Finansinis sukčiavimas ir neautorizuoti mokėjimai. Kada bankas privalo grąžinti lėšas?
Finansinis sukčiavimas ir neautorizuotos mokėjimo operacijos tampa vis dažnesne problema. Klientai susiduria su atvejais, kai nuo jų sąskaitų be jų žinios pervedamos lėšos arba jie, sukčių apgaule, patys patvirtina mokėjimo operaciją. Tokiais atvejais kyla svarbus klausimas – kada bankas ar kitas mokėjimo paslaugų teikėjas privalo grąžinti prarastas lėšas?
Šiame straipsnyje aptariame, kada finansinio sukčiavimo atveju mokėjimo operacija laikoma neautorizuota, kokios pareigos tenka bankui ir klientui bei kokiais atvejais galima reikalauti grąžinti prarastas lėšas.
Finansinis sukčiavimas: kada mokėjimo paslaugų teikėjas privalo grąžinti lėšas?
Nuo sukčių nukentėjusių asmenų skundai ir Lietuvos banko praktika rodo, kad mokėjimo paslaugų teikėjai kartais atsisako grąžinti lėšas. Taip nutinka, kai pats asmuo atskleidė sukčiams personalizuotus saugumo duomenis arba dėl apgaulės autorizavo mokėjimo operaciją.
Tačiau mokėjimo paslaugų teikėjams, kaip profesionaliems rinkos dalyviams, kurių teikiamos paslaugos yra susijusios su didesnėmis rizikomis, taikomi griežtesni atidumo ir rūpestingumo standartai. Todėl vien tai, kad iš asmens apgaulės būdu buvo išvilioti mokėjimo operacijai atlikti reikalingi duomenys, ne visada reiškia, kad mokėjimo paslaugų teikėjas atleidžiamas nuo pareigos atlyginti klientui nuostolius.
Kada mokėjimo operacija laikoma neautorizuota?
Mokėjimų įstatymo 29 straipsnio 1 dalyje nustatyta, kad mokėjimo operacija laikoma autorizuota tik tada, kai mokėtojas duoda sutikimą įvykdyti mokėjimo operaciją. Jeigu mokėtojo sutikimo įvykdyti mokėjimo operaciją nėra, laikoma, kad mokėjimo operacija yra neautorizuota. Mokėjimų įstatymo 39 straipsnio 1 dalyje nustatyta, kad mokėjimo paslaugų teikėjas mokėtojui turi grąžinti neautorizuotos mokėjimo operacijos sumą, išskyrus atvejus, kai mokėtojo mokėjimo paslaugų teikėjas turi pagrįstų priežasčių įtarti paties mokėtojo sukčiavimą ir apie šias priežastis raštu praneša priežiūros institucijai.
Vien tai, kad mokėjimo operacija buvo atlikta panaudojant mokėjimo paslaugų teikėjo klientui suteiktus personalizuotus duomenis, nebūtinai reiškia, kad tokia mokėjimo operacija buvo teisėtai autorizuota ir kad mokėjimo paslaugų teikėjas yra atleidžiamas nuo pareigos atlyginti klientui patirtus nuostolius.
Pavyzdžiui, tretieji asmenys gali apgaulės būdu gauti personalizuotus saugumo duomenis ir (ar) mokėtojo sutikimą. Tai gali įvykti telefoninio sukčiavimo, suklastotų interneto banko nuorodų ar netikrų „Smart-ID“ ir „Mobile ID“ užklausų atvejais. Tokiais atvejais mokėjimo operacijos inicijavimas ir patvirtinimas neatitinka tikrosios mokėtojo valios, nors formaliai atitinka sutartą sutikimo davimo tvarką. Taigi finansinis sukčiavimas gali lemti ne tik lėšų praradimą, bet ir ginčą dėl mokėjimo operacijos autorizavimo.
Kita vertus, mokėjimo operacija gali būti atlikta mokėtojui apie ją net nežinant. Tokia operacija turėtų būti laikoma neautorizuota, net jeigu jai atlikti buvo panaudoti personalizuoti saugumo duomenys.
Lietuvos Aukščiausiasis Teismas yra konstatavęs, kad įstatyme nustatyta tokia mokėtojo paslaugų teikėjo atsakomybės už neautorizuotą mokėjimą sistema, pagal kurią mokėtojas turi teisę į neautorizuotos operacijos sumos sugrąžinimą, o mokėtojo paslaugų teikėjas turi pareigą ją sugrąžinti, išskyrus atvejus, jei nustatoma, kad:
- Mokėtojas veikia nesąžiningai;
- Mokėtojas tyčia ar dėl didelio neatsargumo pažeidžia vieną ar kelias Mokėjimų įstatymo 34 straipsnyje nustatytas mokėtojo pareigas, susijusias su mokėjimo priemonėmis ir personalizuotais saugumo duomenimis.
Nurodyta mokėtojo paslaugų teikėjo atsakomybės už neautorizuotą mokėjimą sistema reiškia griežtąją atsakomybę už neautorizuotas mokėjimo operacijas. Tai yra atsakomybė be kaltės. Svarbu pažymėti, kad mokėtojui neigiant autorizavus mokėjimo operaciją, pareiga įrodyti mokėtojo sukčiavimą arba didelį neatsargumą tenka mokėjimo paslaugų teikėjui. Ši įrodinėjimo našta negali būti perkeliama mokėtojui. Tai ypač aktualu asmenims, kurie po finansinio sukčiavimo kreipiasi į banką ir siekia susigrąžinti prarastas lėšas.
Finansinis sukčiavimas: kada mokėjimo paslaugų teikėjas gali būti atleistas nuo atsakomybės?
Mokėtojo paslaugų teikėjo atsakomybė be kaltės neeliminuoja paties mokėtojo pareigos elgtis rūpestingai ir atsakingai. Todėl tuo atveju, jei mokėtojas elgiasi nesąžiningai arba tyčia ar dėl didelio neatsargumo pažeidžia įstatyme jam nustatytas pareigas, paslaugų teikėjas yra atleidžiamas nuo atsakomybės.
Pažymėtina, kad ne bet kokių mokėtojo pareigų nevykdymas yra pagrindas atleisti paslaugų teikėją nuo atsakomybės, o būtent Mokėjimų įstatymo 34 straipsnyje nustatytų mokėtojo pareigų, kurios susijusios su mokėjimo priemonėmis ir personalizuotais saugumo duomenimis. Be to, paprastas mokėtojo neatsargumas nėra laikomas mokėtojo paslaugų teikėjo atleidimo nuo atsakomybės sąlyga – vien tas faktas, kad nukentėjusysis patikėjo sukčiumi, savaime dar nereiškia didelio neatsargumo.
Mokėtojo pareigos ir didelis neatsargumas
Mokėjimų įstatymo 34 straipsnis nustato mokėtojui, kuriam išduota mokėjimo priemonė, pareigą naudotis šia mokėjimo priemone pagal jos išdavimą ir naudojimą reglamentuojančias sąlygas, o sužinojus apie jos praradimą, vagystę arba neteisėtą pasisavinimą ar neautorizuotą jos naudojimą – nedelsiant apie tai pranešti mokėjimo paslaugų teikėjui arba jo nurodytam subjektui. Taip pat, gavus mokėjimo priemonę, mokėtojas turi imtis veiksmų, kad būtų apsaugoti personalizuoti saugumo duomenys (PIN kodai, prisijungimo slaptažodžiai, „Smart-ID“ ir „Mobile ID“ kodai ir kt.).
Lietuvos Aukščiausiasis Teismas yra išaiškinęs, kad didelis neatsargumas pasireiškia neprotingu arba išskirtiniu rūpestingumo nebuvimu, kai asmuo nėra tiek rūpestingas, kiek akivaizdžiai būtina esamomis aplinkybėmis. Didelis mokėtojo neatsargumas gali būti konstatuojamas tik tuomet, jei mokėtojas elgėsi labai nerūpestingai. Kad mokėtojas elgėsi labai nerūpestingai, turi įrodyti mokėjimo paslaugų teikėjas, pateikdamas konkrečius tokį elgesį pagrindžiančius įrodymus. Ši įrodinėjimo našta negali būti perkelta mokėtojui.
Mokėtojo neatsargumo laipsnio vertinimas susijęs su individualių, specifinių aplinkybių konkrečiu atveju visumos vertinimu. Todėl vien tai, kad asmuo, pakliuvęs į sukčių pinkles, atskleidė personalizuotus saugumo duomenis, savaime neleidžia teigti, jog mokėtojas elgėsi labai nerūpestingai ir dėl to mokėjimo paslaugų teikėjas yra atleidžiamas nuo atsakomybės. Taigi išvada dėl mokėtojo paprasto ar didelio neatsargumo, kaip vertinamojo pobūdžio aplinkybė, negali būti daroma izoliuotai, neįvertinus viso neautorizuotos mokėjimo operacijos įvykdymo ir su ja susijusių aplinkybių konteksto.
Siekiant įvertinti galimą mokėjimo paslaugų vartotojo aplaidumą ar didelį aplaidumą, mokėjimo paslaugų teikėjas turėtų atsižvelgti į visas aplinkybes. Tačiau nors aplaidumas reiškia, kad pažeidžiamas įsipareigojimas elgtis rūpestingai, didelis aplaidumas turėtų reikšti daugiau nei vien aplaidumą ir apimti labai nerūpestingą elgesį, pavyzdžiui, mokėjimo operacijos autorizavimui naudojamų saugumo požymių laikymą prie mokėjimo priemonės atviru ir trečiosioms šalims lengvai atskleidžiamu formatu ir pan.
Banko ir mokėjimo paslaugų teikėjo pareiga stebėti operacijų riziką
Net ir tuo atveju, kai mokėtojas elgėsi labai aplaidžiai, pavyzdžiui, sukčiams perdavė mokėjimo kortelę ir mokėjimo kortelės PIN kodą, suvedė „Smart-ID“ programėlės PIN1 ir PIN2 kodus, kuriais patvirtino mokėjimo operaciją ir pan., tai neatleidžia mokėjimo paslaugų teikėjo nuo pareigos įgyvendinti saugumo priemones, kurios padėtų sumažinti sukčiavimo riziką ir užkirsti kelią neįprastoms, galimai sukčiavimo būdu inicijuotoms operacijoms.
Finansinis sukčiavimas ir operacijų rizikos stebėsena
Komisijos deleguotojo reglamento (ES) 2018/389 preambulėje nurodoma, kad autentiškumo patvirtinimo procedūra turėtų apimti operacijų stebėjimo mechanizmus, kuriais būtų galima nustatyti mėginimus pasinaudoti mokėjimo paslaugų vartotojo personalizuotais saugumo požymiais, kurie buvo prarasti, pavogti arba neteisėtai pasisavinti, ir užtikrinti, kad mokėjimo paslaugų vartotojas, įprastu būdu nurodęs personalizuotus saugumo požymius, būtų teisėtas vartotojas ir kaip toks išreikštų savo sutikimą pervesti lėšas ir gauti informaciją apie jo sąskaitą.
Pagal reglamento nuostatas mokėjimo paslaugų teikėjai privalo turėti operacijų stebėsenos mechanizmus, kurie leistų aptikti neautorizuotas ir nesąžiningas mokėjimo operacijas, remiantis vartotojui būdingų elgsenos ir saugumo elementų analize. Šiuose mechanizmuose bent jau turi būti vertinami tokie rizikos veiksniai kaip pavogti ar pažeisti autentifikavimo duomenys, operacijos suma, žinomi sukčiavimo atvejai, kenkėjiškų programų požymiai bei neįprastas paslaugų teikėjo suteiktų priemonių naudojimas.
Lietuvos bankas taip pat yra parengęs Sukčiavimo prevencijos gaires, kuriomis siekiama paskatinti finansų rinkos dalyvius gerinti finansinio sukčiavimo rizikos valdymą. Viena esminių šiose gairėse nurodytų priemonių – efektyvi operacijų rizikos stebėsena, diegiant tinkamas technologines ir organizacines priemones, kad būtų didinamas sukčiavimo prevencijos efektyvumas ir mažinama tiek banko, tiek kliento nuostolių rizika.
Kaip vertinama operacijų rizika?
Atsižvelgiant į reglamento nuostatas bei Lietuvos banko gairėse pateikiamas rekomendacijas dėl operacijų rizikos stebėsenos, veiksminga operacijų rizikos stebėsena turėtų būti grindžiama kliento elgesio netipiškumo stebėjimu, t. y. nukrypimais nuo įprastų kliento finansinių įpročių, veiklos modelio ir operacijų pobūdžio. Pavyzdžiui, turėtų būti vertinama:
- konkretus kliento tipas ir jo įprasti mokėjimo įpročiai,
- veiksmai iki operacijos inicijavimo,
- klientui istoriškai būdingas elgesys, palyginti su dabartiniu,
- staigus elgesio pasikeitimas per trumpą laikotarpį,
- atliekamų veiksmų seka, jų kiekis, intensyvumas,
- operacijų laikas bei suderinamumas su iki tol mokėtojo atliktais veiksmais ir pan.
Taigi tais atvejais, kai panaudojant mokėtojui suteiktus personalizuotus duomenis atliekamos mokėjimo operacijos nėra pavienės, yra netipiškos klientui (pavyzdžiui, mokėjimo operacijos atliekamos mokėtojui netipiniu paros metu, netipinėmis ar neįprastai didelėmis sumomis ir pan.), mokėjimo paslaugų teikėjas turėtų į tai atsižvelgti, vertindamas vėlesnių mokėjimo operacijų neįprastumą, ir imtis aktyvių veiksmų, kad įsitikintų, jog pats klientas siekia atlikti mokėjimo sąskaitoje vykdomas operacijas (pavyzdžiui, susisiekti su klientu papildomam patvirtinimui).
Nustačius, kad mokėjimo paslaugų teikėjo operacijų rizikos stebėsenos priemonės nebuvo veiksmingos ir kad nebuvo laiku identifikuotos bei užkardytos akivaizdžios sukčiavimo rizikos, tai galėtų būti pagrindas proporcingai mažinti mokėtojo atsakomybę už nuostolius, patirtus dėl neautorizuotų mokėjimo operacijų, ir reikalauti dalies atlyginimo iš mokėjimo paslaugų teikėjo.
Nukentėjote nuo finansinio sukčiavimo ar neautorizuotos mokėjimo operacijos?
Advokatų profesinės bendrijos „Leagus“ komanda yra pasirengusi jums padėti.
Tadas Kuzminskas, tadas.kuzminskas@leagus.lt, advokatų profesinė bendrija „Leagus“
