Phishing: tribunal europeu decide que o banco tem de devolver logo o dinheiro, mesmo que culpe o cliente

O Tribunal de Justiça da União Europeia (TJUE) deu razão a uma cliente bancária que foi vítima de phishing e a quem o banco recusou devolver o dinheiro. Num acórdão de 15 de outubro, o tribunal decidiu que um banco não pode recusar o reembolso imediato de uma operação de pagamento que o cliente não autorizou apenas porque acha que este foi grosseiramente negligente. A decisão interpreta uma diretiva europeia que vale em todos os Estados-membros, incluindo Portugal, e vincula os tribunais nacionais que tenham casos semelhantes.

O caso que chegou ao Luxemburgo

A história, descrita no comunicado do tribunal, é conhecida de quem vende coisas na internet. Uma cliente de um banco polaco pôs um artigo à venda numa plataforma online e foi contactada por um falso comprador, que lhe enviou uma ligação apresentada como sendo da plataforma, para confirmar a venda. A ligação abria uma página que imitava o site do banco, onde a cliente introduziu os dados de acesso ao homebanking. Com eles, o burlão transferiu cerca de 700 euros para uma conta sua.

A cliente avisou o banco no dia seguinte. O banco recusou devolver o dinheiro por entender que ela tinha facilitado a fraude, ao não proteger os seus dados de segurança. O caso seguiu para um tribunal polaco, que pediu ao TJUE que esclarecesse as regras europeias.

Primeiro reembolsa, depois discute

O tribunal separa duas questões. A primeira é o reembolso: perante uma operação não autorizada, o banco tem de devolver o montante o mais tardar até ao fim do primeiro dia útil seguinte àquele em que soube dela, desde que o cliente o tenha informado sem demora injustificada. A única exceção é o banco ter motivos válidos para suspeitar de fraude do próprio cliente e comunicá-los por escrito à autoridade nacional competente.

A segunda questão é quem acaba por suportar a perda. Depois de devolver o dinheiro, o banco pode reclamá-lo ao cliente se provar que este falhou, de propósito ou por negligência grosseira, as obrigações de segurança, como proteger os códigos de acesso. O ónus da prova é do banco. Para o TJUE, deixar o banco recusar à partida obrigaria o cliente a avançar ele próprio com um processo, com os custos que isso implica, e esvaziaria a regra do reembolso imediato.

O que muda para ti

Em Portugal, estas regras estão no Decreto-Lei 91/2018, que transpôs a diretiva dos serviços de pagamento e que já previa que o banco só pode adiar o reembolso quando suspeita de fraude do cliente e a comunica às autoridades. O acórdão deixa claro que a negligência, por si só, não serve de argumento para não devolver logo o dinheiro. Se fores vítima de uma burla destas, o passo decisivo continua a ser avisar o banco o mais depressa possível e guardar prova dessa comunicação. O tribunal polaco ainda tem de decidir o caso concreto com base nesta resposta.

PhishingHomebankingTribunal de Justiça da UEDireitos do consumidorBurlas