al. f), do Decreto-Lei n.º 58/2013 de 8 de maio), é que a segurança dos fundos que confia ao banco seja protegida[4].
Nas situações em que ocorram prejuízos em resultado de operações não autorizadas, antes da notificação ao banco que providencia o serviço ou instrumento de pagamento através de meios eletrónicos, a apreciação “do comportamento do utilizador do serviço de home banking revela-se um factor da maior importância uma vez que é a partir dele que descobrimos quem irá suportar as perdas resultantes de operações fraudulentas”.[5]
Assim, em todas as situações não imputáveis a título de negligência grave ao utilizador do serviço, é o banco (o prestador do serviço) quem deve arcar com os prejuízos que excedam o valor de 50,00€ (artigos 114º e 115º, nº 1 do RJSPME) decorrentes de operações de pagamento não autorizadas, pois é a este que cabe suportar o risco do sistema informático que sustenta o serviço de home banking não ser seguro e permitir a intromissão de terceiros[6].
Já nas situações de negligência grosseira do utilizador do serviço, é este quem suporta as perdas resultantes das operações de pagamento não autorizadas até ao limite do saldo disponível ou da linha de crédito associada à conta ou ao instrumento de pagamento, ainda que superiores a 50,00€ (artigo 115º, nº 4 do RJSPME).
Ora, constitui facto notório o elevado número de situações congéneres, num fenómeno designado por phishing, e que aparece sob diversos formatos (blind phishing, clone phishing, smishing, vishing, spear phishing, whaling, modalidades cuja caracterização facilmente se apura mediante qualquer pesquisa e que aqui seria despiciendo reproduzir), a par de outro, designado por pharming, mas todos eles redundando no acesso fraudulento, isto é, através de meios enganosos e sem o conhecimento ou autorização do respectivo titular, à aquisição dos elementos identificativos de um utilizador de um sistema ou aplicação informática, em ordem a permitir ao autor de tal conduta utilizar esse mesmo sistema ou aplicação, como aconteceu no caso em apreço.
A modalidade de pharming é mais complexa e difícil de detectar, pois consiste na própria intromissão no sistema do utilizador, para assim conhecer esses elementos ou operar o próprio acesso às aplicações, como se do verdadeiro utente se tratasse.
A própria jurisprudência evidencia a recorrência destas ações[7].
Nos termos do nº 3 do artigo 113º citado supra, dispõe que “(…) a utilização do instrumento de pagamento registada pelo prestador de serviços de pagamento, (…) não é necessariamente suficiente, por si só, para provar que a operação de pagamento foi autorizada pelo ordenante, que este último agiu de forma fraudulenta, ou que não cumpriu, com dolo ou negligência grosseira, uma ou mais obrigações previstas no artigo 110.º”
Ou seja, optou o legislador para impor ao prestador do serviço, in casu, ao banco, o ónus de “(…) apresentar elementos que demonstrem a existência de fraude, de dolo ou de negligência grosseira da parte do utilizador de serviços de pagamento.” Fixou-o expressamente no nº 4 da norma citada, do Decreto-Lei n.º 91/2018, de 12 de Novembro, atrás referido.
Esta opção surge explicada no Acórdão do Tribunal da Relação de Lisboa de 11.04.2019[8]: “Deste normativo [o acórdão referia-se ao artº 70º do DL 242/2012, de 07/1, mas de sentido idêntico às regras citadas, do D.L. 91/2018] resulta que o legislador faz recair sobre o banco a prova de que as operações de pagamento não foram efectuadas por avarias técnicas ou quaisquer outras deficiências, não bastando, para o efeito, socorrer-se do registo da operação de molde a demonstrar que ela foi autorizada pelo ordenante, tendo ainda de demonstrar que o cliente agiu de forma fraudulenta, ou não cumpriu deliberadamente ou por negligência grave algumas das suas obrigações previstas no artigo 67º do Decreto-Lei n.º 242/2012.
A opção pelo afastamento do ónus da prova a cargo do consumidor quanto ao mau funcionamento do sistema informático de homebanking, resulta da circunstância de ser o prestador de serviços de homebanking quem tem maior facilidade em demonstrar a versão factual que lhe aproveita, ou seja, a de que a utilização fraudulenta do serviço de homebanking por parte de terceiros não se deveu ao mau funcionamento do sistema informático.
No fundo, o legislador entendeu que o prestador de serviços é quem está em melhores condições, do que qualquer outro (incluindo o consumidor), para trazer a factualidade demonstrativa do modo como as coisas se passaram. E é assim, porque o funcionamento do “sistema informático” homebanking “pertencente à sua esfera de risco”, funcionando como critério suplementar de distribuição do ónus da prova, ou, melhor dizendo, ao “círculo de vida” em que o facto se produz: é a consagração da denominada teoria das esferas de risco, que preconiza uma ligação umbilical entre o ónus da prova e a dicotomia obrigações de meios/obrigações de resultado[9].”
Neste aspecto, atente-se que, para se provar a negligência grosseira da Apelada, o Apelante sempre teria que demonstrar que a mesma cometeu um “erro imperdoável”, uma “desatenção inexplicável”, uma “incúria inaceitável”, conforme se decidiu no Acórdão do Tribunal da Relação do Porto de 10 de Janeiro de 2023[10], em cujo sumário se pode ler que “Se um grande número de pessoas, na sua condição de utilizadoras de determinado sistema, é levado a praticar determinado acto nesse sistema, do que resulta o seu próprio prejuízo, tal acto não poderá ser qualificado como negligência grosseira, pois que, então o “homem médio” - referência que terá de integrar também tal elevado número de pessoas - não aparece a rejeitar esse acto por o considerar um erro indesculpável, uma decisão inexplicável, uma incúria inaceitável. E isso porquanto tantos o praticam.”.
No mesmo sentido, o Acórdão do Tribunal da Relação do Porto de 12 de Outubro de 2023[11], sustentou que “A qualificação como negligência grosseira da atuação do utilizador dos serviços de pagamento (ordenante) exige que se possa afirmar que, dentro das circunstâncias do caso concreto, agiu de forma perfeitamente incauta, constituindo o seu comportamento um erro grave, que a generalidade das pessoas minimamente diligentes não cometeria.”.
No entanto, e ao contrário do caso descrito neste Aresto, no caso dos presentes autos não ficou sequer demonstrado que a Apelada tenha acedido a qualquer hiperligação, ou que tenha recebido qualquer chamada em que tenha partilhado os seus dados de acesso.
Atente-se que, conforme o Tribunal a quo salientou, na sua Motivação, do depoimento da testemunha CC pode aferir-se que “(...) a A. não terá sido a única cliente a relatar estas movimentações bancárias indevidas/ não autorizadas, afirmando mesmo que “a A. foi alvo de uma fraude!” e que “só no balcão de ... houve entre 9 a 11 situações semelhantes”.
Nesta medida, e atenta a posição jurisprudencial supra citada, face à multiplicidade de utilizadores afectados pelo mesmo problema, afigura-se-nos não se poder concluir que a conduta da Apelada foi gravemente negligente.
Ademais, e conforme salientou o Tribunal a quo “(...) para afastar a sua responsabilidade o prestador de serviços (o banco) terá que apresentar elementos que demonstrem a exigência de fraude, de dolo ou de negligencia grosseira por parte do utilizador dos serviços de pagamento (artigo 113º nº 4 do RJSPME).”.
E se é certo que o Sr. Juiz a quo considerou que o Apelante demonstrou que as operações em questão não se deveram a avaria técnica ou qualquer outra deficiência do serviço por si prestado, “(...) no caso de realização de operações de pagamento não autorizadas sobre a conta do cliente através da utilização de serviço de homebanking, com recurso a fraude informática e/ou burla, o banco apenas vê afastada a sua responsabilidade pelos danos sofridos pelo utilizador de serviços de pagamento se alegar e provar que o dano em causa se deveu a atuação dolosa ou negligência grosseira do utilizador do serviço”.
Concluindo, ainda, que “(...) o risco inerente à utilização e funcionamento dos serviços de pagamento recai sobre o prestador de serviços, cabendo a este, para se eximir dessa responsabilização, não só provar que a operação de pagamento foi devidamente autenticada (artigo 113.º, n.º 1), mas ainda que o utilizador dos serviços de pagamento (ordenante) atuou de forma fraudulenta ou incumpriu de forma deliberada uma ou mais das suas obrigações decorrentes do artigo 110.º ou que atuou com negligência grosseira (artigo 113.º, n.º 3 e n.º 4).”.
Sendo que, de acordo com o Tribunal a quo, “(...) para que se considere um ato qualificável como negligência grosseira, é de exigir um nível de falta de cuidado mais elevado, um descuido ou desmazelo inadmissível para qualquer pessoa colocada naquela situação.”, acrescentando, “O que, pela prova produzida, não se poderá afirmar nos presentes autos (factos não provados pontos b. c. e g.)”, tanto que “Nada foi trazido aos autos que permita retirar de qualquer atuação da A., uma falta indesculpável, que só uma pessoa especialmente negligente, descuidada e incauta deixaria de observar. E, só a violação deliberada do dever de sigilo dos dados pessoais e intransmissíveis ou a negligência grosseira da A. permitiriam o afastamento da responsabilidade do Banco R.”.
Por todo o exposto, cabe negar provimento ao presente recurso de apelação.
Impõe-se, assim, o não provimento do recurso do Réu.
Sumariando em jeito de síntese conclusiva: