text:
18/18.7T8TVD.L1-6
 Sumário: 1-A cláusula contratual geral que pretende transferir para o cliente toda a responsabilidade pelos prejuízos resultantes da utilização indevida de serviço de homebanking por parte de terceiros, independentemente de tal utilização resultar do comportamento do cliente, altera as regras de distribuição do risco previstas na lei, sendo uma cláusula geral nula, nos termos dos artos 12o, 20o, 21o al. f) e 24o do DL 446/85, por absolutamente proibida, quando inserida no âmbito de relações Banco/Consumidor final.
 2- O legislador faz recair sobre o banco a prova de que as operações de pagamento não foram efectuadas por avarias técnicas ou quaisquer outras deficiências, não bastando, para o efeito, socorrer-se do registo da operação de molde a demonstrar que ela foi autorizada pelo ordenante, tendo ainda de demonstrar que o cliente agiu de forma fraudulenta, ou não cumpriu deliberadamente ou por negligência grave algumas das suas obrigações previstas no arto 67o do DL 242/2012.
 3-O prestador de serviços é quem está em melhores condições, do que qualquer outro (incluindo o consumidor), para trazer a factualidade demonstrativa do modo como as coisas se passaram. Isto porque o funcionamento do “sistema informático” homebanking pertencente à sua esfera de risco, funcionando como critério suplementar de distribuição do ónus da prova, de acordo com a denominada teoria das esferas de risco.
 1-E F L instaurou acção declarativa, com processo comum, contra B [ ....Banco,S.A ] , pedindo:
 Alegou, em síntese, que é cliente da ré e titular da conta bancária com o n.o xxxxx; e efectuava regularmente os pagamentos das suas despesas e serviços no sistema homebanking denominado NET...; no dia 12/11/15, acedeu ao site www.m.pt, através do seu computador pessoal, pelo motor de busca Internet Explorer, tendo inserido o seu username e o código PIN e verificado o saldo da sua conta à ordem e o saldo utilizado pelo seu cartão de crédito, saldos esses que se encontravam correctos naquela data; dentro da própria página da ré surgiu uma informação de que o cartão matriz estaria a expirar e que seria necessária a sua renovação, apresentando-se no ecrã um cartão em branco que o cliente teria de preencher; tendo o autor acedido à página principal da ré, através do seu username e do seu PIN, não estranhou a informação solicitada, pelo que preencheu os dados solicitados; no dia 14/11/15, quando o autor se dirigiu a uma caixa automática para efectuar o levantamento de numerário, verificou que não tinha saldo na conta à ordem e que existia o registo, não autorizado, de quatro movimentos efectuados a 13 de Novembro de 2015, a saber: pagamento de serviço através de cartão VISA, no valor de 500,00 €, pagamento de serviço através de DO no valor de 2.500,00 €, pagamento de serviço através de DO no valor de 1.800,00 €, e pagamento de serviço através de DO no valor de 200,00 €; foi lesado no valor global de 5.000,00 €,bem como dos juros de; a ré era conhecedora de que não tinha o seu site com a segurança necessária a evitar a invasão por hackers.
 “Pelo exposto, julgo a acção totalmente procedente, por provada e, em consequência, condeno a Ré a pagar ao Autor a quantia de 5.000,00 € (cinco mil euros), acrescida de juros, calculados à taxa legal, acrescida de 10 (dez) pontos percentuais, sendo os vencidos, à data da propositura da acção, no valor de 1.493,97 € (mil quatrocentos e noventa e três euros e noventa e sete cêntimos) e os vincendos, à mesma taxa, até integral pagamento.
 a. Ponto 5 – Não ficou provado que o autor acedeu à página www.m.pt Desconhece-se a base fáctica do segmento “tendo para tal digitado este endereço” uma vez que tal nunca foi alegado pelo autor, nem na sua p.i., nem em sede de depoimento de parte. Pelo contrário, em nenhum momento foi explicada a forma concreta como se teria processado o alegado acesso.
 b. Ponto 6 – Apesar da ambiguidade da expressão “página pessoal”, e entendendo-se que o tribunal pretendeu dizer “acesso à página www.m.pt”, nenhuma evidência há que suporte este facto e muito menos que o autor “visualizou o saldo da sua conta”;
 c. Ponto 7 – Conforme já se afirmou não há qualquer evidência que suporte que o autor se encontrava na “página referida em 6.”; relativamente à segunda parte deste ponto, sem prescindir de todas as reservas apresentadas relativamente à própria credibilidade do depoimento prestado pelo autor, a verdade é que este afirmou coisa significativamente diversa: o autor afirmou que quando se preparava para realizar o agendamento do pagamento à EDP [operação comprovadamente não realizada], lhe apareceu uma informação que referia que aquela operação [especificamente] não poderia ser realizada sem o prévio preenchimento de todas as posições do seu cartão matriz que se encontrava a expirar, tendo sido aquela a razão [a necessidade do agendamento] do preenchimento da totalidade “do cartão matriz em branco”.
 d. Ponto 8 – Mais uma vez se afirma não haver suporte probatório para as afirmações “Encontrando-se ainda na página” e “tendo visualizado o seu saldo”.
 a. “- Aquando da adesão aos serviços de homebanking foram explicados ao Autor todos os procedimentos de segurança e utilização do serviço;
 c. - Na data referida em 5. o documento existente no link a que se acede nas “dicas de segurança” tinha o conteúdo descrito a fls. 29 a 32 verso, cujo teor se dá aqui por reproduzido
 3. Assim apontava a prova gravada nos segmentos agora aqui destacados: (correspondentes às transcrições devidamente assinaladas e identificadas nas alegações supra que acompanham o presente recurso)
 0180523094602_5801578_2871244.wma – Depoimento de parte do autor – desde 00:00:00 até 00:39:31) - 00:00:49 a 00:02:11; 00:02:31 a 00:06:38; 00:10:59 a 00:11:20; 00.16:47 a 00.17.08; 00:22:34 a 00:23:06; 00:24:46 a 00:29:15 e 00:31:07 a 00:35:42.
 b. (Conjunto de ficheiros (s3409) 201806100844_5801578_2871244.wma, desde 00:00:00 até 01.22:07 e Conjunto de ficheiros (s3409) 20180606113642_5801578_2871244.wma, desde 00:00:00 até 0:11:12) - Testemunha arrolada pela Ré: D C – 00:02:27 a 00:10:35; 00:11:10 a 00:24:27; 00:25:56 a 00:36:03; 00:52:56 a 01:21:06 e 00:07:18 a 00:10:22.
 c. (Conjunto de ficheiros (s3409) 201806060094421_5801578_2871244.wma – desde 00:00:00 até 00:23:34 - Depoimento da testemunha comum P) - 00:05:30 a 00:21:44
 5. Tendo considerado que “o Autor, de forma segura e convicta, descreveu o modo como acedeu à página da Ré”
 6. Que a “discrepância” detectada relativa ao agendamento de um pagamento à EDP “não consente, por si só, que se retire credibilidade às declarações prestadas”.
 10. Não se trata de uma mera “confusão”.
 11. O autor quando afirma que pretendia unicamente agendar o pagamento à EDP, que visualizou o seu saldo, que acedeu ao pedido aberrante de fornecer as 216 posições o seu cartão matriz para poder prosseguir com o seu agendamento e que, no fim, o concluiu com sucesso, visava apenas criar na convicção do julgador, como conseguiu, que se encontrava no interior da página www.m.pt, de modo a poder justificar o injustificável.
 12. O tribunal, fazendo fé unicamente no relato do autor, afasta a possibilidade de este ter sido vítima de phishing e aproxima o sucedido ao tipo de fraude denominada “Man in the Browser”, sem, no entanto, admitir (porque não alegada) a existência de malware no computador utilizado pelo autor, pressuposto necessário deste tipo de ataque informático (?!).
 15. Não só porque mais de 90% dos ataques conhecidos e registados são nesta modalidade, mas também porque o ataque proposto pelo tribunal como provável, não compreender na sua lógica intrínseca a necessidade de um pedido ao cliente de todas as posições do cartão matriz.
 16. O ataque na modalidade “Man in the Browser” é raro, atendendo à complexidade relativa da sua preparação e, conforme o seu nome anglo-saxónico indica, a intermediação do atacante, entre a página oficial do banco e a página onde se encontra o cliente, dispensa a necessidade do roubo da totalidade das credenciais de segurança.
 18. Foi informado pela ré das medidas de segurança associadas à utilização do serviço Net24.
 20. Face ao que foi supra referido, ficou demonstrado que o autor, ao preencher um “cartão matriz em branco” com as 216 coordenadas do cartão matriz que tinha na sua posse, violou, com negligência grave, as suas obrigações de cuidado, contribuindo dessa forma para a quebra de confidencialidade dos dispositivos de segurança associados ao serviço Net24.
 22. Deste modo, a decisão recorrida, viola, entre outros, os preceitos contidos nos artigos 67.o a 71.o do Regime Jurídico dos Serviços de Pagamento e da Moeda Electrónica e 487.o do Código Civil.
 a) O Autor é cliente da Ré, sendo titular de uma conta bancária com n.o 155.10.008379-1.
 b) Em 5 de Setembro de 2014, o Autor aderiu aos serviços M24, com vista a manter relações à distância com a Ré utilizando formas telemáticas, tendo subscrito a proposta cuja cópia se encontra a fls. 25 verso a 26 verso, cujo teor se dá aqui por reproduzido.
 “O Cliente compromete-se, igualmente, a guardar sob segredo as suas Credenciais de Autenticação, bem como a prevenir adequadamente a sua utilização abusiva por parte de terceiros. O Cliente é o único responsável por todos os prejuízos resultantes da utilização indevida do Serviço M24 por parte de terceiros, com exceção do estabelecido no ponto 5.3”.
 d) Desde a ativação dos serviços referidos ocorrida em 10 de Outubro de 2014, o Autor efetuava regularmente os pagamentos das suas despesas e serviços no sistema homebanking denominado NET24.
 e) No dia 12 de Novembro de 2015, pelo período da manhã, o Autor, através do seu computador pessoal, acedeu à página www.montepio.pt, tendo para tal digitado este endereço e inserido o seu username e o código PIN.
 i) Em 13 de Novembro de 2015, foram realizados, sem autorização do Autor, os seguintes: Pagamento de serviço através de cartão VISA no valor de 500,00 €; Pagamento de serviço através de DO no valor de 2.500,00 €; Pagamento de serviço através de DO no valor de 1.800,00 €; e Pagamento de serviço através de DO no valor de 200,00 €.
 j) Os movimentos referidos foram realizados através da utilização das credenciais de acesso – username e PIN - e coordenadas do Cartão Matriz corretas.
 k) Em 16 de Novembro de 2015, o Autor deslocou-se ao Balcão da Ré, sito na Lourinhã, tendo apresentado o documento de fls. 10 verso e 11, cujo teor se dá aqui por reproduzido, com a menção “pedido de esclarecimento”, constando da descrição anexa a informação da existência de um “Pagamento de serviço fraudulento processado através do N24”.
 l) A Ré enviou ao Autor a carta, datada de 29 de Dezembro de 2015, junta a fls. 11 verso e 12, cujo teor se dá aqui por reproduzido, da qual consta: “No seguimento da comunicação de V. Exa. sobre a ocorrência, apresentada no Balcão em 2015.11.16 (....) informamos que foi vítima de uma fraude através da plataforma homebanking que visou o carregamento de cartão pré-pago da entidade 21547 (B), tendo sido efetuados os seguintes pagamentos de serviços (...) Para a concretização destes pagamentos através da plataforma homebanking foram utilizadas credenciais de acesso e coordenadas do Cartão Matriz, que somente são do conhecimento exclusivo do titular do Cartão, em sentido contrário aos alertas constantes da página de homebanking do M. Esta cedência, tal como admite na reclamação apresentada junto da PSP (Auto de Denúncia), consubstancia negligência grave, à luz da legislação em vigor”.
 p) Do cartão matriz consta o seguinte aviso: “Atenção: Nunca indique mais que 2 dígitos deste Cartão Matriz”.
 q) Aquando da abertura de página de login surge uma mensagem, antes da introdução da password, que menciona “O M... nunca lhe solicita mais de 2 posições do cartão Matriz”. r) Do site da Ré consta, no separador referente ao serviço “N 24”, “dicas de segurança”, na qual surge a identificação de um link para um documento onde constam exemplos de fraude. s) Em 6 de Março de 2018, constava do site da Ré, no separador “Montepio24” “Cartão Matriz”: “Recordamos e alertamos para o facto de o Montepio apenas solicitar a indicação de 2 posições do seu cartão matriz, pelo que, se lhe for solicitado que preencha o cartão completo ou qualquer outra combinação, deverá ser considerada como uma tentativa de fraude, devendo contactar de imediato a linha informática Montepio”.
 IV) No entanto, não se provou, com relevância para a causa, os seguintes factos:
 d) Que nessa mesma data o documento existente no link a que se acede nas “dicas de segurança” tinha o conteúdo descrito a fls. 29 a 32 verso, cujo teor se dá aqui por reproduzido.
 V) Quanto à não autorização do Autor, considerou o douto tribunal as declarações seguras e convictas prestadas por este e bem assim a carta de fls. 11 verso, na qual a Ré reconhece tal facto, quando refere que o Autor foi vítima de “uma fraude através da plataforma homebanking que visou o carregamento de cartão pré pago da Entidade 21547 (B), em 2015.11.13” e que “ocorreu um crime de burla informática”
 VI) Atendeu ainda o douto tribunal as declarações prestadas pelo Autor, conjugadas com as regras da experiência e com os depoimentos das testemunhas A F e P P, respetivamente, irmão e companheira do Autor, da testemunha D C e bem assim com os documentos de fls. 48 a 53.
 VII) Com efeito, o Autor, de forma segura e convicta, descreveu o modo como acedeu à página da Ré, como foi levado a preencher o “cartão matriz”, que se apresentava em branco e como descobriu que não dispunha de saldo no dia 14.
 VIII) Tais declarações foram confirmadas, de forma convicta, quanto ao modo como o Autor veio a descobrir, no dia 14, os movimentos de conta não autorizados (realizados no dia 13 de Novembro), pelas testemunhas A F e P P, que se encontravam com o Autor no dia em causa.
 X) Mais, a versão que o Autor apresentou dos factos foi admitida como possível pela testemunha D C, pois que, como este referiu, é possível o cliente ter entrado na página oficial do banco, ter, após introduzir o username e PIN, visualizado o seu saldo e aparecer um pedido como o relatado pelo Autor, sendo esta solicitação ação de terceiros, com vista a obter as credenciais.
 XIV) Deste modo, tendo o Autor prestado declarações de forma convicta e segura, com exceção da confusão mencionada quanto à data do agendamento de um pagamento, sendo as suas declarações coincidentes com a prova supra mencionada e sendo verossímil a versão dos factos por si apresentada, versão esta que coincide com uma das técnicas de fraude relatadas pela testemunha D C, técnica pouco conhecida fora do meio dos profissionais da área, não teve o tribunal dúvida em dar como provados os referidos factos, nomeadamente que acedeu efetivamente à página oficial da Ré, pois só assim se justifica que tenha visualizado o seu saldo de conta, bem como a razão da solicitação de atualização de dados não ter gerado desconfiança.
 XV) Atendeu o tribunal aos documentos de fls. 33 verso e aos depoimentos das testemunhas D C e P A, também trabalhadora de Ré, no que concerne aos níveis de segurança de que dispõe o sistema, tendo aqueles admitido que a partir de 2016 as transações que impliquem redução do património são efetuadas também com recurso a um quarto nível de segurança, a confirmação via SMS, através do “SMS code”.
 XVI) Por outro lado, a testemunha P A relatou que à data dos factos já existia o alerta de segurança quanto à não solicitação de mais de duas coordenadas e as dicas de segurança, acabando o Autor por admitir tal possibilidade, quando confrontado com o documento n.o 7 junto com a contestação, resultando ainda da cópia de um cartão matriz junta com o mencionado articulado o alerta mencionado e dado como provado. Contudo, deste depoimento e bem assim do teor dos documentos de fls. 27 a 32 verso e 34 a 38 verso, não se retira, até pelas datas que constam dos mesmos, que as dicas de segurança já contivessem a informação de que dispõe hoje, cujas cópias se encontram juntas aos autos, nem que estivessem no sistema os alertas que hoje aí constam, nem que os avisos eram exatamente aqueles que constam de fls. 36 verso e 37, sendo certo que aqueles, cujos exemplos constam dos autos, já referem a existência de um “SMS code”, que, como se disse, só foi implementado em 2016.
 XVII) Deste modo, deu-se como não provado que aquando da abertura da página de login surgia a indicação dos procedimentos de segurança nos exatos termos descritos a fls. 36 verso e todos os alertas constante de fls. 37 e que o documento para o qual remete o link a que se acede nas “dicas de segurança” tinha o conteúdo descrito a fls. 29 a 32 verso.
 XX) Como tem sido entendido pela doutrina e jurisprudência, os serviços de banca eletrónica enquadram-se numa relação negocial complexa constituída a partir de um contrato de abertura de conta e da constituição de depósito ou de abertura de crédito.
 XXII) Estando em causa nos autos, como se disse, determinar quem suporta os prejuízos decorrentes da transferência fraudulenta de fundos da conta do cliente através dos serviços de banca eletrónica, importa, para o efeito, começar por analisar como se distribuem as regras do ónus da prova e bem assim o que estabelece a lei quanto à responsabilidade decorrente de transferência não autorizada de fundos. Dispõe o n.o 1 do artigo 70.o do diploma que temos vindo a citar, no que respeita ao ónus da prova, que “Caso um utilizador de serviços de pagamento negue ter autorizado uma operação de pagamento executada, ou alegue que a operação não foi corretamente efetuada, incumbe ao respectivo prestador do serviço de pagamento fornecer prova de que a operação de pagamento foi autenticada, devidamente registada e contabilizada e que não foi afetada por avaria técnica ou qualquer outra deficiência”. Por sua vez, dispõe o n.o 2 do mesmo artigo que, nos casos referidos no n.o 1, “a utilização do instrumento de pagamento registada pelo prestador de serviços de pagamento, por si só, não é necessariamente suficiente para provar que a operação de pagamento foi autorizada pelo ordenante, que este último agiu de forma fraudulenta ou que não cumpriu, deliberadamente ou por negligência grave, uma ou mais das suas obrigações decorrentes do art. 67.”
 XXIII) Deste modo, a lei faz recair sobre o Banco o ónus da prova de que as operações de pagamento não foram afetadas por avarias técnicas ou por quaisquer outras deficiências, não bastando, para tanto, socorrer-se do registo da operação de molde a demonstrar que a operação foi autorizada pelo ordenante, tendo ainda de demonstrar que o cliente agiu de forma fraudulenta ou que não cumpriu, deliberadamente ou por negligência grave, algumas das obrigações do citado artigo 67.o
 XXIV) Acresce que tratando-se de valores decorrentes de um depósito irregular, cuja propriedade pertence ao banco, por força da relação contratual estabelecida, funciona ainda a presunção de culpa consagrada no artigo 799.o, n.o 1, do Código Civil, recaindo, deste modo, sobre a entidade bancária o ónus da prova de que a falta de cumprimento ou o cumprimento defeituoso da obrigação (correspondente a avarias técnicas ou outras deficiências que levaram à utilização fraudulenta daqueles meios) não procede de culpa sua. Já quanto à questão da distribuição do risco por operações de pagamento não autorizadas, importa atentar no disposto no artigo 72.o do Regime Jurídico dos Serviços de Pagamento e da Moeda Eletrónica.
 XXV) No que diz respeito à responsabilidade contratual, o n.o 2 do artigo 799.o do Código Civil dispõe que “a culpa é apreciada nos termos aplicáveis à responsabilidade civil”. Por sua vez, o n.o 2 do artigo 487.o do mesmo diploma estabelece que “a culpa é apreciada, na falta de outro critério legal, pela diligência de um bom pai de família, em face das circunstâncias de cada caso”. Importa, no entanto, considerar ainda que, no caso em apreço, para além do estabelece a lei, temos que da proposta de prestação de serviços de banca eletrónica, que mereceu a adesão do Autor, consta uma cláusula (ponto 4.2 da cláusula 4.) que estabelece que “O Cliente é o único responsável por todos os prejuízos resultantes da utilização indevida do Serviço M 24 por parte de terceiros, com exceção do estabelecido no ponto 5.3”. Considerando o que se deixou exposto quanto ao regime consagrado na lei e a cláusula constante do contrato em apreciação nos autos, impõe-se apreciar da validade de tal cláusula, sendo certo que estamos perante uma cláusula contratual geral, sujeita ao Regime Jurídico das Cláusulas Contratuais Gerais, previsto no Decreto-Lei n.o 446/85, de 25 de Outubro.
 XXVI) Prevendo a lei a distribuição do risco nos termos supra expostos e definindo as regras do ónus da prova nos termos referidos, não podemos deixar de concluir que é manifesto que a cláusula ora em apreciação transfere para o aderente toda a responsabilidade pelos prejuízos resultantes da utilização indevida do Serviço M 24 por parte de terceiros, independentemente de tal utilização resultar do comportamento do ordenante. Visa, pois, tal cláusula alterar a distribuição do risco, sendo, por isso, nula, por força do disposto nos artigos 12.°, 20.o, 21.°, alínea f) e 24.o, do Decreto-Lei n.o 446/85, de 25 de Outubro, por absolutamente proibida, quando inserida no âmbito de relações do banco com consumidores finais, devendo tal nulidade ser declarada oficiosamente pelo tribunal, nos termos do artigo 286.o do Código Civil (neste sentido, Acórdão da Relação de Lisboa de 5 de Novembro de 2013, in www.dgsi.pt). Em face do que fica exposto e da nulidade declarada, tendo ficado demonstrado que, no caso dos autos, foram realizadas várias operações de pagamento não autorizadas, com quebra da confidencialidade dos dispositivos de segurança personalizados, uma vez que, como resulta dos factos provados, para tais movimentos foram utilizadas as credenciais concedidas ao Autor e bem assim as coordenadas do Cartão Matriz corretas, impõe-se saber se a Ré afastou a presunção culpa que sobre si impendia e demonstrou a existência de dolo ou negligência por parte do Autor, que imponha limites à responsabilidade deste ou que exclua a responsabilidade da Ré.
 XXVIII) Ora, perante tal factualidade, não se tendo demonstrado o envio de qualquer e-mail ao Autor, fica desde logo afastada a possibilidade de qualificar a fraude informática subjacente como phishing. Por outro lado, embora as circunstâncias apuradas aproximem o caso dos autos da fraude denominada “Man In The Browser”, não resulta dos factos provados de que forma é que foi possível aparecer a informação solicitando o preenchimento do “cartão matriz” em branco, não realizada pela Ré, nas circunstâncias em que ocorreu, quando ficou demonstrado que o Autor digitou o endereço da Ré, o seu username e PIN e visualizou o seu saldo bancário, pois que não foi alegada a existência de instalação de um qualquer malware.
 XXIX) Contudo, sabe-se, porquanto a factualidade apurada não deixa dúvidas, que existiram várias operações de pagamento não autorizadas, com quebra da confidencialidade dos dispositivos de segurança personalizados, após o Autor ter preenchido o “cartão matriz” que se encontrava em branco, o que fez depois de ter acedido à página da Ré e ter visualizado o seu saldo bancário.
 XXXI) É verdade que a Ré tem o cuidado de informar, através de alertas que constam do cartão matriz e que surgem aquando do acesso à página, que nunca solicita mais do que duas posições do cartão matriz, tendo ainda na sua página uma série de “Dicas de Segurança”. Contudo, não ficou demonstrado que no separador mencionado, à data dos factos, existia a menção a fraudes como a ora em apreciação, nem que existisse um alerta quanto à não solicitação de coordenadas do cartão, com vista a não deixar expirar o cartão matriz, após o acesso à página pessoal, sendo que a esta apenas deveria ter acesso o Autor.
 XXXII) Acresce que o alerta respeitante à não solicitação de mais de duas posições do cartão matriz, compreendido na lógica da utilização do próprio sistema, não obstante a palavra “Nunca”, não pode deixar de considerar-se como um alerta quando ao modo de confirmação de ordem que incida sobre movimentos que impliquem modificação do património, já que nada refere quanto à não solicitação por parte do banco de qualquer elementos confidencial para efeitos de atualização/renovação do cartão, sendo que, no caso do Autor, a solicitação tinha como fundamento a renovação do cartão e não o fornecimento de mais de duas coordenadas para validar um qualquer movimento bancário.
 XXXIII) Poder-se-á ainda argumentar que não tem qualquer sentido considerar como “normal” que a entidade bancária fizesse tal pedido. Contudo, não nos podermos esquecer que o fornecimento de tais elementos ocorreu após o Autor ter introduzido o seu username e PIN e ter visualizado o seu saldo bancário, sendo certo que, depois de introduzir tais elementos de segurança e estando visualmente perante o seu saldo bancário, ao qual apenas pode ter acesso quem disponha também do username e PIN, não era expectável que outra entidade aí pudesse intervir, que não o banco, de forma a questionar a lógica e a desconfiar de tal solicitação.
 XXXIV) Acresce que, como resulta da factualidade apurada, eram três os níveis de segurança e o Autor, pela via referida, apenas revelou, com o preenchimento do “cartão matriz” em branco, as posições matriz, mas não resulta da factualidade provada o modo como terão os terceiros acedido ao username e ao pin, elementos essenciais para que tais terceiros tivessem conseguido aceder, no dia seguinte, como acederam à página pessoal do Autor e realizar os movimentos em causa nos autos, pois que só com as coordenadas do cartão matriz não o conseguiriam fazer.
 XXXV) Veja-se que a fragilidade do sistema existente à data não deixa de ser revelado pelo facto de hoje já se encontrar implementado mais um elemento de segurança, exigindo-se que os movimentos que impliquem redução do património do cliente sejam confirmados através do chamado “SMS Code”.
 XXXVII) Em face da conclusão a que se chegou, não tendo a Ré demonstrado a existência de culpa do Autor, nos termos do artigo 71.o, n.o 1, do Regime Jurídico dos Serviços de Pagamento e da Moeda Eletrónica, assiste ao Autor o direito a ser reembolsado pela Ré do valor das operações de pagamento não autorizadas, direito este que deveria ter sido efetivado pela Ré logo após a comunicação efectuada pela Autor em 16 de Novembro de 2015. Não o tendo sido, nos termos do n.o 2 do preceito citado, impõe-se o pagamento de juros por parte da Ré desde a data em que o utilizador de serviços de pagamento haja negado ter autorizado a operação de pagamento executada até à data do reembolso efetivo, calculados à taxa legal, fixada nos termos do Código Civil (artigo 559.o, n.o 1, do Código Civil e Portaria n.o 291/03, de 8 de Abril, acrescida de 10 pontos percentuais, que perfaz, à data da propositura da ação.
 Assim, face das conclusões apresentadas pela recorrente são as seguintes as questões que importa analisar e decidir:
 2- Matéria de Facto decidida pela 1a Instância:
 “Dos Factos:
 1. O Autor é cliente da Ré, sendo titular de uma conta bancária com o n.o xxxxx
 2. Em 5 de Setembro de 2014, o Autor aderiu aos serviços M 24, com vista a manter relações à distância com a Ré utilizando formas telemáticas, tendo subscrito a proposta cuja cópia se encontra a fls. 25 verso a 26 verso, cujo teor se dá aqui por reproduzido.
 3. Do ponto 4.2 da cláusula 4. da proposta mencionada em 2. consta: “O Cliente compromete-se, igualmente, a guardar sob segredo as suas Credenciais de Autenticação, bem como a prevenir adequadamente a sua utilização abusiva por parte de terceiros. O Cliente é o único responsável por todos os prejuízos resultantes da utilização indevida do Serviço M 24 por parte de terceiros, com excepção do estabelecido no ponto 5.3”.
 4. Desde a activação dos serviços referidos em 2., ocorrida em 10 de Outubro de 2014, o Autor efectuava regularmente os pagamentos das suas despesas e serviços no sistema homebanking denominado N24.
 5. No dia 12 de Novembro de 2015, pelo período da manhã, o Autor, através do seu computador pessoal, acedeu à página www.montepio.pt, tendo para tal digitado este endereço e inserido o seu username e o código PIN.
 10. Em 13 de Novembro de 2015, foram realizados, sem autorização do Autor, os seguintes: Pagamento de serviço através de cartão VISA no valor de 500,00 €; Pagamento de serviço através de DO no valor de 2.500,00 €; Pagamento de serviço através de DO no valor de 1.800,00 €; e Pagamento de serviço através de DO no valor de 200,00 €.
 11. Os movimentos referidos em 10 foram realizados através da utilização das credenciais de acesso – username e PIN - e coordenadas do Cartão Matriz correctas.
 12. Em 16 de Novembro de 2015, o Autor deslocou-se ao Balcão da Ré, sito na Lourinhã, tendo apresentado o documento de fls. 10 verso e 11, cujo teor se dá aqui por reproduzido, com a menção “ pedido de esclarecimento”, constando da descrição anexa a informação da existência de um “Pagamento de serviço fraudulento processado através do N24”.
 13. A Ré enviou ao Autor a carta, datada de 29 de Dezembro de 2015, junta a fls. 11 verso e 12, cujo teor se dá aqui por reproduzido, da qual consta: “No seguimento da comunicação de V. Exa. sobre a ocorrência, apresentada no Balcão em 2015.11.16 (....) informamos que foi vítima de uma fraude através da plataforma homebanking que visou o carregamento de cartão pré-pago da entidade 21547 (B), tendo sido efectuados os seguintes pagamentos de serviços (...) Para a concretização destes pagamentos através da plataforma homebanking foram utilizadas credenciais de acesso e coordenadas do Cartão Matriz, que somente são do conhecimento exclusivo do titular do Cartão, em sentido contrário aos alertas constantes da página de homebanking do Montepio. Esta cedência, tal como admite na reclamação apresentada junto da PSP (Auto de Denúncia), consubstancia negligência grave, à luz da legislação em vigor”.
 17. Do cartão matriz consta o seguinte aviso: “Atenção: Nunca indique mais que 2 dígitos deste Cartão Matriz”.
 18. Aquando da abertura de página de login surge uma mensagem, antes da introdução da password, que menciona “O M nunca lhe solicita mais de 2 posições do cartão Matriz”.
 19. Do site da Ré consta, no separador referente ao serviço “N 24”, “dicas de segurança”, na qual surge a identificação de um link para um documento onde constam exemplos de fraude.
 20. Em 6 de Março de 2018, contava do site da Ré, no separador “M 24” “Cartão Matriz”: “Recordamos e alertamos para o facto de o Montepio apenas solicitar a indicação de 2 posições do seu cartão matriz, pelo que, se lhe for solicitado que preencha o cartão completo ou qualquer outra combinação, deverá ser considerada como uma tentativa de fraude, devendo contactar de imediato a linha informática Montepio”.
 “- No final do ano de 2015, a Ré enviou aos seus clientes vários emails a dar conhecimento de que o sistema de identificação da Ré foi actualizado por segurança;
 - Na data referida em 5. o documento existente no link a que se acede nas “dicas de segurança” tinha o conteúdo descrito a fls. 29 a 32 verso, cujo teor se dá qui por reproduzido.
 - No dia referido em 5., o Autor efectuou, através dos serviços mencionados em 2., um agendamento de pagamento de serviços à EDP.”
 A ré/apelante pretende se alterem os pontos 5o a 8o dos Factos provados e defende que devem ser considerados provados os pontos a) a d) dos Factos Não Provados.
 3.1- Antes de entramos na análise concreta da impugnação da matéria de facto, convém lembrar no nosso ordenamento jurídico vigora o princípio da liberdade de julgamento ou da livre convicção, face ao qual o tribunal aprecia livremente as provas, sem qualquer grau de hierarquização e fixa a matéria de facto em sintonia com a convicção firmada acerca de cada facto controvertido, tendo porém presente o princípio a observar em casos de dúvida, consagrado no artigo 414o do C.P.C., de que a “dúvida sobre a realidade de um facto e sobre a repartição do ónus da prova resolve-se contra a parte a quem o facto aproveita”. Conforme é realçado por Ana Luísa Geraldes (Impugnação e reapreciação da decisão da matéria de facto, Estudos em Homenagem ao Prof. Doutor José Lebre de Freitas, AAVV, Vol. I. Coimbra, 2013, pág. 609 e 610), “...em caso de dúvida, face a depoimentos contraditórios entre si e à fragilidade da prova produzida, deverá prevalecer a decisão proferida pela 1a instância, em observância dos princípios da imediação, da oralidade e da livre apreciação da prova, com a consequente improcedência do recurso nesta parte”. E mais à frente remata: “O que o controlo de facto em sede de recurso não pode fazer é, sem mais, e infundadamente, aniquilar a livre apreciação da prova do julgador construída dialecticamente na base dos referidos princípios da imediação e da oralidade.”
 Assim, apesar de se garantir um duplo grau de jurisdição, tal deve ser enquadrado com o princípio da livre apreciação da prova pelo julgador, previsto no arto 607 no 5 do C. P. Civil, sendo certo que decorrendo a produção de prova perante o juiz de 1a instância, este beneficia dos princípios da oralidade e da mediação, a que o tribunal de recurso não pode já recorrer.
 De acordo com Miguel Teixeira de Sousa (Estudos Sobre o Novo Processo Civil, pág. 347) “Algumas das provas que permitem o julgamento da matéria de facto controvertida e a generalidade daquelas que são produzidas na audiência final (...) estão sujeitas à livre apreciação do Tribunal (...) Esta apreciação baseia-se na prudente convicção do Tribunal sobre a prova produzida (art.o 655.o, n.o1), ou seja, as regras da ciência e do raciocínio e em máximas da experiência”.
 Assim, para que a decisão da 1a instância seja alterada haverá que averiguar se algo de “anormal” se passou na formação dessa apontada “convicção”, ou seja, ter-se-á que demonstrar que na formação da convicção do julgador de 1a instância, retratada nas respostas que se deram aos factos, foram violadas regras que lhe deviam ter estado subjacentes, nomeadamente face às regras da experiência, da ciência e da lógica, da sua conformidade com os meios probatórios produzidos, ou com outros factos que deu como assentes.
 Porém, e apesar da apreciação em primeira instância construída com recurso à imediação e oralidade, tal não impede a “Relação de formar a sua própria convicção, no gozo pleno do princípio da livre apreciação das provas, tal como a 1a instância, sem estar de modo algum limitada pela convicção que serviu de base à decisão recorrida (...) Dito de outra forma, impõe-se à Relação que analise criticamente as provas indicadas em fundamento da impugnação, de modo a apreciar a sua convicção autónoma, que deve ser devidamente fundamentada”. (Luís Filipe Sousa, Prova Testemunhal, Almedina, 2013, pág. 389).
 3.2- Quanto à pretensão de modificação dos pontos 5o a 8o.
 A 1a Instância deu por provada a seguinte factualidade:
 “5. No dia 12 de Novembro de 2015, pelo período da manhã, o Autor, através do seu computador pessoal, acedeu à página www.montepio.pt, tendo para tal digitado este endereço e inserido o seu username e o código PIN.
 8. Encontrando-se ainda na página a que tinha acedido através do seu username e do seu PIN e tendo visualizado o seu saldo bancário, o Autor não estranhou a informação solicitada e preencheu a totalidade do cartão que se apresentava em branco com os números que constavam do cartão matriz fornecido pela Ré.”
 A juíza á quo fundamentou a sua decisão sobre essa matéria de facto do seguinte modo:
 “Relativamente à matéria descrita em 5 a 9, atendeu o tribunal às declarações prestadas pelo Autor, conjugadas com as regras da experiência e com os depoimentos das testemunhas A F e P P , respectivamente, irmão e companheira do Autor, da testemunha D C e bem assim com os documentos de fls. 48 a 53.
 Com efeito, o Autor, de forma segura e convicta, descreveu o modo como acedeu à página da Ré, como foi levado a preencher o “cartão matriz”, que se apresentava em branco e como descobriu que não dispunha de saldo no dia 14. Tais declarações foram confirmadas, de forma convicta, quanto ao modo como o Autor veio a descobrir, no dia 14, os movimentos de conta não autorizados (realizados no dia 13 de Novembro), pelas testemunhas A F e P P, que se encontravam com o Autor no dia em causa. Também do registo de acessos efectuados através do sistema de homebanking (documento de fls. 48), consta registado o acesso alegado pelo Autor no período de manhã, corroborando, nesta parte, o por si declarado. Mais, a versão que o Autor apresentou dos factos foi admitida como possível pela testemunha D C, pois que, como este referiu, é possível o cliente ter entrado na página oficial do banco, ter, após introduzir o username e PIN, visualizado o seu saldo e aparecer um pedido como o relatado pelo Autor, sendo esta solicitação acção de terceiros, com vista a obter as credenciais.
 Deste modo, tendo o Autor prestado declarações de forma convicta e segura, com excepção da confusão mencionada quanto à data do agendamento de um pagamento, sendo as suas declarações coincidentes com a prova supra mencionada e sendo verosímil a versão dos factos por si apresentada, versão esta que coincide com uma das técnicas de fraude relatadas pela testemunha D C, técnica pouco conhecida fora do meio dos profissionais da área, não teve o tribunal dúvida em dar como provados os referidos factos, nomeadamente que acedeu efectivamente à página oficial da Ré, pois só assim se justifica que tenha visualizado o seu saldo de conta, bem como a razão da solicitação de actualizações de dados não ter gerado desconfiança”.
 Haverá fundamento para alterar os pontos 5o a 8o da matéria de facto?
 No ponto 5o, a ré/apelante pretende se elimine o trecho “...tendo para tal digitado este endereço...” por se tratar de facto não alegado pelo autor nem referido em declarações de parte e, não foi explicado o modo concreto como foi processado esse alegado acesso.
 Pois bem, na petição inicial, no ponto 3, o autor alegou que no dia 12 de Novembro de 2015, pela manhã, o “...autor acedeu ao site www.montepio.pt...” e, nas declarações de parte que prestou, foi incisivo e peremptório em afirmar que não acedeu a qualquer link e que entrou na página da ré – disse-o, insistentemente, a propósito do seu relato acerca da “queixa” que apresentou junto da ré e da “tentativa” de uma funcionária da ré o ter “pressionado” a admitir que havia entrado na página da ré através de um link e, posteriormente, um outro funcionário da ré ter tentando levá-lo a admitir que acedeu através de num link – carregando o respectivo endereço.
 É curial que perante a negação da tentativa de acesso através de link e face á afirmação, convicta e convincente, de que acedeu a saldos da conta que estavam correctos, se possa inferir que o autor tenha digitado o site que alegou: www.m.pt. Note-se que a testemunha D C, perito de segurança informática da ré, disse haver possibilidade de o cliente aceder a página do banco e existir malware que captura todo o tráfico realizado, pensando o cliente que está na página do banco e está numa “página paralela” que leva à captura de dados do cliente; tendo referido também as diferenças entre os diferentes tipos de “interferência” (pirataria) informática, “fishing”, “pharming”, “men in the browser” e “men in the midle”.
 Tudo isto para considerar como verosímil o facto dado como provado: “ o autor acedeu ao site www.m.pt.”, sem que esse trecho constitua um facto “novo” ou diverso do que foi alegado. Recorde-se que o arto 5o no 2, al. c) faculta ao juiz a possibilidade/dever de considerar factos concretizadores ou complementares dos que foram alegados.
 Não se vislumbra que tenha ocorrido qualquer “erro” de apreciação da prova quanto a este ponto 5o.
 Quanto ao ponto 6o.
 Defende o réu/apelante se elimine que o autor “...visualizou o saldo da sua conta...”, por não inexistir suporte (probatório) quanto a esse facto.
 Na verdade, verifica-se que o autor, nas suas declarações de parte afirmou – e nisso não foi infirmado por qualquer outro depoimento ou prova documental – que acedeu à página da sua conta na ré/apelante, digitando o endereço da ré (isto por ter negado, sem infirmação, tê-lo feito através de link) introduziu o username e pin e viu o seu saldo de conta. Note-se que do documento de fls 48 (documento junto pela ré na sessão de julgamento) consistindo na cópia de e-mail da testemunha D C da ré, resulta que houve diversos acessos á página da ré através das credenciais do autor, nos dias 11 e 12 de Novembro de 2015, concretamente, no dia 12/11/2015: às 00.45.43 horas, às 09.25.16 horas e às 11.42.40 horas. Nenhum meio de prova produzido infirmou que o autor tenha visualizado o seu saldo.
 Por conseguinte, entendemos não haver razão para alterar o ponto 6o da matéria de facto.
 Quanto ao ponto 7o.
 O réu/apelante defende que não há evidência que o autor se encontrava na página referida em 6 - quando lhe “surgiu” a “informação” de que o seu cartão matriz estaria a caducar.
 Com efeito, o autor, nas suas declarações de parte, como vimos, disse que acedeu ao site www.m.pt...” e, de modo peremptório, afirmou ter visto o seu saldo - da conta à ordem e do cartão de crédito - e, sem sair da página que havia digitado, lhe surgiu a referida “informação” relativa à caducidade do seu cartão matriz. Não houve depoimentos ou documentos que infirmassem o teor destas declarações. Aliás, a testemunha D C admitiu ser possível ter acontecido este facto – através de malware - embora não soubesse o que realmente aconteceu. Não foi criada uma dúvida razoável sobre o facto e, não há razão para não aceitar as declarações de parte do autor.
 Deste modo, indefere-se a pretendida alteração do ponto 7o dos Factos Provados.
 No que toca ao ponto 8o.
 O réu apelante entende que não existe suporte probatório para os trechos da matéria de facto “...Encontrava-se ainda na página...” e “...tendo visualizado o seu saldo...”.
 Pois bem, já se verificou, nos pontos anteriores, relativos à decisão sobre a matéria de facto, que existe suporte probatório suficiente para a decisão do tribunal da 1a instância relativamente aos pontos 5o a 7o. Este ponto de impugnação, o 8o, mais não é que repetição da impugnação dos pontos anteriores.
 Nada mais há a acrescentar ao que já se disse, indeferindo-se também esta impugnação do ponto 8o da matéria de facto.
 Recordemos essa factualidade considerada Não Provada e a fundamentação respectiva dada pela 1a instância.
 - Na data referida em 5, o documento existente no link a que se acede nas “dicas de segurança” tinha o conteúdo descrito a fls. 29 a 32 verso, cujo teor se dá qui por reproduzido;
 “Já no que concerne aos restantes factos não provados, nenhuma prova foi feita quanto à recepção pelo Autor do email de fls. 12 verso, tendo este justificado o acesso ao mail e a razão da sua junção, nem foi feita prova de que a Ré tenha enviado emails aos clientes, em finais de 2015, a dar conhecimento de que o sistema de identificação da Ré foi actualizado por segurança, pois que não resulta que o email junto como exemplo tenha sido enviado pela Ré ou que ao Autor, aquando da adesão aos serviços de homebanking, foram explicados todos os procedimentos de segurança para utilização do serviço.
 Por outro lado, na ausência de outra prova e perante o que se deixou dito quanto à não demonstração de que os alertas de segurança/dicas de segurança mencionavam, na data referida em 5., que ré não solicitava a actualização de dados do cartão através do preenchimento de coordenadas do cartão matriz, deu-se como não provado o conhecimento de tal facto pelo Autor.”
 Assim, quanto a esse primeiro ponto (“-Aquando da adesão aos serviços de homebanking foram explicados ao Autor todos os procedimentos de segurança e utilização do serviço;)
 Na verdade, o autor, nas suas declarações de parte negou que lhe tenham sido explicadas todos os procedimentos de segurança na utilização do serviço e que só posteriormente à ocorrência é que verificou que surgia uma mensagem, semelhante à consta a fls 36 verso, mas que ele nunca tinha lido antes. A testemunha P A não mencionou o que terá ou não sido dito/explicado ao autor, quando aderiu ao sistema de homebanking do réu. D C também não se referiu a esse facto.
 Quanto ao ponto mencionado em segundo lugar e que o réu identifica como ponto b) (Na data referida em 5., aquando da abertura da página de login, através da utilização de computador pelo browser internet explorer, surgia a indicação dos procedimentos de segurança descritos a fls. 36 verso, cujo teor se dá aqui por reproduzido, antes mesmo de ser colocada a password, e o alerta constante de fls. 37, cujo teor se dá aqui por reproduzido).
 Já quanto a este ponto, entendemos que o facto mencionado deve ser dado como provado face ao teor do depoimento da testemunha P A que, à pergunta específica da Ilustre Mandatária do autor sobre se os alertas de segurança, de fls 36 verso, já existiam e surgiam no ecrã à data em que ocorreram os factos, afirmou-o expressamente, negando a afirmação/pergunta daquela Mandatária (gravação entre 17,56 e 18,20).
 Quanto aos pontos mencionados como c) e d) (- Na data referida em 5, o documento existente no link a que se acede nas “dicas de segurança” tinha o conteúdo descrito a fls. 29 a 32 verso, cujo teor se dá qui por reproduzido;
 “Na data referida em 5., aquando da abertura da página de login, através da utilização de computador pelo browser internet explorer, surgia a indicação dos procedimentos de segurança descritos a fls. 36 verso, cujo teor se dá aqui por reproduzido, antes mesmo de ser colocada a password, e o alerta constante de fls. 37, cujo teor se dá aqui por reproduzido.”
 4.1- A Nulidade da Cláusula 4a, ponto 4.2, 2a parte, da “Proposta de Adesão” ao “Montepio 24 – Cláusulas Gerais de Utilização”.
 O réu/apelante não atacou a bem fundamentada e correctamente decidida questão da nulidade da cláusula 4a, ponto 4.2, 2a parte, da “Proposta de Adesão” ao “M 24 – Cláusulas Gerais de Utilização”.
 Com efeito, essa cláusula estabelece que “O Cliente é o único responsável por todos os prejuízos resultantes da utilização indevida do Serviço M24 por parte de terceiros, com excepção do estabelecido no ponto 5.3”.
 Ora, tratando-se cláusula contratual geral (o próprio réu/recorrente trata o conjunto desse clausulado como “Proposta de Adesão”), importa proceder ao confronto do seu teor com o da disposição ínsita no arto 72o do DL 242/2012, de 07/11 (que transpôs a Directiva no 2009/110/CE, do Parlamento Europeu e do Conselho, de 16 de Setembro, relativa ao acesso à actividade das instituições de moeda electrónica, ao seu exercício e à sua supervisão prudencial), que estabelece:
 “1-No caso de operações de pagamento não autorizadas resultantes de perda, de roubo ou da apropriação abusiva de instrumento de pagamento, com quebra da confidencialidade dos dispositivos de segurança personalizados imputável ao ordenante, este suporta as perdas relativas a essas operações dentro do limite do saldo disponível ou da linha de crédito associada à conta ou ao instrumento de pagamento, até ao máximo de (euro) 150”;
 “2-O ordenante suporta todas as perdas resultantes de operações de pagamento não autorizadas, se aquelas forem devidas a actuação fraudulenta ou ao incumprimento deliberado de uma ou mais das obrigações previstas no artigo 67.o, caso em que não são aplicáveis os limites referidos no n.o 1”;
 “3- Havendo negligência grave do ordenante, este suporta as perdas resultantes de operações de pagamento não autorizadas até ao limite do saldo disponível ou da linha de crédito associada à conta ou ao instrumento de pagamento, ainda que superiores a (euro) 150, dependendo da natureza dos dispositivos de segurança personalizados do instrumento de pagamento e das circunstâncias da sua perda, roubo ou apropriação abusiva”;
 “4- Após ter procedido à notificação a que se refere a alínea b) do n.o 1 do artigo 67.o, o ordenante não suporta quaisquer consequências financeiras resultantes da utilização de um instrumento de pagamento perdido, roubado ou abusivamente apropriado, salvo em caso de actuação fraudulenta”.
 Importa ainda ter presente o arto 70o do DL 242/2012, de 07/11, com epígrafe “Prova de autenticação e execução das operações de pagamento”, determina:
 “1 - Caso um utilizador de serviços de pagamento negue ter autorizado uma operação de pagamento executada, ou alegue que a operação não foi correctamente efectuada, incumbe ao respectivo prestador do serviço de pagamento fornecer prova de que a operação de pagamento foi autenticada, devidamente registada e contabilizada e que não foi afectada por avaria técnica ou qualquer outra deficiência.
 2 - Caso um utilizador de serviços de pagamento negue ter autorizado uma operação de pagamento executada, a utilização do instrumento de pagamento registada pelo prestador de serviços de pagamento, por si só, não é necessariamente suficiente para provar que a operação de pagamento foi autorizada pelo ordenante, que este último agiu de forma fraudulenta ou que não cumpriu, deliberadamente ou por negligência grave, uma ou mais das suas obrigações decorrentes do artigo 67o.”.
 Ora bem, destas duas disposições, como bem se refere na sentença, “Prevê, assim, a lei a limitação da responsabilidade patrimonial do utilizador do serviço de banca electrónica ao valor de 150,00 € sempre que se verifiquem operações de pagamento não autorizadas, com quebra da confidencialidade dos dispositivos de segurança personalizados, não imputáveis ao titular do instrumento de pagamento a título de negligência grave ou dolo, mas a título de negligência leve. Contudo, se as operações de pagamento não autorizadas resultarem de negligência grave do titular do instrumento de pagamento, este terá de suportar “as perdas resultantes de operações de pagamento não autorizadas até ao limite do saldo disponível ou da linha de crédito associada à conta ou ao instrumento de pagamento, ainda que superiores a € 150, dependendo da natureza dos dispositivos de segurança personalizados do instrumento de pagamento e das circunstâncias da sua perda, roubo ou apropriação abusiva”. Caso o ordenante tenha agido com dolo, responderá pelas perdas, sem que lhe seja aplicável o limite referido no n.o 1”.
 Ora, pela cláusula 4a, ponto 4.2, 2a parte, da “Proposta de Adesão” “O cliente é o único responsável por todos os prejuízos resultantes da utilização indevida do Serviço M 24 por parte de terceiros.”
 Manifestamente, pretende transferir para o cliente toda a responsabilidade pelos prejuízos resultantes da utilização indevida do Serviço M 24” por parte de terceiros, independentemente de tal utilização resultar do comportamento do cliente.
 É evidente que com essa cláusula pretende o réu alterar as regras de distribuição do risco previstas na lei e, por isso, trata-se de uma cláusula geral nula, nos termos dos artos 12o, 20o, 21o al. f) e 24o do DL 446/85, de 25/1o, por ser absolutamente proibida quando inserida no âmbito de relações Banco/Consumidor final. (Aliás, neste sentido, para além do Ac. TRL, 05/11/2013, veja-se ainda, na doutrina, Hugo Luz dos Santos, “Plaidoyer por uma distribuição dinâmica do ónus de prova e pela teoria das esferas de risco à luz do recente acórdão do Supremo Tribunal de Justiça, de 18/12/2013: o (admirável “mundo novo” no homebanking” (in Revista Electrónica de Direito), pág. 18; Maria Raquel Guimarães, A Repartição dos prejuízos decorrentes de operações fraudulentas na banca electrónica (home banking) Cadernos de Direito Privado, no 41 Jan./Mar. 2013, pág. 60 e seg.).
 Estabelece o arto 70o do DL 242/2012, de 07/1, com epígrafe “Prova de autenticação e execução das operações de pagamento”.
 2 - Caso um utilizador de serviços de pagamento negue ter autorizado uma operação de pagamento executada, a utilização do instrumento de pagamento registada pelo prestador de serviços de pagamento, por si só, não é necessariamente suficiente para provar que a operação de pagamento foi autorizada pelo ordenante, que este último agiu de forma fraudulenta ou que não cumpriu, deliberadamente ou por negligência grave, uma ou mais das suas obrigações decorrentes do artigo 67o ”.
 Deste normativo resulta que o legislador faz recair sobre o banco a prova de que as operações de pagamento não foram efectuadas por avarias técnicas ou quaisquer outras deficiências, não bastando, para o efeito, socorrer-se do registo da operação de molde a demonstrar que ela foi autorizada pelo ordenante, tendo ainda de demonstrar que o cliente agiu de forma fraudulenta, ou não cumpriu deliberadamente ou por negligência grave algumas das suas obrigações previstas no arto 67o do DL 242/2012.
 No fundo, o legislador entendeu que o prestador de serviços é quem está em melhores condições, do que qualquer outro (incluindo o consumidor), para trazer a factualidade demonstrativa do modo como as coisas se passaram. E é assim, porque o funcionamento do “sistema informático” homebanking “pertencente à sua esfera de risco”, funcionando como critério suplementar de distribuição do ónus da prova, ou, melhor dizendo, ao “círculo de vida” em que o facto se produz: é a consagração da denominada teoria das esferas de risco, que preconiza uma ligação umbilical entre o ónus da prova e a dicotomia obrigações de meios/obrigações de resultado. (Cf. Hugo Luz dos Santos, “Plaidoyer por uma distribuição dinâmica do ónus de prova...”, cit., pág. 21 e segs.).
 Já tivemos oportunidade de transcrever acima o arto 72o do DL 242/2012, de 07/11.
 Pois bem, deste normativo decorre que a lei limita a responsabilidade patrimonial do utilizador do serviço de homebanking ao valor de 150€ sempre que se verificarem operações de pagamento não autorizadas com “quebra de confidencialidade dos dispositivos de segurança personalizados” não imputáveis ao titular do instrumento de pagamento a título de negligência grave ou dolo, mas a título de negligência leve.
 A sentença sob recurso, transcrevendo o acórdão da Relação do Porto, de 07/10/2014 refere “ Ora, não contendo tal regime qualquer definição sobre o conceito de “negligência grave”, impõe-se recorrer ao direito civil. Como é sabido, a negligência consiste na violação de uma norma por inobservância de deveres de cuidado. Como se refere no Acórdão da Relação de Porto de 7 de Outubro de 2014 (in www.dgsi.pt), a respeito do normativo em apreciação, “Na negligência podem abarcar-se as situações em que há a omissão de um dever de cuidado que uma atenta avaliação do caso poderia e deveria ter prevenido e as situações de imprudência ou imperícia, sendo que a primeira ocorrerá quando o agente age por precipitação, por falta de previdência, de atenção no cumprimento de determinado acto, e a imperícia quando o agente acredita estar apto e possuir conhecimentos suficientes pratica acto para o qual não está preparado por falta de conhecimento aptidão capacidade e competência. Na mera culpa ou negligência é comum distinguirem-se os casos em que o agente prevê a produção do resultado lesivo como possível, mas, por leviandade, precipitação, desleixo ou incúria, crê na sua não verificação (representa um puro vício de vontade), daqueles em que, por inconsideração, descuido, imperícia ou ineptidão, o agente não concebe a possibilidade do resultado lesivo se verificar, podendo e devendo prevê-lo e evitar a sua verificação (representa um vício de representação e de vontade). No primeiro caso fala-se de negligência consciente, no segundo de negligência inconsciente. A par das apontadas modalidades de negligência, é tradicional a distinção entre negligência grave, leve e levíssima, em função da intensidade ou grau da ilicitude (a violação do cuidado objectivamente devido) e da culpa (a violação do cuidado que o agente é capaz de prestar segundo os seus conhecimentos e capacidades pessoa). Partindo destas premissas parece-nos que a norma do n.o 1 do artigo em causa prevê a negligência ou culpa leve ou levíssima, a do no 2 prevê o dolo, a intencionalidade e a do no 3 prevê a negligência consciente ou culpa grave”.
 Não havendo um especial juízo de censura que recaia sobre o cliente do banco, será este que deverá suportar os prejuízos resultantes da intromissão de um terceiro no sistema. Em última análise, é o prestador de serviços de pagamento electrónicos que deve arcar com os danos potenciados pelas fragilidades do sistema de pagamentos que comercializa (Cf. Maria Raquel Guimarães, A repartição dos prejuízos...cit., pág. 65).
 O réu/apelante funda a sua pretensão de modificação da decisão, na alteração da matéria de facto, especialmente pretendendo que ficou provado que o autor sabia que o réu nunca solicita mais do que duas posições do seu cartão matriz e, por isso. Ao preencher um cartão matriz “em branco” violou, gravemente, as suas obrigações de cuidado, afastando assim a presunção de culpa que impendia sobre o réu/apelante.
 Como se refere na sentença “É verdade que a Ré tem o cuidado de informar, através de alertas que constam do cartão matriz e que surgem aquando do acesso à página, que nunca solicita mais do que duas posições do cartão matriz, tendo ainda na sua página uma série de “Dicas de Segurança”. Contudo, não ficou demonstrado que no separador mencionado, à data dos factos, existia a menção a fraudes como a ora em apreciação, nem que existisse um alerta quanto à não solicitação de coordenadas do cartão, com vista a não deixar expirar o cartão matriz, após o acesso à página pessoal, sendo que a esta apenas deveria ter acesso o Autor. Acresce que o alerta respeitante à não solicitação de mais de duas posições do cartão matriz, compreendido na lógica da utilização do próprio sistema, não obstante a palavra “Nunca”, não pode deixar de considerar-se como um alerta quando ao modo de confirmação de ordem que incida sobre movimentos que impliquem modificação do património, já que nada refere quanto à não solicitação por parte do banco de qualquer elementos confidencial para efeitos de actualização/renovação do cartão, sendo que, no caso do Autor, a solicitação tinha como fundamento a renovação do cartão e não o fornecimento de mais de duas coordenadas para validar um qualquer movimento bancário. Poder-se-á ainda argumentar que não tem qualquer sentido considerar como “normal” que a entidade bancária fizesse tal pedido. Contudo, não nos podermos esquecer que o fornecimento de tais elementos ocorreu após o Autor ter introduzido o seu username e PIN e ter visualizado o seu saldo bancário, sendo certo que, depois de introduzir tais elementos de segurança e estando visualmente perante o seu saldo bancário, ao qual apenas pode ter acesso quem disponha também do username e PIN, não era expectável que outra entidade aí pudesse intervir, que não o banco, de forma a questionar a lógica e a desconfiar de tal solicitação. Acresce que, como resulta da factualidade apurada, eram três os níveis de segurança e o Autor, pela via referida, apenas revelou, com o preenchimento do “cartão matriz” em branco, as posições matriz, mas não resulta da factualidade provada o modo como terão os terceiros acedido ao username e ao pin, elementos essenciais para que tais terceiros tivessem conseguido aceder, no dia seguinte, como acederam à página pessoal do Autor e realizar os movimentos em causa nos autos, pois que só com as coordenadas do cartão matriz não o conseguiriam fazer. Veja-se que a fragilidade do sistema existente à data não deixa de ser revelado pelo facto de hoje já se encontrar implementado mais um elemento de segurança, exigindo-se que os movimentos que impliquem redução do património do cliente sejam confirmados através do chamado “SMS Code”.
 Em face do exposto, acordam na 6a Secção Cível do Tribunal da Relação de Lisboa em:
 “ Na data referida em 5., aquando da abertura da página de login, através da utilização de computador pelo browser internet explorer, surgia a indicação dos procedimentos de segurança descritos a fls. 36 verso, cujo teor se dá aqui por reproduzido, antes mesmo de ser colocada a password, e o alerta constante de fls. 37, cujo teor se dá aqui por reproduzido.”.
 b) - No mais, julga-se improcedente o recurso, mantendo-se a decisão recorrida.


type: caselaw

jurisdiction: EU

text:
19.9.2016
 IT
 Gazzetta ufficiale dell’Unione europea
 C 343/31
 Impugnazione proposta il 1o luglio 2016 dalla Trioplast Industrier AB avverso la sentenza del Tribunale (Settima Sezione) del 12 maggio 2016, T-669/14, Trioplast Industrier AB/Commissione europea
 (Causa C-364/16 P)
 (2016/C 343/43)
 Lingua processuale: l'inglese
 Parti
 Ricorrente: Trioplast Industrier AB (rappresentanti: T. Pettersson, F. Sjövall, A. Johansson, advokater)
 Altra parte nel procedimento: Commissione europea
 Conclusioni della ricorrente
 La ricorrente chiede che il Tribunale voglia:
 a.
 annullare la decisione del Tribunale del 12 maggio 2016, causa T-669/14 Trioplast Industrier/Commissione europea;
 b.
 in subordine, in primo luogo:
 (i)
 annullare la decisione della Commissione nella sua lettera del 3 luglio 2014, nel caso COMP/38354 — Sacchi industriali — Trioplast Industrier AB;
 (ii)
 cancellare, o ridurre, l’importo degli interessi di mora pari a EUR 674 033,32, imposti alla Trioplast dalla decisione della Commissione nella sua lettera del 3 luglio 2014 nel caso COMP/38354 — Sacchi industriali — Trioplast Industrier AB;
 (iii)
 condannare la Commissione a rimborsare alla Trioplast le spese pari a EUR 4 686,64, sostenute per la costituzione della garanzia per il pagamento degli interessi di mora
 c.
 in subordine, in secondo luogo, condannare al risarcimento dei danni ai sensi dell’articolo 340, paragrafo 2, TFUE risultanti dalle violazioni del diritto dell’UE sopra esposte e consistenti:
 (i)
 nell’importo degli interessi di mora pari a EUR 674 033,32, o una parte dello stesso;
 (ii)
 nelle spese pari a EUR 4 686,64 sostenute per la costituzione della garanzia per il pagamento degli interessi di mora;
 d.
 oltre ai rimedi di cui alle lettere b) e c), condannare al risarcimento dei danni ai sensi dell’articolo 340, paragrafo 2, TFUE risultanti dalle violazioni del diritto dell’UE sopra esposte e consistenti:
 (i)
 nell’importo pari a EUR 22 783,90, o parte dello stesso, come risultato delle violazioni del diritto dell’Unione relative al periodo durante il quale la Commissione non ha concesso alla Trioplast lo svincolo dalla garanzia bancaria o la riduzione dell’importo della medesima a seguito della decisione del Tribunale nella causa T-40/06, per le spese sostenute per la costituzione della garanzia.
 e.
 accordare gli interessi sull’importo di tale risarcimento.
 f.
 condannare la Commissione a sopportare le spese del procedimento dinanzi al Tribunale nonché dinanzi alla Corte di giustizia.
 Motivi e principali argomenti
 1.
 La Trioplast propone dinanzi alla Corte di giustizia la causa presentata dinanzi al Tribunale e i motivi su cui si basava. Ai sensi dell’articolo 58 dello Statuto della Corte di giustizia dell’Unione europea e degli articoli 168, paragrafo 1, lettera d) e 169, paragrafo 2, del regolamento di procedura della Corte di giustizia, la Trioplast afferma che il Tribunale mediante la sua decisione del 12 maggio 2016, causa T-669/14 ha commesso un errore nell’applicazione del diritto dell’Unione.
 2.
 In primo luogo, il Tribunale ha commesso un errore di diritto concludendo, come ha fatto, che la sentenza del 2010 ha esclusivamente modificato la decisione del 2005. Al contrario, la sentenza del 2010 ha integralmente annullato la decisione del 2005 e ha richiesto che la Commissione adottasse una nuova decisione nei confronti della Trioplast una volta noto l’esito delle cause FLS.
 3.
 In secondo luogo, il Tribunale ha commesso un errore di diritto concludendo che la lettera impugnata non fosse una decisione impugnabile, dal momento che la medesima impone per la prima volta un’obbligazione certa e di importo determinato per la Trioplast.
 4.
 In terzo luogo, l’annullamento della decisione del 2005 mediante la sentenza del 2010 comporta che gli interessi di mora non possano maturare secondo le condizioni della decisione del 2005.
 5.
 In quarto luogo, il Tribunale ha commesso un errore di diritto concludendo che gli atti della Commissione non avevano causato danni alla Trioplast ed il Tribunale avrebbe dovuto procedere ad esaminare nel merito la richiesta di risarcimento danni.


type: contracts

text:
 12.12.2019
 PL
 Dziennik Urzędowy Unii Europejskiej
 L 323/20
 DECYZJA WSPÓLNEGO KOMITETU EOG
 NR 10/2018
 z dnia 9 lutego 2018 r.
 zmieniająca załącznik II (Przepisy techniczne, normy, badania i certyfikacja) do Porozumienia EOG [2019/2046]
 WSPÓLNY KOMITET EOG,
 uwzględniając Porozumienie o Europejskim Obszarze Gospodarczym („Porozumienie EOG”), w szczególności jego art. 98,
 a także mając na uwadze, co następuje:
 (1)
 W Porozumieniu EOG należy uwzględnić dyrektywę Komisji (UE) 2016/2037 z dnia 21 listopada 2016 r. zmieniającą dyrektywę Rady 75/324/EWG w odniesieniu do maksymalnego dopuszczalnego ciśnienia dozowników aerozoli oraz mającą na celu dostosowanie jej przepisów dotyczących oznakowania do rozporządzenia Parlamentu Europejskiego i Rady (WE) nr 1272/2008 w sprawie klasyfikacji, oznakowania i pakowania substancji i mieszanin (1).
 (2)
 Należy zatem odpowiednio zmienić załącznik II do Porozumienia EOG,
 PRZYJMUJE NINIEJSZĄ DECYZJĘ:
 Artykuł 1
 W pkt 1 (dyrektywa Rady 75/324/EWG) w rozdziale VIII załącznika II do Porozumienia EOG dodaje się tiret w brzmieniu:
 „—
 32016 L 2037: dyrektywą Komisji (UE) 2016/2037 z dnia 21 listopada 2016 r. (Dz.U. L 314 z 22.11.2016, s. 11).”.
 Artykuł 2
 Tekst dyrektywy (UE) 2016/2037 w języku islandzkim i norweskim, który zostanie opublikowany w Suplemencie EOG do Dziennika Urzędowego Unii Europejskiej, są autentyczne.
 Artykuł 3
 Niniejsza decyzja wchodzi w życie z dniem 10 lutego 2018 r., pod warunkiem dokonania wszystkich notyfikacji przewidzianych w art. 103 ust. 1 Porozumienia EOG (*1).
 Artykuł 4
 Niniejsza decyzja zostaje opublikowana w sekcji EOG i w Suplemencie EOG do Dziennika Urzędowego Unii Europejskiej.
 Sporządzono w Brukseli dnia 9 lutego 2018 r.
 W imieniu Wspólnego Komitetu EOG
 Claude MAERTEN
 Przewodniczący
 (1) Dz.U. L 314 z 22.11.2016, s. 11.
 (*1) Nie wskazano wymogów konstytucyjnych.


text:
 Fontos jogi nyilatkozat
 |
 21996D0523(06)
 Hivatalos Lap L 124 , 23/05/1996 o. 0019 - 0020
 Az EGT-Vegyesbizottság 16/96 határozata(1996. március 4.)Az EGT-megállapodás XV. mellékletének (állami támogatás) módosításárólAZ EGT-VEGYESBIZOTTSÁG,tekintettel az Európai Gazdasági Térségről szóló, az Európai Gazdasági Térségről szóló megállapodás kiigazításáról szóló jegyzőkönyvvel módosított megállapodásra (a továbbiakban: a Megállapodás), és különösen annak 98. cikkére,mivel a Megállapodás XV. mellékletét a 21/95 EGT-vegyesbizottsági határozat [1] módosította,mivel az Európai Unió Tanácsa elfogadta a hajógyártás támogatásról szóló, a Gazdasági Együttműködési és Fejlesztési Szervezet (OECD) kereskedelmi célú hajógyártás és hajójavítás rendes versenyfeltételeinek tiszteletben tartásáról szóló megállapodása keretében terhelő kötelezettségeit tartalmazó 1995. december 22-i 3094/95/EK tanácsi rendeletet [2],mivel a 3094/95/EK tanácsi rendelet 10. cikke értelmében a legutóbb a 94/73/EGK tanácsi irányelvvel [3] módosított, a hajógyártás támogatásról szóló, 1990. december 21-i 90/684 tanácsi irányelv [4] vonatkozó cikkei hatályban maradnak, amennyiben a kereskedelmi célú hajógyártás és hajójavítás rendes versenyfeltételeinek tiszteletben tartásáról szóló OECD megállapodás 1996. január 1-jén nem lép hatályba, e megállapodás hatálybalépésének időpontjáig, de legkésőbb 1996. október 1-ig,mivel a 90/684/EGK tanácsi irányelv vonatkozó cikkeinek, ahogyan azok beépítésre kerültek az EGT-megállapodásba, az EGT-ben hatályban kell maradnia addig, amíg az Európai Unióban hatályban van, annak érdekében, hogy az EGT-n belül biztosított legyen az azonos szabályok megléte,mivel ezért a Megállapodás XV. mellékletének 1b. pontját módosítani kell,A KÖVETKEZŐKÉPPEN HATÁROZOTT:1. cikkA Megállapodás XIV. mellékletének 1b. pontja (90/684/EGK bizottsági irányelv) a következő kiigazítással egészül ki:"t) 13. cikk helyébe a következő lép: Ezen irányelv rendelkezései addig az időpontig alkalmazandóak, amíg a hajógyártás támogatásáról szóló 3094/95/EK tanácsi rendelet 1-9. cikke az Európai Közösségben hatályba lép, de legkésőbb 1996. október 1-ig."2. cikkEz a határozat 1996. április 1-jén lép hatályba, amennyiben a Megállapodás 103. cikkének (1) bekezdése szerint előírt összes értesítést eljuttatták az EGT-Vegyesbizottsághoz. A határozat 1996. január 1-jétől alkalmazandó.3. cikkEzt a határozatot az Európai Közösségek Hivatalos Lapjának EGT-re vonatkozó részében, illetve EGT-kiegészítésében közzé kell tenni.Kelt Brüsszelben, 1996. március 4-én.az EGT-Vegyesbizottság részérőlaz elnökP. Benavides[1] HL L 158., 1995.7.8., 43. o.[2] HL L 332., 1995.12.30., 1. o.[3] HL L 351., 1994.12.31., 10. o.[4] HL L 380., 1990.12.31., 27. o.--------------------------------------------------