–

PKO BP S.A. ved radcowie prawni M. Trepka og M. Wurm samt ved adwokaci Ł. Hejmej og A. Szczęśniak,

–

den polske regering ved B. Majczyna, som befuldmægtiget,

–

den tjekkiske regering ved J. Očková, M. Smolek og J. Vláčil, som befuldmægtigede,

–

den italienske regering ved S. Fiorentino, som befuldmægtiget, bistået af avvocato dello Stato G. Iappelli,

–

Europa-Kommissionen ved G. Goddin og J. Szczodrowski, som befuldmægtigede,

1

Anmodningen om præjudiciel afgørelse vedrører fortolkningen af artikel 73, stk. 1, og artikel 74, stk. 1, i Europa-Parlamentets og Rådets direktiv (EU) 2015/2366 af 25. november 2015 om betalingstjenester i det indre marked, om ændring af direktiv 2002/65/EF, 2009/110/EF og 2013/36/EU og forordning (EU) nr. 1093/2010 og om ophævelse af direktiv 2007/64/EF (EUT 2015, L 337, s. 35, berigtiget i EUT 2018, L 102, s. 97) (herefter direktiv »2015/2366«).

2

Anmodningen er blevet indgivet i forbindelse med en tvist mellem N.O., der er en fysisk person, og PKO BP S.A., en bank, vedrørende sidstnævntes afslag på at tilbagebetale beløbet for en betalingstransaktion, som N.O. ikke har autoriseret.

Retsforskrifter

EU-retten

Direktiv 2007/64/EF

3

Artikel 60 i Europa-Parlamentets og Rådets direktiv 2007/64/EF af 13. november 2007 (EU) om betalingstjenester i det indre marked og om ændring af direktiv 97/7/EF, 2002/65/EF, 2005/60/EF og 2006/48/EF og om ophævelse af direktiv 97/5/EF (EUT 2007, L 319, s. 1), der har overskriften »Udbyderens ansvar for uautoriserede betalingstransaktioner«, fastsatte i stk. 1:

Direktiv 2015/2366

4

6. og 71. betragtning til direktiv 2015/2366 har følgende ordlyd:

5

Dette direktivs artikel 1, der har overskriften »Genstand«, bestemmer følgende i stk. 2, litra b):

6

Dette direktivs artikel 69 med overskriften »Betalingstjenestebrugerens forpligtelser i tilknytning til betalingsinstrumenter og personaliserede sikkerhedsoplysninger« fastsætter følgende:

7

Samme direktivs artikel 71 med overskriften »Underretning om og berigtigelse af uautoriserede eller fejlbehæftede betalingstransaktioner« har i stk. 1 følgende ordlyd:

8

Artikel 72 i direktiv 2015/2366 med overskriften »Bevis for autentifikation og gennemførelse af betalingstransaktioner« fastsætter i stk. 2 følgende:

9

Dette direktivs artikel 73 med overskriften »Betalingstjenesteudbyderes ansvar for uautoriserede betalingstransaktioner« foreskriver i stk. 1:

10

Det nævnte direktivs artikel 74 med overskriften »Betalerens ansvar for uautoriserede betalingstransaktioner« har i stk. 1 følgende ordlyd:

11

Samme direktivs artikel 102 med overskriften »Alternative tvistbilæggelsesprocedurer« fastsætter i stk. 1:

12

Artikel 107 i direktiv 2015/2366 med overskriften »Fuld harmonisering« fastsætter i stk. 1:

Polsk ret

13

Artikel 46 i ustawa o usługach płatniczych (lov om betalingstjenester) af 19. august 2011 (DZ. U. n° 199, position 1175), som ændret (Dz. U. af 2024, position 30), der gennemfører artikel 73 og 74 i direktiv 2015/2366 i den polske retsorden, bestemmer i stk. 1 og 3:

Tvisten i hovedsagen og det præjudicielle spørgsmål

14

Sagsøgeren i hovedsagen indgik en aftale om en opsparings- og checkkonto med PKO BP, der er en bank med hjemsted i Polen.

15

Sagsøgeren var offer for svig i form af phishing begået af en uidentificeret gerningsmand, der ved foregive at være interesseret i at købe en genstand, som sagsøgeren havde udbudt til salg på en online-auktionsportal, tilstillede sagsøgeren et link, som foranledigede sagsøgeren til at tro, at det hidrørte fra denne portal, og at det havde til formål at bekræfte salget. Efter at have fulgt dette link fik sagsøgeren i hovedsagen adgang til en internetside, der fremstod som værende bankens internetside, og indtastede der sine loginoplysninger til bankens netbanktjeneste. De således indhentede oplysninger gjorde det muligt for denne gerningsmand at overføre et beløb på 3 000 polske złoty (PLN) (ca. 705 EUR) fra sagsøgerens konto til en konto, som denne pågældende rådede over. Denne betalingstransaktion blev autoriseret af gerningsmanden til svigen ved hjælp af en bekræftelseskode, som blev sendt via SMS, og indhentet fra sagsøgeren i hovedsagen som følge af denne vildledning.

16

Sagsøger i hovedsagen indså næste dag, at der var tale om svig, og underrettede straks PKO BP og politiet om den uautoriserede betalingstransaktion. Det er ikke lykkedes at identificere gerningsmanden til svigen.

17

PKO BP nægtede at tilbagebetale beløbet for den uautoriserede transaktion til sagsøgeren i hovedsagen bl.a. med den begrundelse, at den skade, som den pågældende var påført, skyldtes, at hun ved grov forsømmelse ikke havde opfyldt sin forpligtelse til at opbevare det omhandlede betalingsinstrument med behørig omhu og ikke gøre det tilgængeligt for uautoriserede personer.

18

Sagsøgeren i hovedsagen har efterfølgende anlagt sag ved Sąd Rejonowy w Koszalinie (retten i første instans i Koszalin, Polen), som er den forelæggende ret, med påstand om, at PKO BP tilpligtes at betale et beløb på 3 000 PLN (ca. 705 EUR).

19

Sagsøgeren i hovedsagen har til støtte for sin anmodning gjort gældende, at PKO BP i sin egenskab af betalingstjenesteudbyder var forpligtet til straks at tilbagebetale beløbet for den uautoriserede betalingstransaktion til sagsøgeren, medmindre der er rimelige grunde til mistanke om, at betaleren har begået svig.

20

PKO BP har gjort gældende, at betalerens manglende opfyldelse af sine forpligtelser ved grov forsømmelse ligeledes udgør en grund, der fritager betalingstjenesteudbyderen for dennes forpligtelse til at tilbagebetale beløbet for den uautoriserede betalingstransaktion. Banken har i denne henseende gjort gældende, at den selvstændigt kan vurdere alle relevante forudsætninger for dens ansvar for en sådan transaktion og er fritaget for denne forpligtelse, hvis den fastslår, at betaleren har udvist en sådan forsømmelse.

21

Den forelæggende ret er af den opfattelse, at direktiv 2015/2366 og de nationale bestemmelser, der gennemfører dette direktiv i den polske retsorden, fastsætter det generelle princip om, at betalingstjenesteudbyderen fuldt ud bærer den risiko, der er forbundet med uautoriserede betalingstransaktioner. Ifølge den forelæggende ret påhviler det denne tjenesteyder i sin egenskab af specialiseret erhvervsdrivende at sikre transaktionernes sikkerhed over for risikoen for svig og beskytte de midler, som banken er betroet.

22

Denne ret har desuden bemærket, at både dette direktiv og de nationale bestemmelser giver betaleren ret til tilbagebetaling af beløbet for uautoriserede transaktioner, hvilket indebærer en ret til øjeblikkelig tilbagebetaling af de dermed tabte midler. Denne ret er kun begrænset, hvis der er rimelig grund til mistanke om, at betaleren har begået svig, og denne svig er indberettet til de kompetente nationale myndigheder.

23

Den forelæggende ret har endvidere anført, at de polske retter ikke har fået forelagt søgsmål anlagt af banker med påstand om, at en forbruger tilpligtes at tilbagebetale beløbet for uautoriserede betalingstransaktioner med den begrundelse, at forbrugeren har udvist grov forsømmelse. De er derimod blevet forelagt talrige søgsmål, som forbrugere har anlagt mod banker på grund af sidstnævntes afslag på at tilbagebetale beløbet for sådanne transaktioner.

24

Denne situation godtgør ifølge den forelæggende ret, at betalingstjenesteudbyderes anvendelse af undtagelserne til retten til tilbagebetaling er blevet hovedreglen for uautoriserede transaktioner. Disse tjenesteydere foretager normalt ikke tilbagebetaling af beløbet for sådanne transaktioner, således at det er betalerne, navnlig forbrugerne, der er henvist til at gøre deres ret til tilbagebetaling gældende ved de nationale domstole.

25

I denne sammenhæng er den forelæggende ret af den opfattelse, at den fortolkning af direktiv 2015/2366, som PKO BP har gjort gældende, ikke gør det muligt at nå det formål om beskyttelse af betaleren, der forfølges med den forpligtelse til straks at foretage tilbagebetaling af beløbet for uautoriserede betalingstransaktioner, der er fastsat i dette direktivs bestemmelser. Den forelæggende ret er derfor af den opfattelse, at disse bestemmelser skal fortolkes således, at de er til hinder for muligheden for, at en betalingstjenesteudbyder kan nægte straks at tilbagebetale beløbet for en uautoriseret betalingstransaktion med den begrundelse, at den skade, som betaleren har lidt som følge af denne transaktion, kan tilskrives sidstnævntes grove forsømmelse.

26

Den forelæggende ret er af den opfattelse, at en sådan fortolkning vil medføre, at udbyderen af betalingstjenester i dennes egenskab af erhvervsdrivende snarere end betaleren, som ofte er en forbruger, pålægges den byrde, der er forbundet med at anfægte den pågældendes ansvar, navnlig for så vidt angår anlæggelsen af sagen, sagsomkostningerne, bevisførelsen og forberedelsen af processkrifter.

27

På denne baggrund har Sąd Rejonowy w Koszalinie (retten i første instans i Koszalin) besluttet at udsætte sagen og forelægge Domstolen følgende præjudicielle spørgsmål:

Om det præjudicielle spørgsmål

28

Den forelæggende ret ønsker med sit enlige spørgsmål nærmere bestemt oplyst, om artikel 73, stk. 1, og artikel 74, stk. 1, i direktiv 2015/2366 skal fortolkes således, at en betalingstjenesteudbyder kan nægte straks at foretage tilbagebetaling til betaleren af beløbet for en uautoriseret betalingstransaktion med den begrundelse, at betaleren ved grov forsømmelse har gjort denne transaktion mulig ved at undlade at opfylde sine forpligtelser i henhold til dette direktivs artikel 69.

29

I overensstemmelse med fast retspraksis skal der ved fortolkningen af en EU-retlig bestemmelse tages hensyn til dennes ordlyd, den sammenhæng, hvori den indgår, og til de mål, der forfølges med den ordning, som den udgør en del af (jf. i denne retning dom af 17.11.1983, Merck, 292/82, EU:C:1983:335, præmis 12, og af 1.8.2025, Veracash, C-665/23, EU:C:2025:598, præmis 34). En EU-retlig bestemmelses tilblivelseshistorie kan ligeledes give relevante elementer med henblik på dens fortolkning (dom af 2.9.2021, CRCAM, C-337/20, EU:C:2021:671, præmis 31).

30

Hvad i første række angår ordlydsfortolkningen bemærkes, at artikel 73 og 74 i direktiv 2015/2366 regulerer henholdsvis betalingstjenesteudbyderens og betalerens ansvar i tilfælde med uautoriserede betalingstransaktioner.

31

Det fremgår således for det første af ordlyden af dette direktivs artikel 73, stk. 1, at betalerens betalingstjenesteudbyder principielt skal tilbagebetale betaleren beløbet for en uautoriseret betalingstransaktion straks efter at have fået kendskab til transaktionen eller efter at være blevet underrettet herom og under alle omstændigheder inden afslutningen af den følgende arbejdsdag.

32

Denne tilbagebetalingsforpligtelse finder anvendelse »med forbehold af artikel 71« i det nævnte direktiv, hvis stk. 1 bestemmer, at for at kunne kræve berigtigelse af en uautoriseret eller fejlbehæftet betalingstransaktion fra betalingstjenesteudbyderens side skal betalingstjenestebrugeren underrette betalingstjenesteudbyderen snarest muligt.

33

Det skal desuden fremhæves, at ordlyden af samme direktivs artikel 73, stk. 1, kun fastsætter en enkelt undtagelse til forpligtelsen til straks at foretage tilbagebetaling, nemlig i det tilfælde, hvor udbyderen af betalingstjenester har rimelige grunde til at have mistanke om svig og skriftligt underretter den relevante nationale myndighed om disse grunde.

34

Det følger heraf, at artikel 73, stk. 1, i direktiv 2015/2366 ikke fastsætter nogen undtagelse til forpligtelsen til straks at foretage tilbagebetaling i tilfælde af mistanke om, at betaleren har muliggjort en uautoriseret betalingstransaktion ved grov forsømmelse ved at undlade at opfylde sine forpligtelser i henhold til dette direktivs artikel 69.

35

Hvad for det andet angår artikel 74, stk. 1, i direktiv 2015/2366 giver denne bestemmelses to første afsnit medlemsstaterne mulighed for som en undtagelse at lade betaleren dække tab i forbindelse med enhver uautoriseret transaktion på op til 50 EUR, der skyldes et tabt eller stjålet betalingsinstrument eller uberettiget tilegnelse af et betalingsinstrument, medmindre disse handlinger ikke kunne opdages af betaleren forud for betalingen. Denne bestemmelses tredje afsnit fastsætter, at betaleren skal dække alle tab som følge af uautoriserede betalingstransaktioner, hvis de skyldes betalerens svigagtige handling eller manglende opfyldelse af en eller flere forpligtelser, der er fastsat i dette direktivs artikel 69, begået med forsæt eller ved grov forsømmelse. Blandt disse forpligtelser er bl.a. den forpligtelse, der er omhandlet i denne artikel 69, stk. 2, og som består i at træffe alle rimelige foranstaltninger til at beskytte sikkerheden af sine personaliserede sikkerhedsoplysninger.

36

I øvrigt giver artikel 74, stk. 1, fjerde afsnit, i direktiv 2015/2366 medlemsstaterne mulighed for at begrænse betalerens ansvar, når denne hverken har optrådt svigagtigt eller forsætligt har undladt at opfylde sine forpligtelser i henhold til dette direktivs artikel 69. Der er imidlertid intet i forelæggelsesafgørelsen eller i de bemærkninger, der er indgivet til Domstolen, som gør det muligt at fastslå, at Republikken Polen har gjort brug af denne mulighed.

37

Ved fastlæggelsen af betalingstjenesteudbyderens og betalerens respektive rettigheder og forpligtelser foretager nævnte direktivs artikel 73 og 74 således en fordeling af risikoen mellem dem.

38

Hvad angår forholdet mellem de forpligtelser, der er fastsat i henholdsvis artikel 73 og 74 i direktiv 2015/2366, skal det konstateres, at ordlyden af dette direktivs artikel 74, stk. 1, ikke gør det muligt entydigt at fastlægge rækkevidden af den deri fastsatte undtagelse. Ifølge en fortolkning berører undtagelsen den forpligtelse til straks at foretage tilbagebetaling, der er fastsat i det nævnte direktivs artikel 73, stk. 1, i det tilfælde, hvor betaleren ved grov forsømmelse har undladt at opfylde sine forpligtelser i henhold til direktivets artikel 69. Ifølge en anden fortolkning vedrører denne undtagelse kun den endelige karakter af tilbagebetalingen, idet betalingstjenesteudbyderen er forpligtet til som et første skridt straks at foretage tilbagebetalingen, inden den pågældende som et næste skridt eventuelt, ved anvendelse af de rettigheder der er fastsat i denne henseende, kan kræve, at betaleren dækker de tab, der er forbundet med uautoriserede transaktioner.

39

Hvad i anden række angår den sammenhæng, hvori artikel 73 og 74 i direktiv 2015/2366 indgår, skal det dels fremhæves, at 71. betragtning til dette direktiv omhandler det tilfælde, hvor betalingstjenesteudbyderen har rimelig grund til at have mistanke om, at brugeren af betalingstjenester har begået svig, og skriftligt meddeler den kompetente nationale myndighed de objektive grunde, der ligger til grund for denne mistanke. Denne 71. betragtning synes at støtte den fortolkning, hvorefter den eneste undtagelse til forpligtelsen til straks at foretage tilbagebetaling er den, der udtrykkeligt er fastsat i dette direktivs artikel 73, stk. 1.

40

Dels skal det erindres, at det nævnte direktivs artikel 72, stk. 2, i forbindelse med fordelingen af bevisbyrden pålægger betalingstjenesteudbyderen bevisbyrden for, at betaleren har udvist grov forsømmelse. Denne fordeling af bevisbyrden afspejler den generelle opbygning af den ordning, der er indført ved samme direktivs artikel 73 og 74, og som består i at styrke beskyttelsen af betaleren i tilfælde af uautoriserede betalingstransaktioner.

41

En sådan regel bekræfter nemlig, at EU-lovgiver har haft til hensigt at sikre sammenhængen mellem den ordning, der er indført ved artikel 73, stk. 1, i direktiv 2015/2366, og de proceduremæssiges regler, der har til formål at sikre en effektiv gennemførelse af denne ordning.

42

Det følger således af de betragtninger, der er anført i nærværende doms præmis 39-41, at undersøgelsen af den sammenhæng, hvori dette direktivs artikel 73 og 74 indgår, understøtter den fortolkning, hvorefter disse artikler 73 og 74 regulerer særskilte aspekter af proceduren for tilbagebetaling af beløbet for uautoriserede betalingstransaktioner, således at det nævnte direktivs artikel 73 pålægger betalingstjenesteudbyderen en forpligtelse til straks at foretage tilbagebetaling af dette beløb, mens samme direktivs artikel 74 fastsætter en ramme for fordelingen af ansvaret mellem denne udbyder og betaleren på et senere stadium, således som det fremgår af den mekanisme, der er beskrevet i nærværende doms præmis 38.

43

Hvad i tredje række angår de formål, der forfølges med direktiv 2015/2366, skal det bemærkes, at direktivet, således som det fremgår af dets artikel 1, stk. 2, litra b), bl.a. har til formål at fastlægge betalingstjenestebrugeres og betalingstjenesteudbyderes respektive rettigheder og forpligtelser hvad angår udbud af sådanne tjenester som fast beskæftigelse eller forretningsaktivitet.

44

Dette direktiv har således, som det fremgår af sjette betragtning til direktivet, til formål at sikre en høj grad af forbrugerbeskyttelse (jf. i denne retning dom af 11.11.2020, DenizBank, C-287/19, EU:C:2020:897, præmis 102, og af 11.7.2024, Eurobank Bulgaria, C-409/22, EU:C:2024:600, præmis 79 og den deri nævnte retspraksis).

45

En fortolkning af artikel 74, stk. 1, i direktiv 2015/2366, hvorefter denne bestemmelse fritager betalingstjenesteudbyderen for dennes forpligtelse til straks at foretage tilbagebetaling som fastsat i dette direktivs artikel 73, stk. 1, når betaleren ved grov forsømmelse har undladt at opfylde sine forpligtelser i henhold til direktivets artikel 69, ville imidlertid ikke alene have til følge, at forpligtelsen til straks at foretage tilbagebetaling til betaleren ville blive frataget sin effektive virkning, men ligeledes, at denne bruger ville blive tvunget til at tage initiativ til at gøre sin ret gældende for de kompetente domstole og til at bære de ulemper, der følger heraf, herunder eventuelle sagsomkostninger. En sådan fordeling af ansvar og risici til skade for betaleren er imidlertid vanskeligt forenelig med formålet om at sikre en høj grad af forbrugerbeskyttelse, som anført i nærværende doms præmis 44.

46

En fortolkning af artikel 74, stk. 1, i direktiv 2015/2366, hvorefter denne bestemmelse ikke fritager betalingstjenesteudbyderen for dennes forpligtelse til at straks foretage tilbagebetaling, er derimod i overensstemmelse med formålet om at sikre en høj grad af forbrugerbeskyttelse. Denne fortolkning er ikke til hinder for, at betalingstjenesteudbyderen efterfølgende på de betingelser, der er fastsat i dette direktivs artikel 74, stk. 1, afkræver betaleren tilbagebetaling af tab i forbindelse med uautoriserede betalingstransaktioner, når disse tab skyldes en tilsidesættelse ved en grov forsømmelse fra betalerens side af dennes forpligtelser i henhold til nævnte direktivs artikel 69.

47

Det følger heraf, at de formål, der forfølges med direktiv 2015/2366, understøtter den fortolkning, hvorefter den omstændighed, at betalingstjenesteudbyderen er af den opfattelse, at betaleren ved grov forsømmelse har undladt at opfylde sine forpligtelser i henhold til dette direktivs artikel 69, ikke kan bevirke, at denne udbyder fritages for den forpligtelse til straks at foretage tilbagebetaling, der er fastsat i nævnte direktivs artikel 73, stk. 1.

48

Hvad i fjerde række angår tilblivelseshistorien for direktiv 2015/2366 bemærkes, at den ordning, der er indført ved dette direktivs artikel 73, stk. 1, adskiller sig væsentligt fra den ordning, der tidligere blev indført ved direktiv 2007/64 for så vidt angår undtagelserne til forpligtelsen til straks at foretage tilbagebetaling.

49

Artikel 60 i direktiv 2007/64, der regulerede betalingstjenesteudbyderens ansvar for uautoriserede betalingstransaktioner, fastsatte ingen eksplicit undtagelse til denne forpligtelse. Det samme gjaldt for Europa-Kommissionens oprindelige forslag, der var udgangspunktet for den lovgivningsproces, der førte til vedtagelsen af direktiv 2015/2366 (COM(2013) 547 final). Det var først under denne proces, at EU-lovgiver indførte en specifik undtagelse til forpligtelsen til straks at foretage tilbagebetaling, når betalingstjenesteudbyderen har rimelige grunde til at have mistanke om, at der foreligger svig, uden at give medlemsstaterne mulighed for at opretholde eller indføre andre bestemmelser end dem, der er indeholdt i direktiv 2015/2366, således som det følger af direktivets artikel 107, stk. 1.

50

Endelig skal det præciseres, at i modsætning til hvad den tjekkiske og den italienske regering har gjort gældende i deres skriftlige bemærkninger, bevirker den fortolkning, der fremgår af nærværende doms præmis 47, ikke, at den procedure for alternativ tvistbilæggelse, der er omhandlet i artikel 102, stk. 1, i direktiv 2015/2366, omgås.

51

Det skal i denne henseende fremhæves, som generaladvokaten har anført i punkt 51 i forslaget til afgørelse, at denne procedure ikke er begrænset til bilæggelse af tvister om øjeblikkelig tilbagebetaling som fastsat i dette direktivs artikel 73, men omfatter enhver type tvist, der henhører under direktivets afsnit III og IV. Det følger heraf, at den omstændighed, at der findes en sådan procedure, ikke kan forstås således, at den udgør det nødvendige supplement til gennemførelsen af en enkelt bestemmelse i nævnte direktiv, nemlig artikel 73, og dermed heller ikke som svarende til en obligatorisk kontrolprocedure med hensyn til overholdelsen af de forpligtelser, der er fastsat i samme direktivs artikel 69.

52

Henset til samtlige ovenstående betragtninger skal det præjudicielle spørgsmål besvares med, at artikel 73, stk. 1, og artikel 74, stk. 1, i direktiv 2015/2366 skal fortolkes således, at en betalingstjenesteudbyder ikke kan nægte straks at foretage tilbagebetaling til betaleren af beløbet for en uautoriseret betalingstransaktion med den begrundelse, at betaleren ved grov forsømmelse har gjort denne transaktion mulig ved at undlade at opfylde sine forpligtelser i henhold til dette direktivs artikel 69.

Sagsomkostninger

53

Da sagens behandling i forhold til hovedsagens parter udgør et led i den sag, der verserer for den forelæggende ret, tilkommer det denne at træffe afgørelse om sagsomkostningerne. Bortset fra nævnte parters udgifter kan de udgifter, som er afholdt i forbindelse med afgivelse af indlæg for Domstolen, ikke erstattes.