Hotărârea care obligă băncile din Spania să restituie în 24 de ore banii furați din contul clienților

O hotărâre a Curții de Justiție a Uniunii Europene (CJUE) modifică regulile în astfel de situații și stabilește că instituțiile bancare trebuie să restituie mai întâi banii, iar eventualele responsabilități ale clientului vor fi evaluate ulterior.

Așadar, hotărârea este aplicabilă și în România și alte țări UE, dar trebuie remarcat faptul că legislația țării noastre prevedea deja obligații asemănătoare către bănci înainte de această hotărâre a CJUE.

Fraudele digitale sunt din ce în ce mai frecvente în Spania. Conform datelor oficiale ale Ministerului de Interne, în 2025 forțele de ordine au înregistrat un total de 488.426 de infracțiuni informatice, cu 5,1% mai mult decât în 2024. Acestea reprezintă deja aproape 20% din totalul infracțiunilor.

Multe dintre aceste fraude sunt comise printr-o metodă cunoscută sub numele de „phishing”, prin care infractorii cibernetici se dau drept reprezentanți ai unor companii, bănci sau instituții de încredere pentru a fura bani sau date personale.

Până acum, victimele acestor escrocherii trebuiau mai întâi să depună o plângere la bancă și, uneori, chiar să ajungă în instanță. Instituțiile bancare încercau să rețină banii sustras până la finalizarea verificărilor și la stabilirea existenței sau inexistenței unei neglijențe din partea clientului. Acum, însă, situația se schimbă.

Hotărârea Curții de Justiție a Uniunii Europene (CJUE), pronunțată la 15 octombrie 2026 în cauza C-70/25, obligă instituțiile bancare să restituie banii sustras cel târziu până la sfârșitul zilei lucrătoare următoare identificării operațiunii de plată neautorizate.

Dacă banca consideră că a existat o neglijență gravă din partea clientului, va trebui să demonstreze acest lucru ulterior și să-și susțină pretențiile prin căile legale corespunzătoare.

„Este vorba de o hotărâre cu un impact practic foarte semnificativ. Până acum, multe victime ale fraudelor bancare considerau că și-au pierdut banii atunci când banca le răspundea că au fost neglijente. Curtea clarifică faptul că un astfel de răspuns nu este suficient: mai întâi se restituie banii și abia apoi, dacă este cazul, se discută”, a declarat avocatul Juanjo Ortega, de la cabinetul Ortega y García Abogados.

Concret, hotărârea Curții de Justiție a Uniunii Europene a fost pronunțată în urma unei cereri venite de la o instanță poloneză. Cazul se referea la refuzul unei instituții financiare de a rambursa aproximativ 700 de euro unei cliente care fusese victima unei fraude de tip phishing. Banca a considerat că femeia dăduse dovadă de neglijență gravă, întrucât își introdusese datele de acces pe un site care imita pagina oficială a instituției.

Organizația Consumatorilor și Utilizatorilor din Spania (OCU) a salutat decizia instanței europene. Organizația denunță de mai mulți ani „strategia multor instituții bancare de a invoca presupuse neglijențe ale clienților pentru a respinge reclamațiile și a transfera asupra persoanelor afectate responsabilitatea de a se adresa instanțelor pentru recuperarea banilor, obligându-le să suporte proceduri judiciare îndelungate”.

Această practică, susține OCU, este în contradicție cu legislația europeană privind serviciile de plată (PSD2), și anume Directiva UE 2015/2366, care prevede că, în cazul unei operațiuni neautorizate, prestatorul de servicii de plată trebuie să ramburseze suma sustrasă.

Ce se înțelege prin „neglijență gravă” și când poate fi invocată de bancă

În Spania, Directiva PSD2 a fost transpusă prin Decretul-lege regal 19/2018 din 23 noiembrie, privind serviciile de plată. Acesta prevede dreptul utilizatorului de a primi imediat rambursarea pentru orice operațiune de plată neautorizată.

Problema era că băncile invocau așa-numita „neglijență gravă” pentru a refuza rambursarea sumelor. Acest concept nu este definit în nicio lege, dar a fost conturat de-a lungul timpului prin hotărâri judecătorești.

Neglijența gravă presupune un nivel extrem de neatenție sau un comportament nejustificat din partea utilizatorului. Un exemplu ar putea fi păstrarea codului PIN scris lângă cardul bancar, într-un loc vizibil.

În schimb, accesarea unui site fals care imită pagina băncii, clicurile pe un link primit printr-un SMS fraudulos sau răspunsul la un apel telefonic provenit de la o persoană care pretinde că este angajat al băncii nu sunt considerate neglijență gravă.

În orice reclamație referitoare la o fraudă de tip phishing, revine băncii sarcina de a demonstra că utilizatorul a dat dovadă de neglijență gravă.