15 dni roboczych na oddanie wyłudzonych środków – takie zasady będą obowiązywać w przypadku oszustwa „na pracownika banku”. Rewolucję w podziale odpowiedzialności wprowadza unijne rozporządzenie o usługach płatniczych, które będzie obowiązywać automatycznie w krajach wspólnoty.
Unijny pakiet regulacji płatniczych jest już na ostatniej prostej. 5 listopada opublikowano stanowisko Rady UE, która w pierwszym czytaniu przyjęła projekty rozporządzenia PSR oraz dyrektywy PSD3. Następnym krokiem będzie zaakceptowanie aktów na posiedzeniu plenarnym Parlamentu Europejskiego. W ten sposób skończy się trwający od 2024 r. proces aktualizacji najważniejszych zasad porządkujących rynek usług płatniczych wspólnoty.
Dla konsumentów kluczowe będą dwie zmiany. Pierwsza wpłynie na to, jak wygląda codzienne zarządzanie finansami online, np. w bankowości mobilnej. Drugą powitają z zadowoleniem ofiary oszustw, w których przestępcy podszywają się pod instytucję. Tu jednak pojawia się istotne zastrzeżenie. Rozporządzenie dotyka tylko jednego scenariusza.
Zwrot środków dla ofiar spoofingu
PSR przewiduje, że specjalną ochronę zyskają ofiary tzw. impersonation fraud, czyli spoofingu. Jednak wyłącznie, gdy w takim schemacie oszust udaje dostawcę usług płatniczych (np. bank) i nielegalnie wykorzystuje oficjalne kanały komunikacji tego dostawcy — takie jak nazwa domeny, adres e-mail, numer telefonu, strona internetowa czy aplikacja mobilna.
Oznacza to, że banki odpowiadać będą m.in. za ofiary fałszywych aplikacji mobilnych, telefonicznych „konsultantów” lub podrobionych serwisów bankowości internetowej. Konsument, który w wyniku manipulacji dokonał nieuczciwej autoryzowanej transakcji płatniczej, zgodnie z nową wersją PSR ma prawo do zwrotu pełnej kwoty od swojego dostawcy. Czas przewidziany na rekompensatę upływa po 15 dniach roboczych.
Aby otrzymać zwrot, trzeba będzie spełnić dwa wymogi. Po pierwsze, powiadomić swojego dostawcę usług płatniczych o oszustwie bez zbędnej zwłoki. Po drugie, zgłosić przypadek oszustwa policji.
Dostawca usług płatniczych może odmówić zwrotu wyłącznie wtedy, gdy udowodni, że konsument działał w nieuczciwych zamiarach (sam popełnił oszustwo) lub dopuścił się rażącego niedbalstwa. Ciężar dowodu spoczywa na dostawcy, a oskarżenie o rażące niedbalstwo nie będzie tylko formalnością. Bank lub niebankowy dostawca będzie musiał zwrócić się do konsumenta o udzielenie informacji dotyczących okoliczności zdarzenia i uwzględnić je w swojej ocenie. Brak przekazania dowodów, których racjonalnie nie można od klienta oczekiwać (np. nagrań rozmów), nie może być podstawą do odmowy zwrotu.
Okres karencji na zmiany limitów
Ważna zmiana pojawi się w zasadach dotyczących limitów transakcji. Dziś większość banków narzuca użytkownikowi pewną wyjściową wartość dla poszczególnych instrumentów (np. BLIK, kart, przelewów), a potem umożliwia samodzielną zmianę progów. Można to zrobić chociażby w aplikacji mobilnej albo bankowości internetowej.
PSR przewiduje, że zdalna zmiana limitów będzie objęta „okresem ochronnym”. Wejdzie w życie najwcześniej po 4 godzinach od zlecenia. Mechanizm ten ma chronić płatnika przed skutkami oszustw. Rezygnacja z niego będzie możliwa po silnym uwierzytelnieniu lub osobistej wizycie w placówce, ale zacznie obowiązywać dopiero po upływie dotychczasowego okresu opóźnienia. W zamyśle regulatorów zapobiega to sytuacji, w której oszust natychmiast wyłącza okres karencji po przejęciu dostępu do konta. Podobne zasady będą dotyczyć aktywacji aplikacji mobilnej do zarządzania rachunkiem płatniczym.
PSR przewiduje także równe traktowanie przelewów natychmiastowych i innych typów zleceń. Limity proponowane dla przelewów natychmiastowych nie mogą być bardziej restrykcyjne niż dla zwykłych przelewów. Jednocześnie banki ani dostawcy usług płatniczych nie mogą jednostronnie zmieniać limitów ustalonych przez klienta.
