Tribunal de Justiça da UE: após o phishing, o banco reembolsa primeiro e discute depois a 'negligência grave' do cliente. O que fazer na França se o dinheiro sair do seu cartão ou da sua conta, e os prazos aplicáveis

O que aconteceu

Em 2 de novembro de 2026, o Service-public.gouv.fr publicou um texto explicativo sobre uma decisão do Tribunal de Justiça da União Europeia (CJUE) de 15 de outubro de 2026 a respeito do reembolso a vítimas de phishing.

O caso vem da Polônia. Uma mulher vendia um item em um marketplace online. Um falso comprador lhe enviou um link que parecia ser do marketplace e a levou a uma cópia falsa do site do seu banco, onde ela digitou o login do seu internet banking. O fraudador transferiu cerca de €700 (3,000 zlotys) para a própria conta, obtendo o código de confirmação por SMS pela mesma página falsa. Ela comunicou a fraude ao banco e à polícia no dia seguinte. O banco recusou o reembolso, alegando que ela havia agido com negligência grave (négligence grave) e não havia mantido seu instrumento de pagamento em segurança.

O que o tribunal decidiu

Segundo o Service-public, o tribunal se baseou na Diretiva da UE sobre Serviços de Pagamento (2015/2366):

• o banco deve reembolsar uma operação não autorizada assim que tomar conhecimento dela, e até o fim do dia útil seguinte. A negligência grave do cliente não está entre os motivos de recusa;
• o banco pode transferir a perda ao cliente, mas somente depois de reembolsar. A exceção é uma suspeita séria de que o cliente seja o fraudador, que o banco deve justificar por escrito à autoridade nacional de supervisão;
• cabe ao banco provar a negligência grave, em juízo, se decidir reclamar o dinheiro de volta.

Em resumo: reembolsa-se primeiro, discute-se depois. No direito francês, o reembolso imediato de uma operação não autorizada está previsto no artigo L133-18 do Code monétaire et financier, citado pelo Instituto Nacional do Consumo (INC).

A ressalva principal: operações 'não autorizadas'

A decisão trata das operações com as quais o pagador não consentiu: um fraudador obteve acesso ao cartão ou à conta e retirou o dinheiro. Ela não trata da chamada fraude 'autorizada', em que a própria vítima faz a transferência sob pressão, por exemplo de um falso 'consultor do banco'. Tenha essa distinção em mente desde o primeiro minuto: ela determina em quais regras é possível se apoiar.

O que fazer se o dinheiro saiu

As etapas abaixo seguem a página F34800 do Service-public e o INC:

1. Bloqueie o cartão imediatamente (faire opposition): pelo número do seu banco ou pela linha interbancária 0892 705 705 (€0,35 por minuto, mais o custo da ligação). O INC recomenda, em seguida, confirmar o bloqueio por carta registrada com aviso de recebimento, indicando o número de referência do bloqueio.
2. Conteste as operações junto ao banco e peça o reembolso. Guarde o número de referência.
3. Guarde as provas: a própria mensagem, uma captura de tela do site falso, o número de telefone, o endereço da página.
4. Comunique na plataforma Perceval (pelo service-public.fr, entrando com o FranceConnect) se os dados do cartão foram usados sem o conhecimento do titular. A plataforma emite um comprovante para anexar ao pedido de reembolso ao banco. A Perceval não trata de roubo do cartão físico.
5. Registre uma queixa (plainte) em uma delegacia de polícia ou gendarmerie, ou por escrito ao procurador da República.
6. Verifique as outras contas online, troque as senhas e ative a autenticação em dois fatores.

Tentativas de phishing por SMS ou ligação para um celular podem ser denunciadas ao 33 700; e-mails suspeitos ao Signal Spam; links suspeitos ao Phishing Initiative.

Prazos na França

Segundo o INC (artigos L133-18, L133-23 e L133-24 do Code monétaire et financier):

• é preciso agir 'sem demora' assim que descobrir a operação, e até 13 meses após o débito, para pagamentos dentro do Espaço Econômico Europeu. Para um pagamento fora dele, o limite é de 70 dias, que um contrato pode estender para 120;
• o banco deve reembolsar não apenas o valor, mas também os custos relacionados, incluindo juros do cheque especial e tarifas por incidente de pagamento;
• se o cliente, deliberadamente ou por negligência grave, não cumpriu suas obrigações, pode não haver reembolso, mas é o banco que deve prová-lo. O INC dá um exemplo: em 2020, a Cour de cassation entendeu que responder a um e-mail com sinais evidentes de falsificação era negligência grave.

Um erro comum é esperar que o banco 'resolva', ou não contestar a operação por achar que um deslize próprio exclui o reembolso. A decisão da UE diz justamente que tal deslize, por si só, não permite ao banco reter o reembolso. Estas são regras gerais, não uma avaliação de qualquer situação individual; em caso de disputa, um advogado ou uma associação de consumidores pode ajudar.

Contexto

Para quem acabou de chegar, o risco é maior: mensagens sobre um 'reembolso', um 'pagamento urgente', um 'problema na entrega de encomenda' ou um 'alerta de segurança da conta' chegam em um idioma ao qual a pessoa ainda está se acostumando, o que dificulta identificar falsificações. O conselho do Service-public é simples: não clique em links e não compartilhe dados pessoais ou bancários em resposta a uma mensagem inesperada.