(Relator: Gonçalo Oliveira Magalhães) O Tribunal da Relação de Guimarães considerou que «a adesão ao serviço de homebanking integra-se na relação bancária duradoura estabelecida entre cliente e instituição de crédito e reconduz-se a um contrato-quadro de prestação de serviços de pagamento, no âmbito do qual as sucessivas operações eletrónicas constituem atos de execução de uma relação contratual previamente constituída. O regime das operações de pagamento não autorizadas previsto nos artigos 110º, 113º, 114º e 115º do RJSPME assenta numa lógica de afetação primária do risco ao prestador de serviços de pagamento, ao qual incumbe reembolsar o utilizador das operações não autorizadas, salvo quando demonstre a atuação fraudulenta, dolosa ou grosseiramente negligente deste último. Nos termos do artigo 113º do RJSPME, a mera prova de que a operação foi autenticada, registada e contabilizada sem avaria técnica ou deficiência do sistema não basta para afastar a responsabilidade do prestador, incumbindo-lhe demonstrar os factos concretos suscetíveis de revelar a violação dos deveres de segurança impostos ao utilizador. A qualificação da conduta do utilizador como negligência grosseira deve ser efetuada à luz do padrão objetivo de diligência consagrado no artigo 487º/2 do Código Civil e dos deveres de preservação das credenciais de segurança personalizados previstos no artigo 110º do RJSPME. A introdução de credenciais de acesso numa página eletrónica fraudulentamente reproduzida, visualmente indistinguível da página oficial da instituição bancária, não traduz, por si só, uma atuação grosseiramente negligente, quando a fraude utilizada seja suscetível de iludir um utilizador normalmente prudente. Age, porém, com negligência grosseira o utilizador que, acreditando colaborar com a instituição bancária no bloqueio de acessos fraudulentos, comunica a terceiros códigos de autenticação recebidos por SMS quando as próprias mensagens identificam expressamente que tais códigos se destinam à validação de operações concretas de transferência de fundos, incompatíveis com a finalidade que lhe foi apresentada. Verificando-se que o utilizador transmitiu sucessivamente códigos de autenticação relativos a três transferências distintas, apesar de as mensagens recebidas indicarem expressamente os montantes transferidos e a existência de ordens de transferência para contas determinadas, mostra-se preenchida a violação grosseira dos deveres de custódia e preservação das credenciais de segurança previstos no artigo 110º do RJSPME. Demonstrado que as operações não autorizadas apenas se tornaram possíveis em consequência dessa atuação grosseiramente negligente do utilizador, fica afastada a responsabilidade do prestador de serviços de pagamento, nos termos do artigo 115º/4 do RJSPME».
