Суд ЕС: банки должны возмещать убытки жертвам мошенничества в первую очередь, даже если они были небрежны

Суд Справедливости Европейского Союза (ССПЕС) вынес решение 15 октября 2026 года о том, что банки и другие поставщики платежных услуг не могут задерживать или отказывать в возмещении клиенту, пострадавшему от несанкционированной операции, только потому, что они подозревают, что клиент был грубо небрежен. Решение было вынесено по делу C-70/25 «N.O. против PKO BP S.A.» в ответ на запрос о предварительном решении от окружного суда в Кошалине, Польша, поданный 3 февраля 2025 года.

Что произошло в рассматриваемом деле

Дело началось с клиентки польского банка, известной в судебных документах только как N.O., которая стала мишенью мошенника, выдавшего себя за покупателя на интернет-платформе по продаже товаров. Мошенник отправил поддельную ссылку платежа, замаскированную под сообщение платформы. После того как клиентка щелкнула по ссылке и ввела свои банковские учетные данные на поддельной странице входа, мошенник перевел примерно 700 евро со своего счета. Её банк PKO BP отказался возместить ей убытки, утверждая, что она проявила грубую небрежность, введя свои учетные данные на поддельной странице.

Что решил Суд

ССПЕС постановил, что правила ЕС по платежным услугам - Директива по платежным услугам (Директива 2015/2366, известная как PSD2) - требуют от банка немедленного возмещения суммы несанкционированной операции, и не позднее конца рабочего дня, следующего за днем сообщения клиентом об операции, независимо от того, считает ли банк, что клиент действовал с грубой небрежностью. Суд пришел к выводу, что позволение банкам удерживать возмещение во время расследования претензий о небрежности лишило бы обязательство по возмещению практического значения и заставило бы жертв обращаться в суд просто для того, чтобы вернуть свои собственные деньги.

Решение не препятствует банкам попытаться впоследствии вернуть возмещенную сумму. Если банк полагает, что клиент намеренно или по грубой небрежности не защитил свои персональные учетные данные безопасности, он может выдвинуть претензию к клиенту впоследствии - но бремя доказывания этой небрежности лежит на банке, обычно перед судьей, а не на клиенте в момент совершения мошенничества.

Почему это важно для всего ЕС

Поскольку PSD2 - это директива ЕС, применяемая во всех 27 странах-членах, решение является обязательным руководством для национальных судов и регулятивных органов во всем блоке, а не только в Польше. Организации защиты прав потребителей говорят, что практический эффект значителен, поскольку многие банки систематически переворачивали последовательность, которую предусматривает закон: сначала расследовали предполагаемую небрежность и выплачивали только потом, если вообще выплачивали. Бельгийская организация по защите прав потребителей Test-Achats/Testaankoop назвала это решение поворотным моментом. Её представитель, Жюли Фрер, сформулировал обязательство как «Les banques doivent payer d'abord, discuter ensuite» («банки должны платить в первую очередь, обсуждать потом»), сказав, что это подтверждает правило, которое банки обходили на практике.

The Brussels Times сообщила, что решение прямо оспаривает действующую практику бельгийских банков, многие из которых отказывали в немедленном возмещении, пока расследовали, был ли клиент беспечен с логинами или одноразовыми кодами. Юридические комментарии к делу, в том числе анализ, опубликованный испанским изданием Ara, отмечают, что ответ Суда применяется конкретно к сроку возмещения, установленному в PSD2, что решение говорит в терминах «поставщиков платежных услуг» в целом, а не только банков, и что оно оставляет поставщикам свободу оспаривать грубую небрежность отдельно, после того как деньги уже возвращены.

Масштаб проблемы

Решение выходит в момент, когда потери от платежного мошенничества растут по всему ЕС и Европейской экономической зоне. Совместный доклад Европейского органа банковского надзора и Европейского центрального банка показал, что общие потери от платежного мошенничества достигли 4,2 млрд евро в 2024 году, по сравнению с 3,5 млрд евро в 2023 году и 3,4 млрд евро в 2022 году - примерно 20-процентный прирост с 2023 по 2024 год. В этой сумме мошенничество, связанное с кредитовыми переводами, выросло на 16 процентов в годовом исчислении до 2,2 млрд евро, а мошенничество с карточками, выпущенными в ЕС и ЕЭЗ, выросло на 29 процентов примерно до 1,33 млрд евро. Для мошенничества с кредитовыми переводами конкретно, в том же отчете было установлено, что пользователи платежных услуг понесли примерно 85 процентов получившихся потерь, главным образом потому, что мошенничества заставляют людей авторизовать передачу сами.

Что остается неясным

Решение касается несанкционированных операций - случаев, когда кто-то другой получил доступ к деньгам клиента или их отвел, как при фишинге. Оно не меняет отдельное законодательное регулирование ситуаций, когда банк имеет объективные основания подозревать, что клиент авторизовал платеж сам или был сообщником в мошенничестве, что все еще может оправдать удержание возмещения. Насколько быстро отдельные банки по всему ЕС изменят свои внутренние процедуры возмещения в ответ на решение и будут ли национальные регулятивные органы активно его соблюдать, оставалось неясным по состоянию на 16 октября 2026 года.