Решение № 717 от 31.03.2022, Софийски градски съд

РЕШЕНИЕ

№ 717 гр. София, 31.03.2022 г.

В ИМЕТО НА НАРОДА

СОФИЙСКИ ГРАДСКИ СЪД, ВЪЗЗ. III-Б СЪСТАВ, в публично заседание на двадесет и девети март през две хиляди двадесет и втора година в следния състав:

Председател: Теменужка Симеонова

Членове:

Хрипсиме К. Мъгърдичян

Десислава Ал. Алексиева при участието на секретаря Михаела Огн. Митова като разгледа докладваното от Теменужка Симеонова Въззивно гражданско дело № 20211100507158 по описа за 2021 година

Производството е по реда на чл.258 и сл. от ГПК.

С решение от 12.03.2021 г. по гр.д. № 21251/19 г., СРС, ІI ГО, 72 с-в е осъдил „Р.Б.“ ЕАД, ЕИК ****, със седалище и адрес на управление гр.

София, бул. **** да заплати на „Ц. за л.т.“ ООД, ЕИК ****, със седалище и адрес на управление гр.Пловдив, ул. „****, на основание чл. 79, ал. 1 ЗПУПС, сумата от 15973,26 лв. - стойността на неразрешена операция, с която е задължена сметката на ищеца на 26.10.2018 г., ведно със законната лихва върху сумата считано от 12.04.2019 г. до окончателното й изплащане, и на основание чл. 78, ал.1 ГПК сумата от 2038,93 лв. разноски по делото.

Решението е обжалвано с въззивна жалба от ответника „Р.Б.“ ЕАД, ЕИК ****, със седалище и адрес на управление гр. София, бул. ****, чрез пълномощника по делото адвокат Г.С. от САК, със съдебен адрес: гр.София, ул.“****, АД „Д., А. и съдружници“ с мотиви, изложени в нея. Твърди се, че съдът неправилно е приел, че платежната операция на 26.10.2018 г. била неразрешена от ищеца. Съдът е приел, че операцията била неразрешена, тъй к а т о преди да бъде изпълнена, неправомерно бил променен IBAN-а на получателя на превода в профила на ищеца в системанта за онлайн 1 банкиране. Счита, че съдът не прави разлика между действие по редактиране на данни в неподписано платежно нареждане, от една страна и самата организация на платежната операция. Дори и да се приеме, че ищецът не е извършил промяната на IBAN-а на получателя в създаденото от него и съхранено неподписано в профила му платежно нареждане, не съществува съмнение относно неговото съгласие за извършване на самата платежна операция. Установено е, че нареждането за плащане на претендираната за възстановяване сума е извършено от платеца по платежния инструмент, а не от трето лице. Необоснован е изводът на съда, че създаденото и съхранено в профила на ищеца неподписано платежно нареждане е било неправомерно променено и това заключение се гради на обстоятелството, че достъпът в профила на ищеца, при който е извършена въпросната редакция в платежното, е осъществен от необичаен за ищеца IР адрес. Счита това за недостатъчно, за да характеризира редакцията като неправомерна/непозволена. Съдът не е обсъдил довода, че IР адресът не е средство за идентификация на ОНЛАЙН потребителя. Потребителят на платежни услуги може да влиза в профила си от различни, включително необичайни IР адреси, т.е. различни физически места. Съгласно т.61 от приетите от ищеца Общи условия за предоставяне на платежни услуги и РАЙФАЙЗЕН Онлайн за юридически лица потребителят се идентифицира пред банката единствено с въвеждане на своето потребителско име и парола и/или авторизация с еднократен код, изпратен му от банката с SMS. Действията, извършени от името на клиента след успешното му идентифициране с потребителско име и парола, обвързват клиента. Банката няма задължение да извършва допълнителни действия за удостоверяване идентичността на потребителя-чл.82 от ОУ, като нито в ОУ, нито по закон на банката е вменено задължение да контролира IP адреса, от който се достъпва в системата. Защитата на онлайн потребителя при евентуално престъпно придобиване на неговите идентификационни данни се осъществява чрез въведената от банката и използвана от ищеца допълнителна оторизация на плащанията. Няма данни по делото тази защита да е била преодоляна или да не е задействала по вина на ответника.

Освен това, съдът не е взел предвид обстоятелството, което се установява от СТЕ, че достъпът, при който е променен IBAN-a в платежното е оторизиран, т.е. бил е осъществен след правилно въведени в системата потребителско име и парола на ищеца. Според СТЕ, в автоматизираната 2 система на банката не са регистрирани никакви опити за влизане в онлайн профила на дружеството-ищец с грешни потребителско име и/или парола. Не са получени индикации, които да дадат основание за подозрение за неоторизирано от клиента проникване в профила или опити за такова.

Следователно „пробив“ в сигурността на автоматизираната система на банката в случая няма и всяко влизане в профила си в РАЙФАЙЗЕН ОНЛАЙН потребителят-ищец е успешно идентифициран с въведени правилно уникални потребителско име и парола. Отново според СТЕ, в случая не става въпрос за хакерска атака, от която ищецът не би могъл абсолютно да се защити, а за действия на лице, което е разполагало с вътрешна информация кога точно ще бъде извършен процесния превод, както и предходния от 24.10.2018г. и е влизало многократно в профила на ищеца, ползвайки неговото потребителско име и парола. Според СТЕ операцията не е била засегната от техническа повреда или от друг недостатък в системата, както и не се е отличавала от техническа гледна точка от други, извършени преди това платежни операции ог същия потребител през Райфайзен Онлайн. Кой е променил платежното в профила на ищеца и кой е действителният получател на наредената сума са въпроси без значение за предмета на спора, както и дали е дал съгласие ищецът за процесната платежна операция.

Счита за невярно изложеното в мотивите на решението, че потребителят нямало как да установи промяната в IBANa на получателя от CMC съобщението, изпратено му от банката. Освен еднократният код за оторизация, SMS съобщенията съдържат и конкретни детайли на заявеното плащане-сумата и част от сметката на получателя (последните 10 цифри от IBANa). Към момента на получаването на съобщението платежното нареждане е създадено, но не и подписано от ищеца, т.е. той е могъл, но не е положил усилие да свери данните за получателя на превода преди да го излъчи. Ако бе положил елементарна грижа за собствените си работи, ищецът щеше да установи извършената промяна в платежното преди да го оторизира за плащане. Но той директно е въвел изпратения му от банката код за изпълнение на операцията с оказалия се впоследствие погрешен IBAN. Така за банката не е имало друга възможност, освен да я изпълни в съответствие с посочения в платежното нареждане уникален идентификатор (IBAN). По аргумент от чл.90, ал.2 ЗПУПС и аналогичните чл.27 и чл. 32 от ОУ, с които ищецът е декларирал, че е запознат и приема, банката не носи отговорност за 3 неизпълнението или неточното изпълнение на платежна операция при неточност на посочения от клиента уникален идентификатор на получателя.

Необоснован е и извода на съда, че банката не била изпълнила задължението си да гарантира сигурността на платежните операции, което следвало от констатирания при ищеца друг неразрешен превод два дни преди процесния. От приетата СТЕ се установява, че банката е използвала всички известни добри практики за осигуряване високо ниво на сигурност при разплащанията в Интернет и е осигурила максимални добра защита на клиентите си. Именно въведеното изискване за оторизация на всяко плащане чрез въвеждане на еднократно генериран от системата на банката код, изпращан на телефона на ищеца, е попречило да бъдат извършени самите преводи още при влизанията в профила от необичайните IP адреси.

Обстоятелството, че преди двата превода били извършени голям брой влизания от такива адреси, не означава, че банката не е осигурила надеждна защита на клиентите си. Напротив, фактът, че всички регистрирани влизания са осъществени с правилно въведени потребителско име и парола, потвърждава заключението на вещото лице, че става дума за лице, близко до ищеца, което не само ги е придобило, но е знаело и точните дати и часове, в които ще се извършат процесиите преводи.

Относно извода на СРС, че нямало установени по делото обстоятелства за проявена от ищеца груба небрежност, счита същият за несъстоятелен.

Такива обстоятелства са налице, а именно, след като всички регистрирани влизания в профила му са осъществени с неговите уникални потребителско име и парола, очевидно ищецът не е взел всички разумни мерки срещу узнаването им от трети лица в съответствие с ОУ и задълженията си по чл.75 от ЗПУПС. Няма данни по делото за престъпно придобиване на персоналните данни на ищеца, за което свидетелства разяснения от вещото лице механизъм на осъществените преводи. Освен това, преди да потвърди заявеното плащане чрез въвеждане на получения SMS код, ищецът е следвало да извърши елементарна проверка на данните за получателя на превода, в т.ч. и съответствието между първоначално въведения от самия него и посочения в SMS съобщението от банката IBAN. Това е смисълът от предоставеното от банката и избрано от ищеца допълнително средство за сигурност-за гарантиране както срещу злонамерени опити за извършване на онлайн операции, така и за допълнителна проверка на въведените детайли на 4 предстоящо плащане. Извършени са две платежни операции от профила на ищеца в интервал от няколко дни, които той собствено е оторизиран с предоставения му от банката код, без преди това да положи усилие да се убеди, че данните за получателите на тези преводи са точни, при положение че банката му е изпращала на телефона съобщения, съдържащи детайлите на всяко от заявените плащания. Най-накрая, съдът не е взел предвид, че платецът не е потребител-физическо лице по смисъла на т.40 от ДР на ЗПУПС, а е професионален търговец, който обичайно се разплаща онлайн със свои доставчици в търговската си дейност, поради което следва да е добре запознат с рисковете при Интернет банкирането и съответно да проявява поголяма от обичайната грижа за съхраняване и проверка на данните в профила си преди оторизиране на онлайн плащания. В чл.83 и 84 от ОУ ясно са описани в кои случаи неизпълнението на задълженията на ищеца представляват груба небрежност по смисъла на чл.75 ЗПУПС и какви са последиците от проявлението й по отношение на юридически лицаползватели на платежни услуги. Най-сетне, отсъствието на грижа за собствените работи в случая личи и от факта, че ищецът е уведомил банката цял месец по-късно. че нареденият от него превод не е достигнал до възнамерявания получател.

Налице е нарушение и на материалния закон, тъй като ищецът не е доказал пълно и главно елементите от фактическия състав на разпоредбата на чл. 79 ЗПУПС. Съдът не е съобразил, че в случая са налице две самостоятелни действия, извършени в профила на ищеца - едното евентуално без негово съгласие, другото обаче - разрешено от него. Промяната в IBANа на получателя в платежно нареждане преди то да е оторизирано от платеца не е платежна операция по смисъла на ЗПУПС. От друга страна, за погрешно посочен от клиента - ползвател на платежни услуги уникален идентификатор /IBAN/ в наредено от него платежно нареждане банката не носи отговорност на основание чл.90 ал.2 ЗПУПС. На следващо място, въпреки че съгласно ОУ ответникът не носи доказателствената тежест за установяване твърденията на ищеца, банката е доказала по несъмнен начин автентичността на пропесната платежна операция и точното й изпълнение. Заключението на вещото лице в този смисъл е еднозначно и изводът на съда за ангажиране на отговорността на доставчика на платежната услуга за възстановяване на наредената от ищеца сума се явява в пряко противоречие с разпоредбата на чл.78 ЗПУПС и 5 чл.117 от Общите условия.

Най-накрая, съдът е нарушил материалния закон, като не е приложил разпоредбата на чл.80, ал.3 ЗПУПС във връзка с чл.83 и чл.84 от приложимите между страните ОУ за предоставяне на платежни услуги и РАЙФАЙЗЕН ОНЛАЙН на юридически лица, изключващи отговорността на доставчика на платежни услуги при проявена груба небрежност от страна на платеца. Като не е взел мерки за опазване на персоналните си средства за сигурност от узнаване от трети лица, като не е проверил верността на посочения в CMC съобщението от банката IBAN на получателя и не е уведомил без неоснователно забавяне банката за погрешния превод, ищецът е проявил груба небрежност по смисъла на закона и на приетите от него ОУ. На основание цитираните текстове от закона и от ОУ той като платец следва да понесе вредите независимо от размера им.