Supremo tribunal da UE: bancos devem reembolsar vítimas de fraude em primeiro lugar, mesmo se negligentes

O Tribunal de Justiça da União Europeia (TJUE) julgou em 15 de outubro de 2026 que os bancos e outros provedores de serviços de pagamento não podem atrasar ou recusar o reembolso de um cliente atingido por uma transação não autorizada apenas porque suspeitam que o cliente foi negligente de forma grave. A sentença foi proferida no Caso C-70/25, N.O. v PKO BP S.A., após um pedido de decisão prejudicial de um tribunal de distrito em Koszalin, Polônia, apresentado em 3 de fevereiro de 2025.

O que aconteceu no caso subjacente

O caso começou com um cliente de um banco polonês, identificado nos autos apenas como N.O., que foi alvo de um fraudador se passando por um comprador em uma plataforma de vendas online. O fraudador enviou um link de pagamento fraudulento disfarçado de mensagem da plataforma. Depois que o cliente clicou no link e inseriu suas credenciais bancárias em uma página de login falsa, o fraudador transferiu aproximadamente €700 de sua conta. Seu banco, PKO BP, recusou-se a reembolsá-lo, argumentando que havia sido negligente de forma grave ao inserir suas credenciais na página falsa.

O que o Tribunal decidiu

O TJUE considerou que a lei de serviços de pagamento da UE — a Diretiva de Serviços de Pagamento (Diretiva 2015/2366, conhecida como PSD2) — requer que um banco reembolse o montante de uma transação não autorizada imediatamente, e no máximo até o final do dia útil seguinte ao relato do cliente, independentemente de o banco acreditar que o cliente agiu com negligência grave. O Tribunal considerou que permitir que os bancos retivessem o reembolso enquanto investigam alegações de negligência esvaziaria a obrigação de reembolso de seu efeito prático e forçaria as vítimas a recorrer aos tribunais simplesmente para recuperar seu próprio dinheiro.

A sentença não impede que os bancos depois tentem recuperar o montante reembolsado. Se um banco acredita que o cliente deliberadamente ou por negligência grave não protegeu suas credenciais de segurança personalizadas, ele pode intentar uma ação contra o cliente depois — mas o ônus de provar essa negligência recai sobre o banco, tipicamente diante de um juiz, em vez de sobre o cliente no momento da fraude.

Por que é importante em toda a UE

Porque a PSD2 é uma diretiva da UE aplicada em todos os 27 estados-membros, a sentença é orientação vinculante para os tribunais nacionais e reguladores em todo o bloco, não apenas na Polônia. Organizações de defesa do consumidor dizem que o efeito prático é significativo porque muitos bancos têm rotineiramente invertido a sequência que a lei pretendia: investigar suspeita de negligência primeiro e pagando apenas depois, se é que pagam. O grupo de defesa do consumidor belga Test-Achats/Testaankoop chamou a decisão de um ponto de inflexão. Seu porta-voz, Julie Frère, resumiu a obrigação como "Les banques doivent payer d'abord, discuter ensuite" ("os bancos devem pagar primeiro, depois discutir"), dizendo que confirma uma regra que os bancos vinham contornando na prática.

O Brussels Times informou que a sentença desafia diretamente a prática atual nos bancos belgas, vários dos quais recusaram reembolso imediato enquanto investigam se um cliente foi descuidado com detalhes de login ou códigos de uso único. O comentário jurídico sobre o caso, incluindo análise publicada pela fonte espanhola Ara, observa que a resposta do Tribunal se aplica especificamente ao prazo de reembolso estabelecido na PSD2, que a sentença fala em termos de 'provedores de serviços de pagamento' mais amplamente em vez de apenas bancos, e que deixa os provedores livres para litigar negligência grave separadamente, após o dinheiro já ter sido devolvido.

A escala do problema

A sentença chega enquanto as perdas por fraude de pagamento têm aumentado em toda a UE e Espaço Econômico Europeu. Um relatório conjunto da Autoridade Bancária Europeia e do Banco Central Europeu descobriu que as perdas totais por fraude de pagamento atingiram €4,2 bilhões em 2024, acima de €3,5 bilhões em 2023 e €3,4 bilhões em 2022 — um aumento aproximado de 20% de 2023 para 2024. Dentro desse total, fraude vinculada a transferências de crédito aumentou 16% ano a ano para €2,2 bilhões, e fraude em cartões emitidos pela UE e EEE aumentou 29% para cerca de €1,33 bilhão. Para fraude de transferência de crédito especificamente, o mesmo relatório descobriu que os usuários de serviços de pagamento sofreram cerca de 85% das perdas resultantes, em grande medida porque os golpes enganam as pessoas para autorizarem a transferência elas mesmas.

O que ainda não está claro

A sentença aborda transações não autorizadas — casos em que outra pessoa acessou ou desviou o dinheiro do cliente, como em phishing. Ela não muda o tratamento legal separado de situações em que um banco tem fundamentos objetivos para suspeitar que o cliente autorizou o pagamento ou foi cúmplice na fraude, o que ainda pode justificar reter um reembolso. Com que rapidez os bancos individuais em toda a UE mudam seus procedimentos internos de reembolso em resposta à sentença, e se reguladores nacionais a aplicarão ativamente, permanecia incerto a partir de 16 de outubro de 2026.