Acórdão C-70/25: Give a man a fish… and then sue him for a lifetime: TJUE e a obrigação de reembolso imediato pelo prestador de serviços de pagamento em casos de phishing

PUBLICAÇÕES SÉRVULO 29 Out 2026

I. Enquadramento

No passado dia 15 de outubro de 2026, o Tribunal de Justiça da União Europeia («TJUE») proferiu o Acórdão C-70/25 (Tukowiecka)[1], em resposta a um pedido de decisão prejudicial do S?d Rejonowy w Koszalinie (Tribunal de Primeira Instância de Koszalin, Polónia). O TJUE acompanhou o entendimento já defendido pelo Advogado-Geral nas conclusões de 5 de março de 2026: a negligência grosseira do ordenante não isenta o prestador de serviços de pagamento da obrigação de reembolsar imediatamente o montante de uma operação de pagamento não autorizada.

Em causa estava a interpretação do artigo 73.º, n.º 1, da Diretiva (UE) 2015/2366 do Parlamento Europeu e do Conselho, de 25 de novembro de 2015, relativa aos serviços de pagamento no mercado interno («PSD2»), e a sua articulação com o artigo 74.º, n.º 1, da mesma Diretiva, discutindo-se, essencialmente, o alcance da derrogação prevista neste último preceito, em torno de duas interpretações possíveis:

(i)    Por um lado, a derrogação presente no n.º 1 do artigo 74.º excluiria a obrigação de reembolso imediato prevista no n.º 1 do artigo 73.º, sempre que o ordenante tenha violado, com negligência grosseira, as obrigações de cuidado que lhe incumbem por força do artigo 69.º da PSD2.

(ii)   Por outro lado, conforme uma segunda interpretação, esta derrogação apenas abrangeria o caráter definitivo do reembolso, sendo o prestador de serviços de pagamento obrigado a proceder, num primeiro momento, ao reembolso imediato antes de poder, num segundo momento, exigir do ordenante o reembolso das perdas relacionadas com operações não autorizadas através dos meios legais previstos para o efeito.

 

II. O Acórdão C-70/25

a) Dos factos

Uma cliente de um banco polaco foi vítima de um ataque de phishing, o que permitiu que um terceiro obtivesse acesso às suas credenciais de segurança personalizadas e, com recurso a essas credenciais, ordenasse a transferência de cerca de 700 EUR da sua conta bancária. O banco em causa recusou-se a reembolsar o montante da operação de pagamento não autorizada, por considerar que a cliente violou, com negligência grosseira, o dever de proteger as suas credenciais de segurança personalizadas e de não as colocar à disposição de pessoas não autorizadas.

Perante essa recusa, a cliente intentou uma ação perante um tribunal polaco, o qual submeteu ao TJUE a questão de saber se, à luz do direito da União, o banco, na qualidade de prestador de serviços de pagamento, está obrigado a reembolsar imediatamente o montante de uma operação de pagamento não autorizada, mesmo quando considera que o cliente agiu com negligência grosseira.

 

b) Da decisão e fundamentação do TJUE

O TJUE confirmou que o banco, enquanto prestador de serviços de pagamento, está obrigado a proceder ao reembolso imediato, mesmo nas circunstâncias descritas, com base nos seguintes argumentos:

i) O artigo 73.º, n.º 1, da PSD2 prevê uma única exceção ao reembolso imediato dos montantes de uma operação não autorizada, designadamente quando o prestador tenha motivos razoáveis para suspeitar de fraude do cliente (ordenante) e comunique esses motivos, por escrito, à autoridade nacional competente.

ii) Por sua vez, o Considerando 71 da PSD2 aponta no mesmo sentido, ao admitir que o prestador realize uma investigação antes de reembolsar apenas quando exista uma forte suspeita de conduta fraudulenta do utilizador, baseada em razões objetivas comunicadas à autoridade nacional. Adicionalmente, o artigo 72.º, n.º 2, da PSD2 coloca no prestador o ónus de provar a negligência grosseira do utilizador, repartição que, segundo o TJUE, “traduz a sistemática do regime” e visa “reforçar a proteção conferida ao ordenante”, enquanto consumidor.

iii) Para o TJUE, os artigos 73.º e 74.º regulam momentos distintos: o primeiro impõe o reembolso imediato; o segundo reparte, numa fase posterior, a responsabilidade pelas perdas.

iv) Permitir ao prestador recusar o reembolso à partida teria por consequência “não só privar de efeito útil a obrigação de reembolso imediato ao ordenante, mas também obrigar o utilizador a tomar a iniciativa de fazer valer o seu direito […] perante os órgãos jurisdicionais competentes e a suportar os inconvenientes daí resultantes, nomeadamente os eventuais custos processuais”, solução dificilmente conciliável com o elevado nível de proteção dos consumidores que a PSD2 visa conferir.

Assim, o prestador não pode recusar o reembolso imediato com fundamento em negligência grosseira do ordenante, sem prejuízo de, posteriormente, lhe poder exigir que arque, a final, as perdas resultantes de operações de pagamento não autorizadas quando se verifique a sua negligência grosseira, nos termos do artigo 74.º, n.º 1.

 

III. Análise crítica

Em Portugal, os artigos 73.º, n.º 1, e 74.º, n.º 1, da PSD2 foram transpostos, respetivamente, pelos artigos 114.º, n.ºs 1 e 2, e 115.º, n.ºs 1 a 4, do Regime Jurídico dos Serviços de Pagamento e da Moeda Eletrónica, aprovado pelo Decreto-Lei n.º 91/2018, de 12 de novembro (“RJSPME”). A interpretação do TJUE deve, consequentemente, orientar a interpretação destas normas.

Importa, antes de mais, não sobrestimar o alcance da decisão:

Em primeiro lugar, o Acórdão aplica-se apenas a operações de pagamento não autorizadas, isto é, operações executadas sem o consentimento do ordenante. É o que sucede quando um terceiro, depois de obter as credenciais de segurança personalizadas do ordenante, se faz passar por este e dá uma ordem de pagamento que o ordenante não consentiu, como aconteceu no caso apreciado pelo TJUE. Ficam, em princípio, fora do seu âmbito as situações em que é o próprio ordenante, ainda que induzido em erro por um burlão, a dar a ordem de pagamento (e.g. nas push payment frauds). Nesses casos, a operação é, para este efeito, autorizada. ´

Em segundo lugar, o TJUE não consagra uma responsabilidade objetiva irrestrita dos prestadores de serviços de pagamento por quaisquer fraudes de que os seus clientes sejam vítimas. O cliente que tenha atuado com negligência grosseira continua a suportar a totalidade das perdas[2]; o que muda é a sequência dos fluxos de pagamento: em vez de o banco reter o pagamento, escudando-se numa alegação de negligência grosseira, deve reembolsar imediatamente o cliente, só depois podendo exigir que o re-reembolso, caso prove a negligência grosseira em ação a intentar para recuperar o que pagou.

A solução protege o consumidor, mas não é isenta de custos. É previsível um aumento dos litígios relacionados com a recuperação de montantes reembolsados por operações não autorizadas, com custos para ambas as partes (que tenderão, em princípio, a ser mais facilmente absorvidos pelos prestadores de serviços de pagamento) e impactos no tempo de resolução dos mesmos.

Por outro lado, esta solução revela-se pouco operativa em situações de negligência grosseira flagrante. Nesses casos, o reembolso imediato pouco mais será do que um adiantamento cuja recuperabilidade pelo prestador é praticamente certa (quanto à efetiva recuperação, nem tanto, porque o prestador de serviços de pagamento fica exposto ao risco de crédito do ordenante). O reembolso imediato funciona aqui como um isco: o cliente recebe de imediato o montante, mas pode subestimar a probabilidade de ter de o devolver mais tarde, eventualmente acrescido de juros de mora, acrescido dos custos de um litígio que acabará por perder.

Esta solução exige, por isso, maior juízo crítico do próprio consumidor. Cabe-lhe ponderar se deve pedir o reembolso, avaliando custos, benefícios e probabilidade de êxito, uma análise que poderá nem sempre estar em condições de fazer com rigor. Os prestadores de serviços de pagamento também têm aqui um papel a desempenhar, de transparência e de lealdade para com os seus clientes, ajudando-os a perceber os cenários possíveis. O prazo muito curto para o reembolso não favorece, porém, esta reflexão. Neste contexto, as soluções negociadas entre prestador de serviços de pagamento e cliente poderão ter um papel relevante, desde que não impliquem uma renúncia antecipada a direitos que contrarie o espírito protetor do regime.

Para os prestadores de serviços de pagamento que operam em Portugal, a mensagem é clara: deixar de reembolsar (no imediato) o cliente com base apenas na alegação de negligência grosseira deixa de ser uma opção. Consequentemente, é essencial, que revejam os procedimentos internos de tratamento de reclamações relativas a operações de pagamento não autorizadas e reforcem a recolha e documentação da prova de eventual negligência grosseira do cliente.