O Tribunal da Relação de Guimarães (TRG) decidiu que é de afastar a responsabilidade do banco pela realização de operações não autorizadas quando estas só se tenham realizado porque o utilizador transmitiu a terceiros os respetivos códigos de autenticação recebidos por SMS quando as próprias mensagens identificavam expressamente que esses códigos se destinavam à validação de operações concretas de transferência de fundos.
O caso
As clientes de um banco intentaram uma ação contra este exigindo o reembolso do dinheiro que tinha sido indevidamente transferido das suas contas bancárias, depois de uma delas ter recebido uma mensagem escrita (SMS), supostamente do banco, a exigir-lhe a atualização imediata das credenciais de acesso, sob a ameaça de aplicação de uma coima.
Confiando na origem institucional da mensagem, acedera à hiperligação eletrónica facultada, a qual exibia uma interface idêntica à página oficial do banco.
No momento em que introduzira o código de utilizador e o código multicanal, terceiros capturaram esses dados confidenciais de validação apropriando-se do dinheiro.
O banco contestou afirmando que fora a cliente quem transmitira voluntariamente o código de utilizador, o código multicanal e os códigos de autorização recebidos por SMS e que assim permitira a realização das transferências.
O tribunal deu razão ao banco, considerando que existira negligência grosseira da cliente, decisão da qual foi interposto recurso para o TRG.
Apreciação do Tribunal da Relação de Guimarães
O TRG julgou improcedente o recurso, confirmando a sentença recorrida, ao decidir que é de afastar a responsabilidade do banco pela realização de operações não autorizadas quando estas só se tenham realizado porque o utilizador transmitiu a terceiros os respetivos códigos de autenticação recebidos por SMS quando as próprias mensagens identificavam expressamente que esses códigos se destinavam à validação de operações concretas de transferência de fundos.
O regime das operações de pagamento não autorizadas assenta numa lógica em que o risco é primeiramente assumido pelo prestador de serviços de pagamento, ao qual incumbe reembolsar o utilizador das operações não autorizadas, salvo quando demonstre a atuação fraudulenta, dolosa ou grosseiramente negligente deste último.
A mera prova de que a operação foi autenticada, registada e contabilizada sem avaria técnica ou deficiência do sistema não basta para afastar a responsabilidade do prestador, incumbindo-lhe demonstrar os factos concretos suscetíveis de revelar a violação dos deveres de segurança impostos ao utilizador.
Para o efeito, a mera introdução de credenciais de acesso numa página eletrónica fraudulentamente reproduzida, visualmente indistinguível da página oficial da instituição bancária, não traduz, por si só, uma atuação grosseiramente negligente, quando a fraude utilizada seja suscetível de iludir um utilizador normalmente prudente.
Age, porém, com negligência grosseira o utilizador que, acreditando colaborar com a instituição bancária no bloqueio de acessos fraudulentos, comunica a terceiros códigos de autenticação recebidos por SMS quando as próprias mensagens identificavam expressamente que esses códigos se destinavam à validação de operações concretas de transferência de fundos, incompatíveis com a finalidade que lhe fora apresentada.
Verificando-se que o utilizador transmitiu sucessivamente códigos de autenticação relativos a três transferências distintas, apesar de as mensagens recebidas indicarem expressamente os montantes transferidos e a existência de ordens de transferência para contas determinadas, mostra-se preenchida a violação grosseira dos deveres de custódia e preservação das credenciais de segurança previstos na lei.
Estando demonstrado que as operações não autorizadas apenas se tornaram possíveis em consequência dessa atuação grosseiramente negligente do utilizador, fica afastada a responsabilidade do prestador de serviços de pagamento.
Com efeito, uma coisa é a introdução de credenciais de acesso num ambiente eletrónico aparentemente legítimo, cuidadosamente concebido para reproduzir a identidade visual da instituição financeira e, desse modo, induzir em erro um utilizador médio quanto à sua autenticidade. Diversa, e substancialmente distinta, é a comunicação sucessiva de três códigos de autenticação sob o pretexto de impedir ou cancelar alegadas operações fraudulentas, quando as mensagens que os continham indicavam expressamente que os mesmos se destinavam à autorização de concretas transferências bancárias, identificando os respetivos montantes, de vários milhares de euros, e as contas beneficiárias para as quais os fundos seriam transferidos.
Referências
Acórdão do Tribunal da Relação de Guimarães, de 13.07.2026
Regime Jurídico dos Serviços de Pagamento e da Moeda Eletrónica, Decreto-lei n.º 91/2018, de 12/11, artigos 110.º n.º 2, 113.º n.º 3 e 4, 114.º e 115.º n.º 4