Την ευθύνη των τραπεζών για περιπτώσεις ηλεκτρονικής απάτης μέσω e-banking, μέσω των οποίων επιτήδειοι αδειάζουν λογαριασμούς καταθετών, οριοθετεί με πολύ αυστηρό τρόπο η Δικαιοσύνη, δικαιώνοντας την πλευρά των καταθετών.
Η απόφαση 1489/2026 που εξέδωσε πρόσφατα το Πολυμελές Πρωτοδικείου Αθηνών (ως Εφετείο) ανέτρεψε πρωτόδικη απόφαση και δικαίωσε θύμα ηλεκτρονικής απάτης (με τη μέθοδο του phishing, δηλαδή της υφαρπαγής στοιχείων και προσωπικών δεδομένων με διάφορα τεχνάσματα). Η απόφαση υποχρεώνει μεγάλη τράπεζα να επιστρέψει ακέραιο 9.800 ευρώ στους συνδικαιούχους του λογαριασμού, επιδικάζοντας παράλληλα και αποζημίωση 2.000 ευρώ στον καθένα για ηθική βλάβη.
Το ιστορικό της υπόθεσης
Το περιστατικό έλαβε χώρα την 1η Μαρτίου 2022, όταν ο ενάγων επιχείρησε να συνδεθεί στο e-banking μέσω του κινητού του. Αφού το σύστημα του εμφάνισε σφάλμα, προσπάθησε εκ νέου να συνδεθεί μέσω ηλεκτρονικού υπολογιστή. Εκείνη τη στιγμή, δέχθηκε μια αναπάντητη κλήση από τη Γαλλία και ταυτόχρονα έλαβε μέσω Viber έναν εξαψήφιο κωδικό μιας χρήσης (OTP) για «σύνδεση με νέο browser», τον οποίο και πληκτρολόγησε.
Το κρίσιμο σημείο της απάτης ήταν ότι ένα δεύτερο μήνυμα με κωδικό μιας χρήσης, για την έγκριση μεταφοράς 9.800 ευρώ, δεν έφτασε ποτέ στο κινητό του χρήστη. Ο κωδικός αυτός υποκλάπηκε με τεχνικά μέσα από τους δράστες, οι οποίοι ολοκλήρωσαν τη μεταφορά των 9.800 ευρώ σε γαλλική τράπεζα. Το σύστημα ασφαλείας της τράπεζας παρήγαγε ειδοποίηση (alert) για ύποπτη συναλλαγή και κλείδωσε τον λογαριασμό, αλλά αυτό συνέβη μερικά λεπτά μετά την ολοκλήρωση της μεταφοράς, με τον υπάλληλο να ενημερώνει τηλεφωνικά τον πελάτη κατόπιν εορτής.
Το σκεπτικό
Το δικαστήριο, εφαρμόζοντας τον Ν. 4537/2018 (ενσωμάτωση της ευρωπαϊκής Οδηγίας PSD2), προχώρησε σε τρεις, κρίσιμες νομικές παραδοχές που διαμορφώνουν νομολογία για τις υποθέσεις ηλεκτρονικής τραπεζικής απάτης:
Αντιστροφή βάρους άπόδειξης: Σύμφωνα με το άρθρο 72 του νόμου, εάν ο πελάτης αμφισβητήσει μια συναλλαγή, η τράπεζα φέρει το βάρος να αποδείξει ότι η πράξη ήταν γνήσια και εγκεκριμένη. Το δικαστήριο έκρινε ότι η απλή καταγραφή χρήσης ενός κωδικού από το σύστημα δεν αποτελεί επαρκή απόδειξη ότι ο ίδιος ο πελάτης ενέκρινε τη συναλλαγή.
Ακυρότητα τραπεζικών όρων: Οι γενικοί όροι συναλλαγών που επιβάλλονται από τις τράπεζες και τους οποίους αποδέχεται ο καταναλωτής κατά το άνοιγμα του e-banking ορίζουν ότι ο πελάτης φέρει πλήρη ευθύνη για κάθε ζημία από τη χρήση των κωδικών του. Αυτοί οι όροι κρίθηκαν άκυροι από το δικαστήριο, επειδή προσκρούουν στο αναγκαστικό δίκαιο του Ν. 4537/2018.
Απουσία βαριάς αμέλειας: Για να απαλλαγεί η τράπεζα από την ευθύνη, πρέπει να αποδείξει βαριά αμέλεια του χρήστη (π.χ. να δώσει στους απατεώνες όλους τους κωδικούς, συμπεριλαμβανομένου του τελικού OTP για την επιβεβαίωση της συναλλαγής). Στην προκειμένη περίπτωση, ο ενάγων έδωσε μόνο τον κωδικό εισόδου, αγνοώντας ότι οι δράστες θα μπορούσαν να υποκλέψουν τεχνικά τον κωδικό για το δεύτερο στάδιο ταυτοποίησης. Η απάντηση σε μια ξένη κλήση δεν στοιχειοθετεί, κατά το δικαστήριο, αμέλεια.
Αδικοπρακτική ευθύνη και ηθική βλάβη: Το δικαστήριο δέχθηκε ότι η τράπεζα ενήργησε παράνομα και υπαίτια (αδικοπραξία κατ’ άρθρο 914 ΑΚ). Ενώ το σύστημά της αναγνώρισε τη συναλλαγή ως ύποπτη (μεγάλο ποσό ζητήθηκε να μεταφερθεί σε λογαριασμό εξωτερικού) και χτύπησε “alert”, το έμβασμα εκτελέστηκε χωρίς να προηγηθεί προληπτική τηλεφωνική επικοινωνία με τον πελάτη για επιβεβαίωση. Αυτή η παράλειψη των υποχρεώσεων πρόνοιας και ασφάλειας θεμελίωσε το δικαίωμα αποζημίωσης για ηθική βλάβη.
Αρχικά το Ειρηνοδικείο Αθηνών είχε απορρίψει την αγωγή κατά της Τράπεζας, αλλά το Πολυμελές Πρωτοδικείο Αθηνών έκανε δεκτή την έφεση και δέχτηκε την αγωγή, επιδίκασε και ηθική βλάβη.
Οι ενάγοντες και ήδη εκκαλούντες, με την από 10.05.2022 αγωγή τους, εξέθεταν ότι διατηρούν κοινό τραπεζικό λογαριασμό στην τραπεζική εταιρεία, ενώ είναι και συνδρομητές στο σύστημα ηλεκτρονικής τραπεζικής αυτής, προκειμένου να διενεργούν τραπεζικές συναλλαγές από απόσταση, με τη χρήση ατομικού κωδικού εισόδου (username) και ατομικού κωδικού πρόσβασης (password).
Την 01η.03.2022 και ώρα 19:45, κάτω από τις περιστάσεις που ειδικότερα περιγράφουν στην αγωγή, άγνωστο άτομο απέκτησε, μέσω διαδικτύου, πρόσβαση στον εν λόγω λογαριασμού τους και μετέφερε συνολικά ποσό 9.800 ευρώ από τον κοινό τους λογαριασμό σε λογαριασμό τρίτου προσώπου.
