Суд ЄС зобов’язав банки повертати гроші жертвам фішингу навіть за їхньої необережності

Банк, клієнт якого ввів логін і пароль на підробленому сайті, не має права затримати повернення вкрадених коштів лише тому, що вважає клієнта необережним. Спершу гроші повертаються на рахунок, і тільки потім банк може з’ясовувати, хто винен, причому доводити провину клієнта мусить сам. Таке рішення 15 жовтня 2026 року ухвалив Суд Європейського Союзу у справі C-70/25 Tukowiecka.

Одразу варто прибрати плутанину, яка вже встигла проникнути в перекази цієї новини. Йдеться не про постанову Європейського центрального банку і не про нове регулювання. Суд розтлумачив Директиву (ЄС) 2015/2366 про платіжні послуги, відому як PSD2. Тобто Люксембург нічого не вигадував: він прочитав норму, яка діє з 2015 року, і пояснив банкам, що вона означала весь цей час. Цікаво, що банкам знадобилося понад десять років і окрема справа, аби почути те, що написано в тексті директиви.

3000 злотих і один фішинговий лінк

Історія, з якої все почалося, буденна до болю. Клієнтка польського банку PKO BP продавала річ на інтернет-аукціоні. Шахрай, що видавав себе за покупця, надіслав їй посилання нібито від платформи, яким треба було “підтвердити продаж”. Посилання вело на сторінку, яка копіювала сайт її банку, і жінка ввела там дані для входу в онлайн-банкінг. Цього вистачило. Шахрай переказав на свій рахунок 3000 злотих, це близько 705 євро, а переказ підтвердив SMS-кодом, який виманив у неї тим самим обманом. Наступного дня жінка виявила крадіжку і одразу повідомила банк та поліцію. Шахрая так і не встановили.

Банк повертати гроші відмовився. Аргумент звучав знайомо кожному, хто хоч раз сперечався з банком після шахрайства: клієнтка нібито проявила грубу необережність, бо не вберегла платіжний інструмент і зробила його доступним стороннім. У суді банк пішов ще далі. Він заявив, що має право самостійно оцінювати всі умови своєї відповідальності і звільняється від обов’язку повернення коштів, щойно сам встановить грубу необережність платника. Іншими словами, банк пропонував себе одночасно стороною спору і суддею в ньому. Чи варто дивуватися, що такий “суддя” щоразу виносив рішення на свою користь?

Справа потрапила до Районного суду в Кошаліні, і той звернувся до Суду ЄС із запитом про попереднє рішення. Польський суддя зробив при цьому спостереження, яке Люксембург відтворив у тексті рішення і яке варте окремої уваги. Польські суди не бачили жодного позову банку до споживача про стягнення суми несанкціонованої операції через грубу необережність. Зате бачили численні позови споживачів до банків, які відмовили в поверненні. На думку судді з Кошаліна, винятки з права на повернення перетворилися на правило, а платники, насамперед споживачі, мусили самі виборювати свої гроші в суді.

Свої зауваження у справі подали уряди Польщі, Чехії та Італії, а також Європейська комісія. 5 березня 2026 року генеральний адвокат Атанасіос Рантос дійшов висновку, що банк не може відмовити в негайному поверненні лише через твердження про грубу необережність клієнта, про що повідомляв прес-реліз Суду ЄС. Перша палата Суду пішла за ним.

Що саме вирішив Суд

Директива містить два блоки правил щодо несанкціонованих операцій, і банки роками вміло їх змішували. Стаття 73 визначає обов’язок банку: у разі несанкціонованої платіжної операції він має повернути кошти негайно, але не пізніше кінця наступного робочого дня після того, як дізнався про операцію або отримав повідомлення від клієнта. Стаття 74 визначає відповідальність самого платника. За загальним правилом клієнт може нести збитки в межах 50 євро, якщо платіжний інструмент загубили, викрали чи незаконно привласнили. Але якщо клієнт діяв шахрайськи або умисно чи через грубу необережність не виконав своїх обов’язків за статтею 69, зокрема обов’язку берегти персоналізовані засоби безпеки, всі збитки лягають на нього.

Саме на цій другій нормі банки й будували свою практику: раз клієнт винен, то й повертати нічого. Суд пояснив, що ці дві статті діють на різних етапах. Стаття 73 зобов’язує повернути гроші негайно. Стаття 74 розподіляє збитки між банком і клієнтом пізніше, вже після повернення.

Аргументацію Суд вибудував за класичною схемою: текст, контекст, мета і історія ухвалення норми. Стаття 73 знає лише один виняток з негайного повернення. Банк може не повертати кошти одразу, якщо має обґрунтовані підстави підозрювати, що шахрайство вчинив сам клієнт, і письмово повідомив про ці підстави компетентний національний орган. Підозри в грубій необережності серед винятків немає. Отже, самої лише заяви банку про те, що клієнт, скажімо, ввів облікові дані на фішинговій сторінці, недостатньо, щоб відмовити в негайному поверненні коштів.

Контекст лише підсилює цей висновок. Стаття 72 директиви покладає тягар доведення грубої необережності на банк. Більше того, сам по собі запис банку про використання платіжного інструмента ще не доводить ні санкціонування операції, ні шахрайства, ні грубої необережності клієнта: банк зобов’язаний подати підтверджувальні докази.

Але найголовніше інше. Суд наголосив, що директива має на меті високий рівень захисту споживачів, і послався на свої попередні рішення у справах DenizBank та Eurobank Bulgaria. Якщо дозволити банку відмовляти в поверненні через власну оцінку поведінки клієнта, обов’язок негайного повернення втратить будь-який сенс. Клієнт буде змушений сам ініціювати судовий процес і нести всі його тягарі, включно з витратами. Такий розподіл ризику на шкоду платнику, за словами Суду, важко узгодити з метою директиви.

Історія ухвалення норми поставила крапку. Попередня директива 2007/64 взагалі не містила винятків з негайного повернення, не було їх і в первісному проєкті PSD2 від Єврокомісії. Виняток для шахрайства з’явився під час законодавчого процесу, і лише для шахрайства. Оскільки директива передбачає повну гармонізацію, держави-члени не можуть його розширювати на власний розсуд.

Уряди Чехії та Італії намагалися переконати Суд, що таке тлумачення обходить позасудові процедури врегулювання спорів, передбачені статтею 102. Суд цей аргумент відкинув: ці процедури охоплюють усі спори за директивою, а не лише питання негайного повернення, і не є обов’язковим механізмом перевірки того, чи дотримав клієнт своїх обов’язків.

Висновок Суду сформульовано однозначно. Банк не може відмовити платнику в негайному поверненні суми несанкціонованої операції на тій підставі, що платник уможливив цю операцію через грубу необережність.

Повернути не означає пробачити

Рішення не робить клієнта недоторканним. Після повернення коштів банк зберігає право вимагати від клієнта відшкодування збитків, якщо доведе, що той умисно або через грубу необережність не виконав своїх обов’язків. Тільки тепер доводити це має банк, і доводити в суді, а не в листі-відмові.

Обов’язки є і в клієнта. Він має повідомити банк про несанкціоновану операцію без невиправданої затримки, а за директивою не пізніше ніж через 13 місяців після списання коштів. Саме від своєчасного повідомлення залежить і сам обов’язок банку повернути гроші.

Варто чітко розуміти й межі рішення. Воно стосується саме несанкціонованих операцій, тобто тих, які ініціював шахрай, а не клієнт. Якщо ж людину вмовили власноруч відправити гроші шахраям, наприклад “на безпечний рахунок” чи в “інвестиційний проєкт”, це вже інша ситуація, і на неї рішення не поширюється. Не вирішував Суд і питання, чи є введення пароля та SMS-коду на переконливій підробці грубою необережністю. Це залишається на розсуд національних судів у справах про стягнення збитків з клієнта. Суд змінив послідовність і тягар доведення, а не сам стандарт поведінки. Нарешті, Суд не вирішує й саму польську справу: її завершить суд у Кошаліні з урахуванням цього тлумачення.

Масштаб проблеми

Чому рішення про 705 євро має значення для всієї Європи? Тому що за ним стоять сотні тисяч таких самих історій. Як нагадує в коментарі до рішення Європейська ініціатива з повернення коштів EFRI, лише в Польщі за даними центрального банку в першому кварталі 2026 року зафіксовано близько 39 200 несанкціонованих кредитових переказів на суму майже 250 мільйонів злотих. Банки взяли на себе приблизно 27 мільйонів, тобто близько 11%. Решту ціни фішингу заплатили клієнти. У вересні 2026 року польський орган із захисту прав споживачів UOKiK отримав від чотирьох банків, Alior Bank, mBank, BNP Paribas і Bank Millennium, зобов’язання змінити практику повернення коштів і переглянути раніше відхилені скарги.

Висновки: що тепер змінюється

Перший і головний висновок стосується банків у Євросоюзі. Відмова в поверненні коштів за несанкціоновану операцію з посиланням лише на грубу необережність клієнта не є законною відповіддю за PSD2. Єдиний законний спосіб затримати гроші полягає в обґрунтованій підозрі шахрайства з боку самого клієнта, оформленій письмовим повідомленням компетентному органу. Все інше означає повернення до кінця наступного робочого дня, а вже потім позов до клієнта, в якому банк сам збирає й подає докази.

Другий висновок стосується тих, кому вже відмовили. Попереднє рішення Суду ЄС тлумачить норму в тому значенні, яке вона мала з моменту набуття чинності. Тож відмови, засновані лише на грубій необережності, були невідповідними директиві вже тоді, коли їх ухвалювали. Чи можна сьогодні повернути ці гроші, залежить від національних правил щодо строків позовної давності та процедури. Тлумачення Суду ЄС мають враховувати національні суди країн Євросоюзу, розглядаючи подібні справи.

Третій висновок стосується майбутнього, і тут на зміну оптимізму приходить іронія. PSD2 має замінити Регламент про платіжні послуги (PSR), який ще не ухвалено. У компромісному тексті від 17 квітня 2026 року, документ Ради ЄС 8221/26, стаття 56 дозволяє банку відкласти повернення, якщо він має “об’єктивно обґрунтовані підстави” підозрювати умисне чи грубо необережне порушення клієнтом обов’язків безпеки і письмово повідомив про це клієнта. Після цього в банку буде 15 робочих днів, щоб повернути гроші або обґрунтувати відмову. Тобто законодавець готовий узаконити саме ту підставу, яку Суд щойно визнав неприйнятною і яку, як показав аналіз історії PSD2, свідомо не включили в директиву 2015 року. За даними Законодавчої обсерваторії Європарламенту, досьє очікує позиції Ради в першому читанні, а орієнтовну дату пленарного розгляду призначено на 14 грудня 2026 року. Чи захочуть європейські законодавці синхронізувати текст із рішенням у справі Tukowiecka, чи дадуть банкам те, чого їм не дав Суд, з’ясується вже незабаром.

Четвертий висновок стосується України. Для українських судів рішення Суду ЄС не є обов’язковим, але воно важливе як орієнтир, адже Україна наближає своє фінансове законодавство до права ЄС. І тут різниця з європейською моделлю очевидна. Закон України “Про платіжні послуги” у статті 89 дозволяє емітенту на час встановлення ініціатора та правомірності операції до 60 календарних днів не повертати неналежному платнику суму списаної неналежної платіжної операції. Стаття 87 дає платнику право вимагати відшкодування за неналежною операцією за умови повідомлення надавача протягом 90 календарних днів, тоді як європейська директива відводить на це 13 місяців. Наступний робочий день проти 60 календарних днів: саме цей розрив українським законодавцям доведеться пояснювати, коли дійде до повної гармонізації платіжного регулювання з європейським.

Нарешті, рішення повертає логіку туди, де вона мала бути від початку. Систему платежів, її захист і її архітектуру безпеки контролює банк, а не клієнт. Тому й ризик тривалого спору має нести той, хто сильніший і краще озброєний для нього. Для 3000 злотих мало який банк піде до суду доводити грубу необережність клієнтки. І саме в цьому полягає справжній сенс рішення: суперечка тепер починається після повернення грошей, а не замість нього.