Bancos obrigados a reembolsar imediatamente clientes por pagamentos não autorizados, mesmo que exista «negligência grosseira»

Uma decisão do Tribunal de Justiça da União Europeia (TJUE), conhecida nesta sexta-feira, determina que os bancos devem reembolsar os clientes por operações de pagamento não autorizadas, mesmo que exista «negligência grosseira» por parte do titular da conta. Esta decisão poderá ter consequências importantes, nomeadamente nos casos em que os clientes bancários são vítimas de fraude.

O acórdão do TJUE diz respeito, precisamente, a um caso de fraude por phishing — uma modalidade de fraude informática em que os criminosos se fazem passar por entidades legítimas, como bancos, autoridades públicas, empresas ou serviços digitais, para enganar as vítimas, obter informações confidenciais, aceder às suas contas ou roubar dinheiro.

O caso ocorreu na Polónia, onde uma cliente de um banco foi vítima de uma fraude por phishing. Um terceiro fez-se passar por um potencial comprador de um artigo que a cliente tinha colocado à venda numa plataforma de comércio eletrónico. Para confirmar a venda, enviou-lhe uma ligação fraudulenta, apresentada como sendo proveniente dessa plataforma.

A cliente clicou na ligação e foi direcionada para uma página que reproduzia a aparência do site do seu banco. Nessa página, introduziu os seus dados de acesso ao serviço de banca em linha. Com essas credenciais, o terceiro conseguiu transferir da conta bancária da cliente para uma conta sua um montante equivalente a cerca de 700 euros.

• Banca tradicional está (pouco) mais preparada para enfrentar fraudes no futuro do que as ‘fintechs’

Ao aperceber-se da fraude, a cliente comunicou a operação ao banco no dia seguinte. Contudo, a instituição recusou-se a reembolsar o montante da operação de pagamento não autorizada, alegando que a cliente tinha agido com negligência grosseira ao não cumprir a obrigação de proteger os seus dados de segurança personalizados, tornando assim possível a operação fraudulenta.

Inconformada, a cliente recorreu aos tribunais polacos, que questionaram o Tribunal de Justiça da União Europeia sobre se, à luz do direito da União — designadamente da Diretiva (UE) 2015/2366 do Parlamento Europeu e do Conselho, de 25 de novembro de 2015, relativa aos serviços de pagamento no mercado interno —, o banco, na qualidade de prestador de serviços de pagamento, está obrigado a reembolsar imediatamente o montante de uma operação não autorizada, mesmo que considere que o cliente agiu com negligência grosseira.

No seu acórdão, o Tribunal de Justiça responde afirmativamente. «No caso de uma operação de pagamento não autorizada, o prestador de serviços de pagamento está, em princípio, obrigado a reembolsar imediatamente o montante dessa operação, o mais tardar no final do primeiro dia útil seguinte àquele em que tomou conhecimento ou foi informado dessa operação, desde que o cliente informe sem demora injustificada esse prestador de serviços de pagamento», refere o comunicado do TJUE.

A decisão prevê uma única exceção a esta obrigação de reembolso imediato: «quando o prestador de serviços de pagamento tiver motivos válidos para suspeitar de uma fraude cometida pelo cliente e comunicar esses motivos por escrito à autoridade nacional competente».

O facto de o prestador de serviços de pagamento considerar que o cliente tornou possível a operação não autorizada por negligência grosseira — designadamente por não ter tomado as medidas necessárias para proteger os seus dados de segurança personalizados — não lhe permite recusar o reembolso imediato.

Com efeito, o direito da União permite distinguir a questão do reembolso do montante da operação de pagamento não autorizada da questão de saber quem deverá, em última instância, suportar as perdas decorrentes dessa operação.

Assim, numa primeira fase, o prestador de serviços de pagamento está obrigado a proceder ao reembolso imediato. Posteriormente, poderá, se for caso disso, exigir ao cliente a restituição do montante das perdas sofridas (através do exercício do direito de regresso), desde que prove que essas perdas resultaram do incumprimento, intencional ou por negligência grosseira, das obrigações que incumbiam ao cliente, designadamente a de proteger os seus dados de segurança personalizados.

Cabe ao prestador de serviços de pagamento provar que o cliente agiu com negligência grosseira. Esta abordagem é coerente com o objetivo de garantir um elevado nível de proteção dos consumidores. Permitir que o prestador de serviços de pagamento recuse, desde logo, o reembolso com fundamento na negligência grosseira do cliente retiraria eficácia à obrigação de reembolso imediato e obrigaria o cliente a tomar a iniciativa de instaurar um processo judicial para fazer valer o seu direito, com os custos e os inconvenientes daí decorrentes.