Rząd przyjął projekt ustawy przeciw phishingowi – kto sam zatwierdzi płatność w itsme, nadal będzie gorzej chroniony

Rada Ministrów zatwierdziła w piątek 16 października wstępny projekt ustawy przeciw phishingowi, czyli wyłudzaniu danych i pieniędzy przez oszustów podszywających się pod banki i inne instytucje. Ustawa ma jasno określić, kiedy bank musi oddać pieniądze ofierze oszustwa. Projekt przygotowali minister ochrony konsumentów Rob Beenders (Vooruit) i minister gospodarki David Clarinval (MR) – informuje dziennik ekonomiczny L’Echo. Tekst musi jeszcze przegłosować parlament.

Rząd zajął się sprawą zaraz po tym, jak w czwartek 15 października Trybunał Sprawiedliwości Unii Europejskiej (TSUE) przypomniał bankom o ich obowiązkach wobec ofiar phishingu. Projekt opiera się na trzech filarach: zapisaniu w ustawie, czym jest płatność autoryzowana, a czym nieautoryzowana, większej wadze opinii rzecznika sektora finansowego Ombudsfin oraz szerszych uprawnieniach Inspekcji Gospodarczej (Inspection économique).

Kiedy płatność jest „nieautoryzowana”

To kluczowa kwestia w sporach między ofiarami a bankami. Za płatność nieautoryzowaną bank co do zasady musi oddać pieniądze. TSUE potwierdził w czwartek, że musi to zrobić od razu, nawet jeśli podejrzewa klienta o rażące niedbalstwo. Dopiero potem może próbować wykazać to niedbalstwo i odzyskać wypłaconą kwotę.

Nowa ustawa przewiduje, że transakcja wykonana lub zmieniona przez oszusta bez zgody klienta, za pomocą wyłudzonych danych zabezpieczających, będzie uznawana za nieautoryzowaną. Gabinet ministra Beendersa podaje przykład konsumenta, który kupuje buty na fałszywej stronie internetowej. Oszust przejmuje jego dane i w nocy czyści konto. Jeśli klient nie dopuścił się rażącego niedbalstwa, przelewy wykonane bez jego wiedzy muszą zostać zwrócone.

Zatwierdzenie w itsme to płatność autoryzowana

Inaczej będzie z transakcją, którą klient sam potwierdzi silnym uwierzytelnieniem, na przykład w aplikacji itsme. Taka płatność będzie uznawana za autoryzowaną. Podobnie przy oszustwie „na fakturę”, gdy klient sam zleca przelew.

To rozróżnienie ma duże znaczenie w praktyce. Wiele oszustw opiera się właśnie na manipulacji: oszust podaje się za pracownika banku albo serwisu blokowania kart Card Stop i namawia ofiarę, by zatwierdziła operację w itsme, bo rzekomo chroni w ten sposób swoje konto. Takim ofiarom nowa definicja raczej nie pomoże – skoro płatność zostanie uznana za autoryzowaną, nie obejmą ich zasady zwrotu przewidziane dla operacji nieautoryzowanych.

Opinie Ombudsfin bardziej widoczne

Banki będą musiały publikować na swoich stronach opinie Ombudsfin i wyjaśniać, dlaczego ewentualnie się do nich nie stosują. Opinie nadal nie będą jednak wiążące. Ombudsfin już teraz w wielu sprawach uznaje, że jeśli ofiara sama zatwierdziła operację w itsme, trudno twierdzić, że nie rozumiała, co potwierdza – aplikacja pokazuje bowiem kwotę, odbiorcę i rodzaj operacji. Rzecznik często uznaje więc takie transakcje za autoryzowane, nawet gdy ofiara działała pod presją wiarygodnego oszusta.

Kontrola nad bankami

Inspekcja Gospodarcza będzie mogła żądać od banków dokumentacji ich wewnętrznych postępowań w sprawach oszustw, sprawdzać ich zgodność z prawem, interweniować i nakładać sankcje, gdy bank nie przestrzega przepisów.

Projekt uwzględnia też przyszłe przepisy unijne, które dadzą bankom 15 dni na zbadanie sprawy w razie podejrzenia oszustwa lub rażącego niedbalstwa. Belgijska federacja sektora finansowego Febelfin podkreśla, że do czasu wejścia w życie nowego unijnego rozporządzenia o usługach płatniczych (PSR) obowiązują obecne zasady. Oznacza to, że przy operacji nieautoryzowanej bank musi zwrócić pieniądze od razu i nie może czekać na wynik swojego postępowania tylko dlatego, że podejrzewa rażące niedbalstwo klienta.