Απόφαση-σταθμός της ΕΕ: Οι τράπεζες υποχρεούνται να επιστρέφουν άμεσα τα χρήματα από κυβερνοαπάτες

Σύνοψη

• Το Δικαστήριο της Ευρωπαϊκής Ένωσης αποφάνθηκε ότι οι τράπεζες οφείλουν να αποζημιώνουν αμέσως τα θύματα ηλεκτρονικής απάτης και επιθέσεων υποκλοπής στοιχείων (phishing).
• Η επιστροφή των κλεμμένων κεφαλαίων πρέπει να ολοκληρώνεται το αργότερο μέχρι το τέλος της επόμενης εργάσιμης ημέρας από την επίσημη ειδοποίηση του συμβάντος.
• Ο ισχυρισμός περί «βαριάς αμέλειας» του πελάτη δεν δίνει πλέον το δικαίωμα στα χρηματοπιστωτικά ιδρύματα να αρνούνται την αρχική και άμεση αποζημίωση.
• Η διαδικασία πλέον αντιστρέφεται, καθώς η τράπεζα αναλαμβάνει την υποχρέωση να καταβάλει πρώτα τα χρήματα και στη συνέχεια να κινηθεί νομικά εναντίον του πελάτη εάν μπορεί να αποδείξει την ύπαρξη δόλου ή ακραίας αμέλειας από την πλευρά του.

Η εκθετική αύξηση των ηλεκτρονικών συναλλαγών σε ολόκληρη την ευρωπαϊκή ήπειρο έχει αναπόφευκτα συνοδευτεί από μια αντίστοιχη κλιμάκωση των ψηφιακών εγκλημάτων, με τους επιτήδειους να επινοούν διαρκώς πιο εξελιγμένες μεθόδους εξαπάτησης των ανυποψίαστων πολιτών. Μέχρι πρότινος, τα θύματα αυτών των καλοστημένων ηλεκτρονικών απατών βρίσκονταν συχνά αντιμέτωπα με ένα δεύτερο και ίσως πιο ψυχοφθόρο χτύπημα, το οποίο προερχόταν από τις ίδιες τους τις τράπεζες, οι οποίες αρνούνταν κατηγορηματικά να αναλάβουν την ευθύνη και να προχωρήσουν στην επιστροφή των υπεξαιρεθέντων ποσών. Το βασικό επιχείρημα των χρηματοπιστωτικών ιδρυμάτων βασιζόταν συνήθως στην κατηγορία της βαριάς αμέλειας εκ μέρους του χρήστη, υποστηρίζοντας ότι ο πελάτης απέτυχε να προστατεύσει επαρκώς τα προσωπικά του διαπιστευτήρια και τους κωδικούς ασφαλείας του.

Ωστόσο, μια πρόσφατη και εξαιρετικά βαρύνουσας σημασίας απόφαση του Δικαστηρίου της Ευρωπαϊκής Ένωσης (ΔΕΕ) έρχεται να ανατρέψει πλήρως αυτή την παγιωμένη τακτική, δημιουργώντας ένα ισχυρότατο νομικό προηγούμενο που προστατεύει τον Ευρωπαίο καταναλωτή με απόλυτο και κατηγορηματικό τρόπο. Η υπόθεση C-70/25, η οποία εκδικάστηκε πρόσφατα και αφορούσε την προσφυγή μιας πελάτισσας πολωνικής τράπεζας, έθεσε επί τάπητος το καίριο ερώτημα σχετικά με το ποιος φέρει την τελική ευθύνη για την άμεση κάλυψη της ζημιάς μετά από μια μη εξουσιοδοτημένη συναλλαγή. Η ενάγουσα είχε πέσει θύμα μιας κλασικής περίπτωσης phishing, όταν προσπάθησε να πουλήσει ένα αντικείμενο μέσω μιας διαδικτυακής πλατφόρμας αγγελιών και ο υποτιθέμενος αγοραστής της έστειλε έναν παραπλανητικό σύνδεσμο για την ολοκλήρωση της πώλησης.

Ο σύνδεσμος αυτός οδηγούσε σε έναν πλαστό ιστότοπο που αποτελούσε πιστό αντίγραφο της επίσημης σελίδας της τράπεζάς της, με αποτέλεσμα η ανυποψίαστη γυναίκα να καταχωρίσει τα στοιχεία σύνδεσής της και οι απατεώνες να αποκτήσουν άμεση πρόσβαση στον λογαριασμό της, αφαιρώντας το ποσό των 700 ευρώ. Όταν η παθούσα ενημέρωσε το πιστωτικό της ίδρυμα την αμέσως επόμενη ημέρα, η διοίκηση της τράπεζας απέρριψε το αίτημα αποζημίωσης θεωρώντας ότι η γυναίκα είχε επιδείξει αδικαιολόγητη απροσεξία. Το Ευρωπαϊκό Δικαστήριο, όμως, ερμηνεύοντας την ευρωπαϊκή οδηγία για τις υπηρεσίες πληρωμών (Directive 2015/2366), αποφάνθηκε ότι η τράπεζα υποχρεούται νομικά να επιστρέψει το ποσό της μη εξουσιοδοτημένης συναλλαγής αμέσως, και σε κάθε περίπτωση όχι αργότερα από το τέλος της επόμενης εργάσιμης ημέρας από τη στιγμή που έλαβε γνώση του περιστατικού.

Η δικαστική ετυμηγορία διαχωρίζει με απόλυτη σαφήνεια το ζήτημα της άμεσης αποζημίωσης από το τελικό ζήτημα του ποιος θα επωμιστεί οριστικά την οικονομική ζημία, καθιστώντας σαφές ότι η υποχρέωση επιστροφής προηγείται οποιασδήποτε έρευνας. Εάν οι τράπεζες διατηρούσαν το δικαίωμα να αρνούνται εκ προοιμίου την αποζημίωση επικαλούμενες την αμέλεια του πελάτη, η προστατευτική νομοθεσία της Ευρωπαϊκής Ένωσης θα καθίστατο πρακτικά ανενεργή, αναγκάζοντας τους πολίτες να εμπλέκονται σε χρονοβόρες και πολυέξοδες δικαστικές διαμάχες προκειμένου να διεκδικήσουν τα αυτονόητα δικαιώματα τους. Μοναδική εξαίρεση στον κανόνα της άμεσης αποζημίωσης υφίσταται μόνο όταν το ίδιο το πιστωτικό ίδρυμα διαθέτει βάσιμες υποψίες ότι ο ίδιος ο πελάτης έχει διαπράξει την απάτη, γεγονός που πρέπει να αναφερθεί γραπτώς στις αρμόδιες εθνικές αρχές.

Αυτή η θεμελιώδης αλλαγή στη διαδικασία αντιστρέφει πλήρως το βάρος της απόδειξης, αφαιρώντας από τους ώμους του καταναλωτή το άγχος της άμεσης τεκμηρίωσης της αθωότητας του. Το πιστωτικό ίδρυμα οφείλει να πιστώσει αμέσως τα χαμένα κεφάλαια στον λογαριασμό του θύματος και, μόνο εφόσον καταφέρει να συγκεντρώσει αδιάσειστα στοιχεία που αποδεικνύουν πέραν πάσης αμφιβολίας την ύπαρξη βαριάς αμέλειας ή δόλου, αποκτά το δικαίωμα να στραφεί νομικά εναντίον του πελάτη για να ανακτήσει το καταβληθέν ποσό. Η ξεκάθαρη αυτή οδηγία αναμένεται να εφαρμοστεί οριζόντια σε όλα τα κράτη-μέλη, εξαλείφοντας τις γκρίζες ζώνες που επέτρεπαν σε πολλά ιδρύματα να καταστρατηγούν τον νόμο και να αποφεύγουν τις οικονομικές τους υποχρεώσεις.

Τα στατιστικά στοιχεία γύρω από το ηλεκτρονικό έγκλημα σε πανευρωπαϊκό επίπεδο αποτυπώνουν μια εξαιρετικά ανησυχητική εικόνα, με τις καταγγελίες για απάτες μέσω καρτών και μη εξουσιοδοτημένων μεταφορών να καταλαμβάνουν πλέον την πρώτη θέση στις αναφορές προς τις εποπτικές αρχές. Η τεράστια εξάπλωση των μεθόδων κοινωνικής μηχανικής και η χρήση προηγμένων τεχνολογιών για τη δημιουργία πειστικών πλαστών ιστοσελίδων καθιστούν την αναγνώριση του κινδύνου σχεδόν αδύνατη για τον μέσο χρήστη, ο οποίος δεν διαθέτει εξειδικευμένες γνώσεις ασφάλειας πληροφοριακών συστημάτων. 

Με την εφαρμογή των νέων αυστηρών κανόνων, το ευρωπαϊκό νομικό πλαίσιο ευθυγραμμίζεται με την πραγματικότητα της ψηφιακής εποχής, αναγνωρίζοντας ότι η διασφάλιση των ηλεκτρονικών συναλλαγών αποτελεί πρωτίστως ευθύνη των οργανισμών που παρέχουν τις αντίστοιχες υπηρεσίες και διαχειρίζονται τις τεχνολογικές υποδομές.