Phishing: quando o banco tem de devolver o dinheiro?

Recebeu uma mensagem que parecia legítima, introduziu os seus dados numa página falsa e descobriu que alguém retirou dinheiro da sua conta? Se não autorizou essa operação, a recusa do banco em devolver o dinheiro pode ser contestada, mesmo quando lhe é atribuída “negligência grosseira”.

O que decidiu o Tribunal de Justiça da União Europeia

Num acórdão de 15 de outubro de 2026, proferido no processo C-70/25, o Tribunal de Justiça da União Europeia esclareceu que essa alegação não permite ao banco recusar o reembolso imediato de uma operação de pagamento não autorizada. A decisão é relevante para as vítimas de phishing, fraude em que se usam mensagens ou páginas falsas para obter dados pessoais e bancários.

O caso envolveu uma cliente de um banco polaco que introduziu as suas credenciais numa página que imitava a do banco. Um burlão utilizou esses dados para transferir cerca de 700 euros. O banco recusou devolver o valor, alegando que a cliente não tinha protegido devidamente os seus dados.

Reembolso imediato: o prazo que o banco tem de cumprir

O Tribunal distinguiu o reembolso imediato da decisão sobre quem suporta definitivamente o prejuízo. Em regra, o banco deve devolver o dinheiro imediatamente e, no máximo, até ao final do primeiro dia útil seguinte ao conhecimento ou à comunicação da operação. O cliente deve avisar o banco sem demora injustificada. Em Portugal, esta obrigação encontra-se prevista no artigo 114.º do regime aprovado pelo Decreto-Lei n.º 91/2018.

A exceção: suspeita de fraude do próprio cliente

A exceção ao reembolso imediato exige motivos razoáveis para suspeitar de fraude cometida pelo próprio cliente, comunicados por escrito às autoridades judiciárias dentro do mesmo prazo. A simples alegação de falta de cuidado na proteção dos dados não equivale a essa suspeita.

O reembolso pode não ser definitivo

O reembolso pode, contudo, não ser definitivo. O banco poderá posteriormente exigir a restituição, se provar que as perdas resultaram do incumprimento intencional ou com negligência grosseira dos deveres do cliente. Cabe ao banco fazer essa prova: o simples registo da utilização das credenciais da vítima não prova automaticamente que esta autorizou a operação ou agiu com negligência grosseira.

Operações autorizadas pelo cliente ficam de fora

Esta proteção respeita a operações não autorizadas. Quando é o próprio cliente a ordenar e autorizar uma transferência, ainda que enganado por terceiros, o enquadramento exige uma análise diferente e o acórdão não garante automaticamente o reembolso.

O que fazer se foi vítima de phishing

Se foi vítima de phishing, comunique imediatamente a situação ao banco, peça o bloqueio dos meios de acesso comprometidos, participe os factos às autoridades e entre em contacto com o seu advogado.

Na VPA, analisamos as circunstâncias da fraude, identificamos os meios adequados à defesa dos seus direitos e à recuperação dos valores. Uma resposta negativa do banco não encerra, por si só, o assunto.