歐盟最高法院:銀行必須優先賠償詐欺受害人,即使客戶疏忽

歐盟司法法院(CJEU)於2026年10月15日裁定,銀行和其他支付服務提供商不能因為懷疑客戶存在重大過失而延遲或拒絕賠償遭遇未經授權交易的客戶。該判決在案件C-70/25 N.O. v PKO BP S.A.中發布,根據波蘭科沙林地區法院於2025年2月3日提交的初步裁決請求。

基礎案件中發生了什麼

該案件始於一位波蘭銀行客戶,在法庭文件中僅被標識為N.O.,她成為一名冒充在線銷售平台買家的詐騙者的目標。詐騙者發送了一個偽裝成來自該平台信息的欺詐支付連結。客戶點擊該連結並在虛假登錄頁面上輸入銀行憑證後,詐騙者從她的帳戶轉移了大約€700。她的銀行PKO BP拒絕賠償她,辯稱她因在虛假頁面上輸入憑證而存在重大過失。

法院如何裁定

CJEU認為,歐盟支付服務法——《支付服務指令》(指令2015/2366,稱為PSD2)——要求銀行立即賠償未經授權交易的金額,且不遲於客戶報告之日後的下一個營業日結束,無論銀行是否認為客戶存在重大過失。法院認為,允許銀行在調查過失索賠期間扣留賠款將使賠償義務失去實際效力,並迫使受害人為了拿回自己的錢而訴諸法庭。

該裁決並不妨礙銀行隨後嘗試追回賠款金額。如果銀行認為客戶因故意或重大過失而未能保護其個性化安全憑證,它可以隨後對客戶提出索賠——但證明過失的責任在銀行,通常在法官面前,而不是在詐欺發生時由客戶承擔。

為什麼這對整個歐盟很重要

由於PSD2是在所有27個成員國適用的歐盟指令,該裁決對整個歐盟集團的國家法院和監管機構具有約束力,不僅在波蘭。消費者組織表示,實際效果是重大的,因為許多銀行通常顛倒了法律預期的順序:首先調查懷疑的過失,之後才支付,如果有的話。比利時消費者組織Test-Achats/Testaankoop稱該決定為轉折點。其發言人Julie Frère將該義務總結為「Les banques doivent payer d'abord, discuter ensuite」(「銀行必須先付款,後討論」),表示這確認了銀行在實踐中一直在規避的規則。

《布魯塞爾時報》報導,該裁決直接挑戰了比利時銀行的現有做法,其中一些銀行拒絕立即賠償,同時調查客戶是否對登錄詳情或一次性密碼不謹慎。對該案的法律評論,包括西班牙媒體Ara發布的分析,指出法院的答案具體適用於PSD2規定的賠款期限,該裁決以「支付服務提供商」更廣泛的方式表述,而不僅限於銀行,它允許提供商在款項已返還後單獨進行重大過失訴訟。

問題的規模

該裁決的出現恰逢歐盟和歐洲經濟區的支付詐欺損失不斷上升。歐洲銀行管理局和歐洲中央銀行的聯合報告發現,2024年整體支付詐欺損失達到€42億,高於2023年的€35億和2022年的€34億——2023年至2024年大約增加了20%。在這個總數中,與信用轉帳相關的詐欺同年增長16%至€22億,歐盟和歐洲經濟區發行的卡片詐欺增長29%至約€13.3億。對於信用轉帳詐欺,同一份報告發現支付服務用戶承擔了約85%的損失,主要是因為詐騙誘使人們自行授權轉帳。

仍不清楚的是什麼

該判決涉及未經授權的交易——他人訪問或轉移客戶資金的情況,如釣魚詐騙。它不會改變銀行有客觀理由懷疑客戶自行授權付款或參與詐欺的情況的單獨法律處理,這仍可能證明扣留賠款的合理性。截至2026年10月16日,歐盟各銀行如何快速改變其內部賠款程序以應對該裁決,以及國家監管機構是否會積極執行該裁決,仍有待觀察。