Решение № 4348 от 4.7.2025 г. на Софийски градски съд по дело № 8486/2024 г.

Производството е по реда на чл. 258 и следв. ГПК. С Решение № 5035 от 20.03.2024 г., постановено по гр. д. № 39082/2022 г. по описа на Софийски районен съд, 153-и състав, „Юробанк България“ АД е осъден да заплати на основание чл. 79, ал. 1 ЗПУПС на С. С. Е. сумата от 2238, 22 лв., представляваща общата стойност на извършените 13 броя неразрешени платежни операции в периода 29.07.2021 г. – 02.08.2021 г. с притежаваната от ищеца дебитна карта посредством токенизирана виртуална карта, без негово съгласие, ведно със законната лихва от 20.07.2022 г. до окончателното изплащане на вземането, както и на основание чл. 78, ал. 1 ГПК сумата 639, 53 лв. разноски по делото. Във въззивната жалба са изложени оплаквания за неправилност на обжалваното решение поради нарушение на материалния закон и на съдопроизводствените правила, както и поради необоснованост. Според жалбоподателя съдът неправилно и непълно обсъдил изводите на експерта по изготвената по делото техническа експертиза, от която следвало, че процесните 13 платежни операции са или разрешени, или извършени при допусната груба небрежност от страна на ищеца в процеса по създаване, и активиране на електронен еквивалент на платежна карта, както и при съхраняване и боравене с персонализираните средства за сигурност на ползваните платежни инструменти. Вещото лице посочило, методите и средствата за задълбочено установяване идентичността на платеца, съответствието на платежните операции с нормативните изисквания, отсъствието на технически повреди и недостатъци в системите на банката. Въззивникът не е съгласен с приетото от съда, че ответникът не е доказал спазването на задължението си по чл. 100, ал. 2 и ал. 4 ЗПУПС за прилагане на задълбочено установяване идентичността на платеца при извършване на процесните платежни операции, както и че последните са неразрешени, доколкото тези изводи противоречали на събраните по делото доказателства. Трансакциите били извършени и потвърдени след процедура по установяване идентичността чрез използването на услугата „Apple Pay“. Освен това при създаването на електронен образ на платежната карта в мобилното приложение били въведени всички персонализирани защитни характеристики на картата и бил изпратен и уникален код чрез SMS до телефонния номер на картодържателя, като това било видно от експертизата по делото, поради което съдът неправилно и необосновано възприел обратното. Установил се начинът на извършване на платежните операции чрез услугата “Apple Pay“, както и начинът на токенизация на платежната карта в приложението. Според жалбоподателя в случая е ирелевантно обстоятелството, че ищецът използва мобилно устройство, чиято операционна система не поддържа приложението „Apple Pay“. Жалбоподателят поддържа, че ищецът е нарушил задълженията си по чл. 75, т. 3 ЗПУПС, както и задълженията за съхранение на персонализираните средства за сигурност, което разкривало признаците на груба небрежност. В настоящия случай приложение намирали разпоредбите на чл. 81, ал. 1 ЗЗД и чл. 75, ал. 2 ЗЗД. Моли обжалваното решение да бъде отменено, а предявените искове да бъдат отхвърлени, като е заявена и претенция за разноски. В срока по чл.263, ал.1 ГПК въззиваемата страна С. С. Е. не е подал отговор на въззивната жалба. Въззивната жалба е подадена срещу подлежащ на обжалване съдебен акт, в законоустановения срок, от легитимирана страна, като е заплатена дължимата държавна такса за въззивно обжалване, поради което въззивната жалба е редовна. Софийският градски съд, след като прецени събраните по делото доказателства по свое убеждение и съобразно чл. 12 ГПК, във връзка с наведените във въззивната жалба пороци на атакувания съдебен акт, приема следното: Настоящият състав намира, че първоинстанционното решение е валидно и допустимо. Решението е правилно, като на основание чл. 272 ГПК въззивният състав препраща към мотивите, изложени от СРС. Независимо от това и във връзка с доводите във въззивната жалба е необходимо да се добави следното: На етапа на въззивното производство не е спорно, че между страните е съществувало облигационно правоотношение по договор за издаване и обслужване на персонална дебитна карта с № 5169070003494175 към разплащателна сметка с IBAN •••••••••, открита през 2005 г., както и че ищецът е ползвал услугата „Интернет банкиране“ на ответника съгласно Общи условия от 20.04.2011 г. Не е спорно, че на 29.07.2021 г. от цитираната сметка е направено онлайн плащане на виртуален ПОС терминал на стойност 1391, 78 лв., а в периода 31.07.2021 г. – 02.08.2021 г. са извършени общо 12 плащания в общ размер от 846, 44 лв. към чуждестранни търговци на физически (реални) ПОС терминали. Не е спорно, че посочените транзакции са направени през мобилното приложение „Apple Pay” посредством добавена в него токенизирана виртуална карта, както и че след издаването на извършените плащания ищецът е уведомил банката. В хода на въззивното производство спорът се концентрира върху това дали процесните платежни операции са били разрешени, както и дали доставчикът на платежни услуги е доказал, че е налице груба небрежност от страна на ползвателя на платежните услуги. Съгласно разпоредбата на чл. 70, ал. 1 ЗПУПС платежната операция е разрешена, ако платецът я е разрешил или е дал съгласие за извършването й. При липса на съгласие платежната операция е неразрешена. Съгласно алинеи 2 и 3 на цитираната разпоредба разрешението от платеца се дава преди изпълнението на платежната операция или ако е уговорено между платеца и неговия доставчик на платежни услуги – след изпълнението на операцията. Съгласието за изпълнение на платежна операция или на поредици от платежни операции се дава по ред и начин, уговорени между платеца и съответния доставчик или съответните доставчици на платежни услуги. Съгласието за изпълнение на платежната услуга може да бъде дадено и чрез получателя или доставчика на услуги по иницииране на плащане. В случай на неразрешена платежна операция, доставчикът на платежни услуги възстановява незабавно на платеца стойността на неразрешената платежна операция, освен когато доставчикът на платежни услуги има основателни съмнения за измама и уведоми съответните компетентни органи/чл. 79, ал. 1 ЗПУПС/. Различните хипотези на намаляване или изключване на отговорността на банката при неразрешени платежни операции са уредени в чл. 80 ЗПУПС. Съгласно чл. 78, ал. 1 ЗПУПС когато ползвателят на платежна услуга твърди, че не е разрешавал изпълнението на платежна операция или че е налице неточно изпълнена платежна операция, доставчикът на платежна услуга носи доказателствена тежест при установяване на автентичността на платежната операция, нейното точно регистриране, осчетоводяване, както и за това, че операцията не е засегната от техническа повреда или друг недостатък в услугата, предоставена от доставчика на платежни услуги. В чл. 78, ал. 3 ЗПУПС е посочено, че установяването на автентичността е процедура, която позволява на доставчика на платежни услуги да провери правомерното използване на конкретен платежен инструмент, включително неговите персонализирани средства за сигурност. Използването на конкретен платежен инструмент се определя от правилата и процедурите на доставчика на платежни услуги по изпълнение на съответната платежна операция. Когато ползвателят на платежна услуга твърди, че не е разрешавал платежна операция, регистрираното от доставчика на платежни услуги използване на платежен инструмент не е достатъчно доказателство, че платежната операция е била разрешена от платеца или че платецът е действал чрез измама, или умишлено или при груба небрежност не е изпълнил някое от задълженията си по чл. 75. Доставчикът на платежни услуги представя доказателства, че е налице измама или груба небрежност от страна на ползвателя на платежни услуги /чл. 78, ал. 4 ЗПУПС/. В конкретния случай ищецът твърди, че не е разрешавал процесната платежна операция, поради което с оглед разпоредбата на чл. 78, ал. 1 ЗПУПС в тежест на ответника е да докаже автентичността на платежната операция. В хода на първоинстанционното производство е изслушано и прието заключение на съдебнотехническа експертиза, което съдът кредитира като обективно и компетентно дадено. Вещото лице посочва, че на 20.07.2021 г. в услугата Apple Pay е било създадено виртуално копие на физическата карта на ищеца, което е станало чрез въвеждане на данните за картата (номер на картата, срок на валидност на картата и CVC код), както и с изпращане на уникален еднократен код чрез SMS до телефона на картодържателя. На 27.07.2021 г. чрез услугата Apple Pay е било извършено 1 плащане на виртуален ПОС терминал – в този случай идентификацията от 20.07.2021 г. вече е извършена и е достатъчна за идентифициране на клиента. На дати 31.07.2021 г., 01.08.2021 г. и 02.08.2021 г. чрез услугата Apple Pay с така създаденото виртуално копие на дебитната карта на ищеца са извършени 12 плащания на реален (физически) ПОС терминал – в тези случаи идентификацията от 20.07.2021 г. вече е извършена и е достатъчна за идентифициране на клиента. Съгласно заключението след като картата веднъж е вкарана в услугата Apple Pay, при всяко плащане услугата автоматично въвежда персоналните идентификатори на дебитната карта, което се е случило и при процесните 13 плащания. Съгласно заключението на вещото лице създаването на цифров образ на физическа платежна карта се извършва чрез сканиране на картата с камерата на устройството или чрез въвеждане на данните за картата ръчно и задължителна идентификация на клиента, чрез банката-издател на картата, като най-често тази идентификация е чрез SMS или телефонно обаждане от банката към клиента, който желае да активира картата си в услугата Apple Pay. Вещото лице посочва, че услугата Apple Pay, както и свързаното с нея приложение Waller, са предварително инсталирани на всички устройства с операционна система iOS. При създаване/добавяне на тоукънизиран образ на платежна карта първо потребителят се подканва да сканира картата си или да въведе данните за нея ръчно. След като това се случи, се преминава към екран, който изисква верификация и въвеждане на код чрез SMS, телефонно обаждане или по друг начин. При успешна стъпка по верификация, на потребителя се показва съобщение за успешно активиране/добавяне на картата и тя се появява в приложението Wallet и услугата Apple Pay. При плащане на реален (физически) ПОС е необходимо първо собственикът на Apple устройството да натисне десния бутон два пъти и след това да доближи мобилното си устройство до устройството за безконтактно плащане – ПОС терминала. След това, за да се потвърди плащането, собственикът на устройството трябва да изпълни едно от следните три действия: да сканира лицето си, да сканира пръстовия си отпечатък или да въведе ПИН кода си за отключване на устройството, като при успешно плащане се получава съответното съобщение в устройството. Вещото лице е констатирало, че към момента на проверката мобилният апарат на ищеца е с операционна система Android, като на него има следи от ползване от поне 2020 г., като на мобилния апарат на ищеца не е инсталирана услугата Apple P a y или приложението Wallet, тъй като те могат да работят само на устройства с операционна система iOS. В компютърните данни на ответника има данни за активирана услуга Apple Pay със създаден цифров образ на дебитната картана ищеца от дата 20.07.2021 г., като по информация от системите на ответника валидирането на добавянето на картата е станало чрез изпращане на SMS с еднократен код за потвърждения на 20.07.2021 г. в 10: 31: 18 часа до телефонния номер на ищеца. Вещото лице е отбелязало, че при активация на карта в услугата Apple Pay и последващото валидиране не е необходимо телефонния номер на устройството с Apple Pay да съвпада с телефонния номер, който се използва за валидация на добавянето на картата чрез SMS код. Добавянето на картата към Apple Pay изисква временна парола, която се изпраща на мобилния номер на потребителя, като плащанията онлайн с Apple Pay могат да се извършват само през браузъра на устройството, на което е инсталирано приложението Wallet и е добавена картата. В отговор на поставените въпроси вещото лице посочва, че ако се плаща на виртуален ПОС с Apple Pay или се извършва безконтактно плащане на реален ПОС с Apple Pay, е необходимо да се използва Face ID (лицево разпознаване, фактор „характерна особеност“), Touch ID (пръстов отпечатък, фактор „характерна особеност“), passcode (ПИН код, фактор „знание“), зададен от собственика на устройството, като метод за верификация, за да се одобри транзакцията (плащането). Според констатациите на вещото лице евентуален неоправомощен достъп до услугите „интернет банкиране“, „Apple Pay“ и до дебитната карта на ищеца, както и до персонализираните му средства за сигурност може да се дължи на голям спектър от причини, включително изгубена или открадната дебитна карта, технически проблем в банковите системи, злонамерени действия на трети лица, компрометиране на едно или няколко устройства на ищеца, включително неговия телефон, както и на небрежност от страна на ищеца, при която вследствие на измама, той предоставя данните на картата си и SMS кодове за потвърждение на трети злонамерени лица. Вещото лице е посочило и че ищецът е използвал услугата интернет банкиране преди 27.07.2021 г. Съгласно заключението заради успешно приложената двуфакторна автентикация, за банката наредителят на процесните платени операции е бил валиден потребител на услугата Apple Pay и съответно на издадената от банката дебитна карта. Тъй като потребителят, извършил плащанията, се е автентикирал пред банката с фактор „притежание“ няколко дни преди самите плащания и в системите на банката не би могло да възникне съмнение в автентичността на извършените плащания, ако и те да е възможно да са извършени от друго физическо лице (друг наредител). Съгласно заключението банката е изпратила SMS съобщение на номера на ищеца на 20.07.2021 г. в 10: 31: 18 часа, което е било със статус „доставено“ и в него се съдържал код за регистрация на цифров образ на процесната карта в услугата Apple Pay, като не може да се каже със сигурност дали съобщението е получено и видяно точно от ищеца и от кого е било прочетено това съобщение. Мобилният телефон на ищеца не е разполагал с услугата Apple Pay, тъй като мобилното устройство е работило с операционна система Android, която не поддържа услугата Apple Pay. В системите на ответника нямало информация за други SMS съобщения, изпратени към или получени от ищеца освен SMS съобщението от 20.07.2021 г. ищецът не е имал активирана услуга S M S известяване, предлагана от ответника, от която ищецът би могъл да получава SMS съобщение при всяка извършена транзакция с банковата си карта. Според вещото лице от тринадесетте процесни транзакции има само една, която е извършена на виртуален ПОС терминал, като нейният търговец “Lastminute.com-H1tel Paris” участва в програмата 3DS на Mastercard и съответно прилага задълбочено установяване на идентичността на плащанията при извършване на онлайн транзакции. Останалите 12 транзакции са извършени безконтактно на реален (физически) ПОС терминал и за тяхното извършване се прилагат правилата за верифициране на услугата Apple Pay. Вещото лице посочва, че не е технически възможно за банката да установи наличието на какъвто и да е зловреден софтуер или външен неоторизиран достъп до устройството, което се използва за персонализираните средства за сигурност на наредителя на транзакциите. С определение № 1244 от 22.01.2025 г., постановено по в. гр. д. № 8486/2024 г. по описа на Софийски градски съд, IV-В състав, е допуснато изготвянето на допълнителна съдебнотехническа експертиза, чието заключение съдът кредитира като обективно и компетентно дадено. Според вещото лице към момента на спорните транзакции (юли-август 2021 г.) „ Юробанк България“ АД принципно прилага комбинирана система от защитни механизми, включваща персонализирани идентификатори на платежната карта, еднократен SMS код (или алтернативно тоукън от m-Токеп Postbank“) за добавяне на картата към услуги като, Apple Рау“, както и изискване за локално потвърждение на всяко плащане чрез биометричен идентификатор (лицево разпознаване или пръстов отпечатьк) или PIN код на устройството. Тези методи съвпадат с изискванията на Директива (ЕС) 20 15/2366 (PSD2) за силна клиентска идентификация (SCA), чрез комбиниране на фактори „притежание“, „знание“ и „характерна особеност“. Отделно, потвърждаването на всяко плащане през услугата „Apple pay“ се осъществява на ниво устройство и не допуска извършване на транзакция без активното участие на потребителя. От предоставените документа, ръководства, справки и данни, проверени при изготвянето на първоинстанционната експертиза, н се установяват доказателства за наличие на технически повреди или пропуски в системите на банката, които да позволят нерегламентиран достьп без участие на клиента. Евентуално компрометиране на достъпа може да се дължи на различни фактори от страна на потребителя, включително наличие на зловреден софтуер на неговото мобилно устройство, който позволяла прихващане на еднократни SMS кодове или данни от екран а; измама чрез социално инженерство или „ фишинг”, при която потребителят бива подведен да въведе или предостави данните си доброволно; дублиране на SIM картата (т.нар. „SIM swap” атака), при което телефонният му номер се прехвърля към друго устройство; физически достъп на трето лице до отключен телефон с активирана платежна услуга; както и използване на лесни за отгатване и споделени идентификатори, данни за платежни карти и пароли за достъп. Не се установяват данни за наличие на технически повреди, софтуерни проблеми или нарушения в работата на системите на банката към датите на спорните трансакции. От анализа на предоставените документи, включително функционалните описания на процесите за идентификация и авторизация, както и от заключенията на първоинстанционната експертиза след ва, че всяка от тринадесетте транзакции е осъществена при спазване на процедурите за клиентска идентификация и в условията на нормално функциониращи системи. В анализираната информация не се откриват индикации за въвеждане на грешни данни, технически сривове или опити за достъп, които биха могли да породят съмнение за нарушение на установената банкова сигурност. След анализ на събраните по делото доказателства настоящият съдебен състав намира, че не е налице основание за освобождаване на ответника от обективната му и безвиновна отговорност по чл. 79 ЗПУПС, тъй като не се установява неизпълнение поради умисъл или груба небрежност от страна на ищеца на задълженията му да предприеме всички разумни действия по съхраняване на персонализираните защитни характеристики на платежния инструмент за интернет банкиране, като задължение на банката е да осигури платежен инструмент, който не допуска неразрешени платежни операции. От доказателствения материал не може да се формира извод за конкретно поведение на ищеца, което да сочи на непредприемане от него на всички разумни действия за опазване в тайна на персонализираните средства за сигурност на платежния му инструмент. От приетото по делото заключение на съдебнотехническа експертиза се установява, че банката като кредитна институция и като доставчик на платежни услуги, не е поддържала достатъчно ниво на идентификация на ползвателя на платежните услуги към момента на извършване на транзакции. Съобразно чл. 98 от ЗПУПС доставчиците на платежни услуги създават подходящи мерки за ограничаване и контролни механизми за управление на операционните рискове, включително рисковете, свързани със сигурността, във връзка с предоставяните от тях платежни услуги, както и установяват и поддържат ефективни процедури за управление на инциденти, за откриване и класифициране на значими операционни инциденти и инциденти, свързани със сигурността. Според чл. 100 от ЗПУПС доставчиците на платежни услуги са задължени при платежни операции, инициирани от разстояние, да приложи задълбочено установяване на идентичността на клиента чрез променливи елементи, свързващи операцията с конкретна сума и получател. Задълбочено установяване на идентичността на клиента е процедура по установяване на идентичността, която е разработена по начин, който защитава поверителността на данните, и която включва използването на два или повече от следните независими елементи: 1. знание - нещо, което само ползвателят знае; 2. притежание - нещо, което само ползвателят притежава; 3. характерна особеност - нещо, което характеризира ползвателя. От ангажираните в хода на делото доказателства не може да се направи извод, че процесните платежни операции са разрешени от платеца по смисъла на чл. 70, ал. 1 ЗПУПС, доколкото не са налице данни същите да са оторизирани от ищеца. Единствените данни за верификация и установяване на самоличността на ищеца от страна на банката се отнасят към момента, към който е инсталирано приложението „Apple Pay“, което приложение е технически възможно да се инсталира единствено на мобилно устройство, поддържащо операционната система iOS, но не и Android, под каквато операционна система е функционирало устройството на ответника. Липсват обаче доказателства за приложена идентификация към момента на всяко едно от плащанията. Процесните платежни операции са осъществени, като не са спазени всички необходими стъпки за извършване на авторизация и автентификация пред системите на банката. Това е така, тъй като процесните платежни операции са извършени чрез виртуална карта, за която няма данни да е създадена от ищеца. Отделно от това не се установява да е било необходимо допълнително разрешение за всяко разплащане. В ЗПУПС изрично е предвидено, че когато ползвателят на платежна услуга твърди, че не е разрешавал платежна операция, регистрираното от доставчика на платежни услуги използване на платежен инструмент не е достатъчно доказателство, че платежната операция е била разрешена от платеца или че платецът е действал чрез измама, или че умишлено или при груба небрежност не е изпълнил някое от задълженията си по чл. 75 ЗПУПС. При тези обстоятелства съдът приема, че процесните дванадесет броя платежни операции са неразрешени по смисъла на чл. 70, ал. 1 изр. 2 ЗПУПС, поради което тяхното изпълнение от страна на банката - доставчик на платежни услуги, е основание за ангажиране на отговорността й по чл. 79, ал. 1 ЗПУПС. Същата може да се освободи от отговорност само ако докаже въведеното в срока по чл. 131 ГПК възражение, за допусната от ищеца груба небрежност по см. чл. 80, ал. 3 от ЗПУПС, поради неизпълнение на задължението си по чл. 75, т. 3 от ЗПУПС да опази трайната на личните си идентификатори. В случая обаче не са конкретизирани общите твърдения на ответника за проявена груба небрежност от страна на ищеца, нито са ангажирани доказателства в тази връзка. Следва да се отбележи и че проявата на груба небрежност не може да бъде обоснована единствено с извършването и осчетоводяването на самата платежна операция. Предвид изложеното настоящият съдебен състав намира, че от съвкупната преценка на събраните по делото доказателства не се установява автентичността на процесните платежни операции по смисъла на чл. 78, ал. 3 ЗПУПС, а именно че съгласието за извършването им е дадено от платеца, поради което същите се явяват неразрешени и ответникът следва да възстанови стойността им. Ето защо искът с правно основание чл. 79, ал. 1 ЗПУПС правилно е бил уважен от първоинстанционния съд. Настоящият състав достига до същите правни изводи, възприети и от СРС и доколкото други оплаквания не са наведени във въззивната жалба и при съобразяване на разпоредбата на чл. 269, ал. 1 ГПК, то обжалваното решение следва да бъде потвърдено, а въззивната жалба - оставена без уважение. По разноските: При този изход на спора и на основание чл. 78, ал. 3, вр. чл. 273 ГПК право на разноски има въззиваемият ищец. Въззиваемата страна претендира разноски за адвокатско възнаграждение в размер на 600 лв., като представя и доказателства за заплащането им. Въззивникът своевременно е направил възражение за прекомерност на адвокатското възнаграждение по чл. 78, ал. 5 ГПК. Определящ критерий за обосноваване на справедлив и съответен размер на адвокатското възнаграждение е конкретиката на правния спор и проведеното съдебно производство. Предвид разрешенията, дадени в решение на СЕС от 23.11.2017 г. по съединени дела С-427/16 и С-428/16 и решение от 25.01.2024 г. по дело С- 438/2022 г., задължителни за съдилищата съгласно чл. 633 и чл. 3 ГПК, съдът не е обвързан от минимума, предвиден в цитираната наредба за определяне на адвокатски възнаграждения. Използвайки като ориентир предвиденото в чл. 7, ал. 2, т. 2 от цитираната наредба възнаграждение и съобразявайки обстоятелството, че в конкретния случай реализираната от процесуалния представител на ищеца правна защита и съдействие е предоставена по спор, който не се характеризира с фактическа и правна сложност, съдът намира, че в полза на ищеца следва да бъдат присъдени разноски за адвокатско възнаграждение в размер на 400 лева, който размер счита за справедлив и съответен. С оглед цената на иска въззивното решение не подлежи на касационно обжалване по правилата на чл. 280, ал. 3, т. 1 ГПК, вр. чл. 69, ал. 1, т. 1 ГПК. Така мотивиран, съдът