Phishing: Το ΔΕΕ «δένει τα χέρια» των τραπεζών για τις μη εγκεκριμένες συναλλαγές

Σημαντική απόφαση για την προστασία των καταναλωτών απέναντι στις ηλεκτρονικές τραπεζικές απάτες εξέδωσε το Δικαστήριο της Ευρωπαϊκής Ένωσης (ΔΕΕ), ξεκαθαρίζοντας τις υποχρεώσεις των τραπεζών όταν χρήματα αφαιρούνται από λογαριασμό μέσω μη εγκεκριμένης συναλλαγής.

Η απόφαση αφορά ειδικά περιπτώσεις phishing και άλλων μορφών ηλεκτρονικής απάτης, όπου τρίτοι αποκτούν πρόσβαση σε τραπεζικούς κωδικούς και πραγματοποιούν μεταφορές χρημάτων χωρίς την έγκριση του πραγματικού κατόχου του λογαριασμού.

Με την απόφαση της 15ης Οκτωβρίου 2026 στην υπόθεση C-70/25, Tukowiecka, το ΔΕΕ διευκρίνισε ότι η τράπεζα δεν μπορεί να αναστείλει εξαρχής την επιστροφή των χρημάτων απλώς επειδή θεωρεί ότι ο πελάτης επέδειξε βαριά αμέλεια κατά τη διαχείριση των προσωπικών στοιχείων και των κωδικών ασφαλείας του.

Πρόκειται για κρίσιμη διάκριση: άλλο είναι η υποχρέωση άμεσης επιστροφής μιας μη εξουσιοδοτημένης πληρωμής και άλλο η τελική κατανομή της οικονομικής ευθύνης. Η τράπεζα διατηρεί τη δυνατότητα να στραφεί μεταγενέστερα κατά του πελάτη, εφόσον μπορέσει να αποδείξει ότι υπήρξε δόλος ή βαριά αμέλεια από την πλευρά του.

Η υπόθεση των 700 ευρώ και η πλαστή ιστοσελίδα τράπεζας

Η υπόθεση που οδήγησε στην απόφαση ξεκίνησε στην Πολωνία. Γυναίκα είχε αναρτήσει προς πώληση ένα αντικείμενο σε διαδικτυακή πλατφόρμα και δέχθηκε μήνυμα από πρόσωπο που παρουσιάστηκε ως ενδιαφερόμενος αγοραστής.

Ο υποτιθέμενος αγοραστής τής απέστειλε σύνδεσμο, ο οποίος εμφανιζόταν ως εργαλείο επιβεβαίωσης της συναλλαγής. Η γυναίκα ακολούθησε το link και οδηγήθηκε σε πλαστή ιστοσελίδα που έμοιαζε με την επίσημη σελίδα της τράπεζάς της. Εκεί πληκτρολόγησε τα στοιχεία πρόσβασης στο ηλεκτρονικό της banking.

Οι απατεώνες απέκτησαν έτσι πρόσβαση στον λογαριασμό και πραγματοποίησαν μεταφορά ποσού που αντιστοιχούσε περίπου σε 700 ευρώ. Η πελάτισσα ενημέρωσε την τράπεζα την επόμενη ημέρα και ζήτησε να της επιστραφούν τα χρήματα.

Η τράπεζα αρνήθηκε, θεωρώντας ότι η ίδια είχε επιδείξει βαριά αμέλεια επειδή καταχώρισε τους τραπεζικούς κωδικούς της σε πλαστή ιστοσελίδα. Η διαφορά κατέληξε ενώπιον πολωνικού δικαστηρίου, το οποίο απευθύνθηκε στο Δικαστήριο της Ευρωπαϊκής Ένωσης για την ερμηνεία της σχετικής ευρωπαϊκής νομοθεσίας.

Επιστροφή έως το τέλος της επόμενης εργάσιμης ημέρας

Το ΔΕΕ, ερμηνεύοντας την Οδηγία 2015/2366 για τις υπηρεσίες πληρωμών (PSD2), έκρινε ότι ο πάροχος υπηρεσιών πληρωμών οφείλει να επιστρέφει το ποσό μιας μη εγκεκριμένης συναλλαγής άμεσα και, κατά κανόνα, το αργότερο έως το τέλος της επόμενης εργάσιμης ημέρας από τότε που ενημερώθηκε ή διαπίστωσε τη συναλλαγή, εφόσον ο πελάτης έχει ειδοποιήσει χωρίς αδικαιολόγητη καθυστέρηση.

Η απλή εκτίμηση της τράπεζας ότι ο πελάτης δεν προστάτευσε επαρκώς τους κωδικούς ή τα στοιχεία ασφαλείας του δεν αρκεί για να μπλοκάρει την άμεση επιστροφή των χρημάτων.

Διαφορετική αντιμετώπιση μπορεί να υπάρξει όταν υπάρχουν βάσιμοι λόγοι να θεωρείται ότι ο ίδιος ο πελάτης συμμετείχε σε απάτη. Σε μια τέτοια περίπτωση προβλέπεται ειδική διαδικασία και ενημέρωση της αρμόδιας εθνικής αρχής.

Παράλληλα, η απόφαση δεν δίνει γενική απαλλαγή στον καταναλωτή. Εάν η τράπεζα αποδείξει μεταγενέστερα ότι η οικονομική ζημία προκλήθηκε από δόλο ή βαριά αμέλεια του πελάτη, μπορεί να διεκδικήσει την επιστροφή του ποσού με βάση τις προϋποθέσεις που προβλέπει το ευρωπαϊκό δίκαιο.

Ιδιαίτερη σημασία έχει ότι το βάρος για την απόδειξη της βαριάς αμέλειας δεν μεταφέρεται αυτομάτως στον καταναλωτή. Το γεγονός και μόνο ότι κάποιος εξαπατήθηκε από μια ιστοσελίδα phishing και καταχώρισε εκεί τους κωδικούς του δεν αρκεί από μόνο του για να θεωρηθεί ότι φέρει οριστικά την οικονομική ευθύνη.

Η απόφαση του ΔΕΕ δημιουργεί ένα σαφέστερο πλαίσιο για τις τραπεζικές απάτες μέσω phishing, διαχωρίζοντας την άμεση προστασία του καταναλωτή από την τελική κρίση για το ποιος θα επιβαρυνθεί με τη ζημία.