← Magyarország

Pf.20592/2024/7 – Fővárosi Ítélőtábla

A határozat elvi tartalma: A Pénzügyi Békéltető Testület ajánlásának hatályon kívül helyezése. Fővárosi Ítélőtábla Az ügy száma: 4.Pf.20.592/2024/

  1. A felperes: felperes felperes címe A felperes képviselője: Lendvai és Szörényi Ügyvédi Iroda (ügyintéző: ügyvéd1 ügyvéd) ügyvéd címe1 Az alperes: alperes alperes címe Az alperes képviselője: ügyvéd2 kamarai jogtanácsos ügyvéd címe2 A per tárgya: ajánlás hatályon kívül helyezése Az elsőfokú bíróság: Fővárosi Törvényszék A fellebbezéssel támadott határozat száma: 71.P.20.008/2024/
  2. A fellebbezést benyújtó fél: alperes Ítélet Fővárosi Ítélőtábla 4.Pf.20.592/2024/7/I 2 A Fővárosi Ítélőtábla az elsőfokú bíróság ítéletét helybenhagyja. Kötelezi a Magyar Nemzeti Bankot, hogy fizessen meg a felperesnek 15 nap alatt 200.000 (kétszázezer) forint + áfa másodfokú perköltséget. Megállapítja, hogy az alperes illetékmentessége folytán meg nem fizetett 48.000 (negyvennyolcezer) forint fellebbezési eljárási illeték az állam terhén marad. Az ítélet ellen fellebbezésnek nincs helye. Indokolás [1] Az elsőfokú bíróság által megállapított tényállás szerint a kérelmező fizetési számlával rendelkezik a felperesi pénzügyi szolgáltatónál, melyhez Bank Direkt szerződés és Bank Digitális Szolgáltatási szerződés kapcsolódik. A kérelmező
  3. június 19-én egy cég1 elnevezésű vállalkozás befektetési lehetőséget hirdető oldalán regisztrációt kezdeményezett, majd ezt követően egy országi telefonszámról ismeretlen személy felhívta, segítséget ajánlva a regisztrációhoz szükséges beállítások kezeléséhez. A telefonáló másnap ismét jelentkezett és az ő kérésére a kérelmező a számítógépén telepítette az alkalmazás neve távoli hozzáférést biztosító alkalmazást és megadta annak munkaállomás azonosítóját. Az ismeretlen személy átvéve az irányítást az ügyfél számítógépén, bemutatta a kereskedési felület működését és kitöltötte a 250 euró összegű kezdőtőke befizetéséhez szükséges kártyás fizetési felületet, mely tranzakciót az ügyfél jóváhagyott, bankkártyájával 95.308 forintot fizetett meg. Ezt követően a kérelmező Bank Direkt oldalán ismertelen személy QR-kódos belépést kezdeményezett, a kódot az ügyfél telefonjára fényképen megküldte, a belépést az ügyfél a Mobilbankján belül a QR-kód beolvasásával jóváhagyta. Ezt követően egyéb érdekelt2 kedvezményezett megjelölésével az ismertelen személy 2.370 forint átutalást indított, aki a tranzakcióhoz szükséges QR-kódot szintén fényképen küldte meg az ügyfél telefonjára. Az átutalás a kérelmező által regisztrált mobilalkalmazáson belül QR-kód beolvasásával jóváhagyásra került. Ezt követően az ismertelen személy a kérelmező Bank Direkt szolgáltatásában a kérelmező svájci frank alapú devizaszámlájáról a forintszámlájára 5.200.000 forint értékű svájci frankot vezetett át, majd e számláról egyéb érdekelt2 kedvezményezett részére történő átutalását kezdeményezett, a megjelenő QR-kódot pedig a kérelmező részére – nem bizonyított módon – megküldte. A tranzakció a kérelmező által regisztrált mobilalkalmazáson belül QR-kód beolvasásával jóváhagyásra, a pénzösszeg pedig átutalásra került. [2] A kérelmező az alpereshez fordult, kérte kárának megtérítését a felperestől. [3] Az alperes az ajánlás száma számú ajánlásában felhívta a felperest, hogy annak kézhezvételétől számított 15 napon belül térítse meg a kérelmező részére az általa jóvá nem Fővárosi Ítélőtábla 4.Pf.20.592/2024/7/I 3 hagyott fizetési művelet összegét, 5.300.000 forintot, valamint a bankszámlaszám1 számú számla tekintetében a megterhelés előtti állapotot állítsa helyre azzal, hogy a jóváírás napja nem lehet későbbi, mint az a nap, amikor a jóvá nem hagyott fizetési művelet teljesítése megtörtént. A döntés indokolása szerint a kifogásolt fizetési művelet jóvá nem hagyott fizetési műveletnek minősül, ugyanis a QR-kód beolvasása önmagában nem igazolja, hogy az ügyfél tudatában volt annak, hogy egy minden információ nélkül megjelenő QR-kód beolvasásával Bank Direkt belépést engedélyez egy ismeretlen személy részére, illetve egy fizetési műveletet hagy jóvá. A kérelmezőnek a kódok beolvasásakor – a rendelkezésre álló bizonyítékok alapján – nem volt tudomása sem a kódokkal elvégzésre kerülő műveletekről, sem azok részleteiről, különösen az azonnali átutalás összegéről, kedvezményezettjéről. Az ajánlás szerint a felperes nem bizonyította, hogy a jóvá nem hagyott fizetési művelet az ügyfél szándékos vagy súlyos gondatlan magatartásával ok-okozati összefüggésben valósult meg, ezért a felperes nem mentesül a jóváírási kötelezettség alól. Nem találta megalapozottnak azt a körülményt, hogy a távoli hozzáférést biztosító program telepítése folytán fértek volna hozzá ismeretlen személyek a kérelmező számlájához, illetve a belépés a kérelmező eszközén történt. Nem bizonyított az sem, hogy a kérelmező bármilyen banki adatot kiszolgáltatott volna ismeretlen személyek részére. Nem adott ki QR-kódot, hanem egy részére megküldött kódot olvasott be, e vonatkozásban a felperes a szabályzat neve
  4. pontjának, az InternetBank felületen megjelenített QR-kód harmadik személy részére való ismerhetővé tételének tilalma az ügyfél terhére kiterjesztően nem értelmezhető. Az alperesi álláspont szerint a kérelmező nem észlelte, így tudata nem fogta át sem az ismeretlen személy által kezdeményezett internetbanki belépési kísérletet, sem a QR-kódos jóváhagyást, továbbá azt sem, hogy a kód beolvasásával egy átutalás jóváhagyására fog sor kerülni, ezért a kérelmező részéről a kód beolvasása nem valósíthatott meg súlyosan gondatlan magatartást. Az alperes rámutatott arra, hogy a felperes eljárása nem felel meg a Bizottság (EU)
  5. november 27-i 2018/389 felhatalmazáson alapuló rendelete az (EU) 2015/
  6. Európai Parlamenti és Tanácsi irányelv az erős-ügyfélhitelesítésre, valamint a közös és biztonságos standardokra vonatkozó szabályozástechnikai standardok tekintetében történő kiegészítéséről szóló rendelet (SCAr.) rendelkezéseinek, ugyanis a kérelmező részére megküldött QR-kódnak az Bank MobilBank alkalmazással történő beolvasása során nem jelentek meg a tranzakcióval kapcsolatos adatok, nem került feltüntetésre, hogy a kód beolvasásával milyen művelet fog megvalósulni, így nem észlelhette a kérelmező, hogy egy azonnali átutalás hitelesítése van folyamatban. A kérelmezőtől mint általánosan tájékozott fogyasztótól nem volt elvárható, hogy felismerje: egy széles körűen használt QR-kód beolvasása alkalmas lehet arra, hogy azzal valaki az ő tudta nélkül indított sikeres átutalást hajtson végre. Nem számolhatott a kérelmező azzal sem, hogy a felperes által működtetett hivatalos internetbanki oldalról kivágott, majd egy attól független felületre beillesztett QR-kóddal lehetőség van arra, hogy banki műveleteket kezdeményezzenek és hagyjanak jóvá a tudta és jóváhagyása nélkül. [4] A felperes keresetében kérte az ajánlás hatályon kívül helyezését, az alperes perköltségben való marasztalását, figyelemmel a Magyar Nemzeti Bankról szóló
  7. évi CXXXIX. törvény (MNBtv.)
  8. §

(4)bekezdésére, 117. §
(4)bekezdésére, a Polgári perrendtartásról szóló
  1. évi CXXX. törvény (Pp.)
  2. §
(1)bekezdésére,
  1. §-ára, a pénzforgalmi szolgáltatások nyújtásáról szóló
  2. évi LXXXV. törvény (Pft.)
  3. § 4a) pontjára,
  4. §
(1)bekezdésére, 45. §
(3)-
(4)bekezdésére a SCAr. 4. cikk
(1)bekezdésére, 7. cikkre, valamint a Digitális Szolgáltatási szerződés IV.2.
(15)bekezdésére. Indokául előadta, hogy eljárása megfelelt a SCAr. 4. cikk
(1),
(6)és
(7)bekezdésében, a Pft.
  1. § 4a) pontjában foglaltaknak. A kérelmezőnek az adathalász felületen látszólagosan Fővárosi Ítélőtábla 4.Pf.20.592/2024/7/I 4 kezdeményezett Bank Direkt belépéséhez – valójában az elkövető által kezdeményezett Bank Direkt belépéshez – az elkövető előtt futó Bank Direkt felület által megjelenített QR-kód beolvasása és az ügyfél mobileszközén regisztrált mPIN-kód megadása volt szükséges a kérelmező birtokában lévő mobileszközön futó, az általa fejlesztett mobilalkalmazással. A kérelmező a korábban regisztrált mobileszköz birtoklását igazolta a QR-kód megadásával (birtoklás alapú hitelesítési elem), majd megadta az mPIN kódját (ismeret alapú hitelesítési elem). A QR-kód esetében az erős ügyfél-hitelesítés tekintetében nem a QR-kód mint hitelesítési elem „tartalma”, hanem kizárólag a regisztrált mobileszköz kérelmező általi birtoklásának igazolása bír jelentőséggel. E szöveges megjelenítésre nem alkalmas QR-kód szerepe kizárólag az, hogy a kétfaktoros autentikáció egyik hitelesítési elemét biztosítsa. Ezért az ajánlás súlyosan sérti a SCAr.
  2. cikk
(1)bekezdését és 7. cikkét. Az alperes a technológiasemlegesség elvét figyelmen kívül hagyva, jogszabálysértően támasztott a QRkód tartalmával kapcsolatos követelményt. Hangsúlyozta, hogy a tranzakciók jóváhagyásához alkalmazandó QR-kódok kizárólag az Bank Direkt felületén jelennek meg, azok más módon semmilyen körülmények között nem kerülnek megküldésre. Rámutatott arra is, hogy az Bank Direkt felülete minden esetben tájékoztatja a felhasználót arról, hogy a QR-kód milyen tranzakció jóváhagyására irányul, kizárólag azt követően jeleníti meg a mobileszközzel beolvasandó QR-kódot, hogy a kérelmező számára nyilvánvalóvá teszi a belépés tényét, a jóváhagyandó tranzakció lényeges adatait. [5] Tévesnek találta a felperes az alperesnek a kérelmező súlyos gondatlan magatartása vonatkozásában kifejtett álláspontját is. A kérelmező súlyosan gondatlanul járt el, amikor az alkalmazás neve applikáció telepítésével biztosította az elkövető részére, hogy a számítógépén végrehajtott műveleteket figyelemmel kísérhesse és jóváhagyja az Bank Direktbe történő belépését azzal, hogy e felületen érkezett QR-kódot a kérelmező a mobileszközével beolvassa. E magatartásával a kérelmező a személyes hitelesítési adatai biztonságban tartása érdekében elvárható magatartás tanúsítására való kötelezettségét súlyosan gondatlanul megszegte. A kérelmező a QR-kódokat annak ellenére olvasta be a mobileszközén futó MobilBankkal, hogy bármilyen tranzakciót kezdeményezett volna. Az utóbbi magatartásával megszegte a Digitális Szolgáltatási Szerződés IV.2. pont 157. bekezdés a),
  1. b)és
  2. d)pontjában, a 133. bekezdés
  3. a)és
  4. b)pontjában írtakat. [6] Az alperes a kereset elutasítását, a felperes perköltségben való marasztalását kérte figyelemmel arra, hogy ajánlása megfelel az irányadó jogszabályoknak. Hangsúlyozta, hogy a felperes nem bizonyította a kérelmező súlyos gondatlan magatartását, továbbá azt sem, hogy a kár a kérelmező magatartásával ok-okozati összefüggésben keletkezett. Kiemelte, hogy a kérelmező a személyes hitelesítési adatait nem adta meg, azokat nem tette hozzáférhetővé harmadik személynek, ilyen szándéka nem volt. Számítógépéről – melyre az alkalmazás neve alkalmazást telepítette – nem jelentkezett be a netbankba, az ismeretlen személy hitelesítési adatok megadása nélkül tudott a kérelmező netbanki felületén belépéshez szükséges QRkódot generálni. Megítélése szerint a MobilBanki applikáció működése hiányos, mivel a QRkód beolvasását követően az applikáció nem tájékoztatja a fizető felet arról, hogy az mPIN kód megadásával milyen megbízás jóváhagyását fogja befejezni. [7] Az elsőfokú bíróság fellebbezéssel támadott ítéletével az alperes ajánlását hatályon kívül helyezte és döntött a perköltség viselése tárgyában is. Kiemelte a kérelmező személyes Fővárosi Ítélőtábla 4.Pf.20.592/2024/7/I 5 meghallgatása során tett előadását, miszerint a 2.370 forint összegű átutalás kapcsán kapott először QR-kódot, mely azért nem működött, mert netbanki belépéshez kapcsolódott, nem pedig átutaláshoz, ezért új kódot kapott, melyet az ismeretlen személy küldött át részére fényképen, így nem látta, hogy pontosan milyen tranzakcióra vonatkozik; abban a tudatban volt, hogy a belépéshez tartozik, nem pedig átutaláshoz. Az elsőfokú bíróság e nyilatkozatot úgy értékelte, hogy az a kérelmező eljárásbeli érdekének volt megfelelő, ugyanis nem adott magyarázatot arra, hogy amennyiben átutaláshoz szükséges kódot várt a belépéshez küldött QR-kód helyett, milyen okból gondolta azt okszerűen, hogy a második kód a belépéshez lesz szükséges. A kérelmező a személyes előadása során nyilatkozott arról is, hogy a fizetési művelet QR-kódos jóváhagyási módja számára ismert, ezt igénybe szokta venni a hétköznapok során, így az ajánlás megállapításával szemben az ügyfél tisztában volt azzal, hogy a QR-kód mobilalkalmazással történő beolvasásával minden egyéb azonosító megadása nélkül fizetési műveletet tud jóváhagyni. A kérelmező nyilatkozata szerint a beolvasás ugyanúgy működött a visszaélés napján, mint máskor, ezért nem ébresztett benne gyanút. Az elsőfokú bíróság megítélése szerint a jóhiszemű joggyakorlás elvébe ütközik az eljárás, ha az ügyfél amíg a fizetési műveletek rendben zajlódnak, addig ismeri az QR-kód mibenlétét, az ezzel való fizetés módját, amikor ismeretlen személy visszaél a személyes hitelesítési adataival, az ügyfél ismeretei e körben a szerződés megkötésének időpontjára visszamenőleg megszűnnek, a QR-kód használatával kapcsolatban ismerethiány keletkezik. Rámutatott az elsőfokú bíróság arra is, hogy elvárható a pénzügyi intézményekkel szerződő ügyfelektől, hogy az általuk megkötött szerződés tartalma és tárgya ne haladja meg tudás- és ismeretszintjüket, így kizárt, hogy az ügyfél a QR-kód használatának mibenlétét nem ismerte. Nem menti magatartását az sem, hogy „csak” a netbankba belépéshez és nem a fizetési művelet jóváhagyásához akart ismeretlen személy számára hozzáférést biztosítani. [8] Az elsőfokú bíróság a kérelmező súlyos gondatlan magatartásnak értékelte azt is, hogy a részére ismeretlen, magát érdemben nem azonosító, a felperesi pénzügyi szolgáltatóval magát szerződéses jogviszonyban állónak állító személy által telefonos üzenetben, fényképben megküldött QR-kódot olvasott be mobilalkalmazása QR-kód olvasójával. Köztudomású, hogy az ismeretlen forrású QR-kód beolvasása súlyos veszélyt jelent az eszközön tárolt információk integritása tekintetében. Mindezekre figyelemmel osztotta a felperesi álláspontot, miszerint a kérelmező jóvá nem hagyott fizetési műveletből eredő kára megtérítéséért mentesítés okán a Pft. 45. §
(3)bekezdése alapján nem felel. Az alperes által hivatkozott Digitális Szolgáltatási szerződés
  1. bekezdésének esetleges semmissége irreleváns, a felperes mentesülése a Pft. rendelkezései alapján megállapítható. A kifejtettekre tekintettel az elsőfokú bíróság az ajánlást az MNBtv.
  2. §
(3)-
(4)bekezdés alapján hatályon kívül helyezte, a perköltség viselése tárgyában a Pp. 82. §
(1)és a 83. §
(1)bekezdés alapján határozott. [9] Az elsőfokú bíróság ítélete ellen az alperes élt fellebbezéssel, melyben annak megváltoztatását, a kereset elutasítását, a felperes perköltség viselésére történő kötelezését kérte. Álláspontja szerint az elsőfokú bíróság ítélete sérti a Pft. 44. §
(1)és a 45. §
(3)bekezdésében írt rendelkezést, továbbá a Pp. 346. §
(4)és
(5)bekezdésében foglaltakat. Fenntartotta álláspontját, miszerint a kérelmező magatartása nem minősül súlyos gondatlan magatartásnak. A mentesülés feltétele az is, hogy a kérelmező gondatlanságának kifejezetten a személyes hitelesítési adatai biztonságban tartása érdekében az adott helyzetben általában elvárható magatartás tanúsítására vonatkozó kötelezettségének megszegésére kell irányulnia. Az elsőfokú bíróság a felperes mentesüléséhez a Pft. 45. §
(3)bekezdése szerinti szükséges három konjunktív feltételből az egyiket mellőzte, így ítélete sérti e rendelkezést. Téves, Fővárosi Ítélőtábla 4.Pf.20.592/2024/7/I 6 iratellenes az ítélet [27] bekezdése, e megállapítás a Pp.
  1. § rendelkezéseibe ütközik, mivel az már a kérelmező magatartásának értékelését – a felperesnek a perbeli műveletből eredő kár megtérítése iránti kötelezettség alóli mentesülését – tartalmazza a megállapított tények között, prejudikálva a jogi indokolást. Ellentétes a Pft.
  2. §
(3)bekezdésével az ítélet [43] bekezdésébe foglalt megállapítás, miszerint „az ügyfél az ismertelen forrású QR-kódot mobilalkalmazásával olvasta be és tette így hozzáférhetővé a személyes hitelesítési adatait arra nem jogosult harmadik személy számára.”. A Pft. 45. §
(3)bekezdése és a 40. §
(1)bekezdése értelmezése alapján nem lehet arra a következtetésre jutni, hogy egy QR-kód beolvasása hitelesítési adatok hozzáférhetővé tételét valósítja meg, ugyanis a kódot nem a kérelmező tette az elkövető számára elérhetővé, hanem fordítva. Alaptalannak tartotta az ítélet [41] bekezdésében szereplő megállapítást, mely szerint „kizárt az, hogy ügyfél a QRkód használatának mibenlétét nem ismerte és nem menti a magatartását az sem, hogy esetlegesen „csak” a netbankba való belépéshez és nem a fizetési művelet jóváhagyásához akar ismeretlen személy számára hozzáférést biztosítani.”. Az irányadó tényállásból és a kérelmező nyilatkozatából nem lehet olyan következtetést levonni, hogy a kérelmező hozzáférést kívánt volna biztosítani az ismeretlen személy számára a netbankjához. Nem vonta kétségbe, hogy a kérelmező a QR-kód rendeltetésszerű használatát ismerte, azonban megjegyezte, hogy csak a netbanki felület és nem a mobilbanki alkalmazás jeleníti meg a jóváhagyandó művelet adatait, mindebből pedig az elsőfokú ítélettel ellenében nem következik, hogy a kérelmezőnek azt is tudnia kellett, hogy szándékával ellentétes fizetési művelet jóváhagyására olyan QR-kód is alkalmas, ami nem a felperes netbanki felületén jelenik meg és amellyel kapcsolatban semmilyen tájékoztatást nem kapott a jóváhagyandó műveletről. Alaptalannak tartotta az elsőfokú ítélet [26] bekezdésében foglalt megállapítást is. E pont szerint az ügyfél nyilatkozatát a valós tartalmával ellentétesen, tévesen, egyrészt a szövegkörnyezetből kiragadva, iratellenesen, kizárólag az ügyfél eljárásbeli érdekét szem előtt tartva értelmezte. Hangsúlyozta, hogy az elsőfokú bíróság bizonyítási eljárást nem folytatott le, ezért érthetetlen, hogy miből vont le ilyen következtetést. [10] Álláspontja szerint a felperes nem hivatkozhat alappal a kérelmező súlyos gondatlanságára, ha az nem a Pft. 40. §-a szerinti kötelezettség megsértésével függ össze. Hangsúlyozta, hogy csak az eset összes körülményét értékelve lehet kétséget kizáróan és személyre szabottan megállapítani, hogy a magatartás súlyosan gondatlannak minősül-e vagy sem. A súlyos gondatlanság fogalma vonatkozásában utalt a BDT2002. 641. számú jogesetben, a Fővárosi Ítélőtábla 5.Pf.20.020/2021/5. számú ítéletében írtakra, valamint az Európai Parlament és a Tanács (EU) 2015/2366. irányelv (PSD2 irányelv)
(72)preambulumbekezdésében foglaltakra. Kiemelte, hogy a perbeli esetben a kérelmező a QRkód beolvasásával a következményeket nem láthatta előre, annak valódi célját azért nem ismerte, mert azzal kapcsolatban az elkövető megtévesztette. A vonatkozó rendelkezések alapján [Pft. 40. §
(1)bekezdés, Pft. 55/C. §
(2)bekezdés, SCAr. 5. cikk
(1)bekezdés] a pénzforgalmi szolgáltatók részére előírtak szerint biztosítani kell, hogy az elektronikus fizetési műveletek kezdeményezésénél alkalmazott erős ügyfél-hitelesítés során a fizető fél a hitelesítés minden szakaszában – a hitelesítési kód generálását, továbbítását és használatát is ide értve – tisztában legyen a fizetési művelet összegével és a kedvezményezettel, így a kérelmező alappal várhatta el, hogy a QR-kód beolvasása során az mPIN-nel vagy a FaceIdvel történő megerősítést megelőzően a MobilBank felületén előzetes tájékoztatást kapjon a felperestől a tranzakció részleteiről. Ezzel szemben nem volt biztosított, hogy a kérelmező tisztában legyen a fizetési művelet összegével és a kedvezményezettel. Ezért is kizárt, hogy a kárt a kérelmező súlyosan gondatlan kötelezettségszegésével okozta volna. Fővárosi Ítélőtábla 4.Pf.20.592/2024/7/I 7 Hivatkozott a hasonló online csalások közismerten nagy számban való előfordulására, mely arra utal, hogy nem a károsultak súlyos gondatlansága okozza a kárt. [11] A felperes fellebbezési ellenkérelmében az elsőfokú bíróság ítéletének helybenhagyását kérte figyelemmel a keresetében és a 2024. április 30-i válasziratában kifejtett érvekre. E körben hangsúlyozta, hogy a BDT2002. 641. számú jogesetre való hivatkozás aggályos, az a biztosítási szerződésekkel kapcsolatos jogértelmezést tükrözi, az nem a Legfelsőbb Bíróság döntése, továbbá a Bírósági Határozatok Gyűjteményében sem jelent meg. Kiemelte, hogy a Pft. alkalmazásában a súlyos gondatlanság sui generis fogalom, az nem hasonlítható a büntetőjogban alkalmazott gondatlansággal. E jogeset indokolatlanul kölcsönöz büntetőjogi terminus technikusokat. A Pft. által meghatározott súlyos gondatlanság sui generis jellegét erősíti az a tény, hogy a Pft. 45. §
(3)bekezdésének második fordulata példálózó jelleggel határozza meg a jelen per tényállásával egyező magatartásokat, melyek ezen felelősségi kör hatálya alá esnek és súlyos, gondatlan magatartásnak minősülnek. A Kúria az
  1. évi IV. törvény (r.Ptk.) biztosítási szerződésekre vonatkozó szabályai kapcsán foglalkozott a BH
  3. számú jogesetben a súlyos gondatlanság fogalmával, melyet a felperes álláspontjával összhangban állapított meg. A Kúria által megfogalmazottakkal összhangban van a PSD2 irányelv
(72)preambulumbekezdésében hivatkozott „jelentős mértékű hanyagság” fogalmával. Az európai átlagfogyasztó modelljét az Európai Unió Bírósága (EUB) C-210/96. számú ítélete határozta meg. A Pft. 45. §
(3)bekezdése szerint is a gondatlanság abban az esetben súlyos, ha az ügyfél felelőtlenül eljárva megsérti a keretszerződést és a Digitális Szolgáltatási szerződés rendelkezéseit vagy személyes hitelesítési adatait elérhetővé teszi és e körben felelőtlenül eljárva nagyfokú közömbösséget tanúsít a készpénzhelyettesítő fizető eszközével kezdeményezett fizetési műveletek pénzforgalmi szolgáltatásokkal és azok lehetséges következményeivel kapcsolatban. Hivatkozott továbbá a Fővárosi Ítélőtábla 4.Pf.20.006/2024., 4.Pf.20.183/2024/
  1. és a 4.Pf.20.453/2024/
  2. számú ítéletében foglaltakra. [12] Az alperes a fellebbezési ellenkérelemre tett észrevételében fenntartotta a fellebbezésében foglaltakat, vitatva, hogy a Pft. által meghatározott súlyos gondatlanság sui generis fogalom volna. Hangsúlyozta, hogy beadványaiban végig a polgári jogi ítélkezési gyakorlatra hivatkozott. Nem értett egyet a felperesi állásponttal, miszerint a Pft.
  3. §
(3)bekezdés utolsó fordulata a törvény erejénél fogva minősítené minden esetben súlyosan gondatlannak a hitelesítési adatok átadását, elérhetővé tételét. Fenntartotta álláspontját, hogy nem nyert bizonyítást, hogy a kérelmező hitelesítési adatait a csaló megismerte volna. Ismételten hivatkozott a Fővárosi Ítélőtábla 5.Pf.20.020/2021/
  1. számú ítéletére. [13] A fellebbezés az alábbiak szerint nem alapos. [14] Az ítélőtábla előrebocsátja, hogy e jogvitában kizárólag abban a kérdésben kellett állást foglalnia, hogy a kérelmező magatartása súlyosan gondatlannak minősül-e, és ennek okán a felperes mentesül-e a kártérítési felelősség alól. Az a jogvita keretein kívül eső körülmény, hogy a felperes a tranzakció során betartotta-e a rá vonatkozó szabályokat. Fővárosi Ítélőtábla 4.Pf.20.592/2024/7/I 8 [15] A Pft.
  2. §
(1)bekezdésében szabályozott kötelezettség a kármegelőzés, kárelhárítás körébe eső magatartás tanúsítását írja elő a pénzforgalmi szolgáltató ügyfele számára, ugyanakkor e magatartás elmulasztásának jogkövetkezményeire nem alkalmazhatók közvetlenül a Ptk. 6:144. §
(1)bekezdés utaló szabálya folytán a 6: 525. §-ának rendelkezései, így az ehhez fűződő bírói gyakorlat sem. A Pft. 45.
(3)bekezdése ugyanis a pénzforgalmi szolgáltató mentesülésének a Ptk. 6:
  1. §-ában, valamint 6:
  2. §-ában szabályozotthoz képest speciális szabályait határozza meg. Ezek között külön is említi a mentesüléshez vezető azon objektív körülményt, hogy ha a fizető fél a készpénz-helyettesítő fizetési eszköz használatához szükséges személyes hitelesítési adatait arra nem jogosult harmadik fél részére átadja vagy megismerhetővé teszi. Ez utóbbi rendelkezésnek az Alaptörvény
  3. cikke szerinti, a Pft.
  4. §-a céljával és az Alaptörvénnyel összhangban történő értelmezésével, azt feltételezve, hogy az abban foglalt rendelkezések a józan észnek és a közjónak megfelelő, erkölcsös és gazdaságos célt szolgálnak, kizárólag arra az értelmezésre lehet jutni, hogy a jogalkotó – egyébként összhangban a PSD irányelv
(72)preambulumbekezdésével is – mindazon károk viselését a fizető félre kívánja telepíteni, amelyek az ő csalárd eljárása vagy a 40. §
(1)és
(2)bekezdésében előírt kötelezettségek szándékos vagy súlyosan gondatlan megszegésével okozati összefüggésben keletkeztek. A Pft. 40. §
(1)bekezdésében a jogalkotó a fizető féltől a személyes hitelesítési adatai biztonságban tartása érdekében nem csupán a fizetési műveletek során, de általában is, az adott helyzetben általában elvárható magatartás tanúsítását követeli meg. Az e kötelezettség szándékos vagy súlyosan gondatlan elmulasztásának, (továbbá a kár a fizető fél általi csalárd módon történő okozásának) jogkövetkezményét levonó 45. §
(3)bekezdés célja nyilvánvalóan az, hogy e kirívóan jogellenes magatartásainak jogkövetkezményét maga a fizető fél viselje. [16] A Pft. 45. §
(3)bekezdésének fentiek szerinti értelmezése útján arra a következtetésre kell jutni, hogy a készpénz-helyettesítő fizetési eszköz használatához szükséges személyes hitelesítési adatoknak arra nem jogosult harmadik fél részére történő átadását vagy megismerhetővé tételét – minden további körülménytől függetlenül – a 40. §
(1)bekezdésében foglalt kötelezettség súlyosan gondatlan megszegésének kell minősíteni. Ezért amennyiben a kérelmező – általa jóvá nem hagyott fizetési művelet miatt bekövetkezett – kárát az okozta, hogy ő arra nem jogosult személy részére átadta vagy számára hozzáférhetővé tette a személyes hitelesítési adatait, a felperes mentesül a megtérítési kötelezettsége alól. [17] A kérelmező kérelme és a feljelentésére indult büntetőeljárásban felvett jegyzőkönyv alapján az volt megállapítható, hogy a kérelmező az elkövető kérésére feltelepített az Bank Direkt szolgáltatások igénybevételéhez használt számítógépére egy ahhoz távoli hozzáférést lehetővé tevő alkalmazást (alkalmazás neve), és megadta annak munkaállomás azonosítóját. A kérelmező az alperesi eljárásban a személyes meghallgatása során már azt állította, hogy e számítógépét nem használta online bankolásra, azon csupán az elkövetővel levelezett, aki ezen keresztül küldte meg részére az általa a bankolás során felhasznált QR-kódokat fénykép formátumban. Fővárosi Ítélőtábla 4.Pf.20.592/2024/7/I 9 [18] Az ítélőtábla köztudomású ténynek tekinti – melyről a feleket a
  1. számú jegyzőkönyvben tájékoztatta –, miszerint ugyanazzal az eszközzel, amelyre a QR-kód érkezik, nem lehet beolvasni a QR-kódot, tehát 2 különböző eszköz szükséges QR-kódos hitelesítéshez. A QR-kód beolvasását követően az internetbanki vagy mobilbanki belépéshez elengedhetetlen egy másik hitelesítési elem: az arcképes vagy mPIN bevitellel történő hitelesítés. Mindezt a keresetlevél
  2. számú melléklete, a QR-kódos belépéssel kapcsolatos felperesi ismertető is alátámasztja. [19] Mindezekre tekintettel a rendelkezésre álló adatok alapján az volt megállapítható, hogy a kérelmező az elkövető által a számítógépére fénykép formátumban megküldött QRkódot a felperes MobilBank rendszerében regisztrált készülékével beolvasta, továbbá megadta az mPIN kódját, jóváhagyva az elkövető internetbanka történő belépését, majd ugyanígy 2.370 forint átutalását egyéb érdekelt2 részére. Ezt követően az elkövető a kérelmező Bank Direkt szolgáltatásában a svájci frank alapú devizaszámlájáról a forintszámlájára 5.300.000 forint értékű svájci frankot vezetett át, melyet szintén egyéb érdekelt2 számlájára utalt át. Ez utóbbi műveletet a kérelmező szintén jóváhagyta az elkövető által küldött QR-kód beolvasásával és mPIN-kódja megadásával. [20] Az ítélőtábla az elsőfokú bíróság által megállapított tényállást ítélkezése alapjául a fentiek szerinti módosítással, valamint azzal a pontosítással fogadta el, hogy az ítélet [27] bekezdését mellőzte, figyelemmel arra, hogy e bekezdésben foglaltak már nem a bíróság által megállapított tényeket, hanem az ügyfél magatartásának értékelését, annak súlyos gondatlanságának minősítését tartalmazza. E bekezdésben írtak az ítélet jogi indokolására tartoznak, így nincs helyük a bíróság által megállapított tények között [Pp.
  3. §
(4)-
(5)bekezdés]. [21] A kérelmező önmagában azzal, hogy egy számára ismeretlen személy kérésére feltelepített az Bank Direkt szolgáltatások igénybevételéhez használt számítógépére egy ahhoz távoli hozzáférést lehetővé tevő alkalmazást (alkalmazás neve) és megadta annak munkaállomás azonosítóját, lehetővé tette az elkövető részére, hogy átvegye a számítógépe feletti uralmat, azon akár internetbanki belépést kezdeményezzen. Amennyiben az ügyfél a QR-kódos belépést választja, nem szükséges a felperes internetbanki felületén az e-mail cím és jelszó megadása, csupán a kapott QR-kódot kell a beolvasnia a MobilBank QR-kód olvasójával, majd meg kell adnia a bejelentkező felületen a biometrikus azonosítóját, vagy az mPIN kódját. Mindezekből az következik, hogy a kérelmező az alkalmazás neve program telepítésével hozzáférhetővé tette az elkövető számára a személyes hitelesítési adataihoz való hozzáférést (QR-kód igénylése) és lehetővé tette számára – a kérelmező közreműködésével – a kárt okozó átutalás elvégzését. Tévesen hivatkozott arra az alperes a fellebbezésében, hogy a QR-kód beolvasása a hitelesítési adatok hozzáférhetővé tételét azért nem valósítja meg, mert a kódot nem a kérelmező tette az elkövető számára elérhetővé, hanem fordítva. A kérelmező a felperesnél regisztrált eszközén a QR-kód beolvasásával a SCA.r 7. cikke szerinti, birtoklás kategóriába sorolható hitelesítő elem meglétét igazolta a felperes előtt, ami az e QR-kódot részére fénykép formában megküldő elkövető által kezdeményezett Fővárosi Ítélőtábla 4.Pf.20.592/2024/7/I 10 InternetBanki belépés, majd átutalási műveletek végrehajtását tette lehetővé. Így az általa is ismerten, nem a felperestől közvetlenül, hanem az ismeretlen elkövetőtől érkezett QR-kód beolvasásával azokhoz az elkövető számára hozzáférést biztosított. Ezáltal a kérelmező megszegte a Pft. 40. §
(1)bekezdésében előírt, a személyes hitelesítési adatai biztonságban tartása érdekében az adott helyzetben általában elvárható magatartás tanúsítására irányuló kötelezettségét. A kérelmező említett eljárását a fent kifejtett értelmezés mellett a Pft. 45. §
(3)bekezdés utolsó fordulata alapján a 40. §
(1)bekezdése által előírt kötelezettség súlyosan gondatlan megszegésének kellett minősíteni. [22] Annak hangsúlyozása mellett, hogy a Pft. 45. §
(3)bekezdés utolsó fordulata alapján súlyosan gondatlannak minősült a kérelmező mulasztása a kárelhárítási kötelezettség körében, a Kúria Jogegységi Panasz Tanácsa Jpe.I.60.009/2022/
  1. számú és Jpe.I.60.003/2023/
  2. számú jogegységi hatályú határozataiban a kárelhárítási kötelezettség súlyosan gondatlan elmulasztása körében – bár egy biztosítási eseménnyel kapcsolatban, de általános érvénnyel – kifejtettek szerint is súlyosan gondatlannak minősül a kérelmező mulasztása. [23] A jelen jogvitára vonatkoztatva a kérelmező súlyos gondatlanságának nem a közte és a felperes között létrejött szerződésben foglalt kötelezettségek megszegése – ideértve a Pft.
  3. §
(1)bekezdésében írt kötelezettséget is –, hanem a kár bekövetkezése körében kell fennállnia. Az ítélőtábla megítélése szerint e jogvitában a kérelmező tudatállapotát nem szubjektíve kell megítélni, hanem az Európai Unió Bírósága (EUB) C-210/
  1. számú ítéletére figyelemmel az átlagosan tájékozott, átlagos pénzügyi tudatossággal rendelkező, észszerűen figyelmes, racionális döntések meghozatalára képes átlagfogyasztó mércéjén keresztül kell mérni, hogy tudatának át kellett-e fognia a kármegelőzés körében tanúsított mulasztásának azt a következményét, hogy emiatt őt kár érheti. Hangsúlyozza az ítélőtábla, hogy nem a kár konkrét mértékét kellett felismernie, hanem azt kellett tudnia felmérni, hogy magatartásának az lehet a következménye, hogy a számláján tartott pénze vagy annak egy része elveszhet. [24] A teljes eseménysort együttesen értékelve, de abból különösen azt figyelembe véve, hogy a kérelmező idegen személy kérésére távoli hozzáférést engedélyezett a bankoláshoz használt számítógépéhez, majd anélkül olvasta be az általa is ismerten, nem a felperestől, hanem az ismeretlen elkövetőtől érkezett QR-kódot három alkalommal is, hogy tisztában lett volna az ezzel hitelesített művelet mibenlétével, két alkalommal pedig anélkül, hogy egyáltalán kívánt volna bármilyen műveletet kezdeményezni, az általános megítélés szerint is a lehetséges következményekkel szembeni oly mértékű közömbösség, amely a súlyos gondatlanság megállapítására okot szolgáltat. Kiemeli az ítélőtábla, hogy alaptalanul hivatkozott arra a fellebbezésében az alperes, hogy mivel a mobilbanki alkalmazás nem jeleníti meg a jóváhagyandó művelet adatait, a kérelmezőnek nem is kellett tudnia, hogy szándékával ellentétes fizetési művelet kerül jóváhagyásra. A kérelmezőnek – saját előadása szerint is tisztában lévén mind a MobilBank, mind a QR-kód használatával – tudnia kellett, hogy a QR-kódot a MobilBankba való belépéshez, illetve ott kezdeményezett tranzakciók jóváhagyásához kell beolvasnia. Arra nem tett előadást a kérelmező, hogy maga kezdeményezett-e bármilyen tranzakciót, és arra sem adott magyarázatot, hogy milyen okból tartotta szükségesnek legalább két alkalommal – az általa is ismerten, nem a felperestől, Fővárosi Ítélőtábla 4.Pf.20.592/2024/7/I 11 hanem egy számára ismeretlen személytől, fénykép formájában – érkező QR-kód beolvasását. A fent írt mércén keresztül megítélt átlagfogyasztótól elvárható annak felismerése, hogy amennyiben maga nem kezdeményez semmilyen tranzakciót, ennek ellenére QR-kód beolvasását várja el tőle egy ismeretlen személy, akkor a kérdéses, QR-kóddal hitelesítő tranzakciót más személy kezdeményezi. Ennek felismerését követően pedig az átlagfogyasztótól annak a következtetésnek a levonása is elvárható, hogy a más által kezdeményezett művelet érdekével ellentétes lehet, s neki kárt okozhat. Ilyen körülmények között pedig alapvető elvárás az átlagosan tájékozott, átlagos pénzügyi tudatossággal rendelkező, észszerűen figyelmes, racionális döntések meghozatalára képes átlagfogyasztóval szemben, hogy a nem általa kezdeményezett tranzakciót ne hitelesítse, mellőzze a fénykép formában érkezett QR-kód beolvasását. [25] A lehetséges következményekkel szembeni kirívó közömbösségre utal az a körülmény is, hogy a kérelmező az elkövető személy által fénykép formátumban, az alkalmazás neve alklamazás igénybevételével megküldött QR-kódokat három alkalommal is annak ellenére olvasta be, hogy kétsége merült fel azok eredete vonatkozásában. A kérelmező ezen magatartása során – az általános zsinórmérték szerint is – súlyosan gondatlanul járt el. [26] Mindezek alapján a személyes hitelesítési adatai biztonságban tartása érdekében az adott helyzetben általában elvárható magatartás elmulasztásakor a kérelmező tudatának át kellett fognia a kár bekövetkezésének reális lehetőségét. Ezért a Ptk. 6:
  2. §
(1)bekezdés utaló szabálya folytán alkalmazandó Ptk. 6:
  1. §-ának rendelkezésein alapuló Jpe.I.60.009/2022/
  2. számú és Jpe.I.60.003/2023/
  3. számú jogegységi hatályú határozatokban kifejtett szempontok alapján is súlyosan gondatlannak minősült a kérelmező kármegelőzési kötelezettség elmulasztásának minősülő azon magatartása, hogy a személyes hitelesítő adatai biztonságban tartására irányuló kötelezettségét megszegve azokat arra nem jogosult számára hozzáférhetővé tette. [27] Mindezekre tekintettel a felperes a Pft.
  4. §
(3)bekezdése alapján mentesül a megtérítési kötelezettsége alól. A felperes mentesülését figyelmen kívül hagyó ajánlás tartalma nem felelt meg a jogszabályoknak, ezért az elsőfokú bíróság azt jogszabálysértés nélkül helyezte hatályon kívül az MNB tv. 116. §
(4)bekezdésére figyelemmel a 117. §
(3)bekezdése alapján. A kifejtettekre tekintettel az ítélőtábla az elsőfokú bíróság ítéletét a Pp. 383. §
(2)bekezdése alkalmazásával helybenhagyta. [28] Az alperes fellebbezése nem volt sikeres, ezért – az MNB tv. 96. §
(5)bekezdésére tekintettel – a Magyar Nemzeti Bank a Pp. 83. §
(1)bekezdése alapján köteles a felperes másodfokú eljárásban felmerült perköltségének megfizetésére. Az ítélőtábla a felperes jogi képviselőjének munkadíját az IM rendelet 3. §
(3)és
(5)bekezdése alapján állapította meg. Fővárosi Ítélőtábla 4.Pf.20.592/2024/7/I 12 Budapest,
  1. február
  2. Dr. Németh László s.k. a tanács elnöke Dr. Molnár Ágnes s.k. előadó bíró Dr. Merőtey Anikó s.k. bíró

🔗 Hivatalos forráshoz

MI-magyarázat a hivatalos jogszabályszöveg alapján. Tájékoztató jellegű, nem helyettesíti a jogi tanácsadást.