Nos últimos dois anos, a jurisprudência portuguesa produziu um conjunto de decisões que, lidas em conjunto e com o cuidado que merecem, começam finalmente a desenhar um mapa coerente e utilizável sobre a responsabilidade das entidades bancárias em casos de operações de pagamento não autorizadas. Um mapa que não é inteiramente favorável às instituições financeiras -seria ingénuo dizer o contrário – mas que contém sinais positivos e claros que importa sublinhar, em particular para quem acompanha este contencioso de perto.
O ponto de partida é o Regime Jurídico dos Serviços de Pagamento e da Moeda Eletrónica, aprovado pelo Decreto-Lei n.º 91/2018, de 12 de novembro (RJSPME). A tendência que se tem vindo a notar na jurisprudência mais recente revela uma valorização dos deveres de autoproteção digital dos utilizadores -nomeadamente das credenciais de acesso e dos códigos de autenticação – , considerando existir negligência grosseira sempre que estes, ignorando alertas evidentes, claros, constantemente publicitados e mecanismos de autenticação forte, fornecem credenciais ou validam operações que permitam que se realize a fraude, afastando a responsabilidade imputada ao banco.
A regra geral do regime continua a ser onerosa para os bancos: o ónus da prova recai sobre a instituição financeira, que tem de demonstrar que a operação foi autenticada, devidamente registada e contabilizada, sem avaria ou deficiência técnica, e – sobretudo – que o utilizador agiu com fraude, dolo ou, pelo menos, negligência grosseira. Mas é exatamente aqui que a jurisprudência recente começa a mudar, a ver a realidade de um prisma bem mais abrangente e desconstruído, demonstrando uma aproximação e conhecimento das necessidades reais a salvaguardar, e que é de louvar, lembrando que é precisamente uma das grandes funções da jurisprudência aproximar a aplicação da lei à realidade.
Durante anos, a indefinição em torno do conceito de negligência grosseira foi a principal fonte de insegurança jurídica neste tipo de contencioso. Os critérios variavam, as decisões oscilavam, e os bancos navegavam num terreno em que o mesmo conjunto de factos podia originar resultados opostos consoante o tribunal.
O que mudou nos últimos meses é que os tribunais de recurso passaram a enunciar critérios mais precisos e mais aplicáveis, com consequências práticas imediatas.
O Tribunal da Relação de Guimarães, a 13 de julho de 2026, veio dar um novo entendimento sobre a negligência grosseira, declarando que “age com negligência grosseira o utilizador que, acreditando colaborar com a instituição bancária no bloqueio de acessos fraudulentos, comunica a terceiros códigos de autenticação recebidos por SMS quando as próprias mensagens identificam expressamente que tais códigos se destinam à validação de operações concretas de transferência de fundos, incompatíveis com a finalidade que lhe foi apresentada.”
Este entendimento tem um alcance que não deve ser subestimado. Verificando-se que o utilizador transmitiu sucessivamente códigos de autenticação relativos a três transferências distintas, apesar de as mensagens recebidas indicarem expressamente os montantes transferidos e a existência de ordens de transferência para contas determinadas, considerou o Tribunal mostrar-se preenchida a violação grosseira dos deveres de custódia e preservação das credenciais de segurança previstos no art. 110.º do RJSPME, ficando afastada a responsabilidade do prestador de serviços de pagamento, nos termos do artigo 115.º, n.º 4 do RJSPME.
O raciocínio é de uma clareza que convém reter: quando a própria mensagem de autenticação enviada pelo banco identifica expressamente a operação -o tipo, o montante e o IBAN de destino- , e o utilizador ainda assim valida o código porque um terceiro lhe disse que estava “a bloquear uma transferência fraudulenta”, existe uma contradição objetiva, patente e manifesta entre o que o banco comunicou e o que o burlão afirmou. Ignorar essa contradição é, para os tribunais, o erro que não se perdoa.
Uma das contribuições mais relevantes da jurisprudência mais recente – e que tende a ser subestimada em sede de defesa – é o reconhecimento de que a negligência grosseira pode resultar não de um único ato isolado, mas de uma conduta progressiva e reiterada.
O Tribunal da Relação de Lisboa, em acórdão de 24 de fevereiro de 2026, afirmou que, ainda que a conduta do utilizador não seja ab initio grosseiramente negligente, pode ela, sendo reiterada, patentear um crescente grau de violação do dever de diligência – e que apenas a partir do momento em que a negligência grosseira pode ser afirmada será de responsabilizar o utilizador pelo dano ulterior. O mesmo acórdão sublinha que, com a crescente adoção de métodos de autenticação forte, a culpa do utilizador, a existir, facilmente atinge o limiar da negligência grosseira, e que reveste essa qualificação a atuação do utilizador que contraria a própria existência dos mecanismos de segurança associados aos meios de pagamento, podendo qualquer pessoa minimamente instruída e diligente reconhecer o risco de realização por terceiros de operações não autorizadas resultante dessa atuação.
Este critério tem consequências práticas muito concretas. A entrega sucessiva de vários códigos ou credenciais evidencia um grau acrescido de censurabilidade: mesmo que o primeiro ato não seja qualificável como grosseiramente negligente, a repetição pode tornar a conduta qualificável como tal. Para a defesa do banco, isso significa que a reconstituição cronológica e detalhada de todas as interações do utilizador com o sistema pode ser determinante para o resultado do litígio.
Em acórdão de 12 de fevereiro de 2026, o Tribunal da Relação do Porto considerou existir negligência grosseira quando o utilizador, apesar de utilizador habitual dos canais digitais disponibilizados pelo banco, proporcionou a terceiro desconhecido, por duas vezes e em ocasiões distintas, quatro dados pessoais e confidenciais de acesso: o número do contrato de adesão, o código secreto (PIN) de seis dígitos, o código de autorização enviado por SMS e as três posições aleatórias do cartão matriz.
O mesmo acórdão revogou a decisão de primeira instância que havia condenado o banco ao reembolso. Na origem do prejuízo sofrido pelo apelado esteve a violação, pelo próprio, do dever objetivo de cuidado no manuseio do sistema de homebanking, através de uma conduta reveladora de “irreflexão ou ligeireza” de comportamento, equivalente a negligência grosseira -tendo o banco cumprido o ónus que sobre si recaía de demonstrar essa mesma negligência grosseira, ficando o utilizador a suportar as perdas resultantes das operações de pagamento de que foi alvo, nos termos do artigo 115.º, n.º 4 do RJSPME.
A doutrina e a jurisprudência acumularam, ao longo dos anos, um catálogo de comportamentos que hoje funcionam como referências seguras para a defesa dos bancos. São considerados grosseiramente negligentes, entre outros, o caso “do utilizador que é constantemente alertado para os indícios de fraude, de maneira a estar naturalmente consciente de que os pedidos feitos em páginas falsas não são legítimos”, ou o do utilizador que “não se limita a inserir as credenciais de segurança que habitualmente lhe são solicitadas pelo seu banco, mas divulga a quase totalidade das combinações do cartão matriz ou outras informações que o prestador do serviço de pagamento não tenha por hábito solicitar aquando da confirmação da ordem de pagamento.”
Também já foi qualificado como grosseiramente negligente o caso em que o utilizador clicou num link malicioso e forneceu a terceiros códigos de segurança e coordenadas do cartão matriz, com base nos quais outrem conseguiu aceder e usar a sua conta bancária, tendo o banco emitido alertas com medidas de segurança e, na própria mensagem com o código de autorização, incluído um aviso explícito de que tal código não devia ser divulgado a terceiros.
Igualmente qualificada como negligência grosseira foi a situação em que o utilizador, com acesso aos canais digitais há cerca de quatro anos, foi reencaminhado para um site distinto, forneceu os dados de acesso ao homebanking e autorizou compras após ter recebido notificações push na app MB Way a solicitar autorização para a concretização das mesmas.
Um aspeto que a jurisprudência valoriza de forma crescente é o nível de familiaridade do utilizador com os canais digitais: a utilização habitual do homebanking permite ao cliente reconhecer os procedimentos normais de autenticação -e quanto maior a familiaridade com esses canais, menor a possibilidade de justificar determinados erros.
Seria desonesto terminar sem sublinhar o que não mudou e onde os bancos continuam a enfrentar dificuldades reais.
A negligência grosseira deve continuar a ser tratada como excecional: nem toda a vítima de phishing atua de forma gravemente negligente, e o ónus da prova recai, sem exceção, sobre o banco. Os esquemas atuais de engenharia social são altamente elaborados, e mesmo utilizadores diligentes podem ser enganados -um argumento que os tribunais continuam a valorizar quando a sofisticação da fraude é demonstrada.
O banco que não consegue demonstrar ter alertado o cliente -no site, na aplicação, nos SMS e na documentação contratual- para os riscos concretos de phishing e fraude vê essa lacuna usada contra si. A ignorância dos alertas por parte do cliente reforça a gravidade da conduta; mas a ausência de alertas claros retira ao banco o argumento mais valioso que tem ao seu dispor.
Acresce que o banco dispõe de sistemas de controlo e monitorização e poderia ter detetado movimentos invulgares ou incompatíveis com o perfil do cliente -e os tribunais não ignoram este argumento quando é bem explorado pelo utilizador.
O litígio nesta área é tecnicamente exigente e evolui a uma velocidade que não admite improviso. Compreender as nuances que separam os casos em que o banco logra afastar a sua responsabilidade daqueles em que é condenado, exige um conhecimento simultâneo do regime legal, da jurisprudência em construção acelerada e da realidade técnica de cada fraude concreta.
É exatamente nessa intersecção -entre o direito bancário, a prova técnica e a estratégia processual- que o trabalho do advogado que acompanha este tipo de contencioso se torna verdadeiramente diferenciador. E é também aí que as decisões tomadas antes de qualquer litígio, ao nível dos sistemas de alerta, do conteúdo das mensagens de autenticação e da gestão das reclamações, têm mais impacto do que qualquer argumento que se possa formular depois.
As boas notícias existem -e são mais do que aquelas que chegam à maioria das mesas. Mas aproveitá-las requer preparação. E, acima de tudo, saber exatamente onde procurá-las.
Pode descarregar o documento completo aqui.
Para mais informações, pode contactar:
Marlene Sousa | Local Partner
marlene.teixeira@pt.andersen.com
Ana del Pino Alves | Senior Lawyer
ana.alves@pt.andersen.com
