Phishing. Ο νέος νόμος για τον περιορισμό της ευθύνης της τράπεζας

Για τη μεγαλύτερη ασφάλεια των συναλλαγών, τα πιστωτικά ιδρύματα (ενδεικτικά, η Εθνική Τράπεζα της Ελλάδος) προσθέτουν ένα επιπλέον βήμα ταυτοποίησης για τη διενέργεια των συναλλαγών που ξεπερνούν αθροιστικά τα €1.000/ημέρα, τον Κωδικό Ασφάλειας Συναλλαγών (3 Factor Authentication - 3FA). Μάλιστα, η Εθνική Τράπεζα, στην ιστοσελίδα της, αναφέρει χαρακτηριστικά, ότι οι χρήστες των υπηρεσιών της μπορούν να απενεργοποιήσουν τον επιπρόσθετο παράγοντα ταυτοποίησης (3-Factor Authentication), δηλαδή τον Κωδικό Ασφάλειας Συναλλαγών, από τις Ρυθμίσεις Ασφαλείας του Προφίλ τους, πλην, όμως, έτσι θα ευθύνονται ανεξαρτήτως ποσού για οποιαδήποτε ζημία τυχόν υποστούν (λ.χ. ως αποτέλεσμα phishing), σύμφωνα με τα προβλεπόμενα στη διάταξη του άρθρου 74, παρ. 1 Ν. 4537/2018 (όπως αυτή έχει ήδη τροποποιηθεί και ισχύει δυνάμει των άρθρων 22 και 103 παρ. 3 του Ν.5019/2023).

Α. Το άρθρο 74 του ως άνω νόμου ( ευθύνη του πληρωτή για μη εγκεκριμένες πράξεις πληρωμής-άρθρο 74 της Οδηγίας 2015/2366/ΕΕ) ως ίσχυε μέχρι τις 31-08-2023, όριζε τα εξής:

1. Κατά παρέκκλιση από το άρθρο 73, ο πληρωτής ευθύνεται μέχρι του ανώτατου ποσού των πενήντα (50) ευρώ για τις ζημίες από τη διενέργεια μη εγκεκριμένων πράξεων πληρωμής, οι οποίες προκύπτουν είτε από τη χρήση απολεσθέντος ή κλαπέντος μέσου πληρωμών είτε από υπεξαίρεσή του. Η εν λόγω υποχρέωση δεν ισχύει, εφόσον:
   1. η απώλεια, κλοπή ή υπεξαίρεση του μέσου πληρωμών δεν ήταν δυνατό να εντοπιστεί από τον πληρωτή πριν από τη διενέργεια πράξης πληρωμής, εκτός αν ο πληρωτής είχε ενεργήσει με δόλο ή
   2. η ζημία είχε προκληθεί από πράξεις ή παραλείψεις υπαλλήλου, αντιπροσώπου ή υποκαταστήματος ενός παρόχου υπηρεσιών πληρωμών ή οντότητας στην οποία ο πάροχος υπηρεσιών πληρωμών είχε αναθέσει τις δραστηριότητές του. Ο πληρωτής ευθύνεται για όλες τις ζημίες που σχετίζονται με κάθε μη εγκεκριμένη πράξη πληρωμής, εφόσον οι ζημίες αυτές οφείλονται είτε σε δόλο είτε στη μη τήρηση μιας ή περισσοτέρων από τις υποχρεώσεις που έχει, σύμφωνα με το άρθρο 69, από πρόθεση ή βαριά αμέλεια. Στις περιπτώσεις αυτές, δεν ισχύει το ανώτατο ποσό που αναφέρεται στο πρώτο εδάφιο της παρούσας παραγράφου».

Το άρθρο 69 του ίδιου νόμου ( σχετικά με τις Υποχρεώσεις του χρήστη υπηρεσιών πληρωμών αναφορικά με τα μέσα πληρωμών και τα εξατομικευμένα διαπιστευτήρια ασφαλείας - (άρθρο 69 της Οδηγίας 2015/2366/ΕΕ) ορίζει ότι:

1. Ο χρήστης υπηρεσιών πληρωμών που έχει δικαίωμα χρήσης του μέσου πληρωμών έχει τις εξής υποχρεώσεις:
   1. χρησιμοποιεί το μέσο πληρωμών σύμφωνα με τους όρους που διέπουν την έκδοση και χρήση του, οι οποίοι πρέπει να είναι αντικειμενικοί, χωρίς διακρίσεις και αναλογικοί,
   2. ειδοποιεί χωρίς υπαίτια καθυστέρηση τον πάροχο υπηρεσιών πληρωμών ή τον φορέα που ο τελευταίος ορίζει, μόλις αντιληφθεί απώλεια, κλοπή, υπεξαίρεση του μέσου πληρωμών, ή μη εγκεκριμένη χρήση του.
2. Για τους σκοπούς της περίπτωσης α` της παραγράφου 1, ο χρήστης υπηρεσιών πληρωμών, μόλις παραλάβει το μέσο πληρωμών, λαμβάνει κάθε εύλογο μέτρο για την ασφαλή φύλαξη των εξατομικευμένων διαπιστευτηρίων ασφαλείας αυτού.

Το άρθρο 71 ( γνωστοποίηση και αποκατάσταση των πράξεων πληρωμής που δεν έχουν εγκριθεί ή εσφαλμένα έχουν εκτελεστεί- άρθρο 71 της Οδηγίας 2015/2366/ΕΕ) ορίζει τα εξής:

1. Ο πάροχος υπηρεσιών πληρωμών αποκαθιστά μία μη εγκεκριμένη ή εσφαλμένα εκτελεσθείσα πράξη πληρωμής στον χρήστη υπηρεσιών πληρωμών, μόνο αν ο τελευταίος ειδοποιήσει χωρίς υπαίτια καθυστέρηση τον πάροχο υπηρεσιών πληρωμών μόλις αντιληφθεί οποιαδήποτε τέτοια πράξη πληρωμής που θεμελιώνει αξίωση αποζημίωσης, περιλαμβανομένης εκείνης του άρθρου 88, και το αργότερο μέσα σε χρονικό διάστημα δεκατριών (13) μηνών από την ημερομηνία χρέωσης. Η ανωτέρω προθεσμία δεν ισχύει όταν ο πάροχος υπηρεσιών πληρωμών δεν χορήγησε ούτε κατέστησε διαθέσιμες τις πληροφορίες για τη συγκεκριμένη πράξη πληρωμής, σύμφωνα με τα άρθρα 38 έως 60.
2. Αν στην πράξη πληρωμής εμπλέκεται ένας πάροχος υπηρεσίας εκκίνησης πληρωμής, ο χρήστης υπηρεσιών πληρωμών αποζημιώνεται από τον πάροχο υπηρεσιών πληρωμών εξυπηρέτησης λογαριασμού σύμφωνα με την παράγραφο 1, με την επιφύλαξη των διατάξεων της παραγράφου 2 του άρθρου 73 και της παραγράφου 1 του άρθρου 88.

Το άρθρο 73 ( ευθύνη του παρόχου υπηρεσιών πληρωμών για μη εγκεκριμένες πράξεις πληρωμής- άρθρο 73 της Οδηγίας 2015/2366/ΕΕ) ορίζει τα εξής:

1. Με την επιφύλαξη του άρθρου 71, σε περίπτωση μη εγκεκριμένης πράξης πληρωμής, ο πάροχος υπηρεσιών πληρωμών του πληρωτή, ύστερα από διαπίστωση ή ειδοποίηση, επιστρέφει αμέσως και σε κάθε περίπτωση το αργότερο έως το τέλος της επόμενης εργάσιμης ημέρας στον πληρωτή το χρηματικό ποσό της μη εγκεκριμένης πράξης πληρωμής, εκτός αν ο πάροχος υπηρεσιών πληρωμών του πληρωτή έχει βάσιμες υπόνοιες ότι έχει διαπραχθεί απάτη και κοινοποιεί γραπτώς τους λόγους αυτούς στη ΓΓΕΠΚ. Αν συντρέχει περίπτωση, ο πάροχος υπηρεσιών πληρωμών του πληρωτή επαναφέρει το χρεωθέντα λογαριασμό πληρωμών στην πρότερη κατάσταση και διασφαλίζει ότι η ημερομηνία αξίας για την πίστωση λογαριασμού πληρωμών του πληρωτή δεν είναι μεταγενέστερη του χρονικού σημείου χρέωσης αυτού του λογαριασμού πληρωμών με το χρηματικό ποσό της πράξης πληρωμής.
2. Όταν η πράξη πληρωμής έχει εκκινηθεί μέσω παρόχου υπηρεσίας εκκίνησης πληρωμής, ο πάροχος υπηρεσιών πληρωμών εξυπηρέτησης λογαριασμού επιστρέφει, αμέσως και σε κάθε περίπτωση το αργότερο έως το τέλος της επόμενης εργάσιμης ημέρας στον πληρωτή το χρηματικό ποσό της μη εγκεκριμένης πράξης πληρωμής και, εφόσον συντρέχει περίπτωση, επαναφέρει τον χρεωθέντα λογαριασμό πληρωμών στην πρότερη κατάσταση. Αν ο πάροχος υπηρεσίας εκκίνησης πληρωμής υπέχει ευθύνη για τη μη εγκεκριμένη πράξη πληρωμής, αποζημιώνει αμέσως τον πάροχο υπηρεσιών πληρωμών εξυπηρέτησης λογαριασμού, ύστερα από αίτημα του τελευταίου, για ζημίες που έχει υποστεί ή για χρηματικά ποσά που έχει καταβάλει ως αποτέλεσμα της επιστροφής του χρηματικού ποσού μη εγκεκριμένης πράξης πληρωμής στον πληρωτή, περιλαμβανομένου του χρηματικού ποσού της μη εγκεκριμένης πράξης πληρωμής. Σύμφωνα με την παράγραφο 1 του άρθρου 72, ο πάροχος υπηρεσίας εκκίνησης πληρωμής φέρει το βάρος απόδειξης ότι, εντός του πεδίου αρμοδιότητάς του, έχει ταυτοποιηθεί η γνησιότητα της πράξης πληρωμής και ότι αυτή έχει καταγραφεί με ακρίβεια και δεν επηρεάστηκε από τεχνική βλάβη ή άλλη δυσλειτουργία που συνδέεται με την υπηρεσία πληρωμών με την οποία έχει επιφορτισθεί.
3. Περαιτέρω αποζημίωση δεν αποκλείεται, εφόσον θεμελιώνεται σχετικό δικαίωμα στο δίκαιο που διέπει τη σύμβαση που έχει συναφθεί μεταξύ του πληρωτή και του παρόχου υπηρεσιών πληρωμών ή στο δίκαιο που διέπει τη σύμβαση που έχει συναφθεί μεταξύ του πληρωτή και του παρόχου υπηρεσίας εκκίνησης πληρωμής.

Το άρθρο 88 ( Ευθύνη του παρόχου υπηρεσιών πληρωμών για μη εκτέλεση, εσφαλμένη ή καθυστερημένη εκτέλεση πράξεων πληρωμής- άρθρο 89 της Οδηγίας 2015/2366/ΕΕ) ορίζει τα εξής:

1. 1. Όταν η εντολή πληρωμής εκκινείται απευθείας από τον πληρωτή, ο πάροχος υπηρεσιών πληρωμών του πληρωτή, με την επιφύλαξη του άρθρου 71, των παραγράφων 2 και 3 του άρθρου 87 και του άρθρου 92, ευθύνεται έναντι του πληρωτή για την ορθή εκτέλεση της πράξης πληρωμής, εκτός αν αποδείξει στον πληρωτή και, ανάλογα με την περίπτωση, στον πάροχο υπηρεσιών πληρωμών του δικαιούχου, ότι ο πάροχος υπηρεσιών πληρωμών του δικαιούχου έλαβε το ποσό της πράξης πληρωμής σύμφωνα με την παράγραφο 1 του άρθρου 83. Στην περίπτωση αυτή, ο πάροχος υπηρεσιών πληρωμών του δικαιούχου ευθύνεται έναντι του δικαιούχου για την ορθή εκτέλεση της πράξης πληρωμής.
   2. Αν ο πάροχος υπηρεσιών πληρωμών του πληρωτή ευθύνεται σύμφωνα με την περίπτωση α`, επιστρέφει χωρίς υπαίτια καθυστέρηση στον πληρωτή τα χρηματικά ποσά της ανεκτέλεστης ή εσφαλμένης πράξης πληρωμής και, ανάλογα με την περίπτωση, επαναφέρει το χρεωθέντα λογαριασμό πληρωμών στην πρότερη κατάσταση.
   3. Η ημερομηνία αξίας για την πίστωση του λογαριασμού πληρωμών του πληρωτή δεν μπορεί να είναι μεταγενέστερη της ημερομηνίας χρέωσης του χρηματικού ποσού της πράξης πληρωμής.
   4. Αν ο πάροχος υπηρεσιών πληρωμών του δικαιούχου ευθύνεται σύμφωνα με την περίπτωση α`, θέτει αμέσως το ποσό της πράξης πληρωμής στη διάθεση του δικαιούχου και, ανάλογα με την περίπτωση, πιστώνει το αντίστοιχο ποσό στο λογαριασμό πληρωμών του δικαιούχου.
   5. Η ημερομηνία αξίας για την πίστωση του λογαριασμού πληρωμών του δικαιούχου δεν μπορεί να είναι μεταγενέστερη της ημερομηνίας αξίας πίστωσης του χρηματικού ποσού στο σχετικό λογαριασμό πληρωμών σε περίπτωση ορθής εκτέλεσης της πράξης πληρωμής σύμφωνα με το άρθρο 86.
   6. Αν η πράξη πληρωμής εκτελεστεί με καθυστέρηση, ο πάροχος υπηρεσιών πληρωμών του δικαιούχου διασφαλίζει, ύστερα από αίτημα του παρόχου υπηρεσιών πληρωμών του πληρωτή που ενεργεί για λογαριασμό του πληρωτή, ότι η ημερομηνία αξίας για την πίστωση του λογαριασμού πληρωμών του δικαιούχου δεν είναι μεταγενέστερη της ημερομηνίας αξίας πίστωσης του χρηματικού ποσού στο σχετικό λογαριασμό πληρωμών σε περίπτωση ορθής εκτέλεσης της πράξης πληρωμής.
   7. Αν η εντολή πληρωμής εκκινείται από τον πληρωτή και η πράξη πληρωμής δεν εκτελεστεί ή εκτελεστεί εσφαλμένα, ο πάροχος υπηρεσιών πληρωμών του πληρωτή, ύστερα από αίτημα και ανεξάρτητα από ευθύνη στο πλαίσιο της παρούσας παραγράφου, προσπαθεί αμέσως να εντοπίσει την πράξη πληρωμής και ειδοποιεί τον πληρωτή για το αποτέλεσμα. Στην παρούσα περίπτωση δεν επιβάλλεται καμία επιβάρυνση στον πληρωτή.

Β. Πλην, όμως, από την 1η Σεπτεμβρίου 2023, δυνάμει των άρθρων 22 και 103 παρ. 3 του Ν.5019/2023, ΦΕΚ Α` 27, η παρ. 1 του άρθρου 74, ως προς τον περιορισμό της ευθύνης του πληρωτή, διαμορφώνεται ως εξής:

«1.α Κατά παρέκκλιση από το άρθρο 73, ο πληρωτής ευθύνεται μέχρι του ανώτατου ποσού των πενήντα (50) ευρώ για τις ζημίες από τη διενέργεια μη εγκεκριμένων πράξεων πληρωμής, οι οποίες προκύπτουν είτε από τη χρήση απολεσθέντος ή κλαπέντος μέσου πληρωμών είτε από υπεξαίρεσή του. Η εν λόγω υποχρέωση δεν ισχύει, εφόσον:

1. η απώλεια, κλοπή ή υπεξαίρεση του μέσου πληρωμών δεν ήταν δυνατό να εντοπιστεί από τον πληρωτή πριν από τη διενέργεια πράξης πληρωμής, εκτός αν ο πληρωτής είχε ενεργήσει με δόλο ή
2. η ζημία είχε προκληθεί από πράξεις ή παραλείψεις υπαλλήλου, αντιπροσώπου ή υποκαταστήματος ενός παρόχου υπηρεσιών πληρωμών ή οντότητας στην οποία ο πάροχος υπηρεσιών πληρωμών είχε αναθέσει τις δραστηριότητές του.

1.β. Ο πληρωτής ευθύνεται για όλες τις ζημίες που σχετίζονται με κάθε μη εγκεκριμένη πράξη πληρωμής, που προξένησε από δόλο, καθώς για τη με δόλο αθέτηση των υποχρεώσεών του, σύμφωνα με το άρθρο 69 ( πλέον κατά την αθέτηση των υποχρεώσεών του πληρωτή εκ του άρθρου 69 η πρόσθετη προϋπόθεση της «πρόθεσης ή της βαριάς αμέλειας» έχει αντικατασταθεί από την έννοια του «δόλου», ο οποίος εξαιρεί τις περιπτώσεις της έστω βαριάς αμέλειας). Στις περιπτώσεις αυτές, δεν ισχύει το ανώτατο ποσό που αναφέρεται στο πρώτο εδάφιο της παρούσας παραγράφου.

Επιπλέον, τίθενται για πρώτη φορά, δύο νέες διατάξεις, ως εξής:

1.γ. Αν ο πληρωτής είναι καταναλωτής και εφόσον οι ζημιές οφείλονται σε βαριά αμέλεια, ευθύνεται μέχρι του ανώτατου ποσού των χιλίων (1.000) ευρώ, λαμβάνοντας υπόψη ιδίως τη φύση των εξατομικευμένων διαπιστευτηρίων ασφαλείας και τις ειδικότερες περιστάσεις υπό τις οποίες το μέσο πληρωμής απωλέσθη, εκλάπη ή υπεξαιρέθηκε.

Κατά την παράγραφο αυτή, ο καταναλωτής πληρωτής, εφόσον η ζημία οφείλεται σε βαριά αμέλειά του, καθίσταται συνυπόχρεος στην αποκατάστασή της μέχρι του ποσού των χιλίων ( 1.000,00) ευρώ.

1.δ.Το ανωτέρω εδάφιο δεν εφαρμόζεται, αν ο πάροχος αποδείξει ότι διαθέτει και εφαρμόζει πρόσθετους, αποτελεσματικούς και πιο εξελιγμένους μηχανισμούς ελέγχου των συναλλαγών, από αυτούς που εφαρμόζει για την ισχυρή ταυτοποίηση των συναλλαγών, για συναλλαγές που μπορούν να προκαλέσουν ζημία άνω των χιλίων (1.000) ευρώ, όπως ιδίως μηχανισμούς ελέγχου που αξιοποιούν τεχνολογίες τεχνητής νοημοσύνης ή επιπλέον κωδικό ή βιομετρική ταυτοποίηση ή τηλεφωνική επιβεβαίωση».

Με την πρόσθετη αυτή παράγραφο, δεν περιορίζεται εφεξής η ευθύνη του πληρωτή-καταναλωτή μέχρι του ποσού των 1.000,00 ευρώ, στην περίπτωση συναλλαγών που μπορούν να προκαλέσουν ζημία μεγαλύτερη των χιλίων (1.000,00) ευρώ, αλλά αυτή καθίσταται πλέον απεριόριστη!

Προκειμένου, συνεπώς, για το δικαστικό έλεγχο των προϋποθέσεων καθορισμού ή/και επιμερισμού της ευθύνης μεταξύ πληρωτή-καταναλωτή και παρόχου υπηρεσιών πληρωμής, καθίσταται επιτακτική η αποδοχή, ως μέτρου πρόληψης, εκ μέρους του πληρωτή-καταναλωτή, όλων των ανωτέρω πρόσθετων μηχανισμών ελέγχου των συναλλαγών, που εφεξής θα εφαρμόζουν τα πιστωτικά ιδρύματα, στην προσπάθειά τους για απαλλαγή τους από οιαδήποτε ευθύνη τους, κατά την πρόκληση ζημίας ανώτερης του ποσού των χιλίων ( 1.000) ευρώ στους πληρωτές- καταναλωτές από μη εγκεκριμένες συναλλαγές τους, ως αποτέλεσμα π.χ. υποκλοπής των προσωπικών κωδικών ταυτοποίησής τους ή phishing κ.ο.κ.

2. Εάν ο πάροχος υπηρεσιών πληρωμών του πληρωτή δεν απαιτεί ισχυρή ταυτοποίηση του πελάτη, ο πληρωτής ευθύνεται για τυχόν οικονομικές συνέπειες, μόνο αν έχει ενεργήσει με δόλο. Αν ο δικαιούχος ή ο πάροχος υπηρεσιών πληρωμών του δικαιούχου αδυνατεί να δεχτεί ισχυρή ταυτοποίηση του πελάτη, οφείλει να αποζημιώσει τον πάροχο υπηρεσιών πληρωμών του πληρωτή για την οικονομική ζημία που έχει υποστεί.
3. Από το χρονικό σημείο ειδοποίησης του παρόχου υπηρεσιών πληρωμών, σύμφωνα με την περίπτωση β` της παραγράφου 1 του άρθρου 69, ο πληρωτής δεν επωμίζεται οποιαδήποτε οικονομική συνέπεια που απορρέει από την χρήση απολεσθέντος, κλαπέντος ή υπεξαιρεθέντος μέσου πληρωμών, εκτός αν έχει ενεργήσει με δόλο.

Αν ο πάροχος υπηρεσιών πληρωμών δεν παρέχει στον πληρωτή τα κατάλληλα μέσα που του επιτρέπουν ανά πάσα στιγμή να προβεί σε ειδοποίηση αναφορικά με την απώλεια, κλοπή ή υπεξαίρεση του μέσου πληρωμών, σύμφωνα με την περίπτωση γ` της παραγράφου 1 του άρθρου 70, ο πληρωτής δεν ευθύνεται για τις οικονομικές συνέπειες που απορρέουν από τη χρήση του εν λόγω μέσου πληρωμών, εκτός αν έχει ενεργήσει με δόλο.

Τέλος, κατά το άρθρο 16 Ν.5039/2023, « Αν εγείρονται υπόνοιες διενέργειας μη εγκεκριμένης πράξης πληρωμής, κατά την έννοια του άρθρου 74 του ν. 4537/2018 (Α’ 84), ο πάροχος δικαιούται να ζητά την άμεση δέσμευση του λογαριασμού πίστωσης από το ελληνικό πιστωτικό ίδρυμα ή το υποκατάστημα αλλοδαπού πιστωτικού ιδρύματος, που έχει άδεια λειτουργίας και εγκατάστασης στην Ελλάδα και στο οποίο τηρείται ο συγκεκριμένος λογαριασμός, το δε πιστωτικό ίδρυμα που λαμβάνει το αίτημα οφείλει να το εκτελέσει άμεσα. Το πιστωτικό ίδρυμα, που έχει δεχθεί και εκτελέσει το αίτημα δέσμευσης, το γνωστοποιεί άμεσα στην Αρχή Καταπολέμησης της Νομιμοποίησης Εσόδων από Εγκληματικές Δραστηριότητες. Αν, εντός πέντε (5) εργασίμων ημερών από τη γνωστοποίηση στην ως άνω Αρχή, αυτή δεν εγκρίνει τη δέσμευση, η δέσμευση αίρεται αυτοδικαίως».

* Επισημαίνεται ότι το ανωτέρω κείμενο έχει ενημερωτικό χαρακτήρα και σε καμία περίπτωση δεν υποκαθιστά τις εξειδικευμένες νομικές υπηρεσίες.