Supreme Court allows review of liability exemption regarding failure to use recommended security password in online banking fraud case.

Revizija se dopusti glede vprašanj:

1) Ali sta sodišči nižjih stopenj pravilno uporabili tretji odstavek 24. člena Zakona o plačilnem prometu (ZPlaP)?

2) Ali je pravilna materialnopravna presoja nižjih sodišč, da je ravnanje tožnika, ki ni uporabil priporočenega dodatnega varnostnega gesla, razlog za popolno razbremenitev odgovornosti toženke?

[JEDRO]

Revizija se dopusti glede vprašanj:

- ali sta sodišči nižjih stopenj pravilno uporabili tretji odstavek 24. člena Zakona o plačilnem prometu,

- ali je pravilna materialnopravna presoja nižjih sodišč, da je ravnanje tožnika, ki ni uporabil priporočenega dodatnega varnostnega gesla, razlog za popolno razbremenitev odgovornosti toženke.

[OBRAZLOŽITEV]

1. Sodišče prve stopnje je v celoti zavrnilo tožbeni zahtevek, da mora toženka tožniku plačati 51.181,46 EUR z zakonskimi zamudnimi obrestmi od 25. 8. 2009 dalje.

2. Sodišče druge stopnje je zavrnilo pritožbo tožnika in potrdilo sodbo sodišča prve stopnje.

3. Zoper sodbo pritožbenega sodišča vlaga tožnik predlog za dopustitev revizije. Predlaga dopustitev revizije glede vprašanj: 1) Ali sta sodišči nižjih stopenj zmotno uporabili materialno pravo, ko nista ugotavljali, ali obstajajo razlogi za razbremenitev objektivne odgovornosti toženke po 3. odstavku 24. člena ZPlaP? 2) Ali je pravilna materialnopravna presoja sodišč nižjih stopenj, da je ravnanje tožnika, ki ni uporabil priporočenega dodatnega varnostnega gesla, razlog za popolno razbremenitev objektivne odgovornosti toženke, pri čemer bi tako ravnanje toženka, če bi upoštevala pravila posebne profesionalne skrbnosti, mogla pričakovati, saj kar 4/5 njenih komitentov v dveh letih priporočanja uporabe dodatnega varnostnega gesla tega ni vklopilo, poleg tega pa bi toženka posledice njegovega ravnanja mogla odvrniti ali se jim izogniti s pravočasnim avtomatskim vklopom dodatnega varnostnega gesla? 3) Ali je dokazna ocena sodišč nižjih stopenj obremenjena z bistveno kršitvijo določb pravdnega postopka, ker sodišče druge stopnje ni ugodilo pritožbi, da je sodišče prve stopnje napačno štelo za dokazano trditev toženke, da bi uporaba priporočenega dodatnega varnostnega gesla v sistemu spletne banke A. zagotovo preprečila odtujitev denarja iz tožnikovega računa, saj bi moralo ugotavljanje tega dejstva izvesti z izvedencem ustrezne stroke, kot določa 243. člen Zakona o pravdnem postopku (ZPP)? in 4) Ali je materialnopravno pravilno stališče sodišča druge stopnje, da nosi dokazno breme, da je imel računalnik opremljen z ustreznim protivirusnim programom in požarnim zidom, tožnik, ne pa objektivno odgovorna toženka, ki niti ni podala nobenih trditev glede tega, kateri protivirusni program je ustrezen, uslužbenec toženke pa je kot priča izjavil, da namestitev protivirusne zaščite in posodabljanje opreme ne onemogoča zlorabe, ampak le zmanjšuje možnost zlorab?

4. V utemeljitvi predloga tožnik meni, da razlogi za razbremenitev objektivne odgovornosti toženke niso podani. Nižji sodišči mu očitata, da ni uporabljal priporočenega dodatnega varnostnega gesla in da je s takim ravnanjem povzročil nastanek škode. Sodišči nista pravilno uporabili 24. člena ZPlaP, ker nista presojali, ali je bilo takšno ravnanje tožnika za toženko nepričakovano in ali bi se posledicam njegovega ravnanja lahko izognila ali jih odvrnila. Zloraba elektronskega bančništva za toženko ni bil nepričakovan ali neodvrnljiv dogodek.

Toženka oziroma njena spletna banka je bila prav v tistem obdobju predmet več zlorab; tudi v drugih primerih zlorabe A. so bile najdene iste zlonamerne datoteke kot pri tožniku. Toženka bi morala kot skrben strokovnjak analizirati načine zlorab in sprejeti ustrezne ukrepe za zavarovanje celotnega sistema A. (npr. vklop obvezne uporabe dodatnega varnostnega gesla). Iz izpovedb uslužbencev izhaja, da je bil razlog za odlašanje vključitve avtomatskega dodatnega varnostnega gesla v tem, da se je bala revolta komitentov, ki dodatnega gesla niso dobro sprejeli.

Toženka je vedela, da velika večina njenih komitentov ni vklopila dodatnega varnostnega gesla, kar bi morala upoštevati in takšno ravnanje predvideti kot ravnanje povprečno skrbnega uporabnika. Toženka je z avtomatskim vklopom dodatnega varnostnega gesla odlašala, čeprav je vedela, da sistem elektronske banke z uporabo digitalnega potrdila ne nudi ustrezne varnostne zaščite uporabnikom. Uporabo dodatnega varnostnega gesla je zgolj priporočala in komitente v dopisih obveščala, da ga lahko vedno izklopijo, s čimer je negirala njegov varnostni pomen.

Vrhovno sodišče o razbremenitvi odškodninske odgovornosti izvajalca plačilnega prometa v primeru zlorabe spletne banke še ni odločalo. Sodna praksa višjih sodišč pa se očitno razlikuje, saj je Višje sodišče v Ljubljani v zadevi II Cp 417/2014 potrdilo objektivno odgovornost iste toženke za zlorabo A. v istem obdobju (2009) z istimi zlonamernimi programi oziroma virusi. Vrhovno sodišče je že v odločbah II Ips 515/2003, II Ips 207/2012, II Ips 32/2009 in II Ips 700/2007 pojasnilo, da morajo biti pogoji za oprostitev odgovornosti podani hkrati, pri čemer je izhodišče za presojo nepričakovanosti objektivno in abstraktno ter se presoja po merilu skrajne skrbnosti.

Odločitev Vrhovnega sodišča je pomembna tudi za razvoj potrošniškega prava na področju finančnih storitev, za katerega je značilno, da ponudniki uvajajo nove oblike elektronskega poslovanja s potrošniki, pri čemer želijo stroške varne uporabe storitev prevaliti na potrošnika. Nujno je, da sodna praksa izoblikuje merila za presojo ravnanj pogodbenih strank na področju finančnih storitev oziroma elektronskega bančništva v primeru zlorabe tretje osebe.

5. Predlog je delno utemeljen.

6. Pogoji za dopustitev revizije iz prvega odstavka 367.a člena ZPP so izpolnjeni glede vprašanj, navedenih v izreku tega sklepa. Vrhovno sodišče je zato revizijo v tem obsegu dopustilo.