Pri 9 bankah ostaja nejasno, kdo krije škodo spletne zlorabe

Banke svoje komitente s trženjem novosti spodbujajo k spletnim nakupom in sodobnim načinom plačevanja, najmanj jasne pa ostajajo pri vprašanju, ki potrošnika ob zlorabi najbolj zanima, kdo bo kril nastalo škodo. Primerjalno ocenjevanje Mednarodnega inštituta za potrošniške raziskave (MIPOR), objavljeno v ponedeljek, je pri devetih bankah na slovenskem trgu ugotovilo, da je vsem skupno izogibanje enoznačnemu odgovoru, kako je s prevzemanjem škode.

MIPOR je banke spraševal o preprečevanju zlorab, o zaznavi in ukrepanju ter o povračilu sredstev. Dobro oceno so prejele tri banke, NLB edina ni odgovorila. Odgovori o povračilu sredstev so prejeli komaj zadostne ali nezadostne ocene, povprečno trajanje reklamacijskega postopka je pojasnila edino Gorenjska banka.

Odgovor je v zakonu deloma določen. Zakon o plačilnih storitvah, storitvah izdajanja elektronskega denarja in plačilnih sistemih (ZPlaSSIED) v 136. členu nalaga banki, da povrne znesek transakcije, izvršene brez plačnikovega soglasja. Po tretjem odstavku 137. člena se te dolžnosti razbremeni, če je transakcija posledica plačnikove prevare ali če je ta ravnal naklepno ali iz hude malomarnosti. Vse stoji na razmejitvi med neodobreno transakcijo, ki jo izvede tretji, in transakcijo, ki jo pod vplivom manipulacije potrdi uporabnik sam. Drugo plačilo s pravnega vidika ni neodobreno, banka zanj načeloma ne odgovarja, prav v ta okvir pa sodi večina današnjih spletnih goljufij.

Kje je meja, kaže spodnja preglednica primerov izvajalca izvensodnega reševanja potrošniških sporov pri Združenju bank Slovenije. Omogočanje oddaljenega dostopa do spletne banke izvajalec praviloma šteje za hudo malomarnost, ob kateri škodo nosi potrošnik. Pri zavajajočem plačilu starejšega uporabnika je presodil drugače, ker splošna opozorila o prevarah ne nadomestijo konkretnega opozorila.

V eni od zadev je izvajalec opozoril, da je potrošniški kredit v imenu oškodovanke odobril računalniški algoritem brez komunikacije, ki jo pred sklenitvijo zahteva Zakon o potrošniških kreditih, in da prevaranti kredita verjetno ne bi mogli skleniti, če bi banka ravnala po zakonu. V drugi obsežni zadevi je presodil, da bi banka odstopanje od običajnega poslovanja lahko zaznala prej in škodo zmanjšala.

Na isto razmejitev je februarja 2025 opozorila analiza Zveze potrošnikov Slovenije. Splošni pogoji bank po njenih ugotovitvah uporabniku nalagajo, naj napravo in geslo varuje kot dober gospodar, ne da bi pojasnili, kaj to v praksi pomeni, nekatere banke pa razkritje varnostnih elementov same opredelijo kot hudo malomarnost. Poglavja o odgovornosti uporabnika so obsežna, poglavja o odgovornosti banke krajša ali jih ni. Zveza je Banko Slovenije pozvala, naj preveri, ali je porazdelitev odgovornosti pravična.

Mnenje izvajalca izvensodnega reševanja sporov za banko ni zavezujoče. Višje sodišče v Ljubljani je določbe splošnih pogojev, ki banko v celoti razbremenijo odgovornosti, razglasilo za nične, ker odstopajo od prisilnih določb zakona.

Pri Združenju bank Slovenije pojasnjujejo, da vsak primer obravnavajo posebej in odgovornost razdelijo glede na dejanski potek dogodkov, komitente pa pred zlorabami redno opozarjajo. Močna avtentikacija je neodobrene transakcije, pri katerih storilec deluje brez vednosti uporabnika, občutno zmanjšala. Sodobne goljufije temeljijo na tem, da uporabnika z manipulacijo pripeljejo do tega, da plačilo potrdi sam, razmejitev med prevaro in veljavno odobrenim plačilom je tedaj pravno zahtevna.

Predlog nove evropske uredbe o plačilnih storitvah določa, da je ponudnik odgovoren tudi, kadar tretja oseba, ki se lažno predstavlja kot uslužbenec banke, potrošnika z lažjo ali prevaro pripravi do tega, da plačilo odobri. Breme bi se premaknilo k bankam prav v primerih, ki danes ostajajo na strani potrošnika.

Škoda, ki so jo komitenti bank zaradi spletnih goljufij utrpeli v letu 2025, je po poročilu Banke Slovenije o finančni stabilnosti dosegla 40 milijonov evrov in bila za 33 odstotkov višja kot leto prej. Nacionalni odzivni center SI-CERT je v istem letu obravnaval 6.196 kibernetskih incidentov.

V sporu o neodobreni transakciji mora po 148. členu ZPlaSSIED banka dokazati, da je uporabnik ravnal goljufivo ali iz hude malomarnosti, sama uporaba plačilnega instrumenta za to ni zadosten dokaz.