Νέα δεδομένα για την αντιμετώπιση των τραπεζικών απατών μέσω phishing διαμορφώνει απόφαση του Δικαστηρίου της Ευρωπαϊκής Ένωσης, σύμφωνα με την οποία η τράπεζα δεν μπορεί να αρνηθεί εξαρχής την επιστροφή μιας μη εγκεκριμένης συναλλαγής μόνο και μόνο επειδή θεωρεί ότι ο πελάτης επέδειξε βαριά αμέλεια.

Η απόφαση εκδόθηκε στις 15 Οκτωβρίου 2026, στην υπόθεση C-70/25, και αφορά την ερμηνεία της ευρωπαϊκής νομοθεσίας για τις υπηρεσίες πληρωμών. Το Δικαστήριο διευκρίνισε ότι πρέπει να διαχωρίζεται η αρχική υποχρέωση επιστροφής των χρημάτων από το ζήτημα του ποιος θα αναλάβει τελικά την οικονομική ζημία.

Η εξέλιξη έχει ενδιαφέρον και για τους Έλληνες καταναλωτές, καθώς το σχετικό ευρωπαϊκό πλαίσιο έχει ενσωματωθεί στην ελληνική νομοθεσία με τον ν. 4537/2018.

Τι αποφάσισε το Δικαστήριο της Ευρωπαϊκής Ένωσης

Η απόφαση αφορά την υπόθεση C-70/25, γνωστή ως Tukowiecka. Στην υπόθεση αυτή, πελάτισσα πολωνικής τράπεζας έπεσε θύμα phishing, όταν τρίτο πρόσωπο εμφανίστηκε ως ενδιαφερόμενος αγοραστής ενός αντικειμένου που εκείνη πωλούσε μέσω διαδικτυακής πλατφόρμας.

Ο δράστης τής έστειλε έναν παραπλανητικό σύνδεσμο, ο οποίος εμφανιζόταν ως μέρος της διαδικασίας επιβεβαίωσης της πώλησης. Η γυναίκα οδηγήθηκε σε ιστοσελίδα που έμοιαζε με εκείνη της τράπεζάς της και πληκτρολόγησε τα στοιχεία σύνδεσής της στην ηλεκτρονική τραπεζική. Στη συνέχεια, τρίτος μετέφερε από τον λογαριασμό της ποσό περίπου 700 ευρώ.

Η πελάτισσα ενημέρωσε την τράπεζα την επόμενη ημέρα. Η τράπεζα αρνήθηκε να επιστρέψει τα χρήματα, υποστηρίζοντας ότι η ίδια είχε επιδείξει βαριά αμέλεια, καθώς δεν προστάτευσε επαρκώς τα στοιχεία ασφαλείας της.

Το Δικαστήριο έκρινε ότι η επίκληση βαριάς αμέλειας δεν αρκεί από μόνη της για να αποκλειστεί η άμεση επιστροφή του ποσού μιας μη εγκεκριμένης συναλλαγής. Η τράπεζα μπορεί, υπό προϋποθέσεις, να αναζητήσει μεταγενέστερα από τον πελάτη την κάλυψη της ζημίας.

Πότε υποχρεούται η τράπεζα να επιστρέψει τα χρήματα

Το βασικό σημείο της απόφασης είναι ότι η αρχική υποχρέωση επιστροφής εξετάζεται χωριστά από την τελική κατανομή της οικονομικής ευθύνης.

Σύμφωνα με το άρθρο 73 του ν. 4537/2018, όταν διαπιστωθεί ή γνωστοποιηθεί μη εγκεκριμένη πράξη πληρωμής, ο πάροχος υπηρεσιών πληρωμών οφείλει καταρχήν να επιστρέψει το ποσό αμέσως και, σε κάθε περίπτωση, το αργότερο έως το τέλος της επόμενης εργάσιμης ημέρας.

Για να ενεργοποιηθεί η προβλεπόμενη προστασία, ο πελάτης πρέπει να ενημερώσει την τράπεζα χωρίς υπαίτια καθυστέρηση. Η νομοθεσία προβλέπει επίσης συγκεκριμένη εξαίρεση όταν υπάρχουν βάσιμες υπόνοιες ότι έχει διαπραχθεί απάτη από τον ίδιο τον πελάτη και οι σχετικοί λόγοι κοινοποιούνται εγγράφως στην αρμόδια αρχή.

Η απόφαση του Δικαστηρίου ξεκαθαρίζει ότι η υποψία βαριάς αμέλειας του πελάτη δεν αποτελεί από μόνη της λόγο για να παρακαμφθεί η αρχική υποχρέωση επιστροφής.

Τι ισχύει αν η τράπεζα θεωρεί ότι ο πελάτης επέδειξε βαριά αμέλεια

Η απόφαση δεν απαλλάσσει τους πελάτες από τις υποχρεώσεις τους ούτε αποκλείει κάθε περίπτωση δικής τους ευθύνης.

Εάν η τράπεζα επιστρέψει αρχικά το ποσό, μπορεί στη συνέχεια να επιδιώξει την κάλυψη της ζημίας, εφόσον αποδείξει ότι αυτή προκλήθηκε από δόλο ή βαριά αμέλεια του πελάτη, όπως από την παράβαση των υποχρεώσεων προστασίας των προσωπικών διαπιστευτηρίων ασφαλείας.

Το Δικαστήριο επισημαίνει ότι το βάρος απόδειξης της βαριάς αμέλειας φέρει ο πάροχος υπηρεσιών πληρωμών. Παράλληλα, ο ν. 4537/2018 προβλέπει ότι η καταγραφή χρήσης ενός μέσου πληρωμών δεν αποτελεί από μόνη της επαρκή απόδειξη ότι ο πελάτης ενέκρινε τη συναλλαγή ή ότι ενήργησε με δόλο ή βαριά αμέλεια.

Με άλλα λόγια, η χρήση των στοιχείων πρόσβασης ή η καταγραφή μιας συναλλαγής δεν αρκεί αυτομάτως για να αποδοθεί στον πελάτη η ευθύνη για όλη τη ζημία.

Ισχύει η απόφαση για όλες τις περιπτώσεις phishing;

Όχι. Χρειάζεται να διακρίνεται η μη εγκεκριμένη συναλλαγή από μια πληρωμή που ο ίδιος ο πελάτης ενέκρινε, ακόμη και αν προηγουμένως είχε παραπλανηθεί από απατεώνες.

Η απόφαση αφορά την υποχρέωση επιστροφής ποσών από μη εγκεκριμένες πράξεις πληρωμής. Σε περιπτώσεις όπου το θύμα έχει επιβεβαιώσει το ίδιο μια μεταφορά χρημάτων μέσω της εφαρμογής της τράπεζας ή έχει εγκρίνει συγκεκριμένη πληρωμή, ο νομικός χαρακτηρισμός και οι περιστάσεις της συναλλαγής χρειάζονται ξεχωριστή εξέταση.

Επομένως, η απόφαση δεν σημαίνει ότι κάθε θύμα phishing δικαιούται αυτομάτως επιστροφή χρημάτων ανεξάρτητα από το τι συνέβη. Σημαίνει, όμως, ότι η τράπεζα δεν μπορεί να απορρίπτει εξαρχής ένα αίτημα επιστροφής μη εγκεκριμένης συναλλαγής στηριζόμενη αποκλειστικά στον ισχυρισμό ότι ο πελάτης επέδειξε βαριά αμέλεια.

Τι πρέπει να κάνει όποιος διαπιστώσει ύποπτη τραπεζική συναλλαγή

Όποιος εντοπίσει συναλλαγή που δεν αναγνωρίζει, είναι σημαντικό να κινηθεί άμεσα:

1. Να ενημερώσει αμέσως την τράπεζα από επίσημο κανάλι επικοινωνίας και να ζητήσει τις απαραίτητες ενέργειες για την προστασία του λογαριασμού ή του μέσου πληρωμής.
2. Να αμφισβητήσει εγγράφως τη συναλλαγή, καταγράφοντας την ημερομηνία, το ποσό και τα στοιχεία της χρέωσης και ζητώντας αριθμό αναφοράς του αιτήματος.
3. Να κρατήσει τα διαθέσιμα αποδεικτικά στοιχεία, όπως μηνύματα, ηλεκτρονικά μηνύματα, συνδέσμους, στιγμιότυπα οθόνης και ενημερώσεις από την τράπεζα.
4. Να ζητήσει γραπτή και αιτιολογημένη απάντηση σε περίπτωση απόρριψης του αιτήματος επιστροφής.
5. Να εξετάσει τις διαθέσιμες διαδικασίες καταγγελίας ή εξωδικαστικής επίλυσης, εφόσον η διαφορά δεν επιλυθεί με την τράπεζα.

Ο ν. 4537/2018 προβλέπει ότι η ενημέρωση για μη εγκεκριμένη συναλλαγή πρέπει να γίνεται χωρίς υπαίτια καθυστέρηση και, κατά κανόνα, το αργότερο εντός 13 μηνών από τη χρέωση. Η προθεσμία αυτή δεν αποτελεί λόγο για να καθυστερήσει κάποιος την αναφορά της απάτης.

Τι σημαίνει η απόφαση για τους Έλληνες καταναλωτές

Η απόφαση του Δικαστηρίου της Ευρωπαϊκής Ένωσης δεν δημιουργεί ένα γενικό δικαίωμα αποζημίωσης για κάθε ηλεκτρονική απάτη. Διευκρινίζει, όμως, τον τρόπο με τον οποίο πρέπει να εφαρμόζεται η ευρωπαϊκή νομοθεσία για τις μη εγκεκριμένες συναλλαγές.

Για τους καταναλωτές, το ουσιαστικό μήνυμα είναι ότι η τράπεζα δεν μπορεί να αρνηθεί την άμεση επιστροφή μιας μη εγκεκριμένης συναλλαγής μόνο με την επίκληση βαριάς αμέλειας. Η τελική ευθύνη για τη ζημία μπορεί να εξεταστεί σε επόμενο στάδιο, με βάση τα πραγματικά περιστατικά και τα αποδεικτικά στοιχεία κάθε υπόθεσης.