Chegam aos bancos espanhóis e polacos os primeiros processos sobre a devolução de pagamentos não autorizados

Os consumidores espanhóis e polacos estão a preparar uma vaga de processos contra a banca, com o objetivo de obterem o reembolso de montantes relativos a pagamentos não autorizados cuja devolução foi recusada pelas instituições financeiras. Na origem desta reação está a decisão do Tribunal de Justiça da União Europeia (TJUE), de 16 de outubro, segundo a qual os bancos devem reembolsar imediatamente (no prazo de 24 horas) os clientes por operações de pagamento não autorizadas, mesmo que exista «negligência grosseira» por parte do titular da conta.

O processo C-70/25 | [Tukowiecka] teve origem na Polónia, onde uma cliente bancária foi vítima de uma fraude por phishing. Um terceiro fez-se passar por um potencial comprador de um artigo que a cliente tinha colocado à venda numa plataforma de comércio eletrónico. Para confirmar a compra, enviou-lhe uma ligação fraudulenta, apresentada como sendo proveniente dessa plataforma. A cliente clicou na ligação e foi direcionada para uma página que reproduzia a aparência do site do seu banco. Nessa página, introduziu os seus dados de acesso ao serviço de banca em linha. Com essas credenciais, o terceiro conseguiu transferir da conta bancária da cliente para uma conta sua um montante equivalente a cerca de 700 euros.

O banco recusou devolver-lhe o dinheiro, alegando que a cliente tinha agido com negligência grosseira ao não cumprir a obrigação de proteger os seus dados de segurança personalizados, tornando assim possível a operação fraudulenta.

O acórdão do TJUE refere, nomeadamente, que um banco não se pode colocar no papel de juiz e recusar a devolução de dinheiro subtraído, alegando que o consumidor se deixou enganar por cibercriminosos.

A única base legal para recusar um reembolso é a existência de suspeitas razoáveis de que é o próprio consumidor quem está a tentar obter indevidamente dinheiro, situação que o banco deve comunicar imediatamente às autoridades policiais.

Se o banco considerar que o cliente agiu com negligência grosseira, deve primeiro devolver o dinheiro e só depois pode procurar obter a sua recuperação através dos tribunais, cabendo à instituição financeira o ónus da prova.

• Bancos obrigados a reembolsar imediatamente clientes por pagamentos não autorizados, mesmo que exista «negligência grosseira»

Com base neste acórdão, e de acordo com o jornal digital espanhol «El Economista», várias associações de defesa dos consumidores e sociedades de advogados estão a reunir os processos acumulados, com o objetivo de lançar uma primeira ofensiva em larga escala que permita testar os limites do novo enquadramento jurídico.

Uma das entidades que vai avançar primeiro é a Asufin. A associação espanhola de defesa dos consumidores financeiros está a preparar, em conjunto com a sua equipa jurídica, uma primeira série de reclamações contra praticamente todas as instituições bancárias. A iniciativa deverá ser lançada dentro de algumas semanas.

Esta primeira ação abrangerá 64 casos e a associação estima que permitirá recuperar, de imediato, cerca de meio milhão de euros para os consumidores lesados. Este montante diz respeito apenas aos processos que já tinha em curso, embora a Asufin espere que o número de casos aumente nos próximos meses, tanto por iniciativa própria como através dos consumidores e das sociedades de advogados.

A associação considera que a decisão do TJUE «marca um antes e um depois» e entende que, a partir de agora, bastará apresentar uma reclamação para que as instituições financeiras procedam ao pagamento dos montantes em causa.

Na Polónia, país onde teve origem o caso que deu lugar ao acórdão do TJUE, o presidente do Gabinete da Concorrência e da Defesa do Consumidor (UOKiK) já tinha instaurado processos contra o Alior Bank, o BNP Paribas Bank Polska, o Bank Millennium (que pertence ao português Millennium bcp) e o mBank, questionando a forma como aquelas instituições analisavam as denúncias de operações não autorizadas.

Os bancos nem sempre devolviam o dinheiro dentro do prazo legal e, em alguns casos, faziam-no apenas a título provisório, até à conclusão da análise da reclamação. Se posteriormente considerassem que o cliente tinha autorizado a operação ou era responsável por ela, revertiam o reembolso e retiravam novamente o dinheiro da conta.

Outro problema identificado dizia respeito a situações em que os bancos justificavam a recusa do reembolso com o facto de a identidade do cliente ter sido corretamente autenticada, equiparando a autenticação do cliente à autorização da operação.

Na sequência destes processos, o presidente do Gabinete da Concorrência e da Defesa do Consumidor emitiu decisões contra outras quatro instituições financeiras: o ING Bank Śląski, o Bank Ochrony Środowiska, o Nest Bank e o Plus Bank. Segundo o regulador, estas instituições recusaram, em muitos casos, reembolsar os clientes. Alegavam que a autenticação correta da própria operação — por exemplo, através da introdução de um código PIN ou de uma autorização na aplicação bancária — as isentava de responsabilidade e significava automaticamente que o cliente tinha dado o seu consentimento à transferência. Os bancos transferiram também, injustificadamente, o ónus da prova para os consumidores e alegaram que a eventual recuperação do dinheiro só seria possível através da intervenção das autoridades policiais.

«A lei define claramente as obrigações dos bancos em caso de ciberataque ou de perda de fundos por parte dos clientes. As instituições financeiras não podem escapar às suas responsabilidades, rejeitando automaticamente as reclamações e transferindo para o consumidor lesado todo o ónus de provar a culpa. O simples facto de o banco demonstrar que a operação foi corretamente autenticada não é suficiente para recusar o reembolso. O banco tem de provar que foi o cliente quem, de forma autónoma e consciente, autorizou a operação ou agiu com negligência grosseira. Estas quatro instituições bancárias têm de alterar os seus procedimentos e reanalisar os casos em que recusaram ilegalmente reembolsar os clientes», afirma Tomasz Chróstny, presidente do UOKiK.

«A decisão do TJUE confirmou que os bancos não podem ser juízes em causa própria e que não existem fundamentos para uma rejeição em massa das reclamações apresentadas por clientes vítimas de fraude. Há anos que defendemos que a lei protege o consumidor e que os bancos têm a obrigação de devolver primeiro os fundos subtraídos e só depois determinar de que lado está a responsabilidade. O Tribunal do Luxemburgo confirmou plenamente a nossa posição. Este é um sinal claro para o setor financeiro: chegou o momento de pôr fim à transferência da responsabilidade pelos ciberataques para os consumidores lesados», acrescenta Tomasz Chróstny.