Решение № 3827 от 27.2.2026 г. на Софийски районен съд по дело № 69825/2023 г.

Производството е по реда на чл. 235 ГПК. Делото е образувано по искова молба (в откритото заседание от 06.11.2024 г. (на лист 202 от делото) не е допуснато изменение) на К. Х. Р. срещу „Ю.Б“ АД, с която са предявени претенции за осъждане на ответника да му плати 1939,18 лева – стойност на девет неразрешени платежни операции от 29.12.2021 г. от кредитна карта „Мастеркард“ с номер •••••••••••••• към CodesDirect, ведно със законната лихва от датата на подаване на исковата молба – 20.12.2023 г., до окончателното плащане; 419,81 лева – обезщетение за забава за плащане на последната сума в размер на законната лихва за периода от 19.01.2022 г. до 19.12.2023 г.; 424,02 лева – сума за възстановяване като неоснователно платени разходи по кредитната карта поради забавено връщане на посочените платежни операции, представляваща сбор от начислени възнаградителни лихви, лихви за забава и такса за надвишен кредитен лимит, ведно със законната лихва от датата на подаване на исковата молба – 20.12.2023 г., до окончателното плащане. В исковата молба се твърди, че на 29.12.2021 г. ищецът получил съобщения по приложение за електронна комуникация, свързано с кредитната му карта, издадена от ответника, като били направени девет покупки към търговец CodesDirect+ – в 13:28 часа – за 198,89 лева; в 13:29 часа – за 198,89 лева; в 13:31 часа – за 198,89 лева; в 13:32 часа – за 198,89 лева; в 13:35 часа – за 397,78 лева; в 13:37 часа – за 198,89 лева; в 13:38 часа – за 198,89 лева; в 13:39 часа – за 198,89 лева, и в 13:42 часа – за 149,17 лева. Твърди, че не е потвържадавал покупките със специалното приложение mToken. Седем минути по-късно ищецът се обадил на телефоните на ответника, за да блокира картата, а в същия ден подал и заявление за това писмено – с вх. № 518- 1052/29.12.2021 г. Ищецът оспорил плащанията и следвало според общите условия да получи отговор до 21 дена, но през май 2022 г. ответникът отказал да му възстанови парите, защото приел, че е създадена дигитална кредитна карта в приложението „Apple pay“. Твърди, че е спазвал всички правила за защита на плащанията, но въпреки това не му били възстановени сумите. Тъй като били извършени плащания с кредитна карта, ответникът му начислил и лихва за ползвания кредитен лимит, както и такси за ползване на суми над кредитния лимит в общ размер от 424,02 лева, които ищецът също иска да си върне. Претендира разноски. Постъпил е отговор на исковата молба от ответника – „Ю.Б“ АД, с който предявеният иск се оспорва като неоснователен. Признава се, че са извършени 9 плащания от сметката, свързана с карта на ищеца на посочения от него търговец, както и че картата е блокирана по искане на ищеца в 14:00 часа на 29.12.2021 г., а ищецът е заплатил за погасяване на осчетоводените от ответника задължения по кредитната си карта 2269,56 лева на 27.09.2022 г. Оспорват иска, като твърдят, че платежните операции от картата на ищеца са извършени при груба небрежност, като той сам признал, че бил жертва на хакерска атака. Твърди, че ищецът е действал в търговско качество, тъй като е управител на еднолично търговско дружество. Поддържа, че е създадено дигитално копие на кредитната карта в приложението „Apple Pay“ чрез инструмента „ONE wallet by Postbank“ – приложение на ответника, което позволява това чрез регистрация със софтуерен ключ (англ. token – „жетон“), който бил изпратен до устройство на ищеца и бил активиран с двуфакторна идентификация – чрез парола, определена от ищеца, и еднократен ключ, изпратен на телефон +359 •••••••••••• и с електронно съобщение до mail@р.bg. Твърдят, че ищецът е въвел кодовете извън приложението на банката, макар че изрично е бил предупреден от банката да не въвежда такива кодове никъде другаде извън приложението, независимо дали страницата в интернет изглежда като да е на банката. Поддържа се, че ответникът нямал задължение да отменя оспорени операции след извършването им. Поради това се твърди, че банката няма отговорност. Оспорва се и искът за лихва, като се посочва, че според общите си условия, действали към 2021 г., срокът за отговор на банката по претенция за оспорени платежни операции бил след приключване на проверката им. Поради това се иска отхвърляне на исковете. Претендират се разноски. В съдебното заседание ищецът поддържа иска си, ответникът оспорва същия, като твърди, че ищецът е станал жертва на компютърна атака, но не е бил достатъчно внимателен да се защити и е проявил груба небрежност. В писмени бележки ищецът поддържа, че с оглед на наличния му хардуер по делото е установено, че няма как достъпът до сметката му да е извършен от неговия телефон, т.е. става въпрос за хакерска атака с измамно добиване на достъп до парола (т.нар. phishing), като това означава, че ищецът не е проявил груба небрежност. Поддържа се, че ответникът не поддържал достатъчно контролни механизми и средства за защита, за да се гарантира сигурността на платежните операции. Поради това се иска уважаване на иска за връщане на неоснователно изтеглените суми. В писмените си бележки ответникът поддържа, че е установено, че банката е изпълнила нормативния стандарт за сигурност на електронните плащания, като вината за пробива в сигурността е на ищеца, който въвеждал без проверка и замисляне редица кодове за сигурност, като описва процедурите за това. Поддържа се, че ищецът е бил предупреден за рисковете и е действал въпреки това, като така е дал достъп на недобросъвестни трети лица до защитните си характеристики, и е проявил груба небрежност. Иска се отхвърляне на иска. Като разгледа доказателствата по делото с оглед твърденията и възраженията на страните съдът намира за установена следната фактическа обстановка: Съгласно представено на лист 9 – 10 от делото заявление между страните на 17.06.2016 г. е сключен договор с № А••••••••••, с който ответникът е представил на ищеца кредитна карта с възможност за ползване по интернет. Към договора са приложими представени две групи общи условия – първите са подписаните на всяка страница от ищеца на лист 11 – 31 общи условия, датирани от 17.06.2016 г., съгласно чиято т. 5.2.4. и 5.2.5. е възможно извършване на плащания по интернет. Съгласно т. 11.6. от текста на общите условия ответникът не отговора и клиентите му понасят всички вреди, ако са причинени с измама, при неизпълнение на други задължения по общите условия – предаване на карта на друго лице; покупка, забранена от закона; опазване на картата от отнемане от други лица; опазване на ПИН код и уведомяване при инциденти със сигурността на картовите плащания, и проява на друга форма на груба небрежност. Съгласно т. 11.7 ответникът носи отговорност за точно изпълнение на всички искания за платежни операции („транзакции“). Съдът констатира, че в тези общи условия клаузи, типични за други видове кредитни карти, при които се начислява лихва върху натрупани лихви (анатоцизъм) няма. В т. 22.1. от общите условия е предвидено, че ответникът има право да изменя едностранно общите условия, като публикува новия им текст поне два месеца преди влизане на промяната в сила. На лист 126 – 140 ответникът представя други общи условия, които са с непосочена дата след 02.08.2021 г. (тъй като в тях се срещат промени от тази дата), и съгласно чиято т. 10.1. вече е предвидено начисляване на лихви върху лихви – „Всички дължими възнаграждения по договора се начсляват и добавят като задължения по кредитния лимит на Картата през съответния месечен отчетен период и се посочват в месечното извлечение.“, и т. 10.2.: „Лихва се дължи …. върху всички начислени задължения по кредитния лимит на Картата …“ с изключение на някои такси. Текстът на т. 5.2.4. допуска плащания в интернет, а т. 5.2.5. изисква задължително ползване на приложение на банката m-Token за потвърждаване на такива преводни нареждания. Т. 11.6 е изменена, като предвижда като форми на груба небрежност отстъпване на мобилния телефон, на който се намира приложението на други лица, или въвеждане в същия на биометрични данни на лица, различни от картодържателя. Т. 11.7. е конкретизирана относно връщане на сметката на картодържателя в първоначалното състояние при неразрешени операции. Съгласно представени на лист 141 – 153 общи условия за електронно банково обслужване на ответника, неоспорени от страните, т. V.7 оправомощените титуляри на сметки могат да извършват електронни плащания чрез приложение за мобилно банкиране. Съгласно т. V.10 от лятото на 2021 г. ответникът няма да смята сертификатите за електронни подписи с асиметрично криптиране (като напр. усъвършенствани или квалифицирани електронни подписи) за оторизиране на преводи по интернет. Потребителите могат да използва за достъп съгласно т. V.11 и създадено от самия ответни приложение – m-Token, което се активира с процедура, описана в т. V.12. от общите условия – след въвеждане едновременно на два кода, изпращани на потребителите веднъж по обикновена електронна поща, а вторият код – с кратко текстово съобщение (SMS) до посочен мобилен телефон. Съгласно т. V.14 след активирането на приложението m-Token последното служи като идентификация за извършване на услуги за електронно банкиране вместо останалите предвидени в общите условия възможности – въвеждане на цифрови кодове, биометрични данни и др., като достъпът до това приложение, където се потвърждават всички платежни операции с еднократно софтуерно съобщение (push) или сканиране на QR код, се осъществява с въведен само за него код или биометрични данни на телефона, на който е инсталирано. Съгласно представено на лист 34 от делото извлечение от сметката на ищеца по карта с номер, започващ с 541196 (тази по договора по-горе) на 30.12.2021 г. в периода от 13:28 часа до 13:54 часа от сметката на картата са извършени седем превода по 198,89 лева, един превод за 149,14 лева и един превод за 397,78 лева към търговеца Codes Direct с нидерландски телефонен номер, или общо 1939,15 лева. Не е спорно, че на ищеца са били начислени и договорна лихва в размер на 286,69 лева за периода от 10.01.2022 г. до 27.09.2022 г., 103,20 лева – законна лихва за забава за периода от 10.02.2022 г. до 27.09.2022 г., и 34,13 лева – обезщетение за надвишаване на кредитен лимит за периода от 10.02.2022 г. до 27.09.2022 г. На лист ответникът е представил извлечения от електронна кореспонденция, обсъдени от вещото лице, като е посочено, че на 29.12.2021 г. до телефона на ищеца е изпратено чрез приложението Viber следното съобщение: „Здравейте, Код 1, необходим за активиране на m-Token Postbank е . На предоставения от Вас email Ви изпратихме Код 2. Моля, въведете двата кода в съответните полета в приложението m-Token Postbank, за да активирате Вашия мобилен токън. *ВНИМАНИЕ! Въвеждайте кодовете само и единствено в приложението m-Token Postbank, инсталирано на Вашия телефон!* Не въвеждайте кодовете в отговор на получени e-mail, други съобщения или интернет страници, дори и ако изглеждат като такива, изпратени от Пощенска банка. Не разкривайте предоставените кодове на никого! За повече информация се обадете на *7224 или посетете https://www.postbanfe.bg/Ьд-8G/Digitalnobanklrane/Software-m-Token-Postbank.“ Съгласно изслушаното заключение на счетоводна експертиза по делото, прието в заседанието от 06.11.2024 г. (на лист 203 от делото), а в писмен вид – представено на лист 195 – 200 от делото, което съдът кредитира като логично и без съществени противоречия и не е оспорено от страните по съществото на изчисленията реда на чл. 200, ал. 3, изр. второ ГПК, а се оспорва единствено дали е имало срок за отмяна по конкретния договор, се установява, че законната лихва върху 1939,18 лева за периода от19.01.2022 г. до 19.12.2023 г. е 419,81 лева, като това съответства на данни от няколко електронни калкулатора в интернет, вкл. този на НАП, като по принцип електронните платежни операции се извършват веднага, ако не се установи уговорен изрично между страните период на блокиране, като едва след извършване на операцията (и неотменимостта ), тя се осчетоводява с известно забавяне. Съгласно изслушаното заключение на първоначалната техническа експертиза по делото, прието в заседанието от 14.05.2025 г. (на лист 306), а в писмен вид – представено на лист 283 – 300 (с варианти с технически грешки и неточности – на лист 273 – 280 и 232 – 239 от делото, което съдът кредитира като логично и без съществени противоречия и не е оспорено от страните по реда на чл. 200, ал. 3, изр. второ ГПК, активирането на приложението m-Token, което представлява създадено от ответника средство за еднократна идентификация с изпращане по защитен информационен канал на криптирани еднократни (push) съобщения. Механизмът на работа (след инсталация) е, че сървър на банката генерира при искане от търговец в електронна среда (пред който потребителят дава цифровите данни от кредитната или дебитната си карта) еднократен крипографски защитен код, който изпраща на приложението m-Token, свързано със сметката на картата на конкретния потребител, този код се отваря вътре в приложението, и след като последното визуализира искане до потребителя да потвърди плащането, то генерира обратно друг криптографски код, чрез който сървърът на банката идентифицира разрешена платежната операция и одобрява плащането, като прехвърля парична сума от свързаната с картата сметка на потребителя към сметка на търговеца. Приложението се активира от страницата на банката в интернет, като при това активиране банката генерира два кода – един се изпраща на потребителите с кратко текстово съобщение (SMS), а друг – по електронна поща. Преди да започне работа с приложението m-Token потребителят следва да въведе двата кода и да си избере сам отделен PIN код за влизане в приложението (който банката не знае). В случая се установява, че ищецът е поискал нова (преди това е имал такава от 30.09.2020 г.) регистрация в приложението m-Token на 29.12.2021 г. в 12:14:26 и си е генерирал нов код за достъп с условен номер 1397281197. Системата е организирана така, че този нов код („токен“), изпратен до приложението m-Token, деактивира стария и един код може да се ползва само на едно устройство – при смяна на устройствата трябва да се генерира нов токен с двете пароли, описани по-горе – пратени със SMS и по електронна поща отделно. По данни от системата на банката заявката за нов токен от ищеца на 29.12.2021 г. е дошла от IP-адрес 41.62.219.168, който е административно разпределен на остров Мавриций. Данните за достъп до профила за електронно банкиране са били софтуерният токен и кода за достъп до него, които са свързани към потребителско име – единният граждански номер на ищеца. Банката публикува редовно съвети за сигурност към потребителите на електронно банкиране. Единствената възможност за извършване на операциите, описани в исковата молба е въвеждане на данните от физическата карта – номер, валидност и кратък CCV код, както и генериране на нов софтуерен токен с двата кода – един пратен чрез SMS, и втори – по електронна поща. Когато се използват данните от картата тя обаче може да се клонира в приложението Apple Pay, достъпно не телефони с марка iPhone, което позволява до 10 копирания на виртуалната карта, и е независимо от приложенията на ответника, като същите се изключват, когато картата бъде въведена като електронен образ в Apple Pay. Вещото лице е описало и съдържанието на представен от ответника запис на телефонен разговор с ищеца, като същият е заявил пред служител, че някой без негово знание му е „дръпнал“ 2000 лева от кредитна карта, като е дал личните си данни по исковата молба. Признава, че е получил съобщение по електронна поща, което изглеждала като на банката, като получил два кода – със SMS и по електронна поща, и ги въвел. Въвел кода от SMS в електронната си поща. Ищецът е поискал блокиране на картите и електронното си банкиране и е препратен към клон на банката. Страните не оспорват съдържанието на разговора, а и същият е сравнен с оглед от съда в заседанието от 11.07.2025 г. (на лист 309 от делото). В зала вещото лице уточнява, че банката изисква еднократна регистрация с два кода при инсталиране на приложението Apple Pay, но след това всички плащания се осъществяват под контрола на изискванията за сигурност на последното приложение, а не на банката. Това приложение може да се ползва само през операционна система на Apple, но ако ищецът е дал на злонамерени лица в интернет двата кода, те може да са клонирали картата му на тяхно устройство. При активиране на подобни услуги и искания за платежни операции ответникът не проследява IP-адреси и не прави опит за локализиране на клиентите си по физически адреси на устройствата им. Вещото лице подчертава, че IP-адресът също се генерира софтуерно и макар в повечето случаи групи такива адреси с еднакви части (т.нар. пространства) обикновено да се локализират в един географски район, има технически средства, които да маскират IP-адреса на едно устройство като такъв, който е свързан със съвсем друг географски регион. Кодовете за създаване на нов токен, вкл. такъв, който може след това да се копира в Apple Pay, са валидни 24 часа. Съгласно изслушаното заключение на допълнителната техническа експертиза по делото, прието в заседанието от 01.10.2025 г. (на лист 333), а в писмен вид – представено на лист 317 – 321 от делото, което съдът кредитира като логично и без съществени противоречия и не е оспорено от страните по реда на чл. 200, ал. 3, изр. второ ГПК, няма генериране на втори токен на 29.12.2021 г., генериран е само един. Вещото лице е установило на представен от ответника телефон, че в 12:13 часа на 29.2021 г. ищецът е получил на телефона си уведомление, че има влизане в приложението му за електронно банкиране от IP-адрес 41.62.219.168. Не е посочено, че този адрес се асоциира с остров Мавриций. На телефона на ответника в 12:14 е било получено и следното съобщение: „Здравейте, Код 1, необходим за активиране на m-Token Postbank е •••••••••. На предоставения от Вас email Ви изпратихме Код 2. Моля, въведете двата кода в съответните полета в приложението m- Token Postbank, за да активирате Вашия мобилен токън. ВНИМАНИЕ! Въвеждайте кодовете само и единствено в приложението m-Token Postbank, инсталирано на Вашия телефон! Не въвеждайте кодовете в отговор на получени e-mail, други съобщения или интернет страници, дори и ако изглеждат като такива, изпратени от Пощенска банка. Не разкривайте предоставените кодове на никого! За повече информация се обадете на *7224 или посетете https://www.postbanfe.bg/Ьд-8G/Digitalno- banklrane/Software-m-Token-Postbank.“ След това са изобразени данни за описаните на страница 4 от решението преводи. Установено е, че ищецът е получил съобщение на електронната си поща, което изглежда да е пратено от ответника, но съдържа връзка за „активиране“ на m-Token с адрес: https://skinhead.nl/red.html . Съобщението е изпратено от вече несъществуващ адрес в интернет, от IP-адрес 185.231.70.86, който е адрес във виртуален („облачен“) сървър. Сайтът е насочвал към форма за въвеждане на кодове, която изглежда да е на ответника. Плащанията, извършени от сметката на ищеца при ответника, са извършени чрез Apple Pay, където картата на ищеца е била клонирана по двата кода, създали електронния токен, които са били въведени в електронно приложение на банката, за което ищецът е следвало сам да си генерира и измисли парола (вероятно е била открадната от хакерите по-рано). Двуфакторна идентификация е използвана от ответника само при първоначално активиране на Apple Pay, което не е инсталирано и не може да бъде инсталирано на телефона на ответника. Последният не може да установи лесно от кое приложение потребителите комуникират със сървърите му, преди да одобри плащане. Генериране на виртуални портфейли някои банки допускат само с лично посещение на клиент във физически клон, но не всички. Ответникът е уведомявал ищеца при промяна на телефон, от който последният ползва приложението Viber. Въз основа на така установените факти съдът намира следното от правна страна: Предявени са обективно кумулативно съединени искове за връщане на платеното по неразрешена операция за електронно банкиране с правна квалификация чл. 79, ал. 1, предл. първо ЗЗД във връзка с чл. 79, ал. 1, изр. първо ЗПУПС; за заплащане на законната лихва върху невърнатата сума пир условия на забава на ответника с правна квалификация чл. 86, ал. 1 ЗЗД, и за възстановяване на лихви и такси, възникнали поради изпълнение на неразрешена платежна операция с правна квалификация по чл. 79, ал. 1, предл. първо ЗЗД във връзка с чл. 79, ал. 1, изр. второ ЗПУПС. Ответникът възразява за липса на потребителско качество на ищеца (което би разместило доказателствената тежест) съгласно чл. 67, ал. 4 ЗПУПС, както и твърдение за груба небрежност на ищеца, което би освободило ответника от отговорност съгласно чл. 80, ал. 3 ЗПУПС във връзка с чл. 75, т. 3 ЗПУПС. Първият иск се уважава, ако съдът установи, че са извършени операции от сметка на ищеца, за които същият не е давал съгласието си, като наличието на формалните характеристики за това (въвеждане на кодове и пароли) е в тежест на банката, а също и установяването (в случай, че трети лица са получили достъп до тези кодове и пароли), че ищецът ги е съхранявал или ползвал при груба небрежност – в пряко нарушение на указания на банката или очевидни правила за сигурност, които ищецът не е можело да не познава, като това би било в тежест на ищеца, ако ответникът установи, че той не е действал в потребителско качество (с оглед личния характер на картата и нейния титуляр се предполага, че е за лично ползване) и е налице уговорка за друго разпределение на доказателствена тежест. Вторият иск се уважава при уважаване на първия, ако се установи, че ответникът е бил в забава – не е възстановил средствата в определен в договора между страните срок или след покана. Третият иск се уважава при уважаване на първия, ако се установи, че поради неправомерно невъзстановената платежна операция ответникът е начислил лихви и такси по сметката на ищеца, които последният е платил. По отношение на отговорността на ищеца за извършената платежна операция, от което зависи уважаването на всички три иска, настоящият съдебен състав намира следното: За извършване на платежна операция, която е непротивопоставима на банката, се извършва двустепенен процес на преценка – на първо място съгласно чл. 70 ЗПУПС доставчикът на платежната услуга (в случая – ответникът) следва да установи, че тя е била разрешена, като това може да стане с електронни средства, уговорени между страните – чл. 70, ал. 3 ЗПУПС, като при липса на други усложнения следва да осигури минимално ниво на сигурност според изискванията на чл. 76 ЗПУПС – да гарантира сигурно предаване на средствата за идентификация (кодове, пароли, чипове, физически устройства) и че те не е лесно да се узнаят от трети недобросъвестни лица, и освен това – за да може да държи потребителя отговорен за всякакво небрежно отношение, различно от измама, следва съгласно чл. 80, ал. 4 ЗПУПС да осигури „задълбочено установяване на идентичността на клиента“ по смисъла на чл. 100, ал. 4 и 5 ЗПУПС – средствата за сигурност следва да включват поне два от три елемента, описани там – знание на конкретна информация; притежание на някаква вещ, документ или физическо устройство, или характерна (следва да се тълкува във връзка с другите езикови версии на чл. 4, т. 30 от Директива (ЕС) 2015/2366, откъдето е възприет текста като физическа – особеност на физиката на потребителя) особеност – нещо, което ползвателят на услугата е, и узнаването или неправомерният достъп до един от трите елемента не може да опорочи другия или другите. Ако са налице тези условия – създадени са предпоставките за сигурност на отдалечените разплащания от търговеца, който ги предоставя, то тогава отговорността на ползвателя, уредена в чл. 80, ал. 3 ЗПУПС, предвижда, че не му се възстановяват суми, ако е нарушил задълженията си за опазва кодовете или другите средства за сигурност съгласно чл. 75 ЗПУПС. За второто не съществува презумпция, тъй като макар и в договорното право вината да се предполага – чл. 81 ЗЗД, то това важи само за обикновеното неполагане на дължима грижа, а не за квалифицираните форми на вина като небрежността, и особено грубата такава. Т.е. в процес по оспорване на платежна операция от разстояние в тежест на ответника – извършващ операцията е да установи, че е създал сигурна среда за плащане (по възможност с двуфакторна идентификация, или т.нар. „Задълбочено установяване“ на идентичността), както и че е получил в тази сигурна среда заявление за извършването на платежната операция, което изглежда да е било от оспорващия, както и да установи, че последният сериозно е нарушил задълженията си за опазване на средствата за сигурност (споделял ги е с трети лица). Оспорващият операцията ищец следва да установи, че е извършена такава в определен размер, и също така – или че средата (програмата, връзката) за плащане не е сигурна, или че е положил някаква обичайна грижа да се опази (не е бил грубо небрежен). По настоящото дело има усложнение – оспорените платежни операции са извършени чрез услуга на електронен портфейл, в който се копират виртуални образи на кредитни карти. По терминологията на ЗПУПС подобна услуга се нарича „услуга за иницииране на плащане“, уредена в § 1, т. 61 ЗПУПС – при нея платежната сметка се поддържа от един доставчик, а друг доставчик предоставя „облачна“ – услуга по „иницииране“ на плащане – мост между платежната сметка и универсален платежен интерфейс, който се представя на много търговци. Именно такава услуга е електронният портфейл н а Apple Pay, от какъвто са извършени оспорените от ищеца плащания – в този „портфейл“ се съхраняват данни за множество видове платежни карти и сметки, от които в рамките на единна услуга, предоставяна от Apple, търговци могат да получат пари от „съхранените“ в „портфейла“ сметки. При ползване на услуга за инцииране на плащане действат допълнителни задължения по чл. 72 ЗПУПС, включително и такива, следващи от актове на изпълнителната власт на Европейския съюз – делегиран регламент по чл. 98, параграф 4 от Директива (ЕС) 2015/2366. Този делегиран акт е Делегиран регламент (ЕС) 2018/389 на Комисията, който, наред с другото, предвижда в чл. 4, пар. 3, б. „г“, че кодът за еднократно генериране на код за достъп на услугата за инцииране на плащане не може да е валиден повече от 5 минути (в случая вещото лице посочва валидност от 24 часа), и съгласно чл. 4, пар. 3, б. „в“ се прилагат изискванията на глава пета на делегирания регламент, сред които е и това по чл. 24, пар. 2, б. „а“ – че следва да се ползват сигурни канали, през които се предоставят кодовете (такъв не е електронната поща), и по чл. 25, пар. 2, б. „б“ – че когато достъпът до услугата по иницииране на плащане се установява от разстояние, доставчикът на платежни услуги (ответникът) може да провери автентичността на софтуера за генериране на кодовете – в случая достъпът до Apple Pay става с два цифрови кода, които, както вещото лице установява, може да се въведат от всеки браузър, а не само по сигурен канал към Apple Pay, осигурен в самото приложение на банката m-Token (или пък при входа в m-Token, което също е приложение за иницииране на плащания само по себе си, без да е от отделен доставчик). В заключение, избраният от ответника механизъм за осигуряване на толкова чувствителен достъп в електронна среда, при който източникът на ключовете за достъп (двата кода) е криптиран добре (приложението за електронно банкиране и приложението Viber), но пък пътят за въвеждането им въобще не е криптиран (човек въвежда цифри в поле с копчета) не изглежда да отговаря на изискванията за сигурност при генериране по дистанционен път на еднократния код, който отваря „необятния свят“ на плащанията чрез „услуга за иницииране на плащанията“, каквато е Apple Pay. Това особено личи в настоящия случая – от телефонния разговор личи, че ищецът не притежава висока компютърна грамотност, той просто въвежда кодове в някакви полета „в интернет“ и накрая губи почти 2000 лева. При това масово ниво на техническа грамотност достъпът с изпратени два цифрови кода, макар и от различни комуникационни канали, не може да се приема, че отговаря на изискванията по чл. 25 от Делегиран регламент (ЕС) 2018/389 на Комисията, още повече с оглед на изискването за постоянен преглед на риска съгласно чл. 3 от същия делегиран регламент. При това положение, независимо че ищецът е бил грубо небрежен (изцяло е пренебрегнал ясно съобщение на ответника „не въвеждайте този код никъде другаде освен в m-Token“), тъй като не са спазени специфичните изисквания за сигурност при отключване на достъпа към услуга за иницииране на плащанията, отговорността си остава на ответника. При това положение исковете следва да се уважат в пълен размер, тъй като са доказани неразрешени плащания в размер на 1939,15 лева, както и са начислени договорна лихва в размер на 286,69 лева за периода от 10.01.2022 г. до 27.09.2022 г., 103,20 лева – законна лихва за забава за периода от 10.02.2022 г. до 27.09.2022 г., и 34,13 лева – обезщетение за надвишаване на кредитен лимит за периода от 10.02.2022 г. до 27.09.2022 г. Следва да се има предвид, че дори и да не се уважи главния иск, искът за възнаградителна лихва и надвишен кредитен лимит не следва да се уважават, тъй като се начислява незаконно (или в противоречие с договора, ако се приеме приложимост на общите условия от 2016 г.) лихва върху лихва в нарушение на чл. 10, ал. 2 ЗЗД, и надвишаването на кредитния лимит е станало само поради това натрупване на лихви. Лихви за забава при прилагане на неравноправни клаузи срещу потребител (а тези за начисляване на прекомерни лихви са и неравноправни – чл. 143, ал. 2, т. 5 ЗЗП) не се дължи според практиката на Съда на Европейския съюз – второ тире от диспозитива на Решение от 15.06.2023 г. по дело C-520/21 Bank M, като може да се начислява само такава след образуване на делото. Съгласно чл. 14 от Регламент (EО) № 974/98 за въвеждане на еврото, когато към датата на въвеждане на тази валута съществуват правни инструменти, които определят задължения в излезли от обращение национални валути, те се смятат за суми в евро съгласно приетия от Съвета на Европейския съюз курс. В настоящия случай като „правен инструмент“ следва да се смята исковата молба, но съдът съгласно правилото на чл. 235, ал. 3 ГПК във връзка с чл. 439, ал. 2 ГПК взема предвид само настъпилите към датата на приключване на устните състезания по делото факти. Затова и решението следва да отразява правното положение към тази дата, която по настоящото дело е преди 31.12.2025 г., и поради това решението се постановява в левове. Това се прави и с цел да се защити интересът на страните при неправилно превалутиране от съда, тъй като след устните състезания страните няма как да възразят срещу правилността на извършената от съда конверсия в евро, освен с въззивна жалба, а няма основание това доста времеемко и изискващо разходи средства да им бъде налагано по този въпрос. Превръщането на претенциите в евро следва да бъде взето предвид при евентуално въззивно обжалване на решението, или, ако няма такова – в изпълнителния процес. Относно разноските: При този изход на спора право на разноски има ищецът съгласно чл. 78, ал. 1 ГПК. Доказаните разноски са в размер на 111,32 лева – държавна такса; 1000 лева – депозити за вещи лица, и 1750 лева – адвокатско възнаграждение по договори на лист 325, 327 и 329 от делото, и приложени банкови платежни документи, или общо следва да се присъдят на ищеца 2861,32 лева. Така мотивиран, Софийският районен съд, 28. състав,