Решение № 3609 от 24.2.2026 г. на Софийски районен съд по дело № 34468/2024 г.

Производството е по реда на чл. 124 и сл. ГПК.

Образувано е по искова молба на С. Б. З. срещу „Ю.Б.“ АД, с която са предявени искове за признаване за установено в отношенията между страните, че ответникът дължи на ищцата сумата от 1489,47 лв.– подлежаща на възстановяване сума, съобразно наследствения дял на ищцата, за неразрешена трансакция, извършена на 22.11.2021 г. от кредитната карта на нейния наследодател И.А.З., починал на 22.10.2022 г., ведно със законната лихва от датата на подаване на заявлението за издаване на заповед за изпълнение – 02.11.2023 г. до окончателното плащане, както и сумата от 282,20 лв. – мораторна лихва върху главницата за периода от 21.02.2022 г. до 31.10.2023 г., за които суми по ч.гр.д. № 60493/2023 г. по описа на СРС, 119 състав е издадена заповед за изпълнение по чл. 410 ГПК.

В исковата молба се твърди, че И.А.З. е бил клиент на „Ю.Б.“ АД, тъй като имал разкрита банкова сметка, към която е имало асоциирана платежна кредитна карта Mastercard Standard № 5411968324•••••••. На 22.11.2021 г. със същата сочи да са извършени две неразрешени транзакции от неизвестно лице както следва: в 14:05 ч. на стойност от 29041,80 турски лири (с левова равностойност от 4661,63 лв.) при търговец PARAM. *TRENDYO и в 14:11 ч. на стойност от 16991,04 турски лири (с левова равностойност от 2727,31 лв.) при търговец PARAM. *TRENDYO. Незабавно след като получава SMS-известяване за неразрешените транзакции, И.З. е потърсил номер на кол-центъра на "Ю.Б." АД и към 14:17 часа на 22.11.2021 г. се свързал посредством личния си мобилен телефон с операторите на банката, за да съобщи за неправомерното използване на картата. Независимо от срочното подаване на информация към кредитната институция и поради бездействие на последната, на 22.11.2021 г. в 14:27 ч. с издадената на името на И.З. кредитна карта е извършена още една неразрешена трансакция, а именно: трансакция в размер на 27838,08 турски лири (с левова равностойност от 4468,42 лв.) отново при същия търговец. Поддържа, че за процесната трансакция И.З. не е използвал картата, не е разрешавал ползването на картата от трето лице, не е споделял идентификационните или авторизационни данни за използването, не е получил сумата или услугата/стоката, за която е направено плащането, като картата е била през цялото време у него и той се е намирал на територията на Република България. Твърди, че трансакцията, която е направена с картата на името на И.З. след като е известена банката за неразрешеното ползване на картата, не само не е блокирана на 22.11.2021 г., но е осчетоводена (сумата е дебитирана от сметката) на следващата дата - 23.11.2021 г., което е в пълно противоречие със задълженията на банката, предвидени в чл. 79, ал. 1 ЗУПСП и чл. 11.3, изр. 2 и 3 от ОУ. Поддържа се И.З. да е починал на 22.10.2022 г., като ищцата С. Б. З. е негов наследник по закон, като е наследила 1/3 от имуществото му. Поддържа, че съгласно чл. 80, ал. 5 ЗПУПС платецът не понася никакви имуществени вреди, произтичащи от незаконно присвоен платежен инструмент, след като е уведомил доставчика за наличие на неразрешена употреба на платежен инструмент. Предвид изложеното, моли за уважаване на предявените искове. Претендира разноски.

В законоустановения срок по чл. 131 ГПК ответникът „Ю.Б.“ АД е подал отговор на исковата молба, с който оспорва предявените искове. Признава, че ищцата е наследник на И.З., който е бил клиент на банката и е ползвал процесната кредитна карта. Излага твърдения, че И.З. е ползвал услугата интернет банкиране, чрез която е достъпвал продуктите и услугите на банката, като картата и ПИН кодът са предадени лично на него. Навежда съображения, че на 22.11.2021 г. чрез електронното банкиране е активирана услугата за софтуерен токън „m-token Р.“ и активационните кодове би следвало да за известни само на клиента, но не и на трети лица. Поддържа, че доколкото с токъна се потвърждават операции, то трите платежни операции с картата на 22.11.2021 г. за сумите от 4661,63 лв., 2727,31 лв. и 4468,42 лв. са извършени под контрола на клиента след провеждане на съответните процедури за проверка на идентичността на платеца. Поради това, счита всички такива за извършени от наследодателя на ищцата. Навежда доводи, че наследодателят на ищцата не е уведомил своевременно банката, като освен това обаждането по телефона, свързването и блокирането на платежния инструмент изисква технологично време. Твърди, че сумата не следва да се възстановява, тъй като е част от предоставен кредитен лимит от банката и не представлява лични средства, поради което наследодателят на ищцата не е загубил съответната сума. Сочи, че помирителното предложение е ирелевантно в случая. Поддържа, че процесната операция е надлежно осчетоводена, поради което е неотменима от една страна, тъй като трансакцията е била осъществена с персонализираните защитни характеристики на И.З., а от друга страна ответникът е изпълнил задълженията си за осигуряване на сигурност на трансакцията. Аргументира наличието на груба небрежност от страна на наследодателят на ищеца, като сочи, че последният е предоставил идентификационните си данни на трето лице. Развива съображения, че не носи отговорност за действията на картодържателя и ползвател на платежния инструмент, които аргументира с приложение на разпоредбите на чл. 81, ал. 1 ЗЗД и чл. 83, ал. 2 ЗЗД. Претендира разноски.

Съдът, след като прецени събраните по делото доказателства поотделно и в тяхната съвкупност, ведно с доводите и становищата на страните, по реда на чл. 235, ал. 2, вр. чл. 12 ГПК, приема за установено следното от фактическа страна:

С доклада по делото съдът е отделил за безспорни и ненуждаещи се от доказване между страните следните обстоятелства: 1) че наследодателят на ищцата е бил клиент на ответника, като е имал разкрита при ответника банкова сметка и ползвал кредитна карта; 2) че на 22.11.2021 г. са били извършени транзакции за сумите 4661,63 лв., за сумата от 2727,31 лв. и за сумата от 4468,42 лв.; 3) че на 22.11.2021 г. И.З. се е свързал с банката-ответник; 4) че процесната платежна операция, извършена на 22.11.2021 г. в 14:27 ч. е осчетоводена в счетоводството на ответника; 5) че ищцата е наследник по закон на И.А.З..

Освен, че са безспорни горните обстоятелства се установяват и от ангажираните по делото писмени доказателства – заявление-договор за издаване на кредитна карта за картодържатели с кредитни карти от Банка П.Б. № PR06041••••••/08.10.2019 г., Анекс към Договор за предоставяне и ползване на услугата „Интернет банкиране, протокол за получен код за активация на услугата „Интернет банкиране“ от 28.03.2021 г. Видно от същите наследодателят на ищцата е посочил като е-мейл за контакт •••••••••••••••••••••••••.

От приложеното удостоверение за наследници е видно, че И.А.З. е починал на 22.10.2022 г. и е оставил за свои наследници по закон – синове А. и Д.З., както и преживяла съпруга – ищцата С. Б. З..

По делото е представена имейл кореспонденция от която се установява, че ответникът е изпращал месечни извлечения по кредитната карта на ищеца от адрес: ••••••••••••••• до имейл адрес: ••••••••••••••••, както и че процесната трансакция е отразена.

От прието по делото извлечение за мобилни телефонни разговори се установява, че на 22.11.2021 г. в 14:17:15 ч. наследодателят на ищцата /от тел. номер 359887••••••/ е провел разговор с ответника /0700••••••/.

Представено е помирително предложение по помирително производство № 101/2022 г., касаещо процесния случай, което не е прието от страните.

Представено е извлечение от на „Ю.Б.“ АД, в което е отбелязано успешно активиране на m-Token Р.. Представени са и извлечения, в които е отбелязано, че до тел. номер 0887•••••• са изпратени текстови съобщения за осъществен вход в системата за електронно банкиране.

От страна на ответника са представени ОУ на „Ю.Б.“ АД за електронно банково обслужване „Интернет банкиране“ за индивидуални и корпоративни клиенти, както и ОУ за издаване и използване на кредитни карти VISA, Mastercard и American Express.

В приетите от ищеца Общи условия за електронно банково обслужване, е дадена дефиниция на определението „софтуерен токън“ (m-Token Р.), което е приложение за мобилни устройства (смартфони) и служещо за удостоверяване идентичността на оправомощения държател и за потвърждаване на съгласието му за изпълнение на дистанционни платежни и неплатежни операции, като достъпът до приложението се осигурява с ПИН, като софтуерния токън не може да бъде инсталиран на повече от едно устройство едновременно, а активирането на ново устройство деактивира автоматично токъна на текущото устройство.

От представения по делото Формуляр за оспорване на плащания с банкова карта (л. 172), подаден от И.З. до „Ю.Б.“ АД от 22.11.2021 г., се установява, че наследодателят на ищеца е оспорил процесните платежни операции.

По делото е изслушано и прието без възражения на страните в срока по чл. 200, ал. 3 ГПК заключение по допуснатата съдебно счетоводна експертиза, което преценено по реда на чл. 202 ГПК съдът кредитира като обективно и компетентно изготвено. От заключението се установява, че при плащане с банкова карта – дебитна или кредитна карта, плащането става неотменимо при осъществяване на контакт на банковата карта с ПОС терминалното устройство и въвеждане на пин код за авторизиране на плащането. Когато не се изисква въвеждане на пин-код, плащането става неотменимо в моментът, в който картата бъде прочетена и одобрена от ПОС терминалното устройство. Картовата операция по плащане се осчетоводява в момента на авторизиране на плащането с въвеждането на пин-кода или при допир на картата на ПОС терминалното устройство само, когато не се изисква въвеждане на пин-код. При одобрено плащане, т.е. в момента в който картата е одобрена от ПОС терминалното устройство или след въвеждане на пин-кода за авторизация на плащането когато се изисква пин-код, то плащането се осчетоводява автоматично и не може да не се осчетоводи от банката издател на картата, с която се плаща. При одобрение на картата от търговеца чрез ПОС терминалното устройство и след въвеждане на пин-код когато се изисква такъв, сумата на плащането се изважда от баланса на банковата карта на наредителя и се изпраща съобщение на банката, в която е сметката на получателя. Това се осъществя чрез системите за незабавни плащания на VISA и Mastercard, поради което успешно наредено картово плащане на ПОС терминал, авторизрано с пин-код, когато се изисква, не може да бъде анулирано, не може да бъде спрямо, както и не може да не бъде осчетоводено, тъй като с изпращане на финансовото съобщение на банката, в която е сметката на получателя, сметката на получателя се заверява със сумата на плащането.

В о.с.з. вещото лице Р. С. пояснява, че има процедура за оспорване на трансакцията съгласно системите за незабавни плащания, но тя не отменя плащането. Последното се осъществява, одобрява се и не се отменя веднага. Процедурата за оспорване следва да се предизвика от банката, към която е подадено възражение. Тя не се осъществява незабавно, а е необходимо Виза или Мастеркард, според това, кой е издателят на карата, се произнасят и ако преценят, че е налице нарушение се възстановява сумата. Експертът сочи, че след въвеждане на кода трансакцията се изпълнява категорично и същата не може да бъде отменена.

По делото е изслушано и прието без възражения на страните в срока по чл. 200, ал. 3 ГПК заключение по допуснатата компютърно техническа експертиза, което преценено по реда на чл. 202 ГПК съдът кредитира като обективно и компетентно изготвено.

От приетото основно заключение се установява, че в банковата система на И.З. банков акаунт, който е ползвал електронно банкиране, заявен при лично посещение на клиента в обслужващ финансов център, късето му е предаден код за активация на услугата „Интернет банкиране“, генериран от система на Банката. Лично от И.З., пред „Ю.Б.“ АД, са заявени персонален телефонен номер: 0887•••••• и адрес на електронна поща: •••••••••••••••••••, посочени в Анекс към Договор за предоставяне и ползване на услугата „Интернет банкиране“ от 28.09.2021 г. След получаване на активационния код, от потребителя са реализирани следните стъпки, в резултат от които е разполагал с достъп до интернет банкиране: 1. Влизане на сайта на Банката и подаване на заявка за активиране, чрез въвеждане на предоставения код за активация. 2. На предоставените електронна поща (email) и мобилен номер са изпратени съответно потребителско име и парола за достъп. 3. Потребителят е въвел получените потребителско име (получено по email) и парола (получена чрез SMS или друго електронно съобщение) в съответните полета за вход в банкирането след което е изискана смяна на паролата. В резултат от гореописания процес И.З. е разполагал с уникални, създадени от него самия, потребителско име и парола за достъп. Експертът сочи, че на 22.11.2021 г., са изпратени два независими един от друг уникални кода – един чрез SMS/Viber съобщение до телефонен номер 0887•••••• в 13:29 ч. на 22.11.2021 г. и втори – чрез е-mail, изпратен до •••••••••••••••••на същата дата в 13:31 ч.;

При инсталиране на нов токън старият се деактивира. Това е заложено в системата на банката. При опит за нова активация на софтуерен токън на ново мобилно устройство се получават съобщения с изпратените кодове, като в съобщението пише, че това са кодове за създаване на м-токън с предупреждение изрично да се внимава къде се въвеждат кодовете. При заявяване на токъна на 22.11.2021г. експертът установява вход с персонализираните защитни характеристики на И.З., създадени при първоначален вход в електронното банкиране. Вещото лице сочи, че в интернет банкирането може да се влезе само с въвеждане на коректни потребителско име и парола, създадени от потребителя при първоначалното достъпване на услугата. Авторизацията на атакуваните трансакции е осъществена отново при наличие на два от предвидените в чл. 100 от ЗПУПС елементи: 1) „притежание“ (push нотификацията до приложението, активирано от клиента) и един от двата други елемента 2) „знание“ (ПИН за софтуерния токън) или „характерна особеност“ (биометрични данни). Същите да са протекли с въвеждане на коректните данни от картата - номер, дата на валидност, CVC2 код, като са били и потвърдени с „Push Notification“ в „m-Token”. Операциите на са били засегнати от технически повреди, отразени в банковата система.

Push Notification се получава само при активиран м токън и служи за верификация на плащане, или създаване на приложение/например “One Wallet by Р.”/ Нотификациите съдържат информация за наредената сума и данни те на получателя.

Вещото лице Х. изяснява, че картовите трансакции протичат на два етапа, като правилата са валидни в цял свят, за всички картови операции:

1. Авторизация – при който става реалната операция/въвеждане на ПИН код, номер карта, CVC код, 3DS валидиране и т.н./, т.е. това е етапа на потвърждение, проверка за наличност по картата, статуса й и т.н., при който се блокира сума по сметката съгласно сроковете на картовите организации и при изискване от страна на търговеца/финансовата институция, се дебитира сметката;

2. Счетоводна операция – Финансовата институция обслужваща търговеца, изисква блокираните средства по валидната авторизация и се дебитира сметката на картодържателя, като се заверява/кредитира сметката на акцептиращата финансова институция обслужваща търговеца. Картите издавани от Ю.Б. АД, са регистрирани във всички мандати на картовите организации за верификации на картови плащаниs – Verified by Visa, Mastercard Identity Check .

Експертът инж. Х. сочи, че единствено лице, което разполага с пълния набор от данни за платежния инструмент може да осъществи спорните операции, затова към момента на извършването им, като за ответника не е имало никакво съмнение за истинността на извършителя.

Вещото лице е установило, че между И.З. и кол центъра на банката е проведен разговор на 22.11.21 г., стартиран в 14:19 часа. В хода на разговора от служител на Банката на първо място е блокирано интернет банкирането на И.З., а след това разговорът е прехвърлен към друг служител на ответника с права да блокира платежния инструмент, като картата е блокирана на 22.11.21 в 14:27:03ч.

В проведеното на 08.10.2025 г. съдебно заседание вещото лице изяснява, че е технически възможно трето лице, ако разполага с данните, както да кажем това е двуфакторната верификация, която се изпраща от банката към устройството, което е посочено в банката като номер и ако лицето бъде подведено чрез някакъв социален инженеринг, в случая фишинг атака, да ги въведе някъде или по някакъв начин ги предостави на трето лице, по никакъв начин не може да бъде възпрепятствано създаването на м-тоукън на друго устройство от трето лице, което няма отношение по никакъв начин към системата по договор. Инж. Х. сочи, че фишинг атаката се използва от лице, което цели да се скрие, а използването на IP адрес може да доведе до неговото откриване – поради тази причина той иска да се скрие. В случая сочи, че се установява вход само с персонализираните защитни характеристики – само от потребител, но те могат да бъдат и в знание на трето лице. Не се установяват неуспешни входове. Не може да се осъществи операция без данни от картата.

Изслушано е и допълнително заключение по съдебно компютърно техническа експертиза ,съгласно която на 22.11.2021 в 14:19 ч. е проведен разговор с продължителност от 1 м. и 36 сек. с центъра за обслужване на клиенти в банката, иницииран от номер 0887••••••, в който клиентът заявил искане за блокиране на платежния инструмент, което се случило при провеждане на разговор в 14:25 ч. на 22.11.2021 г. със съответния отдел. Разговорът е бил с продължителност от 2 м. и 2 сек. Съгласно отразените в системата на банката данни картата е блокирана на 22.11.2021 в 14:27 ч. В проведеното на 02.06.2025 г. о.с.з. експертът е пояснил, че от изслушания запис се установява, че се провежда първоначално разговор със служител на банката, по време на който клиентът е заявил, че иска да бъде блокирана картата, а служителят е казал, че това не е от неговата компетентност и ще го прехвърли към друг отдел. Заявката за блокиране на картата е направена в първата част от разговора 14:19 ч.

При установяване на горната фактическа обстановка съдът достигна до следните правни изводи:

Съдът намира, че от съвкупния доказателствен материал се установява безспорно, че страните са обвързани от облигационни отношения във връзка с договор за издаване и обслужване па кредитна карта и договор за предоставяне и ползване на услугата интернет банкиране. Ето защо правоотношенията между страните, в хипотезата на неразрешена платежна операция извършена от банката като доставчик на платежни услуги на платеца, следва да се уредят от разпоредбите на Закона за платежните услуги и платежните системи – ЗПУПС и подзаконовия акт Наредба № 3/18.04.2018 г. за условията и реда за откриване на платежни сметки, за изпълнение на платежни операции и за използване на платежни инструменти.

Съгласно чл. 70 ЗПУПС, платежната операция е разрешена, ако платецът я е наредил или е дал съгласие за изпълнението, съответно при липса на съгласие платежната операция е неразрешена. Разрешението на платеца следва да бъде дадено преди изпълнението на платежната операция или ако е уговорено между платеца и неговия доставчик на платежни услуги - след изпълнението на операцията.

Хипотезата на чл. 79 ЗПУПС, по която се претендира ангажиране отговорността на ответника, предвижда изрично отговорност на банката, когато титулярът твърди, че е не е наредил или не е дал съгласие за извършване на платежни операции, каквито именно са твърденията на ищеца в случая. Тази отговорност е безвиновна и обективна.

Според нормата на чл. 79, ал. 1 ЗПУПС, доставчикът на платежни услуги възстановява на платеца незабавно стойността на неразрешената платежна операция и във всеки случай не по-късно от края на следващия работен ден, след като е забелязал или е бил уведомен за операцията, освен когато доставчикът на платежни услуги на платеца има основателни съмнения за измама и уведоми съответните компетентни органи за това. Когато е необходимо, доставчикът на платежни услуги на платеца възстановява платежната сметка на платеца в състоянието, в което тя би се намирала, ако не беше изпълнена неразрешената платежна операция. Вальорът за заверяване на платежната сметка на платеца е не по-късно от датата, на която сметката е била задължена със сумата на неразрешената платежна операция.

За основателността на предявените искове в тежест на ищеца е да докаже сключването с ответника на договор за платежни услуги с посоченото в исковата молба съдържание, че в срока на действие на договора е извършена платежна операция, която не е била заявена от ищеца, както и нейната стойност; че е уведомил ответника незабавно след узнаването; че ответникът е изпаднал в забава, както и размера на обезщетението за забава.

Ответникът носи доказателствената тежест за установяване автентичността на платежната операция, нейното точно регистриране и осчетоводяване, както и за това, че операцията не е засегната от техническа повреда или друг недостатък при предоставяне на услугата.

Особеността при доказателствената тежест в случая е, че при твърдения от ползвателя на платежната услуга, че оспорената трансакция не е разрешена, в тежест на банката е да докаже в производството, пълно и главно, че плащането е извършено надлежно, или че е извършено въз основа на измама, или при груба небрежност на оправомощения ползвател.

Според нормата на чл. 78, ал. 1 ЗПУПС, когато ползвателят на платежна услуга твърди, че не е разрешавал изпълнение на платежна операция или че е налице неточно изпълнена платежна операция, доставчикът на платежната услуга носи доказателствената тежест при установяване автентичността на операцията, нейното точно регистриране, осчетоводяването, както и за това, че операцията не е засегната от техническа повреда или друг недостатък в услугата, предоставена от доставчика на платежни услуги.

В чл. 78, ал. 4 ЗПУПС е предвидено също така, че при твърдения на ползвателя за неразрешена платежна операция и същевременно регистрирано от доставчика на платежните услуги използване на платежен инструмент, не е достатъчно установяване разрешаването на операцията чрез използване на идентификаторите на платеца. В този случай доставчикът на услугата дължи доказване, че ползвателят не е изпълнил някое от вменените му задължения по ползване на персонализираните средства за сигурност. Доставчикът на платежни услуги следва да ангажира доказателства, че операцията е извършена при измама или груба небрежност от страна на ползвателя на платежни услуги.

Нормата на чл. 78, ал. 4 ЗПУПС възпроизвежда тази на чл. 72, т. 2 от Директива (ЕС) 2015/2366 на Европейския парламент и на Съвета от 25.11.2015 г. за платежните услуги във вътрешния пазар. В нея също е уредено, в случай на оспорване от ползвателя на платежните услуги на изпълнена от него платежна операция, регистрираната от доставчика на услугите /банката/ като надлежно извършена, че надежното регистриране на операцията не е достатъчно, за да се приеме за доказано, че тя е била разрешена от платеца или че последният не е изпълнил умишлено или поради груба небрежност задълженията си по чл. 69 от Директивата. Следователно доставчикът дължи доказването на измамата или грубата небрежност при извършеното плащане.

Тълкуването на чл. 78, ал. 1 и, ал. 4 ЗПУПС недвусмислено сочи, че рискът от изпълнение на неразрешена от платеца платежна операция, макар и наредена чрез договорения платежен инструмент, е възложен в тежест на доставчика на платежната услуга. Неблагоприятните последици от изпълнението на неразрешената платежна операция, която е наредена чрез приетия от страните платежен инструмент, ще останат в правната сфера на платеца само при доказване от страна на ответника, че е налице измама или при умишлено или при груба небрежност от страна на платеца неизпълнение на съществените задължения, вменени му във връзка с използване на платежния инструмент. В този смисъл е и изричната разпоредба на чл. 80, ал. 3 ЗПУПС, която предвижда платецът да понася всички загуби, свързани с неразрешени платежни операции, когато ги е причинил чрез измама или с неизпълнението на едно или повече от задълженията си по чл. 75 умишлено или поради груба небрежност.

В Определение № 508/17.02.2025 г. по т. д. № 1593/2024 г. на ВКС, I т. о. е бил разгледан въпросът достатъчно ли е доставчикът на платежна услуга да установи използването на конкретен платежен инструмент, вкл. коректното въвеждане на неговите персонализирани защитни характеристики, или следва да проведе пълно и главно доказване на съгласието на платеца, т. е. че въвеждането им изхожда от самия него. Изрично е посочено, че няма противоречива практика по тълкуването на чл. 78, ал. 4 вр. с ал. 1 и предвид ал. 3 на същата разпоредба от ЗПУПС, като последната единствено възпроизвежда определението за "установяване на идентичност", съгласно чл. 1, т. 29 от Директива /ЕС/ 2015/2366 на Европейския парламент и на Света от 25.11.2015 г. относно платежните услуги на вътрешния пазар, отменяща Директива 2007/64/ЕО. Налице е и коментирано от СЕС приложение на идентична по съдържание на разпоредбата на чл. 72, т. 2 от Директива /EC/2015/2366, разпоредба от отменената Директива 2007/64 - чл. 59, т. 2, която чл. 78, ал. 4 ЗПУПС транспонира дословно. Така с решение от 11.07.2024 г. по дело С-409/2022 г., тълкувайки чл. 59, т. 2 от Директива 2007/64 / идентичен с текста на чл. 72, т. 2 от Директива /ЕС/ 2015/2366 на ЕП и Съвета и чл. 78, ал. 4 ЗПУПС /, предвид ясната разпоредба на чл. 54 от Директивата, дефинираща платежната трансакция като неразрешена при извършването и без съгласието на платеца, съдът е приел, че законодателят на Съюза очевидно не е целял установяване на разрешението за плащане да се ограничи до проверка на формалната редовност на правните актове, използвани за даването на това съгласие - съображения 73, 74, 80.

В съответствие с решение на СЕС по дело С-409/22 е и постановеното Решение № 159/14.10.2024 г. по т. д. № 904/2023 г. на ВКС, II Т. О., макар в различна от настоящата хипотеза на платежен инструмент. Няма основание чл. 78, ал. 4 ЗПУПС възприет като пояснение /допълнение/ на ал. 1 на същата разпоредба, а не като различно преценим, досежно разпределението на доказателствената тежест, фактически състав - да се прилага различно, съобразно вида на платежния инструмент. Определянето на една платежна операция като разрешена или неразрешена, е обусловено единствено от наличието или липсата на съгласие на лицето, което е титуляр на платежната сметка и разпорежда изпълнението на платежни операции по тази сметка. В идентична на настоящата хипотеза е споделено същото и в Определение по т. д. № 2456/2022 г. на ВКС, I т. о.: При твърдение за неразрешена платежна операция, идентифицирането на наредителя чрез електронното му устройство и автентифицирането на изявлението чрез другите електронни средства (ПИН код, м-токен и др.) не е достатъчно да изключи неговата отговорност, освен ако докаже измама на платеца или неизпълнение на задълженията на същия по чл. 75 ЗПУПС, при груба небрежност, способствали операцията.

Задължението за опазване на предоставените персонални средства за достъп до платежния инструмент за активно опериране с платежната сметка на ищцата изисква предприемане на всички разумни действия за запазването им в тайна, включително да не записва каквато и да е информация за тези средства за сигурност върху платежния инструмент и да не съхранява такава информация заедно с платежния инструмент. Разумните действия обичайно се свеждат до наличие на парола за достъп до функционалностите на телефона, използване на антивирусна програма и поддържането й в състояние на актуалност, съответно фактическо опазване в тайна на предоставените пароли и периодичната им промяна.

Съгласно чл. 100, ал. 1, т. 1-3 ЗПУПС доставчиците на платежни услуги прилагат задълбочено установяване на идентичността на платеца, когато платецът: достъпва платежната сметка онлайн; инициира електронна платежна операция; извършва друго действие от разстояние, при което би могло да възникне риск от измама при плащането или друга злоупотреба.

Задълбоченото установяване на самоличността изисква включването на два или повече от следните елементи: знание – нещо, което само ползвателя знае (т. е. обстоятелство с което единствено ползвателя на платежни услуги е запознат); притежание – т. е. нещо което само ползвателят притежава (обичайно самият платежен инструмент); характерна особеност– т. е. нещо характерно и с което се характеризира ползвателя – арг. чл. 100, ал. 4 ЗПУПС.

Според чл. 56 от Наредба № 3/18.04.2018 г. за условията и реда за откриване на платежни сметки, за изпълнение на платежни операции и за използване на платежни инструменти, дейността по задълбочено установяване на идентичността на платеца се осъществява при спазване на мерките за сигурност в съответствие с изискванията на глава втора от Регламент (ЕС) № 2018/389.

В чл. 4, § 1 от Регламент (ЕС) № 2018/389, представляващ пряко приложимо вторично право на ЕС (арг. чл. 288 ДФЕС), е изяснено, че когато доставчиците на платежни услуги прилагат задълбочено установяване на идентичността на клиента в съответствие с член 97, параграф 1 от Директива (ЕС) 2015/2366, установяването на идентичността се основава на два или повече елемента, категоризирани като знание, притежание и принадлежност, и води до генерирането на код за установяване на идентичността. Кодът за установяване на идентичността се приема само веднъж от доставчика на платежни услуги, когато платецът използва кода, за да получи достъп до своята платежна сметка онлайн, да инициира електронна платежна операция или да извършва каквото и да било действие дистанционно, което би могло да е свързано с риск от измама при плащането или други злоупотреби. Според съображение № 1 от преамбюла на Регламента, платежните услуги, предлагани по електронен път, следва да се извършват по сигурен начин посредством технологии, които могат да гарантират безопасно установяване на идентичността на ползвателя и възможно най-голямо ограничаване на риска от измами. Процедурата за установяване на идентичността следва по принцип да включва механизми за мониторинг на операциите с цел откриване на опитите за използване на персонализираните средства за сигурност на ползвателя на платежни услуги, които са били изгубени, откраднати или незаконно присвоени, и следва също така да гарантира, че ползвателят на платежни услуги е законният ползвател, който чрез нормално използване на персонализирани средства за сигурност дава съгласие за прехвърляне на финансови средства и достъп до своята информация за сметка. Освен това е необходимо да се уточнят изискванията за задълбочено установяване на идентичността на клиента, които следва да бъдат прилагани всеки път, когато платецът получава достъп до своята платежна сметка онлайн, инициира електронна платежна операция или извършва дистанционно действие, което би могло да е свързано с риск от измама при плащането или други злоупотреби, като се изисква генерирането на код за удостоверяване на идентичността, който да е устойчив срещу риск от цялостно подправяне, или чрез оповестяване на някой от елементите, въз основа на които е генериран кодът. Съдът приема, че банката е осигурила изискването на чл. 24, б. „а“ от Регламент (ЕС) № 2018/389 активирането на софтуерния тоукън да се извърши в сигурна среда, под контрола на доставчика на платежни услуги – през електронното банкиране, но по никакъв начин не се установява от ответника, въпреки разпределената му доказателствена тежест, че банката е приложила изискванията за двуфакторна защита още при заявяването на софтуерният „m-token“, т.е. както при входа в електронното банкиране, а така и при неговото ползване и инсталиране за идентификация на ползвателя И.З.. В случая ответникът е представил извлечения от електронната си система за изпратени кодове, въз основа на което обаче не може да се направи категоричен извод, че ответникът надлежно е изпълнил задълженията си или е провел пълно и главно доказване в съответствие с посочените по-горе нормативни изисквания.

Следва да се отбележи, че тълкуването на закона в това число и регламента, че самите "защити", т. е. име, номер на банкова карта, срок на валидност, CVC код, не могат да се вземат предвид при установяването на задълбочената самоличност. Същите не представляват фактор за последната съобразно изискванията на закона и регламента. Тоест дали при извършените транзакции ищецът е въвел номер на карта, име и CVC код принципно е ирелевантно, за да се направи еднозначен извод за това, че ответникът е спазил изискванията на чл. 100 ЗПУПС и чл. 4 от Регламента. В случая настоящият съдебен състав приема, че ответникът не е ангажирал доказателства, че действително е изпратил надлежно данни за активирането на софтуерния токън на наследодателя на ищцата. При това положение, съдът е длъжен да приеме недоказания факт за неосъществил се.

В разпоредбата на чл. 80, ал. 4 ЗПУПС е предвидено, че когато доставчикът на платежни услуги на платеца не изисква задълбочено установяване на идентичността на клиента, платецът не понася загуби, освен когато е действал с цел измама. Когато получателят или доставчикът на платежни услуги на получателя не успее да приеме задълбоченото установяване на идентичността на клиента, той възстановява имуществените вреди, причинени на доставчика на платежни услуги на платеца.

Съдът приема, от ангажираните по делото доказателства, че ищецът е установил, че е уведомил своевременно ответника за наличието на неправомерно извършени платежни операции с платежния инструмент - процесната кредитна карта. Няма данни по делото банката да се е свързала с търговеца, респективно да са направени съответни искания за възстановяването на сумите или възможността за извършването на платежни операции с кредитната карта да е била своевременно прекратена, т.е. кредитната карта да е била блокирана като платежен инструмент за извършването на платежни операции.

Настоящата оспорена трансакция в размер на 27838,08 турски лири (с левова равностойност от 4468,42 лв.), въведена като предмет на спора, се твърди да е осъществена при търговец PARAM.*TRENDYO с издадената на името на И.З. кредитна карта на 22.11.2021 г. в 14:27 ч., т.е. след уведомяването на ответника в проведения телефонен разговор, започнал в 14:19 часа. От ангажираните доказателства безспорно се установява, че И.З., наследодател на ищцата, е отправил искане за блокиране на издадената му карта, именно в този разговор, а процесната трансакция е извършена след това в 14:25 часа на същата дата, т.е. след уведомяването на кредитната институция, а блокирането на платежния инструмент е осъществено в 14:27:03 часа. В този смисъл съдът приема, че банката не е установила пълно и главно, че е спазила задълженията си по чл. 74, ал. 2 ЗПУПС. Това е така, защото след като банката бъде уведомена от държателя на платежния инструмент, тя е длъжна да преустанови възможността за извършването на платежни операции със същия до изясняване на релевантните обстоятелства за извършването на преценка дали се касае за неправомерно ползване на платежния инструмент. В случай, че банката упражни „правото“ си да не преустанови възможността за извършване на платежните операции с платежния инструмент, то тогава разрешаването и осчетоводяването на същите са изцяло в риск на банката – издател на платежния инструмент. С оглед на гореизложеното настоящият съдебен състав приема, че отговорността за извършването на процесната трансакция не може да бъде вменена на клиента.

По доводите на ответника за проявена от наследодателя на ищцата груба небрежност съдът намира следното:

Съгласно чл.80, ал.3 ЗПУПС изцяло в тежест на ищеца -платеца да останат понесените от него загуби в резултат на неразрешена платежна операция, поради неизпълнението на някое или някои /едно или повече/от вменените му с нормите на чл.75, т.1, т.2 и т.3 ЗПУПС задължения умишлено или поради груба небрежност, които задължения са: 1. да използва платежния инструмент в съответствие с условията за неговото издаване и използване, които трябва да са обективни, недискриминационни и пропорционални; 2. да уведомява доставчика на платежни услуги или упълномощено от него лице за загубване, кражба, присвояване или неразрешена употреба на платежния инструмент незабавно след узнаването; 3. след получаване на платежния инструмент да предприеме всички разумни действия за запазване на неговите персонализирани средства за сигурност, включително да не записва каквато и да е информация за тези средства за сигурност върху платежния инструмент и да не съхранява такава информация заедно с платежния инструмент.

В трайно установената практика се приема, че небрежността в гражданското право е неполагане на дължимата грижа според един абстрактен модел - поведението на определена категория лица (добрия стопанин) с оглед естеството на дейността и условията за извършването й. Грубата небрежност не се отличава по форма (според субективното отношение към увреждането), а по степен, тъй като грубата небрежност също е неполагане на грижа, но според различен абстрактен модел - грижата, която би положил и най - небрежният човек, зает със съответната дейност при подобни условия. Такова поведение е правно укоримо защото неблагоприятните последици биха били избегнати, ако беше положена дължимата грижа. Дали поведението е рисково и до каква степен то е довело до настъпване на вредата се установява във всеки конкретен случай ( в този смисъл Решение № 510/30.11.2011г. по гр. д. № 1923/2009г. на ВКС, IV ГО, Решение № 291/2012г. по гр. д № 951/2011г. на ВКС, IV ГО, Решение № 348/2011г. по гр. д. № 387/2010г. на ВКС, Четвърто ГО, Решение № 291/2012г. по гр. д. № 951/2011г. на ВКС, IV ГО, Решение № 62/2015г. по гр. д. № 2798/2014г. на ВКС, IV ГО, Определение № 315 от 01.03.2023г. по к. гр. д. № 3559/2022г. на ВКС и др.)

С оглед на горните съображения неоснователни са доводите на ищеца за наличието на груба небрежност, проявена от наследодателя на ищцата при ползването на платежния инструмент във връзка с осъществяването на оспорената трансакция. Същата следва да бъде установена пълно и главно именно от страната, която твърди, че е налице груба небрежност. Съдът приема, че в процесния случай не се установяват действия, съставляващи груба небрежност от страна на ищеца при осъществяване на процесната операция. По делото липсват доказателства ищецът да е предоставил личните си идентификационни данни на трето лице, както и да не е спазил препоръките на банката за опазване на персонализиращите средства. В случая въпреки разпределената доказателствена тежест, ответникът не е провел пълно и главно доказване за наличието на груба небрежност, поради което с оглед неблагоприятните последици на доказателствената тежест, съдът трябва да приеме недоказаният факт за неосъществил се. Следователно не се установява оспорената трансакция да е резултат на извършена измама от страна на ищеца или същият умишлено или поради груба небрежност да не е изпълнил задължението си да опази персонализираните си средства за сигурност. Ето защо, не са налице основания за изключване на отговорността на доставчика на платежни услуги.

По гореизложените съображения предявеният иск за главница е основателен и следва да бъде уважен в цялост.

По отношение на иска за мораторна лихва, съдът намира следното: съгласно чл. 79, ал. 1 ЗПУПС, в случай на неразрешена платежна операция доставчикът на платежни услуги на платеца възстановява незабавно стойността на неразрешената платежна операция и във всеки случай не по-късно от края на следващия работен ден, след като е забелязал или е бил уведомен за операцията, освен когато доставчикът на платежни услуги на платеца има основателни съмнения за измама и уведоми съответните компетентни органи за това. Наследодателят на ищеца е уведомил банката за извършената неразрешена платежна операция на 22.11.2021 г. – с оглед проведения между страните телефонен разговор и подаден формуляр за оспорване на плащания с банкова карта. Следователно считано от 24.11.2021 г. ответникът е изпаднал в забава. Доколкото обаче ищецът претендира мораторна лихва за периода от 21.02.2022 г. до 31.10.2023 г., с оглед спазване принципа на диспозитивното начало, на ищеца следва да се присъди лихва съобразно заявеното от ищцата за периода от 21.02.2022 г. до 31.10.2023 г.

По разноските:

При този изход на спора право на разноски има само ищцата за сторените разноски в исковото производство за държавна такса – 74,15 лв., депозит за вещо лице – 200 лв. и за заплатено адвокатско възнаграждение – 400 лв., както и за заповедното производство – 35,43 лв. – държавна такса и адвокатско възнаграждение – 400 лв. Ответникът своевременно релевирал възражение за прекомерност на основание чл. 78, ал. 5 ГПК, което съдът намира за неоснователно с оглед фактическата и правна сложност на делото, защитавания материален интерес, действително извършената работа от адвоката, отчете обстоятелството, че производството три съдебни заседания, приети са заключения на съдебно компютърна техническа експертиза и съдебно счетоводна експертиза. С оглед на горното в тежест на ответното дружество следва да бъдат възложени на основание чл. 78, ал. 1 ГПК разноски за заповедното производство в общ размер на 222,63 евро (435,43 лв.), а за исковото - 344,69 евро (674,15 лв.).

Водим от горното, съдът