Sumário: I. Nas operações de pagamento não autorizadas realizadas por autenticação de terceiro através de dados e credenciais de segurança obtidas ilicitamente por prática de phishing, incumbe ao prestador de serviços de pagamento (Banco) demonstrar que a operação foi autorizada pelo utilizador, ou que este atuou com fraude, dolo ou negligência grosseira, não bastando a mera prova de que a operação foi registada ou autenticada no sistema.
II. A introdução pelo utilizador dos dados do cartão bancário e de um código recebido por SMS numa página fraudulenta que reproduz de forma convincente o sítio oficial de uma entidade prestadora de serviços de streaming conhecida, na sequência de mensagem enganosa concebida para induzir a regularização de um alegado pagamento em dívida, traduz comportamento negligente, mas não integra, sem mais, negligência grosseira, para efeitos dos artigos 113.º e 115.º do Regime Jurídico dos Serviços de Pagamento e da Moeda Eletrónica.
III. A negligência grosseira pressupõe um grau particularmente intenso de desrespeito pelos deveres de cuidado, correspondente a uma atuação que um utilizador médio, razoavelmente informado e prudente, não adotaria.
IV. Para a aferição da existência de negligência grosseira do utilizador, deve averiguar-se se, no caso concreto, a sua conduta é especialmente censurável, tendo em consideração a aparência fidedigna ou não da mensagem de correio eletrónico, a ingenuidade que manifestou, e o cumprimento pelo banco das obrigações de informação e esclarecimento dos clientes impostas pela lei.
V. Não se pode qualificar como grosseiramente negligente a conduta de quem fornece credenciais de segurança em resultado de uma prática fraudulenta capaz de ludibriar um grande número de pessoas, e não apenas as extremamente descuidadas ou incautas.
VI. Não demonstrando o Banco que, no procedimento de associação do cartão bancário a uma carteira digital (Apple Pay), foi efetivamente aplicada autenticação forte do cliente, nos termos legalmente exigidos, não pode fazer recair sobre o utilizador as perdas resultantes de operações de pagamento não autorizadas, salvo prova de atuação fraudulenta deste.
VII. A mera alegação e afirmação por testemunha de que o sistema interno exigia etapas adicionais de validação não é suficiente quando o Banco não junta aos autos os registos técnicos suscetíveis de comprovar a concreta realização dessas etapas pelo utilizador.
VIII. Verificada a realização de operações de pagamento não autorizadas, sem prova de fraude, dolo ou negligência grosseira do utilizador, e sem demonstração do cumprimento do dever de autenticação forte, responde o prestador de serviços de pagamento pelo reembolso integral dos montantes debitados, acrescido dos juros previstos no artigo 114.º do RJSPME, sem prejuízo do direito de indemnização.
IX. Os danos de ansiedade, desgosto e sentimento de injustiça sofridos pelo titular da conta em consequência da subtração fraudulenta de quantias elevadas do seu património constituem danos não patrimoniais merecedores de tutela indemnizatória, também no âmbito da responsabilidade contratual bancária.