欧盟最高法院：银行必须首先赔偿欺诈受害者，即使客户有过失

欧盟法院（CJEU）于2026年10月15日裁定，银行和其他支付服务提供商不能仅因怀疑客户存在重大过失就延迟或拒绝向遭受未经授权交易的客户进行退款。该裁定在案例C-70/25（N.O. v PKO BP S.A.）中发布，是对波兰科沙林地区法院在2025年2月3日提出的初步裁定请求的回应。

原诉讼案件的背景情况

该案件涉及一名波兰银行客户，在法庭文件中仅以N.O.的身份出现，她成为了一名冒充在线销售平台买家的诈骗者的目标。诈骗者发送了一个伪造的支付链接，伪装成来自该平台的消息。在客户点击链接并在虚假登录页面上输入了她的银行凭证后，诈骗者从她的账户中转走了约700欧元。她的银行PKO BP拒绝了她的赔偿请求，辩称她通过在虚假页面上输入凭证而存在重大过失。

法院的裁定内容

欧盟法院认定，欧盟支付服务法——《支付服务指令》(2015/2366指令，又称PSD2)——要求银行必须立即或不迟于客户报告后的下一个工作日结束前，对未经授权交易的金额进行退款，无论银行是否认为客户存在重大过失。法院认为，如果允许银行在调查过失主张期间扣留退款，将剥夺赔偿义务的实际效力，并迫使受害者去法庭争取自己的资金。

该裁定并不妨碍银行随后试图追回已退款金额。如果银行认为客户故意或因重大过失未能保护其个人安全凭证，它可以在之后向客户提出索赔——但证明过失的举证责任在银行身上，通常需要由法官判决，而不是在欺诈发生时就要求客户承担。

为什么这对整个欧盟很重要

由于PSD2是适用于所有27个欧盟成员国的欧盟指令，该裁定对整个欧盟地区的国家法院和监管机构具有约束力指导意义，而不仅仅在波兰适用。消费者组织表示，实际效果很重要，因为许多银行已经习惯性地颠倒了法律的意图顺序：先调查疑似过失，然后才进行赔付，或者根本不赔付。比利时消费者组织Test-Achats/Testaankoop称这项决定是一个转折点。其发言人Julie Frère总结了这一义务为"Les banques doivent payer d'abord, discuter ensuite"（"银行必须先付款，再讨论"），称其确认了一项银行一直在规避的规则。

《布鲁塞尔时报》报道称，该裁定直接挑战了比利时银行的当前做法，其中一些银行在调查客户是否对登录凭证或一次性代码不谨慎时拒绝立即赔偿。包括西班牙媒体Ara发表的分析在内的案件法律评论指出，法院的答复具体适用于PSD2中规定的退款期限，该裁定更广泛地涉及"支付服务提供商"而不仅仅是银行，并且它允许提供商在资金已经返还后单独就重大过失进行诉讼。

问题的规模

该裁定发出之际，支付欺诈损失正在整个欧盟和欧洲经济区上升。欧洲银行管理局和欧洲中央银行的联合报告发现，2024年支付欺诈总损失达到42亿欧元，高于2023年的35亿欧元和2022年的34亿欧元——从2023年到2024年大约增加了20%。在这个总数中，与转账欺诈相关的欺诈从同比增长16%至22亿欧元，欧盟和欧洲经济区发行卡片上的欺诈增加29%至约13.3亿欧元。具体来说，对于转账欺诈，同一报告发现支付服务用户承担了约85%的损失，主要是因为骗局欺骗人们自行授权转账。

仍然不清楚的是什么

该裁定涉及未经授权的交易——即他人获取或挪用客户资金的情况，如网络钓鱼。它不改变对以下情况的单独法律处理：银行有客观理由怀疑客户自己授权了支付或参与了欺诈，这仍然可以成为扣留退款的正当理由。截至2026年10月16日，欧盟各个银行在多快时间内改变其内部退款程序以应对该裁定，以及国家监管机构是否会积极执行该裁定，仍需观察。