wniosek dowodowy zgłoszony przez pozwanego o przeprowadzenie dowodu z opinii biegłego z zakresu informatyki, bowiem okoliczności powoływane przez pełnomocnika pozwanego, które miałyby być przedmiotem ww. dowodu, były niemożliwe do ustalenia a nadto wniosek ten zmierzał jedynie do przedłużenia postępowania. W tych okolicznościach faktycznych Sąd Rejonowy uznał, że powództwo w przeważającej części zasługiwało na uwzględnienie. Sąd dokonał analizy przepisów ustawy z dnia 19 sierpnia 2011 roku o usługach płatniczych, w tym pojęcia autoryzacji transakcji płatniczej, ciężaru dowodowego określonego w art. 45 tej ustawy, spoczywającego na dostawcy usług płatniczych. Argumentował, że transakcja jest autoryzowana jeżeli na jej dokonanie wyraził zgodę sam płatnik. Nie wystarcza, że dokonano jej przy użyciu instrumentu płatniczego należącego do płatnika i dokonano jej uwierzytelnienia. Podkreślał konieczność odróżnienia uwierzytelnienia od autoryzacji, wskazując, że proces uwierzytelnienia poprzedza autoryzację, ale nie zawsze poprawne przejście procedury uwierzytelnienia oznacza autoryzację, co potwierdza art. 45 ust. 2 tej ustawy. Odwołał się do jej art. 46 ust. 1, przewidującego w przypadku wystąpienia nieautoryzowanej transakcji płatniczej obowiązek spoczywający na dostawcy płatnika niezwłocznego, nie później jednak niż do końca dnia roboczego następującego po dniu stwierdzenia wystąpienia nieautoryzowanej transakcji, zwrotu płatnikowi kwoty nieautoryzowanej transakcji płatniczej, z wyjątkiem przypadku gdy dostawca płatnika ma uzasadnione i należycie udokumentowane podstawy, aby podejrzewać oszustwo i poinformuje o tym w formie pisemnej organy powołane do ścigania przestępstw. Sąd Rejonowy wskazał dalej, że odpowiedzialność płatnika za nieautoryzowane transakcje występuje jedynie wówczas, gdy transakcje te zostały zrealizowane na skutek zachowania płatnika, który doprowadził do nich umyślnie albo w wyniku umyślnego lub będącego skutkiem rażącego niedbalstwa naruszenia co najmniej jednego z obowiązków o których mowa w art. 42 analizowanej ustawy. Za niewątpliwe Sąd Rejonowy przyjął to, że powód nie zlecał wykonania sześciu wyżej opisanych przelewów, zatem nie doszło do ich autoryzacji. Jednocześnie w ocenie Sądu Rejonowego, pozwany nie wykazał ziszczenia się przesłanek uwalniających go od odpowiedzialności. Nie wykazano by powód nie korzystał z oprogramowania antywirusowego, kliknął w link umożliwiający uzyskanie informacji do swojego rachunku bankowego, czy też wykonał lub nie wykonał innej czynności, która doprowadziła czy ułatwiła K. C. dokonanie wyżej opisanych przelewów. W zakresie braku niektórych urządzeń elektronicznych w ocenie Sądu nie można tym obciążać powoda, ponieważ niezwłocznie po ujawnieniu przelania środków z jego rachunku zawiadomił pozwanego, domagał się zwrotu wskazanych kwot, a także zgłosił przestępstwo do organów ścigania - co z całą pewnością przyczyniło się do zablokowania ponad połowy środków przelanych przez powoda z jego rachunku bankowego. Dodatkowo powód zgłosił pozwanemu reklamację i był gotów do współpracy z pozwanym jak również z organami ścigania, ale pozwany nie zgłaszał potrzeby analizy czy weryfikacji urządzeń, z których korzystał pozwany. Argumentował, że nawet gdyby powód te urządzenia posiadał, to i tak nie można by w niniejszym postępowaniu wydać opinii zgodnie z wnioskiem pozwanego, ponieważ jak wskazał biegły byłoby to możliwe jedynie przy założeniu, że urządzenia powoda czy jego żony w dniu 31 marca 2020 roku zostały zabezpieczone i od tego czasu nie były używane. Dodatkowo w ocenie Sądu Rejonowego nie wykazano, by fakt udostępnienia przez powoda loginu i hasła w jakikolwiek sposób doprowadził do dokonania przez K. C. nieautoryzowanych przez powoda przelewów bądź by je ułatwił. Sam fakt tego, że żona powoda znała login i hasło do rachunku powoda, nie ma związku przyczynowo-skutkowego z wyżej opisanym zdarzeniem. Nie wskazuje na umyślność powoda czy jego rażące niedbalstwo w zaistniałej sytuacji. Z tych przyczyn Sąd Rejonowy za uzasadnione w całości uznał powództwo co do kwoty głównej żądania. Za niezasadne uznał roszczenie zasądzenia odsetek za opóźnienie od kwoty 65.783,76 zł od dnia 4 kwietnia 2020 roku do dnia 2 grudnia 2020 roku, ponieważ środki te zostały w toku postępowania przygotowawczego postanowieniem Prokurator Prokuratury Rejonowej K.-Zachód z dnia 3 kwietnia 2020 roku zablokowane poprzez uniemożliwienie wypłat, przelewów, zleceń stałych, poleceń zapłaty i obciążania zablokowanych środków. Zatem powód nie mógł w czasie obowiązywania powyższego postanowienia korzystać z tych środków, jak również nie mógł nimi dysponować pozwany oraz na pozwanym nie ciążył obowiązek udostępnienia powodowi kwoty w równowartości środków zablokowanych na skutek powyższego postanowienia. O kosztach procesu Sąd I instancji orzekł na podstawie art. 100 zdanie drugie k.p.c. uwzględniając, że powód uległ jedynie nieznacznie w zakresie roszczenia odsetkowego. Apelację od tego wyroku wywiódł pozwany, zaskarżając go w części, a to co do pkt I i III. Zaskarżonemu wyrokowi zarzucił: 1. naruszenie przepisów prawa materialnego, a to: a. art. 46 ust. 3 ustawy o usługach płatniczych (dalej: „ustawa” lub „ustawa o usługach płatniczych”) w zw. z §31 ust. 3 oraz §33 ust. 1, 2 i 5 Regulaminu świadczenia usług (...) bankowości internetowej (...) Banku (...) S.A. obowiązującego od 17 listopada 2019 roku (dalej (...)) poprzez jego niezastosowanie i uznanie odpowiedzialności pozwanego z tytułu nieautoryzowanych transakcji pomimo, iż to powód doprowadził do nich wskutek rażącego naruszenia zasad bezpieczeństwa korzystania instrumentu płatniczego przewidzianych w ustawie i Regulaminie, w tym w szczególności poprzez: brak przechowywania danych służących do uwierzytelnienia i autoryzacji w bezpiecznym miejscu (podanie danych do logowania i kodów autoryzacyjnych osobom trzecim lub wprowadzenie kodów bez ich czytania); brak utrzymania w poufności wszystkich danych służących do uwierzytelnienia lub autoryzacji użytkownika przez (...) pozwanej oraz ujawnienie tych danych osobom trzecim (ujawnienie danych do logowania żonie, bezrefleksyjne wykonywanie poszczególnych operacji na telefonie, ujawnienie kodów autoryzacyjnych do transakcji na podstawionej, fałszywej stronie internetowej); brak zapoznania się przez powoda z komunikatami ostrzegawczymi oraz rekomendacjami pozwanej dotyczącymi bezpiecznego korzystania z bankowości elektronicznej publikowanymi przez pozwaną na stronie internetowej banku w najbardziej poczytnych miejscach m.in. na stronie logowania do bankowości elektronicznej; b. art. 46 ust. 4a w zw. z art. 2 pkt 26aa) ustawy o usługach płatniczych w zw. z §11 Regulaminu poprzez jego niezastosowanie w przypadku, gdy z przepisu tego a contrario wynika, że to płatnik (powód) ponosi odpowiedzialność za nieautoryzowaną transakcję płatniczą wówczas, gdy bank wymaga silnego uwierzytelnienia, co miało miejsce w niniejszej sprawie; c. art. 46 ust. 3 ustawy o usługach płatniczych poprzez brak uwzględnienia przez Sąd faktu zignorowania przez powoda ostrzeżeń i komunikatów publikowanych przez pozwanego na stronie Internetowej dotyczących bezpiecznego korzystania z bankowości elektronicznej oraz metod działania cyberprzestępców przy ocenie stopnia niedbalstwa powoda, a w konsekwencji uznanie, iż stopień tego niedbalstwa nie był rażący; d. art. 50 ust. 2 prawa bankowego poprzez jego niewłaściwą wykładnię i pominięcie, iż żadna procedura zabezpieczeń nie może skutecznie zadziałać, o ile po stronie osoby w ten sposób chronionej nie ma realizowanej w praktyce woli skorzystania z tych zabezpieczeń, a w konsekwencji uznanie, że to bank a nie powód nie dochował szczególnej staranności w zakresie zapewnienia bezpieczeństwa przechowywanych środków pieniężnych; 2. naruszenie przepisów postępowania, a to: a. art.
w zw. art. 227 k.p.c. w zw. art. 278 § 1 k.p.c. poprzez pominięcie wniosku pozwanej o dopuszczenie dowodu z opinii innego biegłego z zakresu informatyki śledczej oraz telekomunikacyjnej, podczas gdy okoliczność czy powód miał zainstalowane aktualne, legalne oprogramowanie oraz program antywirusowy na swoim telefonie i komputerach, z których korzystał powód i jego żona miało istotne znaczenie dla prawidłowego rozstrzygnięcia sprawy, albowiem zgodnie z Regulaminem brak takiego oprogramowania stanowi rażące niedbalstwo użytkownika i przesądza o jego odpowiedzialności za nieautoryzowane transakcje; b. art. 233 § 2 k.p.c. poprzez brak nadania właściwego znaczenia odmowie powoda dotyczącej udostępnienia telefonu do badania przez biegłego, podczas gdy odmowa udostępnienia przez powoda telefonu do badania powinna była zostać oceniona na niekorzyść powoda i potraktowana jako niewykazanie przez powoda zarówno należytego zabezpieczenia urządzenia przed złośliwym oprogramowaniem, jak i niewykazania przebiegu zdarzenia w dniu 31 marca 2020 roku, w tym treści otrzymanych przez powoda SMS-ów, co wskazuje na rażące niedbalstwo po stronie powoda. W oparciu o tak sformułowane zarzuty, pozwany wniósł o:
polegającego na pominięciu tego dowodu. Na żadnym etapie do wydania zaskarżonego wyroku pozwany nie powoływał się na wiedzę, że inni biegli w podobnych sytuacjach wydają opinię mimo braku zabezpieczenia urządzeń oraz ich stanu, nie wskazał też konkretnego biegłego. Zresztą i teza dowodowa wskazywana w apelacji nie była wystarczająca do wykazania, że to nie pozwany tylko powód powinien odpowiadać za nieautoryzowane transakcje. W apelacji pozwany dowód ten wiązał jedynie z tym czy powód miał zainstalowane aktualne, legalne oprogramowanie oraz program antywirusowy na swoim telefonie i komputerach, z których korzystał on i jego żona. Dokonanie ustaleń w tym zakresie, nawet gdyby były możliwe i doprowadziłoby do ustalenia braku tego oprogramowania i tak nie uzasadniałoby zmiany zaskarżonego wyroku, bowiem dalej pozostawałby niewykazany przez pozwany Bank związek przyczynowy pomiędzy ewentualnym brakiem aktualnego, legalnego oprogramowania i programu antywirusowego a dokonaniem nieautoryzowanych transakcji płatniczych. Sąd Rejonowy trafnie przywołał ogólnikowe wymogi jakie pozwany Bank stawiał klientom w tym zakresie, nie określając na ile aktualne ma być oprogramowanie czy program antywirusowy, nie wskazując konkretnego programu antywirusowego. Zapis § 33 pkt 5 in fine Regulaminu jest ogólnikowy. Wynika z niego jedynie tyle, że użytkownik zobowiązany jest zabezpieczyć używane urządzenie elektroniczne, w tym mobilne oraz używane oprogramowanie programem antywirusowym. § 37 Regulaminu określa minimalne wymogi techniczne korzystania z systemu, które nie dotyczą zabezpieczenia programem antywirusowym, tym bardziej o określonych cechach. Ograniczają się do urządzenia z dostępem do internetu wraz z zainstalowanym na tym urządzeniu systemem operacyjnym i przeglądarką internetową, a w przypadku urządzenia mobilnego konieczne jest zainstalowanie danej aplikacji na urządzeniu mobilnym. Minimalne wymogi precyzuje załącznik nr 3 do Regulaminu, w którym także nie ma mowy o programie antywirusowym, tylko o wymogach co do wersji systemu operacyjnego i przeglądarki internetowej. W apelacji nie zakwestionowano wprost zeznań powoda, w których wskazywał, że posiadał w dacie zdarzenia aktualny program antywirusowy na wszystkich urządzeniach. Uznano je jedynie za niewystarczające. Powód posiadanie zabezpieczenia antywirusowego uzasadniał tym, że prowadzi działalność gospodarczą i nie może sobie pozwolić na brak zabezpieczeń. Zeznania powoda w tym zakresie nie były ogólnikowe, skoro uściślił, że było to oprogramowanie antywirusowe firmy (...) z licencją do 30.09.2020 roku i posiada mail od dystrybutora z rejestracją licencji. Fakt posiadania tego zabezpieczenia potwierdziła żona powoda. W tej sytuacji zarzut apelacji, że powód nawet nie wskazał jakiej firmy posiadał program antywirusowy należy uznać za nieprzystający do okoliczności sprawy. Argumentacja pozwanego Banku odwołująca się do naruszenia przez powoda przepisów i procedur była ogólnikowa. W myśl art. 42 ustawy z dnia 19 sierpnia 2011 roku o usługach płatniczych, użytkownik uprawniony do korzystania z instrumentu płatniczego jest obowiązany korzystać z instrumentu płatniczego zgodnie z umową ramową oraz zgłaszać niezwłocznie dostawcy lub podmiotowi wskazanemu przez dostawcę stwierdzenie utraty, kradzieży, przywłaszczenia albo nieuprawnionego użycia instrumentu płatniczego lub nieuprawnionego dostępu do tego instrumentu (ust. 1), przy czym w celu spełnienia obowiązku korzystania z instrumentu płatniczego zgodnie z umową ramową użytkownik, z chwilą otrzymania instrumentu płatniczego, podejmuje niezbędne środki służące zapobieżeniu naruszeniu indywidualnych zabezpieczeń tego instrumentu, w szczególności jest obowiązany do przechowywania instrumentu płatniczego z zachowaniem należytej staranności oraz nieudostępniania go osobom nieuprawnionym (ust. 2). Powód niezwłocznie, bo w ciągu kilkunastu minut po zorientowaniu się o dokonywanych bez jego udziału i zgody transakcjach, podjął czynności zmierzające do powiadomienia o tym pozwanego Banku, które z uwagi na okres pandemii oraz zasady działania infolinii trwały kilkadziesiąt minut, co zostało zobrazowane w zeznaniach powoda i jego żony. Dzięki tej niezwłocznej reakcji udało się zresztą zapobiec dalszym nieautoryzowanym przelewom oraz odzyskać znaczną część środków, które wypłynęły z rachunku bankowego powoda (a zostały mu następnie zwrócone w postępowaniu karnym). Z art. 44 ust. 1 analizowanej ustawy wynika, że użytkownik niezwłocznie powiadamia dostawcę o stwierdzonych nieautoryzowanych, niewykonanych lub nienależycie wykonanych transakcjach płatniczych. Z ust. 2 wynika, że istotne jest to czy powiadomienie, o którym mowa w ust. 1 zostało dokonane w terminie 13 miesięcy od dnia obciążenia rachunku płatniczego albo od dnia, w którym transakcja miała być wykonana. Dopiero w razie niezachowania tego terminu, roszczenia użytkownika względem dostawcy z tytułu nieautoryzowanych, niewykonanych lub nienależycie wykonanych transakcji płatniczych wygasają. Skarżący Bank zarzucał rażące naruszenie przez powoda zasad bezpieczeństwa, jednakże nie wykazał ani naruszenia tych zasad, ani tym bardziej związku przyczynowego pomiędzy takim naruszeniem a szkodą doznaną przez powoda. Co do podania innym osobom danych do logowania, to dotyczyło to wyłącznie żony, przy czym Sąd Rejonowy trafnie przyjął niewykazanie przez pozwany Bank, że udostępnienie tych danych żonie powoda umożliwiło dokonanie przelewów przez osobę trzecią, ustaloną w postępowaniu karnym. Brak związku przyczynowego nie pozwala na uwolnienie pozwanego Banku od odpowiedzialności. Gołosłowne były zarzuty apelacji, że powód podał kody autoryzacyjne bez weryfikacji, że wprowadzał te kody bez ich czytania, że nie przechowywał danych służących do uwierzytelniania i autoryzacji w bezpiecznym miejscu, że nie utrzymywał w poufności wszystkich danych do uwierzytelnienia i autoryzacji, że bezrefleksyjnie wykonywał poszczególne operacje na telefonie, że ujawnił kody do transakcji na podstawionej, fałszywej stronie internetowej. To tylko zarzuty pozwanego, nie poparte żadnym materiałem dowodowym. Powód zeznał, że żadnych kodów autoryzacyjnych nie podawał, nie dostawał z Banku sms o planowanych przelewach i danych do autoryzacji tych konkretnych transakcji, tylko informacje o ich dokonaniu i wypływie środków z jego konta, które to operacje odbyły się poza jego wiedzą i zgodą. Pozwany Bank nie wykazał, że było inaczej. Ogólnikowa pozostawała argumentacja pozwanego, że powód na bieżąco nie zapoznawał się z komunikatami ostrzegawczymi pozwanego Banku i rekomendacjami dotyczącymi bezpieczeństwa transakcji internetowych. Pozwany nie wykazał, które konkretnie rekomendacje i komunikaty ostrzegawcze, o jakiej treści, zostały przez powoda pominięte, a tym bardziej, że dostosowanie się do ich treści wykluczałoby możliwość dokonania nieautoryzowanych transakcji, o których mowa w sprawie. Przepis art. 46 u.u.p. za istotne uznaje naruszenie obowiązków, o których mowa w jej art. 42 umyślnie lub wskutek rażącego niedbalstwa (gdy bank wymagał silnego uwierzytelnienia) lub tylko umyślnie (gdy bank nie wymagał takiego silnego uwierzytelnienia). Ocena, czy zachodzi wypadek rażącego niedbalstwa wymaga uwzględnienia obiektywnego stanu zagrożenia oraz kwalifikowanej postaci braku zwykłej staranności w przewidywaniu skutków, a więc uwzględnienia staranności wymaganej od działającej osoby oraz okoliczności, w których doszło do zaniechania pożądanych zachowań z jej strony. "Rażące niedbalstwo" to coś więcej niż brak zachowania zwykłej staranności w działaniu. Wykładnia tego pojęcia powinna zatem uwzględniać kwalifikowaną postać braku zwykłej lub podwyższonej staranności w przewidywaniu skutków działania. Chodzi tu o takie zachowanie, które graniczy z umyślnością (por. wyrok Sądu Najwyższego z dnia 29 stycznia 2009 roku, sygn. akt V CSK 291/08). Rażące niedbalstwo można zatem przypisać w wypadku nieprzewidywania szkody jako skutku zaniechania określonego działania, o ile doszło do przekroczenia podstawowych, elementarnych zasad staranności. Należy przy tym wyraźnie odróżnić "rażące niedbalstwo" od "zwykłego niedbalstwa", czyli takiego zachowania osoby, która przewiduje skutki swojego działania lub zaniechania, lecz spodziewa się, że ich uniknie oraz gdy skutków tych nie przewiduje, chociaż może i powinna była je przewidzieć. Przypisanie określonej osobie niedbalstwa uznaje się za uzasadnione wtedy, gdy osoba ta zachowała się w określonym miejscu i czasie w sposób odbiegający od właściwego dla niej miernika należytej staranności. Przez rażące niedbalstwo rozumie się natomiast niezachowanie minimalnych (elementarnych) zasad prawidłowego zachowania się w danej sytuacji. Stopień naruszenia obowiązków musi być przy tym rażący, co oznacza brak elementarnej staranności płatnika (K. Osajda (red. serii), J. Dybiński (red. tomu), Ustawa o usługach płatniczych. Komentarz, Warszawa 2022; B. Bajor w: Ustawa o usługach płatniczych. Komentarz, wyd. II, red. J. Byrski, A. Zalcewicz, Warszawa 2021, art. 46). Na gruncie analizowanych przepisów w orzecznictwie za rażące niedbalstwo nie uznaje się nawet takich zachowań jak kliknięcie w link zawarty w wiadomości od nadawcy podszywającego się pod operatora, co zainicjowało proces pobierania złośliwego oprogramowania i umożliwiło dokonanie nieautoryzowanych transakcji (tak w wyroku Sądu Apelacyjnego w Łodzi z dnia 30 czerwca 2023 roku, w sprawie I ACa 785/22). Odwołując się do umowy i Regulaminu świadczenia usług (...) bankowości internetowej (...) Banku (...) S.A. pamiętać należy o przepisie art. 8 ustawy o usługach płatniczych. Zgodnie z nim, postanowienia umów o usługi płatnicze oraz umów o wydanie pieniądza elektronicznego nie mogą być mniej korzystne dla użytkowników i posiadaczy pieniądza elektronicznego niż przepisy ustawy, chyba że ustawa stanowi inaczej (ust. 1). Postanowienia umów o usługi płatnicze oraz umów o wydanie pieniądza elektronicznego mniej korzystne dla użytkowników i posiadaczy pieniądza elektronicznego niż przepisy ustawy są nieważne; zamiast nich stosuje się odpowiednie przepisy ustawy (ust. 2). Uregulowania te mają istotne znaczenie dla oceny zarzutu pozwanego, że brak aktualnego legalnego oprogramowania i programu antywirusowego według Regulaminu stanowią rażące niedbalstwo. Bank nie mógł w drodze Regulaminu narzucić definicji rażącego niedbalstwa. Podobnie Bank nie mógł w drodze Regulaminu narzucić niekorzystnego dla powoda zapisu § 32 ust. 2, że użytkownik powinien przestrzegać rekomendacji i zaleceń, a w przypadku ich nieprzestrzegania działa na własne ryzyko i odpowiedzialność. Dotyczy to także skutku nieodebrania przez użytkownika wiadomości zawierającej informacje o kolejnych aktualizacjach rekomendacji, czy braku odpowiedzialności Banku za ewentualne konsekwencje niestosowania się do przedmiotowych zaleceń. Powyższe zapisy pozostają w sprzeczności z ciężarem dowodowym wynikającym z art. 45 ust. 1 u.u.p. Co do pojęć uwierzytelnienia i autoryzacji, to Sąd Okręgowy w pełni zgadza się z argumentacją Sądu I instancji, nie podzielając zarzutów pozwanego w tym względzie. Z przepisu art. pkt 33b u.u.p. wynika, że uwierzytelnianie oznacza procedurę umożliwiającą dostawcy usług płatniczych weryfikację tożsamości użytkownika lub ważności stosowania konkretnego instrumentu płatniczego, łącznie ze stosowaniem indywidualnych danych uwierzytelniających. Autoryzacji zaś jest poświęcony cały rozdział 2 tej ustawy. Zgodnie z jej art. 40 ust. 1 transakcję płatniczą uważa się za autoryzowaną, jeżeli płatnik wyraził zgodę na wykonanie transakcji płatniczej w sposób przewidziany w umowie między płatnikiem a jego dostawcą. Zgoda może dotyczyć także kolejnych transakcji płatniczych. Z ust. 2 wynika, że zgoda powinna być udzielona przez płatnika przed wykonaniem transakcji płatniczej albo kolejnych transakcji płatniczych, chyba że płatnik i jego dostawca uzgodnili, że zgoda może zostać udzielona także po ich wykonaniu. Zgody na wykonanie transakcji płatniczej można również udzielić za pośrednictwem odbiorcy, dostawcy odbiorcy albo dostawcy świadczącego usługę inicjowania transakcji płatniczej. Samo uwierzytelnienie transakcji za pomocą określonych danych jest zatem pojęciem odmiennym od pojęcia autoryzacji, które oznacza wyrażenie zgody na przeprowadzenie operacji. W orzecznictwie trafnie wskazuje się, że ryzyko dokonania wypłaty środków z rachunku bankowego do rąk osoby nieuprawnionej oraz dokonanie rozliczenia pieniężnego na podstawie dyspozycji wydanej przez osobę nieuprawnioną obciąża bank, także w sytuacji objęcia umowy rachunku bankowego bankowością elektroniczną. Wynika to z regulacji zawartej w art. 45 ust. 1 i 2 ustawy o usługach płatniczych. Skoro dostawcy samodzielnie oraz zarobkowo organizują swoją działalność gospodarczą na rynku usług płatniczych, można od nich oczekiwać odpowiedniego poziomu profesjonalizmu i przypisać im ciężar udowodnienia, że transakcja, która podlega wykonaniu, została autoryzowana przez płatnika albo wystąpiły inne relewantne okoliczności dotyczące jego odpowiedzialności za transakcję nieautoryzowaną. Użytkowników - w relacjach z dostawcami - traktuje się jako stronę strukturalnie słabszą, która wymaga ochrony prawnej przez korzystne dla nich ukształtowanie reguł dowodowych w odniesieniu do autoryzacji transakcji płatniczych oraz kwestii pokrewnych związanych z odpowiedzialnością. Powyższa reguła pozostaje również w związku z zasadą wskazaną w art. 46 ustawy, która kształtuje generalną zasadę odpowiedzialności dostawcy za nieautoryzowane transakcje płatnicze, która jest oparta na zasadzie ryzyka. Dostawca - bank nie może zwolnić się od odpowiedzialności poprzez wykazanie, że realizował umowę z zachowaniem należytej staranności. Podkreślenia wymaga, że udowodnienie autoryzowania transakcji nie może ograniczać się do wywodu, że transakcje zostały potwierdzone przez wprowadzenie danych uwierzytelniających. Samo uwierzytelnienie transakcji za pomocą określonych danych jest pojęciem odmiennym od pojęcia autoryzacji. Obowiązek należytego zabezpieczenia środków powoda był obowiązkiem Banku (por. art. 50 ust. 2 ustawy z dnia 29 sierpnia 1997 roku Prawo bankowe, Dz.U.2024.1646 t.j.), który powinien opracować takie procedury weryfikacji transakcji, aby niemożliwe było dokonywanie transakcji przez osoby nieuprawnione. Bank jest zobowiązany do dołożenia szczególnej staranności w zakresie zapewnienia bezpieczeństwa przechowywanych środków pieniężnych. W aktualnym orzecznictwie nie znajduje już aprobaty prezentowane przed laty stanowisko wyrażające się minimalizacją wymagań co do staranności banków przy wykonywaniu zobowiązań wobec swoich kontrahentów (wyrok Sądu Najwyższego z dnia 7 stycznia 1964 roku, III CR 365/63, OSNC 1964/11/231). W licznych orzeczeniach z późniejszego okresu dominuje już restryktywne, a zarazem w pełni uzasadnione jurydycznie, podejście, stawiające bankom wysokie wymagania pod względem oceny staranności zachowań niezbędnych przy wykonywaniu ich zobowiązań (por. uchwała Sądu Najwyższego z dnia 20 listopada 1992 roku, III CZP 138/92, OSNC 1993/6/96; wyroki Sądu Najwyższego z dnia 28 maja 1999 roku, III CKN 196/98, OSNC 2000/1/8; z dnia 16 stycznia 2001 roku, II CKN 344/00; z dnia 26 lipca 2001 roku, II CKN 1269/00, OSP 2002/9/121). W wyroku z dnia 14 kwietnia 2003 roku w sprawie I CKN 308/01 Sąd Najwyższy wyraził zapatrywanie, że zapewnienie bezpieczeństwa depozytów jest jednym z najistotniejszych obowiązków banku, a sposób jego wykonywania jest najbardziej wymierną podstawą oceny jego wiarygodności. Stosownie do art. 46 ust. 1 powołanej ustawy, w przypadku wystąpienia nieautoryzowanej transakcji płatniczej, dostawca płatnika jest obowiązany niezwłocznie dokonać na rzecz płatnika zwrotu kwoty nieautoryzowanej transakcji płatniczej albo, w przypadku gdy płatnik korzysta z rachunku płatniczego, przywrócić obciążony rachunek płatniczy do stanu, jaki istniałby, gdyby nie miała miejsca nieautoryzowana transakcja płatnicza. Art. 45 ust. 1 analizowanej ustawy stanowi, że ciężar udowodnienia, że transakcja płatnicza była autoryzowana przez użytkownika spoczywa na dostawcy tego użytkownika, przy czym do zrealizowania tego obowiązku dowodowego nie jest wystarczające wykazanie samego zarejestrowanego użycia instrumentu płatniczego. Dostawca jest obowiązany udowodnić inne okoliczności wskazujące na autoryzację transakcji płatniczej przez płatnika albo okoliczności wskazujące na fakt, że płatnik umyślnie doprowadził do nieautoryzowanej transakcji płatniczej, albo umyślnie lub wskutek rażącego niedbalstwa dopuścił się naruszenia co najmniej jednego z obowiązków, o których mowa w art. 42 ustawy. Ciężar udowodnienia tych okoliczności spoczywa na dostawcy. Rację ma Sąd Rejonowy kiedy zauważa, że pozwany Bank nie nałożył na powoda obowiązków korzystania z określonego programu antywirusowego, w szczególności płatnego. Pozwany nie wykazał, że telefon i laptop powoda i jego żony nie były zabezpieczone programem antywirusowym, a tym bardziej nie wykazał, że brak takiego programu umożliwił osobie trzeciej dokonanie nieautoryzowanych transakcji (zwłaszcza gdy Bank nie wymagał zabezpieczenia określonym programem antywirusowym, a na rynku takich programów jest bardzo dużo, o różnej funkcjonalności, poziomie zabezpieczenia). Kwestia odpowiedniego oprogramowania jest poruszana w judykaturze. Dorobek orzeczniczy w tym przedmiocie można podsumować w ten sposób, że to bank powinien zadbać o odpowiednie regulacje umowne, w tym w regulaminach, jeśli zamierza nałożyć na klienta obowiązek stosowania określonego oprogramowania. Ponadto dla uwolnienia się od odpowiedzialności nie jest wystarczające wykazanie braku takiego oprogramowania. Należy także wykazać związek przyczynowy pomiędzy jego brakiem a dokonaniem nieautoryzowanych transakcji płatniczych. Dal przykładu zagadnienie to analizowano w wyroku Sądu Apelacyjnego w Białymstoku z dnia 2 marca 2020 roku, I AGa 4/
Wyjaśnienie AI na podstawie urzędowego tekstu ustawy. Orientacyjne, nie zastępuje porady prawnej.