TSUE orzekł ws. odpowiedzialności banków za nieautoryzowane przelewy

Rażące zaniedbanie klienta nie zwalnia dostawcy usług płatniczych z obowiązku bezzwłocznego zwrotu kwoty nieautoryzowanej transakcji płatniczej – stwierdził TSUE w orzeczeniu dotyczącym sprawy klientki polskiego banku, która padła ofiarą oszustwa w wyniku phishingu.

Klientka polskiego banku padła ofiarą oszustwa w wyniku phishingu: osoba trzecia podała się za zainteresowaną zakupem przedmiotu, który klientka wystawiła na platformie sprzedaży internetowej.

Bank odmówił zwrotu kwoty nieautoryzowanej transakcji

Osoba ta przesłała jej fałszywy link, rzekomo pochodzący z tej platformy i służący do potwierdzenia sprzedaży. Ulegając oszustwu, klientka kliknęła ten link, przekierowujący do strony internetowej wyglądającej jak strona internetowa jej banku, i wpisała tam swoje dane do logowania do usług bankowości elektronicznej. Przy pomocy tych danych wskazana osoba trzecia zdołała przelać z konta bankowego klientki kwotę odpowiadającą około 700 euro.

Następnego dnia klientka zgłosiła oszukańczą transakcję w swoim banku. Bank odmówił jednak zwrotu kwoty nieautoryzowanej transakcji płatniczej, uznając, że klientka przez rażące zaniedbanie umożliwiła tę transakcję, uchybiając obowiązkowi ochrony swoich indywidualnych danych uwierzytelniających.

W związku z tą odmową klientka wniosła powództwo do polskiego sądu, który zwrócił się do Trybunału Sprawiedliwości z pytaniem, czy w świetle prawa Unii bank, jako dostawca usług płatniczych, jest zobowiązany do bezzwłocznego zwrotu kwoty nieautoryzowanej transakcji, nawet jeśli uznaje, że klient dopuścił się rażącego zaniedbania.

W wyroku Trybunał Sprawiedliwości UE udzielił odpowiedzi twierdzącej.

Szczegóły orzeczenia TSUE ws. C-70/25 (Tukowiecka)

Jak czytamy w komunikacie TSUE, w przypadku nieautoryzowanej transakcji płatniczej dostawca usług płatniczych jest co do zasady zobowiązany do bezzwłocznego zwrotu kwoty tej transakcji, najpóźniej do końca pierwszego dnia roboczego następującego po dniu, w którym się o niej dowiedział lub został o niej poinformowany, pod warunkiem że klient bez zbędnej zwłoki poinformuje o tym dostawcę usług płatniczych.

Przewidziano tylko jeden wyjątek od tego obowiązku natychmiastowego zwrotu: gdy dostawca usług płatniczych ma uzasadnione podstawy, by podejrzewać oszustwo popełnione przez klienta, i dodatkowo poinformuje na piśmie o tych podstawach właściwy organ krajowy.

Fakt, że dostawca usług płatniczych uważa, iż klient umożliwił dokonanie nieautoryzowanej transakcji z powodu rażącego zaniedbania, w szczególności przez niepodjęcie niezbędnych działań w celu ochrony swoich indywidualnych danych uwierzytelniających, nie uprawnia go do odmowy bezzwłocznego zwrotu kwoty tej transakcji.

Prawo Unii pozwala bowiem oddzielić kwestię zwrotu kwoty nieautoryzowanej transakcji płatniczej od kwestii tego, kto ostatecznie powinien ponieść straty związane z taką transakcją – podkreślił w orzeczeniu TSUE.

W związku z tym w pierwszej kolejności dostawca usług płatniczych jest zobowiązany do dokonania bezzwłocznego zwrotu środków. W drugiej kolejności może on, w stosownych przypadkach, dochodzić od klienta zwrotu poniesionych strat, jeżeli udowodni, że wynikają one z faktu, iż klient umyślnie lub w wyniku rażącego zaniedbania uchybił ciążącym na nim obowiązkom, w szczególności obowiązkowi zapewnienia bezpieczeństwa swoich indywidualnych danych uwierzytelniających. Ciężar dowodu istnienia takiego rażącego zaniedbania ze strony klienta spoczywa na dostawcy.

„Takie podejście jest zgodne z celem zapewnienia wysokiego poziomu ochrony konsumentów. Umożliwienie dostawcy usług płatniczych odmowy zwrotu z góry, z powołaniem się na rażące zaniedbanie klienta, pozbawiłoby skuteczności (effet utile) obowiązek bezzwłocznego zwrotu i zmusiłoby klienta do samodzielnego wszczęcia postępowania w celu dochodzenia swoich praw, co wiązałoby się z możliwymi kosztami i niedogodnościami" – czytamy w komunikacie TSUE.