Cobranças não reconhecidas no cartão na Espanha: reembolso PSD2 e chargeback
Um lançamento que você não reconhece na fatura do cartão não é dinheiro perdido. A lei espanhola de serviços de pagamento (que transpõe a diretiva europeia PSD2) obriga o banco a devolver imediatamente qualquer transação não autorizada — no máximo até o fim do dia útil seguinte à sua comunicação — e ele só pode recusar se provar fraude ou negligência grave da sua parte. Para pagamentos que você de fato autorizou, mas que deram errado — loja que nunca entregou, assinatura cobrada depois do cancelamento, valor lançado em dobro — existe uma segunda ferramenta: a contestação via Visa ou Mastercard (chargeback), que o seu próprio banco apresenta por você. Confundir as duas ferramentas é o motivo mais comum de recusa de pedidos legítimos. Este guia mostra qual direito invocar, em que prazo e com quais provas, passo a passo, para recuperar o dinheiro sem precisar de advogado.
Duas ferramentas diferentes: a lei e as regras do cartão
A primeira coisa a definir: você autorizou o pagamento ou não? Da resposta depende a ferramenta a usar — e usar a ferramenta errada é o motivo mais frequente de recusa.
Ferramenta 1 — a lei. Para transações não autorizadas (dados do cartão roubados ou clonados, vazamentos, compras online feitas por terceiros), os artigos 45–46 do Real Decreto-lei 19/2018 obrigam o banco a devolver imediatamente, no máximo até o fim do dia útil seguinte à sua comunicação. O banco devolve primeiro e investiga depois — não o contrário.
Ferramenta 2 — as regras das bandeiras. Para pagamentos autorizados que deram errado — produto nunca entregue, loja que quebrou, cobrança em dobro, assinatura cobrada após o cancelamento, produto falsificado ou diferente do anunciado — a via é a contestação Visa ou Mastercard (chargeback). O seu banco apresenta a disputa ao banco do lojista em seu nome.
A autenticação forte do cliente (SCA) é a terceira peça: a PSD2 exige confirmação tipo 3D Secure para a maioria dos pagamentos online. Uma cobrança executada sem SCA onde ela era obrigatória transfere a responsabilidade para o banco ou o lojista — um argumento-chave na reclamação por escrito. E mesmo um pagamento aprovado com 3DS, mas obtido por phishing, se contesta como golpe de engenharia social.
Se o dinheiro saiu por uma transferência Bizum, e não por pagamento com cartão, o mecanismo é outro — veja o guia dedicado aos golpes via Bizum na seção de guias relacionados.
Situações típicas cobertas por este guia
- Cobranças online desconhecidas que aparecem depois de um vazamento de dados, da clonagem do cartão (skimming) ou do uso fraudulento dos dados do cartão sem a presença física dele.
- Armadilhas de «teste grátis» que viram assinatura paga, assinaturas impossíveis de cancelar e cobranças recorrentes que continuam mesmo depois da troca do cartão.
- Loja que nunca entregou o produto ou serviço, ou que quebrou antes de entregar — incluindo passagens, reservas e cursos online.
- Cobranças em dobro e valores errados: hotéis, locadoras de veículos, cauções bloqueadas e não devolvidas, diferenças em relação ao preço anunciado.
NAVIDesbloquear minha conta — como fazer isso certo
O NAVI prepara a reclamação correta.
Seus direitos
- Para um pagamento não autorizado, o banco deve devolver o valor imediatamente, no máximo até o fim do dia útil seguinte à comunicação. A devolução vem primeiro, a investigação depois — a lei não permite ao banco inverter essa ordem.
- O banco só pode recusar se ele mesmo provar que você agiu com fraude ou negligência grave. O ônus da prova é do banco, não seu — a frase «a transação foi confirmada» não é prova.
- Sua responsabilidade por um cartão perdido ou roubado tem teto de 50 € para pagamentos feitos antes da comunicação, e zero depois. O banco não pode condicionar a devolução a um boletim de ocorrência na polícia (denuncia) — que, ainda assim, é útil e fortalece os casos de fraude.
- Se o pagamento foi executado sem autenticação forte (SCA) onde ela era obrigatória, a responsabilidade passa ao banco ou ao lojista. Exija do banco, por escrito, a prova de que a SCA foi aplicada — é um dos argumentos mais fortes.
- Para pagamentos autorizados que deram errado, você tem o direito de pedir ao banco a abertura de um chargeback: o seu banco apresenta a disputa ao banco do lojista, com as suas provas, segundo as regras da Visa ou da Mastercard.
Prazos: quanto tempo você tem e quanto demora
- Comunique a cobrança não autorizada assim que a vir — o banco deve devolver no máximo até o fim do dia útil seguinte à comunicação.
- O prazo máximo para reclamar uma transação não autorizada é de 13 meses a partir do débito na conta.
- Para o chargeback, a janela típica é de cerca de 120 dias contados da cobrança ou da data prevista de entrega do produto ou serviço. Depois disso, a disputa fica praticamente inviável.
- O serviço de atendimento ao cliente do banco (SAC) deve responder às reclamações sobre serviços de pagamento em 15 dias úteis.
- Não espere meses pela resposta do «suporte» do lojista: cada semana de espera queima a janela de 120 dias. Dá para negociar com o lojista e abrir a disputa no banco ao mesmo tempo.
Quais provas reunir
- A fatura do cartão ou a captura de tela do aplicativo com a transação contestada: data, valor, nome do estabelecimento — e a lista completa se houver várias cobranças desconhecidas.
- Para disputas comerciais: confirmação do pedido, comprovante de pagamento, confirmação do cancelamento da assinatura, mensagens trocadas com o lojista e as condições do «teste grátis» — capturas com data visível.
- Para fraude: confirmação do bloqueio do cartão com horário, número do protocolo da comunicação, cópia do boletim de ocorrência e a menção expressa de que você não recebeu nenhum pedido de confirmação 3DS ou SMS para a cobrança contestada.
- Guarde tudo por escrito e não apague nada: e-mails, conta de cliente, recibos. Se o lojista sumir, o seu histórico vira a única prova.
Passo a passo, na ordem certa
- Bloqueie o cartão imediatamente pelo aplicativo ou pela central 24 horas do banco e comunique as cobranças não reconhecidas. Peça confirmação por escrito com data e hora.
- Escolha a ferramenta certa: você não autorizou o pagamento → devolução com base no art. 45 do RD-lei 19/2018; você autorizou, mas o lojista falhou → pedido de chargeback.
- Em assinaturas: revogue a autorização de cobrança diretamente com o lojista, por escrito, e instrua o banco, também por escrito, a bloquear futuras cobranças recorrentes daquele estabelecimento. Cancelar só o cartão não resolve — os mandatos recorrentes seguem o cartão substituto.
- Apresente a reclamação por escrito ao serviço de atendimento ao cliente do banco (SAC): peça a devolução imediata com base no art. 45 ou a abertura do chargeback, anexe as provas e invoque a falta de SCA quando for o caso.
- Nos cenários de fraude, registre o boletim de ocorrência na Policía Nacional ou na Guardia Civil e junte a cópia ao dossiê do banco — não é condição para a devolução, mas fortalece a sua posição.
- Se o SAC rejeitar ou não admitir a reclamação, recorra imediatamente e sem custo ao Banco de España; se não responder, recorra um mês após a apresentação, anexando toda a correspondência.
- Se nem isso resolver, resta o tribunal: para valores de até 2.000 € não é preciso advogado e o procedimento é simplificado.
Um caso real: o cliente digitou ele mesmo o código do SMS — e ainda assim recuperou 6 000 €
Um cliente do Unicaja recebeu um SMS que caiu na mesma conversa das mensagens verdadeiras do banco: «acesso não autorizado à sua conta online, verifique imediatamente». Ele seguiu o link e digitou seus dados; em seguida, um segundo SMS pediu um código «para concluir a vinculação de um dispositivo». Pouco depois, saiu da conta dele uma transferência de 6 000 € que ele nunca tinha ordenado. O banco se recusou a devolver o dinheiro. No tribunal, o banco admitiu que o primeiro passo — digitar usuário e senha depois de um SMS alarmante — talvez não configurasse, por si só, negligência grave, mas sustentou que o segundo passo, confirmar com um código a vinculação de um novo dispositivo, foi o que abriu caminho aos golpistas. A Audiencia Provincial de Oviedo viu de outra forma. Segundo o boletim policial, o esquema era do tipo mais avançado, o «SMS spoofing»: o identificador de remetente das mensagens do banco é falsificado, de modo que o celular da vítima praticamente não consegue identificá-las como fraudulentas, e elas aparecem na mesma conversa que as verdadeiras. O tribunal lembrou a regra dos serviços de pagamento segundo a qual a responsabilidade do prestador é agravada quando ele não exige autenticação forte do cliente (autenticación reforzada) — nesse caso, o cliente responde apenas pela própria fraude. O banco não havia provado negligência grave do cliente, e tudo apontava para uma deficiência do próprio sistema de segurança do banco contra esse tipo de ataque. A conduta do cliente não foi nem imprudente nem gravemente negligente: não se pode exigir de quem foi enganado um padrão de cuidado maior do que de quem tinha a obrigação de implantar as proteções.
O que não era óbvio. Digitar o código do SMS com as próprias mãos não encerra o caso. A lei coloca o ônus da prova no banco: é ele que deve provar que a operação foi autenticada e que o cliente agiu com fraude ou negligência grave, e o simples registro de que um código foi usado não vale como prova de consentimento. O que decidiu o caso foi se o banco exigia autenticação forte do cliente e se o seu sistema resistia à falsificação do remetente, e não se o cliente clicou em um link. O banco perdeu o argumento «mas você mesmo confirmou» justamente porque o tribunal cobrou o banco, e não a vítima.
Resultado: o banco deve devolver ao cliente 6 000 €, o valor integral da transferência fraudulenta. A apelação do banco foi rejeitada.
As regras em que a decisão se apoia estão em vigor: pelo artigo 44 do Real Decreto-ley 19/2018, cabe ao prestador provar que a operação foi autenticada e que o cliente agiu com negligência grave, e o registro do uso do instrumento de pagamento não prova o consentimento; pelo artigo 45, uma operação não autorizada deve ser reembolsada imediatamente e, no mais tardar, até o fim do dia útil seguinte à notificação; pelo artigo 46.2, se o prestador não exige autenticação forte do cliente, o cliente só arca com as perdas se agiu com fraude. É uma decisão de um tribunal provincial e não cria precedente vinculante, mas mostra como os tribunais aplicam essas regras à falsificação do remetente de SMS. O prazo de reembolso imediato do artigo 45.1 tem uma exceção: o prestador tem motivos razoáveis para suspeitar de fraude e comunica esses motivos por escrito ao Banco de España. O artigo 43 exige comunicação sem demora injustificada, normalmente até 13 meses após o débito; esses prazos de comunicação não se aplicam se o prestador não forneceu a informação legalmente exigida sobre a operação.
O guia acima diz que um pagamento confirmado sob phishing também pode ser contestado. Este caso mostra exatamente como um tribunal divide a responsabilidade quando o próprio cliente digitou o código de confirmação, mas o banco não tinha implantado a autenticação forte do cliente.
Verificar a minha cobrançaErros que custam o seu dinheiro
- Usar a ferramenta errada: pedir chargeback para uma cobrança fraudulenta ou invocar o art. 45 para uma encomenda não entregue. O banco nega por questão de forma e o tempo passa.
- Cancelar o cartão, mas não o mandato: as cobranças recorrentes migram sozinhas para o cartão novo pelos serviços de atualização automática de dados. Revogue no lojista e bloqueie por escrito no banco.
- Queimar a janela de cerca de 120 dias esperando o «suporte» do lojista responder. A disputa no banco pode correr em paralelo a qualquer negociação.
- Aceitar «você confirmou com 3DS» como resposta final. Uma confirmação 3DS arrancada por phishing se contesta como golpe de engenharia social, e a falta de SCA transfere a responsabilidade ao banco.
- Pagar serviços de «cancelamento de assinatura» ou «recuperação de fundos». Tudo o que eles fazem você faz de graça — e muitos são, eles próprios, golpes.
- Apagar as provas: encerrar a conta de cliente, jogar fora os e-mails do pedido ou a confirmação do cancelamento. Sem elas, um chargeback contestado pelo lojista é quase impossível de ganhar.
Se o banco recusar
- Exija a recusa por escrito e responda também por escrito: invoque os arts. 45–46 do RD-lei 19/2018, lembre que o ônus de provar fraude ou negligência grave é do banco e exija a prova de aplicação da SCA na cobrança contestada.
- Se o lojista contestar o chargeback, não desista: responda por meio do banco, com as suas provas — confirmação do cancelamento, ausência de entrega, mensagens trocadas. Muitas disputas são ganhas na segunda rodada.
- Depois da rejeição ou não admissão pelo SAC, apresente imediatamente a reclamação gratuita ao Banco de España; em caso de silêncio, faça-o um mês após a apresentação. O parecer dele é comunicado ao banco e pesa muito na prática.
- O último degrau é o tribunal: até 2.000 € sem advogado. O boletim de ocorrência e o parecer do Banco de España anexados ao processo fortalecem bastante a sua posição.
Sua reclamação ao banco, pronta em minutos
Nosso gerador redige a reclamação por escrito ao seu banco — o pedido de devolução com base no art. 45 ou o pedido de chargeback, com os argumentos e as provas organizados do jeito certo, pronto para protocolar no serviço de atendimento do banco (SAC). Se o banco recusar e o caso escalar ao Banco de España ou ao tribunal, o plano de ação completo custa 59 €.
✓ Grátis · ✓ Sem conta · ✓ Uns minutos
Guias relacionados
Perguntas frequentes
O banco exige boletim de ocorrência antes de devolver. Isso é legal?
Não. A lei obriga o banco a devolver o pagamento não autorizado imediatamente, no máximo até o fim do dia útil seguinte à comunicação, e a investigar depois. O boletim de ocorrência (denuncia) não pode ser condição prévia — mas vale registrá-lo mesmo assim nos casos de fraude, porque fortalece o dossiê.
Confirmei o pagamento com 3DS depois de uma ligação de phishing. Perdi o dinheiro?
Não necessariamente. Uma confirmação 3DS obtida por manipulação se contesta como fraude de engenharia social, como os demais golpes desse tipo. E se a autenticação forte (SCA) nem foi aplicada onde era obrigatória, a responsabilidade passa ao banco — exija a prova da SCA por escrito.
Cancelei a assinatura, mas as cobranças continuam. Troquei até de cartão — e nada. Por quê?
Os mandatos de cobrança recorrente seguem o cartão substituto pelos serviços de atualização automática de dados. A solução tem dois passos obrigatórios: revogar o mandato por escrito junto ao lojista e instruir o banco, também por escrito, a bloquear futuras cobranças recorrentes daquele estabelecimento. Os valores cobrados após o cancelamento se recuperam via chargeback.
A loja nunca entregou ou faliu. O que eu faço?
Esse é o caso clássico de chargeback: o seu banco apresenta a disputa ao banco do lojista, e a falência do lojista não elimina esse direito. Você tem cerca de 120 dias a partir da cobrança ou da data prometida de entrega — então não espere o desfecho da falência.
Em quanto tempo o banco deve devolver um pagamento não autorizado?
Imediatamente, no máximo até o fim do dia útil seguinte à sua comunicação. Sua responsabilidade por cartão perdido ou roubado é de no máximo 50 € antes da comunicação e zero depois. A recusa só é legal se o banco provar fraude ou negligência grave sua.
Quanto tempo eu tenho para reclamar?
Para transações não autorizadas, o limite absoluto é de 13 meses a partir do débito — mas comunique imediatamente, porque a demora enfraquece o caso. Para o chargeback, a janela típica é de cerca de 120 dias contados da cobrança ou da data prevista de entrega.
O banco recusou em definitivo. E agora?
Três degraus: reclamação por escrito ao serviço de atendimento ao cliente do banco (SAC), que deve responder em 15 dias úteis; depois a reclamação gratuita ao Banco de España; por fim o tribunal — até 2.000 € sem advogado. A maioria dos casos bem documentados se resolve antes do tribunal.
Fontes oficiais
- RD-ley 19/2018 (servicios de pago, arts. 35-46) — BOE
- Banco de España — reclamaciones
- INCIBE — ciberseguridad
- Policía Nacional — denuncias
Os links levam a fontes oficiais em espanhol. Os textos legais mudam — confira sempre a versão consolidada no BOE antes de citar um artigo.
📩 Aos estrangeiros esquecem-se de avisar do que lhes afeta diretamente — leis, regras, novas taxas e oportunidades.
Nós não esquecemos. Deixa o teu email — explicamos de forma simples e na tua língua.
Verificado pela equipa RightNOW · Histórico de alterações
- Base legal, prazos e valores reverificados com fontes oficiais. Versões: RU, EN, ES, PT, RO, UK
- Base legal, prazos e valores reverificados com fontes oficiais.
- Caso real reescrito como lição: o que não era evidente, como terminou e a ligação para a decisão.
- Foram aplicadas formulações de uma revisão linguística anterior; a página não foi relida. Versões: RU, EN · Антон Белянский, controlo de qualidade
- Revisão linguística: termos e frases verificados, correções aplicadas. Versões: RU, EN · Антон Белянский, controlo de qualidade
- Correção: foi corrigida uma imprecisão encontrada numa revisão interna de qualidade. Versões: ES, EN, RU, UK, RO, PT
- Correção: foi corrigida uma imprecisão encontrada numa revisão interna de qualidade. Versões: ES, EN
- Correção: foi corrigida uma imprecisão encontrada numa revisão interna de qualidade. Versões: ES, RU, UK
- Base legal, prazos e valores reverificados com fontes oficiais.
- Página publicada.
Este guia é informação geral sobre direito espanhol, não um parecer jurídico sobre o seu caso. As regras mudam e o resultado depende dos seus factos e documentos — confirme a sua situação antes de agir.
Precisa de proteção diária, não só de uma revisão pontual?
Inclui: revisão de documentos espanhóis, cartas, exigências e contratos antes de assinar, Planos de Ação, consulta e envio de reclamações por burofax.