Curtea de Justiție a Uniunii Europene a decis, la data de 15 octombrie, că o bancă are obligația de a rambursa imediat suma unei tranzacții de plată neautorizate. Această decizie este valabilă chiar și în situațiile în care instituția financiară consideră că utilizatorul a facilitat frauda prin neglijență gravă. Prin interpretarea cauzei C-70/25, Tukowiecka, Curtea a clarificat regulile din Directiva privind serviciile de plată PSD2, separând etapa de rambursare de cea de stabilire a responsabilității.
Conform deciziei, prestatorul de servicii de plată trebuie să restituie suma tranzacției neautorizate imediat sau, cel târziu, până la sfârșitul următoarei zile lucrătoare de la momentul în care a fost notificat sau a luat la cunoștință incidentul. Această restituire trebuie să readucă contul clientului în situația în care acesta s-ar fi aflat dacă operațiunea neautorizată nu ar fi fost executată. Invocarea neglijenței grave din partea clientului nu oferă băncii dreptul de a amâna acest proces de rambursare rapidă.
Singura excepție de la această regulă de rambursare imediată apare atunci când banca are motive rezonabile să suspecteze că însăși persoana clientului a comis o fraudă. În acest caz specific, banca trebuie să comunice aceste suspiciuni în scris către autoritatea națională competentă. Curtea a subliniat că simpla suspiciune de neglijență gravă, cum ar fi divulgarea imprudentă a parolelor sau a codurilor de securitate, nu permite suspendarea restituirii banilor.
După ce procesul de rambursare a fost finalizat, banca poate cere clientului să suporte pierderea dacă reușește să demonstreze vina acestuia. Instituția trebuie să dovedească faptul că utilizatorul și-a încălcat intenționat sau prin neglijență gravă obligațiile privind securitatea instrumentului de plată. Sarcina de a proba această conduită și legătura directă cu pierderea financiară revine exclusiv prestatorului de servicii, care poate recurge la proceduri juridice pentru recuperarea sumelor.
Litigiul a luat însălți din cauza unei cliente a unei bănci poloneze care a fost victima unei fraude prin phishing. După ce a introdus datele pe un site fals, un autor al fraudei a transferat aproximativ 3.000 de zloți polonezi, echivalentul a circa 700 de euro. Banca a refuzat rambursarea, susținând că femeia nu și-a protejat elementele de securitate, însă Sąd Rejonowy w Koszalinie a solicitat interpretarea CJUE pentru a vedea dacă PSD2 permite astfel de refuzuri.
Cadrul juridic aplicat în această cauză provine din Directiva (UE) 2015/2366, cunoscută sub denumirea de PSD2, care reglementează serviciile de plată în piața internă. Această directivă a fost adoptată de Parlamentul European și Consiliul Uniunii Europene pentru a armoniza regulile privind securitatea operațiunilor și răspunderea pentru tranzacțiile neautorizate în toate statele membre. Hotărârea CJUE clarifică modul în care articolele 73 și 74 din acest text trebuie aplicate de instanțele naționale.
