TJUE: Bancos devem reembolsar burlas bancárias mesmo com negligência do cliente

Um tribunal europeu acaba de traçar uma linha clara sobre quem paga quando o dinheiro desaparece da conta. O Tribunal de Justiça da União Europeia decidiu que os bancos não podem simplesmente recusar devolver o dinheiro de uma transferência fraudulenta alegando que o cliente foi negligente. A obrigação de reembolso existe — e existe depressa.

O caso que levou a esta decisão começou de forma comum. Uma mulher polaca anunciou um artigo para venda numa plataforma online. Um comprador potencial contactou-a e enviou um link, dizendo que era da própria plataforma para confirmar a transação. Quando ela clicou, viu-se numa página que parecia ser exatamente o site do seu banco. Os detalhes eram convincentes o suficiente. Introduziu o seu nome de utilizador e palavra-passe — os dados que usava para aceder ao homebanking. Não era o site do banco. Era uma imitação perfeita, criada por alguém que pretendia roubar.

Com essas credenciais, um terceiro entrou na conta real dela e transferiu cerca de 700 euros para uma conta que controlava. A mulher percebeu o que tinha acontecido no dia seguinte e contactou o banco imediatamente. A resposta foi não. O banco recusou devolver o dinheiro. A razão: ela tinha sido negligente ao não proteger adequadamente os seus dados de segurança. Tinha caído numa armadilha, e segundo a instituição, isso era responsabilidade dela.

O caso chegou aos tribunais e acabou por forçar o TJUE a clarificar as regras europeias que regem os serviços de pagamento. A decisão foi clara: em princípio, o banco tem de reembolsar o montante de uma operação não autorizada. O prazo é apertado — até ao final do primeiro dia útil seguinte àquele em que o banco soube da operação ou foi informado dela. E isto aplica-se desde que o cliente comunique a fraude sem demora injustificada. A simples alegação de negligência do cliente não é suficiente para o banco se livrar desta obrigação.

Mas a decisão não deixa os clientes completamente protegidos de todas as consequências. Existe uma exceção: o banco pode suspender o reembolso imediato se tiver motivos válidos para suspeitar que foi o próprio cliente quem cometeu a fraude. Nesse caso, tem de comunicar esses motivos por escrito à autoridade nacional competente. Não é uma decisão que o banco possa tomar sozinho, de forma arbitrária.

O que é particularmente importante é a distinção que o tribunal faz entre duas coisas diferentes: o dever imediato de reembolsar e a responsabilidade final pelas perdas. Depois de devolver o dinheiro, o banco pode tentar recuperá-lo do cliente — mas apenas se conseguir provar que este incumpriu intencionalmente ou por negligência grosseira as obrigações de segurança que lhe eram aplicáveis. O ónus da prova está no banco. Não chega dizer genericamente que o cliente foi enganado ou que introduziu dados numa página falsa. O banco tem de demonstrar, concretamente, que houve negligência grosseira.

Esta decisão muda o equilíbrio. Antes, muitos bancos recusavam reembolsos argumentando que o cliente tinha sido imprudente. Agora, têm de reembolsar primeiro e depois, se quiserem, tentar recuperar o dinheiro — mas apenas se conseguirem provar que o cliente agiu com negligência grave, não apenas com falta de cuidado. Para quem foi vítima de phishing, como a mulher polaca que perdeu 700 euros, significa que o dinheiro volta à conta muito mais depressa. Para os bancos, significa que não podem usar a negligência como desculpa para não cumprir a lei.