Lietuvos Aukščiausiojo Teismo nutartis

Lietuvos Aukščiausiojo Teismo Civilinių bylų skyriaus teisėjų kolegija, susidedanti iš teisėjų Godos Ambrasaitės-Balynienės, Virgilijaus Grabinsko (kolegijos pirmininko) ir Donato Šerno (pranešėjo), teismo posėdyje kasacine rašytinio proceso tvarka nagrinėdama civilinę bylą pagal atsakovės uždarosios akcinės bendrovės „Paysera LT“ kasacinį skundą dėl Šiaulių apygardos teismo Civilinių bylų skyriaus teisėjų kolegijos 2025 m. spalio 14 d. nutarties peržiūrėjimo civilinėje byloje pagal ieškovės uždarosios akcinės bendrovės „YURGA“ ieškinį atsakovei uždarajai akcinei bendrovei „Paysera LT“ dėl neautorizuotais mokėjimais padarytų nuostolių atlyginimo, išvadą byloje teikianti institucija Lietuvos bankas,

Aprašomoji dalis

nustatė:

Šalių ginčas patenka į Europos Sąjungos (2015 m. lapkričio 25 d. Europos Parlamento ir Tarybos direktyvos 2015/2366 dėl mokėjimo paslaugų vidaus rinkoje, kuria iš dalies keičiamos direktyvos 2002/65/EB, 2009/110/EB ir 2013/36/ES bei Reglamentas (ES) Nr. 1093/2010 ir panaikinama Direktyva 2007/64/EB (toliau – Direktyva 2015/2366)) bei nacionalinio (Lietuvos Respublikos mokėjimų įstatymo (toliau – ir Mokėjimų įstatymas), Lietuvos Respublikos civilinio kodekso (toliau – ir CK)) teisinio reguliavimo sritį. Lietuvos Aukščiausiasis Teismas yra galutinė instancija nagrinėjant šią bylą ir jo priimtas procesinis sprendimas būtų galutinis ir neskundžiamas (Lietuvos Respublikos civilinio proceso kodekso (toliau – ir CPK) 362 straipsnis), todėl, iškilus Europos Sąjungos institucijų priimtų teisės aktų aiškinimo klausimui, kurį išnagrinėti būtina, kad sprendimas byloje būtų priimtas, jis privalo kreiptis į Europos Sąjungos Teisingumo Teismą (toliau – Teisingumo Teismas, ESTT) su prašymu priimti prejudicinį sprendimą (Sutarties dėl Europos Sąjungos veikimo 267 straipsnio 3 dalis, Lietuvos Respublikos teismų įstatymo 40¹ straipsnis). Nagrinėjamoje byloje kasacinio teismo poreikis kreiptis į Teisingumo Teismą grindžiamas tuo, kad šalių ginčui spręsti aktualių Europos Sąjungos teisės normų turinys iki galo nėra aiškus taikant tiek acte clair, tiek acte éclairé doktrinas. Atsakymas į šios nutarties rezoliucinėje dalyje suformuluotus ir Teisingumo Teismui pateiktus klausimus turėtų esminę reikšmę nagrinėjamai bylai, nes leistų nustatyti mokėjimo paslaugų teikėjo atsakomybės už neautorizuotas mokėjimo operacijas sąlygas ir išspręsti atsakomybės naštos paskirstymo tarp mokėtojo ir mokėjimo paslaugų teikėjo klausimą.

Direktyvos 2015/2366 konstatuojamosios dalies 53 punkte nustatyta:

kadangi vartotojų ir įmonių padėtis nėra vienoda, nereikia ir vienodo jų apsaugos lygio. Nors svarbu užtikrinti vartotojų teises nuostatomis, nuo kurių negalima nukrypti sudarant sutartį, įmonėms ir organizacijoms, kai jos neturi reikalų su vartotojais, tikslinga leisti susitarti kitaip. Tačiau valstybės narės turėtų turėti galimybę nustatyti, kad labai mažoms įmonėms, kaip apibrėžta Komisijos rekomendacijoje 2003/361/EB, būtų taikomos tos pačios sąlygos kaip ir vartotojams. Bet kuriuo atveju tam tikros pagrindinės šios direktyvos nuostatos turėtų būti taikomos visada, neatsižvelgiant į vartotojo statusą;

Direktyvos 2015/2366 konstatuojamosios dalies 70 punkte nustatyta:

siekiant sumažinti riziką, susijusią su neautorizuotomis arba netinkamai atliktomis mokėjimo operacijomis, ir jų pasekmes, mokėjimo paslaugų vartotojas turėtų kuo greičiau informuoti mokėjimo paslaugų teikėją apie visus ginčus, susijusius su tariamai neautorizuotomis arba netinkamai atliktomis mokėjimo operacijomis, jeigu mokėjimo paslaugų teikėjas įvykdė savo informavimo pareigas pagal šią direktyvą. Jeigu mokėjimo paslaugų vartotojas laikosi šio pranešimo termino, jis turėtų turėti galimybę pateikti tuos reikalavimus per nacionalinėje teisėje nustatytą senaties terminą. Ši direktyva neturėtų turėti įtakos kitiems mokėjimo paslaugų vartotojų ir mokėjimo paslaugų teikėjų tarpusavio reikalavimams;

Direktyvos 2015/2366 konstatuojamosios dalies 71 punkte nustatyta:

neautorizuotos mokėjimo operacijos atveju mokėjimo paslaugų teikėjas turėtų nedelsdamas grąžinti mokėtojui tos operacijos sumą. Tačiau kai yra stiprus įtarimas, kad dėl mokėjimo paslaugų vartotojo nesąžiningo elgesio yra atlikta neautorizuota operacija, ir kai tas įtarimas grindžiamas objektyviomis priežastimis, apie kurias pranešama atitinkamai nacionalinei institucijai, mokėjimo paslaugų teikėjas prieš grąžindamas lėšas mokėtojui turėtų turėti galimybę per pagrįstą laikotarpį atlikti tyrimą. Kad mokėtojas būtų apsaugotas nuo bet kokių nepatogumų, grąžintos sumos įskaitymo į sąskaitą data turėtų būti ne vėlesnė nei data, kada suma nurašyta nuo sąskaitos. Siekiant paskatinti mokėjimo paslaugų vartotoją nepagrįstai nedelsiant pranešti mokėjimo paslaugų teikėjui apie mokėjimo priemonės vagystę arba praradimą ir taip sumažinti neautorizuotų mokėjimo operacijų riziką, vartotojas turėtų būti atsakingas tik už labai ribotą sumą, išskyrus mokėjimo paslaugų vartotojo sukčiavimo ar didelio neatsargumo atvejus. Šiuo atveju tinkama suma siekiant užtikrinti suderintą ir aukšto lygio vartotojų apsaugą Sąjungoje yra 50 EUR. Atsakomybės neturėtų būti, kai mokėtojas nežino apie mokėjimo priemonės praradimą, vagystę ar neteisėtą pasisavinimą. Be to, kai vartotojai praneša mokėjimo paslaugų teikėjui, kad jų mokėjimo priemonei galėjo kilti pavojus, nebeturėtų būti reikalaujama, kad mokėjimo paslaugų vartotojai padengtų vėliau atsiradusius nuostolius, susijusius su neautorizuotu tos priemonės panaudojimu. Šia direktyva neturėtų būti daromas poveikis mokėjimo paslaugų teikėjų atsakomybei už techninį jų produktų saugumą;

Direktyvos 2015/2366 konstatuojamosios dalies 73 punkte nustatyta:

turėtų būti numatytos nuostatos dėl nuostolių paskirstymo neautorizuotų mokėjimo operacijų atveju. Mokėjimo paslaugų vartotojams, kurie nėra vartotojai, gali būti taikomos kitokios nuostatos, nes tokie vartotojai paprastai gali geriau įvertinti sukčiavimo riziką ir imtis atitinkamų apsaugos priemonių. Siekiant užtikrinti aukšto lygio vartotojų apsaugą, mokėtojai visada turėtų turėti teisę pateikti reikalavimą dėl lėšų grąžinimo jų sąskaitą tvarkančiam mokėjimo paslaugų teikėjui, net ir tais atvejais, kai mokėjimo operacijoje dalyvauja mokėjimo inicijavimo paslaugų teikėjas. Tai neturi poveikio mokėjimo paslaugų teikėjų atsakomybės paskirstymui;

vartotojas – fizinis asmuo, kuris pagal mokėjimo paslaugų sutartis, kurioms taikoma ši direktyva, veikia siekdamas su prekyba, verslu ar profesija nesusijusių tikslų;

griežtas kliento autentiškumo patvirtinimas – autentiškumo patvirtinimas, grindžiamas dviejų ar daugiau elementų, kurie skirstomi į žinojimo (tai, ką žino tik vartotojas), turėjimo (tai, ką turi tik vartotojas) ir būdingumo (tai, kas būdinga vartotojui) kategorijas, ir yra nepriklausomi, nes vieną iš jų pažeidus nesumažėja kitų patikimumas, ir jo struktūra yra tokia, kad būtų užtikrintas autentiškumo patvirtinimo duomenų konfidencialumas;

Kai mokėjimo paslaugų vartotojas nėra vartotojas, mokėjimo paslaugų vartotojas ir mokėjimo paslaugų teikėjas gali susitarti visai ar iš dalies netaikyti 62 straipsnio 1 dalies, 64 straipsnio 3 dalies, 72, 74, 76, 77, 80 ir 89 straipsnių. Mokėjimo paslaugų vartotojas ir mokėjimo paslaugų teikėjas taip pat gali susitarti dėl kitokių terminų, nei tie, kurie nustatyti 71 straipsnyje.

Mokėjimo paslaugų teikėjas neautorizuotų ar netinkamai įvykdytų mokėjimo operacijų ištaisymą mokėjimo paslaugų vartotojui atlieka tik tuo atveju, jei mokėjimo paslaugų vartotojas, sužinojęs apie visas tokias mokėjimo operacijas, dėl kurių gali būti pateikiami reikalavimai, įskaitant 89 straipsnyje nurodytus reikalavimus, praneša mokėjimo paslaugų teikėjui nepagrįstai nedelsdamas ir ne vėliau kaip per 13 mėnesių nuo nurašymo iš sąskaitos datos,

Pirmoje pastraipoje nustatytas laikotarpis pranešimui pateikti netaikomas kai mokėjimo paslaugų teikėjas nepateikė informacijos apie tą mokėjimo operaciją ar nesudarė sąlygų su ja susipažinti pagal III antraštinę dalį.

Valstybės narės užtikrina, kad, nedarant poveikio 71 straipsniui, neautorizuotos mokėjimo operacijos atveju mokėtojo mokėjimo paslaugų teikėjas nedelsdamas ir bet kuriuo atveju ne vėliau kaip iki kitos darbo dienos pabaigos po to, kai sužino arba būna informuotas apie operaciją, mokėtojui sugrąžintų neautorizuotos mokėjimo operacijos sumą, išskyrus atvejus, kai mokėtojo mokėjimo paslaugų teikėjas turi pagrįstų priežasčių įtarti sukčiavimą ir tas priežastis raštu pateikia atitinkamai nacionalinei institucijai. Kai taikytina, mokėtojo mokėjimo paslaugų teikėjas atstato mokėjimo sąskaitos, iš kurios ta suma nurašyta, likutį, kuris būtų buvęs, jeigu neautorizuota mokėjimo operacija nebūtų buvusi įvykdyta. Tokiu būdu taip pat užtikrinama, kad sumos įskaitymo į mokėtojo mokėjimo sąskaitą data būtų ne vėlesnė nei data, kai ta suma nurašyta nuo sąskaitos.

1. Nukrypstant nuo 73 straipsnio, mokėtojui gali tekti 50 EUR maksimalios sumos neviršijantys su neautorizuotomis mokėjimo operacijomis susiję nuostoliai, patirti dėl prarastos ar pavogtos mokėjimo priemonės panaudojimo arba dėl neteisėto jos pasisavinimo.

mokėtojas negalėjo pastebėti mokėjimo priemonės praradimo, vagystės arba neteisėto pasisavinimo iki mokėjimo įvykdymo, išskyrus atvejus, kai mokėtojas veikė nesąžiningai; arba

nuostolis patirtas dėl mokėjimo paslaugų teikėjo ar išorės subjektų, kuriems perduodamas veiklos vykdymas, darbuotojo, tarpininko, filialo veiksmų ar neveikimo.

Mokėtojui tenka visi su neautorizuotomis mokėjimo operacijomis susiję nuotoliai, jei mokėtojas juos patyrė veikdamas nesąžiningai arba tyčia ar dėl didelio neatsargumo neįvykdo vienos ar kelių pareigų, nustatytų 69 straipsnyje.

Tokiais atvejais pirmoje pastraipoje nustatyta maksimali suma netaikoma. Kai mokėtojas nei veikė nesąžiningai, nei tyčia, bet neįvykdė savo įsipareigojimų pagal 69 straipsnį, valstybės narės gali sumažinti šioje dalyje nurodytą atsakomybę, atsižvelgdamos visų pirma į personalizuotų saugumo požymių pobūdį ir konkrečias aplinkybes, kuriomis mokėjimo priemonė buvo prarasta, pavogta ar neteisėtai pasisavinta.

2. Kai mokėtojo mokėjimo paslaugų teikėjas nereikalauja griežto kliento autentiškumo patvirtinimo, atsakomybė už finansinius nuostolius mokėtojui tenka tik tuomet, jei mokėtojas veikia nesąžiningai. Kai gavėjas arba gavėjo mokėjimo paslaugų teikėjas nepriima griežto kliento autentiškumo patvirtinimo, jis kompensuoja finansinę žalą, padarytą mokėtojo mokėjimo paslaugų teikėjui.

Valstybės narės užtikrina, kad mokėjimo paslaugų teikėjas taikytų griežtą kliento autentiškumo patvirtinimą, kai mokėtojas:

a)internetu prisijungia prie savo mokėjimo sąskaitos;

b)inicijuoja elektroninę mokėjimo operaciją;

c)nuotolinio ryšio priemone vykdo bet kokį veiksmą, kuris gali būti susijęs su sukčiavimo atliekant mokėjimą ar kitokio piktnaudžiavimo rizika.

Šalių ginčui spręsti aktualus Lietuvos teisinis reguliavimas

Fizinis mokėjimo paslaugų vartotojas (toliau – vartotojas) – siekiantis sudaryti arba sudaręs mokėjimo paslaugų sutartį fizinis asmuo, kuris veikia siekdamas tikslų, nesusijusių su savo verslu, prekyba ar profesine veikla.

Saugesnis autentiškumo patvirtinimas – autentiškumo patvirtinimas, kai saugiai naudojami bent du į žinojimo (tai, ką žino tik mokėjimo paslaugų vartotojas), turėjimo (tai, ką turi tik mokėjimo paslaugų vartotojas) ir būdingumo (tai, kas būdinga tik mokėjimo paslaugų vartotojui) kategorijas skirstomi elementai, o pažeidus vieną elementą neturi sumažėti kitų elementų patikimumas.

Mokėjimo paslaugų teikėjai ir mokėjimo paslaugų vartotojai, išskyrus vartotojus, gali susitarti netaikyti visų ar dalies šio įstatymo III skyriaus nuostatų, šio įstatymo 4 straipsnio 1, 2 ir 3 punktuose, 11 straipsnio 1, 2 ir 5 dalyse, 29 straipsnio 3 dalyje, 37, 39, 41, 44, 51 ir 52 straipsniuose nustatytų reikalavimų, taip pat gali susitarti dėl kito termino, negu nustatytas šio įstatymo 36 straipsnyje.

1. Mokėjimo paslaugų vartotojo, turinčio teisę naudotis mokėjimo priemone, pareigos:

1) naudotis mokėjimo priemone pagal mokėjimo priemonės išdavimą ir naudojimą reglamentuojančias sąlygas. Šios sąlygos turi būti objektyvios, nediskriminacinės ir proporcingos;

2) sužinojus apie mokėjimo priemonės praradimą, vagystę arba neteisėtą pasisavinimą ar neautorizuotą jos naudojimą, nedelsiant apie tai pranešti mokėjimo paslaugų teikėjui arba jo nurodytam subjektui.

2. Mokėjimo paslaugų vartotojas, gavęs mokėjimo priemonę, privalo imtis veiksmų, kad būtų apsaugoti personalizuoti saugumo duomenys.

Mokėtojo mokėjimo paslaugų teikėjas nedelsdamas, ne vėliau kaip iki kitos darbo dienos pabaigos po to, kai sužino arba būna informuotas apie neautorizuotą mokėjimo operaciją, mokėtojui turi grąžinti neautorizuotos mokėjimo operacijos sumą ir, kai taikytina, atkurti mokėjimo sąskaitos, iš kurios ta suma nurašyta, likutį, kuris būtų buvęs, jeigu neautorizuota mokėjimo operacija nebūtų buvusi įvykdyta, išskyrus atvejus, kai mokėtojo mokėjimo paslaugų teikėjas turi pagrįstų priežasčių įtarti sukčiavimą ir apie šias priežastis raštu praneša priežiūros institucijai. Mokėtojo mokėjimo paslaugų teikėjas taip pat turi užtikrinti, kad mokėtojas nepatirtų nuostolių dėl mokėjimo paslaugų teikėjui mokėtinų arba iš jo gautinų palūkanų.

1. Mokėtojui gali tekti dėl neautorizuotų mokėjimo operacijų atsiradę nuostoliai iki 50 eurų, kai šie nuostoliai patirti dėl:

1) prarastos ar pavogtos mokėjimo priemonės panaudojimo;

2) neteisėto mokėjimo priemonės pasisavinimo.

1) jis iki mokėjimo operacijos įvykdymo negalėjo pastebėti mokėjimo priemonės praradimo, vagystės arba neteisėto pasisavinimo, išskyrus atvejus, kai jis veikė nesąžiningai;

2) nuostoliai yra patirti dėl mokėjimo paslaugų teikėjo, jo darbuotojo, tarpininko, filialo ar asmenų, kuriems perduotas veiklos funkcijų vykdymas, veiksmų ar neveikimo.

3. Mokėtojui tenka visi dėl neautorizuotų mokėjimo operacijų atsiradę nuostoliai, jeigu jis juos patyrė veikdamas nesąžiningai arba tyčia ar dėl didelio neatsargumo neįvykdęs vienos ar kelių šio įstatymo 34 straipsnyje nustatytų pareigų. Tokiais atvejais šio straipsnio 1 dalyje nustatytas didžiausios nuostolių sumos ribojimas netaikomas.

4. Kai mokėtojo mokėjimo paslaugų teikėjas nereikalauja saugesnio autentiškumo patvirtinimo, mokėtojui dėl neautorizuotų mokėjimo operacijų atsiradę nuostoliai tenka tik tuo atveju, jeigu jis veikė nesąžiningai. Kai gavėjas arba gavėjo mokėjimo paslaugų teikėjas netaiko saugesnio autentiškumo patvirtinimo reikalavimų, jis kompensuoja mokėtojo mokėjimo paslaugų teikėjui padarytą žalą.

Mokėjimo paslaugų teikėjas privalo taikyti saugesnio autentiškumo patvirtinimo procedūrą, kai mokėtojas:

1) internetu arba kitomis nuotolinio ryšio priemonėmis prisijungia prie savo mokėjimo sąskaitos;

2) inicijuoja elektroninę mokėjimo operaciją;

3) nuotolinio ryšio priemone vykdo bet kokį veiksmą, kuris gali būti susijęs su sukčiavimo atliekant mokėjimą ar kitokio piktnaudžiavimo rizika.

Atlyginami tik tie nuostoliai, kurie susiję su veiksmais (veikimu, neveikimu), nulėmusiais skolininko civilinę atsakomybę tokiu būdu, kad nuostoliai pagal jų ir civilinės atsakomybės prigimtį gali būti laikomi skolininko veiksmų (veikimo, neveikimo) rezultatu.

Jeigu dėl žalos atsiradimo kaltas ir kreditorius, tai atlygintini nuostoliai mažinami proporcingai kreditoriaus kaltei arba skolininkas gali būti atleistas nuo civilinės atsakomybės.

Reikšmingos faktinės aplinkybės

Atsakovė UAB „Paysera LT“ yra licencijuota elektroninių pinigų įstaiga, veikianti pagal Lietuvos banko 2012 m. rugsėjo 27 d. išduotą neribotą elektroninių pinigų įstaigos licenciją, teikianti elektroninių atsiskaitymų, vietinių ir tarptautinių pinigų pervedimų, valiutos konvertavimo ir įmokų surinkimo paslaugas. Ieškovė UAB „YURGA“ ir atsakovė yra sudariusios Bendrąją mokėjimo paslaugų sutartį, jos pagrindu ieškovė naudojasi atsakovės teikiamomis elektroninių atsiskaitymų, vietinių ir tarptautinių pinigų pervedimų, valiutos konvertavimo ir įmokų surinkimo paslaugomis (toliau – ir Sutartis).

Byloje nustatyta, kad 2023 m. rugpjūčio 24 d. ieškovės vadovė į el. paštą gavo pranešimą, kuriame, kaip paaiškėjo vėliau, apsimetę atsakove UAB „Paysera LT“ nežinomi tretieji asmenys parašė, jog ieškovės mokėjimo sąskaita yra apribota, todėl prašoma atkurti paskyrą. Ieškovės vadovė, manydama, kad ieškovės sąskaita yra apribota, 2023 m. rugpjūčio 26 d. paspaudė el. paštu atsiųstą nuorodą; tuomet atsidarė svetainė, identiška atsakovės svetainei, ir ieškovės vadovė telefone gavo SMS žinutę su patvirtinimo kodu „Payseros“ aplikacijai. Šį patvirtinimo kodą ieškovės vadovė suvedė atsidariusioje svetainėje. 2023 m. rugpjūčio 28 d. ieškovės vadovė telefonu susisiekė su atsakovės klientų aptarnavimo centru ir pateikė informaciją, kad neautorizavo jokių 2023 m. rugpjūčio 26 d. atliktų mokėjimų (9 mokėjimų operacijų, kurių bendra suma – 35 200 Eur). Atsakovė paaiškino, kad 2023 m. rugpjūčio 26 d. ieškovės vadovės gautas elektroninis laiškas buvo siųstas ne atsakovės, o nežinomų asmenų, apsimetusių atsakove; ieškovės vadovei suvedus SMS žinute gautą kodą, nežinomi asmenys pridėjo savo įrenginį prie ieškovės „Payseros“ paskyros; pridėję savo įrenginį jie galėjo ir atliko nurodytus mokėjimus.

Byloje ginčas kilo dėl to, jog, nežinomiems asmenims atliekant nurodytus 9 mokėjimus, atsakovė nereikalavo saugesnio (griežto) autentiškumo patvirtinimo, kaip jis galėtų būti suprastas pagal Direktyvos 2015/2366 4 straipsnio 30 dalį. Ši procedūra buvo taikoma prisijungiant prie mokėjimo sąskaitos, bet ne atliekant atskiras finansines operacijas (mokėjimus).

Mokėjimo paslaugų teikėjo pareiga taikyti saugesnio (griežto) autentiškumo patvirtinimo procedūrą yra įtvirtinta Mokėjimų įstatymo 58 straipsnio 1 dalyje, kuria įgyvendintos Direktyvos 2015/2366 97 straipsnio 1 dalies nuostatos. Ši pareiga taip pat nustatyta atsakovės ir ieškovės sudarytos Sutarties 1.5 papunktyje, kuriame įtvirtinta Direktyvos 2015/2366 4 straipsnio 30 daliai ir Mokėjimų įstatymo 2 straipsnio 56 daliai iš esmės analogiška nuostata, kad saugesnio autentiškumo patvirtinimo procedūra (angl. strong customer authentication) – fizinio arba juridinio asmens tapatybės patvirtinimo procedūra, grindžiama naudojimu dviejų arba daugiau elementų, kurie skirstomi į žinojimo (pavyzdžiui, nuolatinis slaptažodis, kodas, asmens identifikavimo numeris), turėjimo (pavyzdžiui, laikmena (angl. token), lustinė kortelė (angl. smart card), mobilusis telefonas) ir būdingumo (pavyzdžiui, biometriniai duomenys, tokie kaip pirštų atspaudai) kategorijas ir yra vienas su kitu nesusiję, nes vieną iš jų pažeidus nesumažėja kitų patikimumas. Ši procedūra taikoma, kai klientas internetu arba kitomis nuotolinio ryšio priemonėmis prisijungia prie savo mokėjimo sąskaitos, inicijuoja elektroninę mokėjimo operaciją ir nuotolinio ryšio priemone vykdo bet kokį veiksmą, kuris gali būti susijęs su sukčiavimo atliekant mokėjimą ar kitokio piktnaudžiavimo rizika.

Sutarties 9.1.17, 14.4 papunkčiuose taip pat įtvirtinta, kad klientui draudžiama atskleisti slaptažodžius ir kitokius mokėjimo priemonių personalizuotus saugumo požymius tretiesiems asmenims ir leisti kitiems asmenims naudotis paslaugomis kliento vardu. Jei klientas nesilaikė šio įsipareigojimo ir (arba) galėjo, bet neužkirto tam kelio ir (arba) tokius veiksmus atliko tyčia ar dėl didelio savo neatsargumo, pagal Sutartį pripažįstama, kad prie paskyros prisijungiama ir atitinkamomis „Payseros“ paslaugomis naudojamasi kliento vardu. Klientas tokiu atveju prisiima visus dėl to patirtus nuostolius ir įsipareigoja atlyginti kitų asmenų nuostolius, jei jie buvo patirti dėl kliento nurodytų veiksmų ar neveikimo (Sutarties 14.4 papunktis). Sutarties 14.7 papunktyje taip pat nustatyta, kad klientas yra visiškai atsakingas už savo elektroninio pašto prisijungimo bei kitų jo naudojamų priemonių ir prisijungimų prie jų slaptažodžių apsaugą. Slaptažodžiai yra slapta informacija, už kurios atskleidimą ir už visas operacijas, atliktas suvedus atitinkamai paskyrai ar kitai mokėjimo priemonei taikomą kliento slaptažodį, atsakingas pats klientas.

Nors ieškovė neginčija fakto, kad ji suteikė galimybę nežinomiems asmenims prisijungti prie savo „Payseros“ paskyros (sąskaitos), bet teigia, kad atsakovė neįvykdė jai kilusių pareigų tinkamai patvirtinti ginčo mokėjimus, dėl tokių atsakovės veiksmų ieškovė neteko 35 200 Eur. Pareikštu ieškiniu ji atitinkamai prašo priteisti iš atsakovės 35 200 Eur nuostolių atlyginimą, 2 026,50 Eur palūkanų, 6 proc. dydžio procesines metines palūkanas nuo priteistos sumos už laikotarpį nuo bylos iškėlimo teisme dienos iki teismo sprendimo visiško įvykdymo ir patirtų bylinėjimosi išlaidų atlyginimą.

Tiek Vilniaus miesto apylinkės teismas, tiek Šiaulių apygardos teismo Civilinių bylų skyriaus teisėjų kolegija byloje laikėsi pozicijos, kad atsakovė tinkamai neįvykdė saugesnio (griežto) autentiškumo patvirtinimo procedūros atliekant ginčo mokėjimus, tokiu būdu atliko neteisėtus veiksmus civilinės atsakomybės taikymo prasme. Šiaulių apygardos teismo Civilinių bylų skyriaus teisėjų kolegija taip pat pabrėžė, kad atsakovė turėtų atlyginti ieškovės patirtus nuostolius, kadangi, remiantis Mokėjimų įstatymo 39 straipsnio 4 dalimi, kuria įgyvendinta Direktyvos 2015/2366 74 straipsnio 2 dalis, ji negali būti atleista nuo atsakomybės – byloje nustatyta, kad atsakovė nereikalavo griežto kliento autentiškumo patvirtinimo ginčo mokėjimams, o ieškovės nesąžiningumas nenustatytas.

Motyvuojamoji dalis

Teisėjų kolegija konstatuoja:

IV. Kasacinio teismo argumentai ir pozicija prejudicinio sprendimo priėmimo procedūroje

Teisėjų kolegija šioje byloje pasisako ir teikia klausimus Teisingumo Teismui dėl mokėtojo ir mokėjimo paslaugų teikėjo galimybės susitarti netaikyti Direktyvos 2015/2366 reikalavimų ir dėl priežastinio ryšio, kaip mokėjimo paslaugų teikėjo atsakomybės sąlygos, bei mokėjimo paslaugų teikėjo atsakomybės ribojimo.

Dėl mokėtojo ir mokėjimo paslaugų teikėjo galimybės susitarti netaikyti Direktyvos 2015/2366 reikalavimų

Mokėjimo paslaugų teikėjo atsakomybę už neautorizuotas mokėjimo operacijas reguliuoja Direktyvos 2015/2366 73 straipsnis. Jo 1 dalyje yra nustatyta, jog valstybės narės užtikrina, kad, nedarant poveikio 71 straipsniui, neautorizuotos mokėjimo operacijos atveju mokėtojo mokėjimo paslaugų teikėjas nedelsdamas ir bet kuriuo atveju ne vėliau kaip iki kitos darbo dienos pabaigos po to, kai sužino arba būna informuotas apie operaciją, mokėtojui sugrąžintų neautorizuotos mokėjimo operacijos sumą, išskyrus atvejus, kai mokėtojo mokėjimo paslaugų teikėjas turi pagrįstų priežasčių įtarti sukčiavimą ir tas priežastis raštu pateikia atitinkamai nacionalinei institucijai.

Šią taisyklę papildo Direktyvos 2015/2366 74 straipsnio 1 dalis, kurioje, be kita ko, įtvirtinta, jog, nukrypstant nuo 73 straipsnio, mokėtojui gali tekti 50 Eur maksimalios sumos neviršijantys su neautorizuotomis mokėjimo operacijomis susiję nuostoliai, patirti dėl prarastos ar pavogtos mokėjimo priemonės panaudojimo arba dėl neteisėto jos pasisavinimo.

Šio paties straipsnio 2 dalyje taip pat yra įtvirtinta speciali taisyklė, kad kai mokėtojo mokėjimo paslaugų teikėjas nereikalauja griežto kliento autentiškumo patvirtinimo, atsakomybė už finansinius nuostolius mokėtojui tenka tik tuomet, jei mokėtojas veikia nesąžiningai.

Nagrinėjamoje byloje ginčas kilo dėl to, kad atsakovė nereikalavo griežto kliento autentiškumo patvirtinimo nežinomiems asmenims iš ieškovės sąskaitos atliekant devynias mokėjimo operacijas.

Remiantis minėta Direktyvos 2015/2366 74 straipsnio 2 dalimi, kuri Lietuvos nacionalinėje teisėje įgyvendinta Mokėjimų įstatymo 39 straipsnio 4 dalimi, ieškovei finansinių nuostolių našta dėl neautorizuotų mokėjimų galėtų tekti tik tuomet, jei ji veikė nesąžiningai, o ši aplinkybė byloje nebuvo nustatyta.

Nepaisant to, atsakovė teigia, kad su ieškove Sutartimi susitarė netaikyti Direktyvos 2015/2366 74 straipsnio 2 dalies (įgyvendintos Mokėjimų įstatymo 39 straipsnio 4 dalimi) reikalavimų. Kaip nurodo atsakovė, ieškovė ir atsakovė Sutartimi susitarė, kad kai ieškovė dėl savo didelio neatsargumo arba tyčia atskleidžia savo paskyros slaptažodžius tretiesiems asmenims, ieškovė visa apimtimi prisiima dėl to patirtus nuostolius (Sutarties 9.1.17, 14.4 papunkčiai).

Anot atsakovės, šalims pasinaudojus galimybe nustatyti kitokį atsakomybės naštos paskirstymą, nei įtvirtinta Direktyvos 2015/2366 74 straipsnyje, nagrinėjamoje byloje turėjo būti taikoma ieškovės ir atsakovės Sutartyje nustatyta atsakovės atsakomybę ribojanti norma.

Teisėjų kolegija atkreipia dėmesį, kad galimybė mokėtojui ir mokėjimo paslaugų teikėjui susitarti nukrypti nuo Direktyvos 2015/2366 74 straipsnio reikalavimų yra įtvirtinta Direktyvos 2015/2366 61 straipsnio 1 dalyje, kurioje nustatyta, kad kai mokėjimo paslaugų vartotojas nėra vartotojas, mokėjimo paslaugų vartotojas ir mokėjimo paslaugų teikėjas gali susitarti visai ar iš dalies netaikyti 62 straipsnio 1 dalies, 64 straipsnio 3 dalies, 72, 74, 76, 77, 80 ir 89 straipsnių.

Šio reguliavimo tikslas yra paaiškinamas Direktyvos 2015/2366 konstatuojamosios dalies 53 punkte: kadangi vartotojų ir įmonių padėtis nėra vienoda, nereikia ir vienodo jų apsaugos lygio. Nors svarbu užtikrinti vartotojų teises nuostatomis, nuo kurių negalima nukrypti sudarant sutartį, įmonėms ir organizacijoms, kai jos neturi reikalų su vartotojais, tikslinga leisti susitarti kitaip. Direktyvos 2015/2366 konstatuojamosios dalies 73 punkte taip pat nurodoma, kad mokėjimo paslaugų vartotojams, kurie nėra vartotojai, gali būti taikomos kitokios nuostatos dėl nuostolių paskirstymo neautorizuotų mokėjimo operacijų atveju, nes tokie vartotojai paprastai gali geriau įvertinti sukčiavimo riziką ir imtis atitinkamų apsaugos priemonių.

Šiame kontekste vartotojas turėtų būti suprastas kaip fizinis asmuo, kuris pagal mokėjimo paslaugų sutartis, kurioms taikoma ši direktyva, veikia siekdamas su prekyba, verslu ar profesija nesusijusių tikslų (Direktyvos 2015/2366 4 straipsnio 20 dalis).

Nagrinėjamoje byloje nustatyta, kad ieškovė nėra vartotoja Direktyvos 2015/2366 4 straipsnio 20 dalies prasme – ji nėra fizinis asmuo, todėl ji galėjo su atsakove susitarti netaikyti Direktyvos 2015/2366 74 straipsnyje nustatytų mokėtojo atsakomybės taisyklių už neautorizuotas mokėjimo operacijas.

Vis dėlto teisėjų kolegija pažymi, kad nors Direktyvos 2015/2366 61 straipsnio dalyje nurodoma, jog mokėjimo paslaugų teikėjai ir mokėjimo paslaugų vartotojai, išskyrus vartotojus, gali susitarti netaikyti 74 straipsnyje nustatytų reikalavimų, tačiau šioje nuostatoje neįtvirtinta, kad mokėjimo paslaugų teikėjai ir mokėjimo paslaugų vartotojai gali susitarimu nukrypti nuo Direktyvos 2015/2366 73 straipsniu keliamų reikalavimų. Kaip ir minėta, Direktyvos 2015/2366 73 straipsnio 1 dalyje yra nustatyta, kad valstybės narės užtikrina, jog, nedarant poveikio 71 straipsniui, neautorizuotos mokėjimo operacijos atveju mokėtojo mokėjimo paslaugų teikėjas nedelsdamas ir bet kuriuo atveju ne vėliau kaip iki kitos darbo dienos pabaigos po to, kai sužino arba būna informuotas apie operaciją, mokėtojui sugrąžintų neautorizuotos mokėjimo operacijos sumą, išskyrus atvejus, kai mokėtojo mokėjimo paslaugų teikėjas turi pagrįstų priežasčių įtarti sukčiavimą ir tas priežastis raštu pateikia atitinkamai nacionalinei institucijai.

Ši nuostata Lietuvoje yra įgyvendinta Mokėjimų įstatymo 38 straipsnio 1 dalimi, kuria nustatyta, kad mokėtojo mokėjimo paslaugų teikėjas nedelsdamas, ne vėliau kaip iki kitos darbo dienos pabaigos po to, kai sužino arba būna informuotas apie neautorizuotą mokėjimo operaciją, mokėtojui turi grąžinti neautorizuotos mokėjimo operacijos sumą ir, kai taikytina, atkurti mokėjimo sąskaitos, iš kurios ta suma nurašyta, likutį, kuris būtų buvęs, jeigu neautorizuota mokėjimo operacija nebūtų buvusi įvykdyta, išskyrus atvejus, kai mokėtojo mokėjimo paslaugų teikėjas turi pagrįstų priežasčių įtarti sukčiavimą ir apie šias priežastis raštu praneša priežiūros institucijai.

Šio reguliavimo kontekste teisėjų kolegijai iškilo klausimas, kokia apimtimi turėtų būti taikomos Direktyvos 2015/2366 73 straipsnio nuostatos, kai mokėjimų paslaugų teikėjas ir vartotojas susitaria netaikyti Direktyvos 2015/2366 74 straipsnio reikalavimų, įgyvendindami Direktyvos 2015/2366 61 straipsnyje nustatytą nukrypimo nuo 74 straipsnio galimybę. Teisėjų kolegijos vertinimu, tolesniam bylos nagrinėjimui būtina įvertinti, ar Direktyvos 2015/2366 61 straipsnio 1 dalis, 73 straipsnio 1 dalis, 74 straipsnio 2 dalis turi būti suprantamos ir aiškinamos taip, kad mokėjimo paslaugų teikėjas neturi atlyginti visų dėl neautorizuoto mokėjimo, kuriam netaikyta saugesnio (griežto) autentiškumo patvirtinimo procedūra, mokėtojo patirtų nuostolių, kai mokėtojo ir mokėjimo paslaugų teikėjo sudarytoje sutartyje yra įtvirtinta, jog dėl neautorizuotų mokėjimų atsiradę nuostoliai tenka mokėtojui, kai mokėtojas tyčia ar dėl didelio neatsargumo atskleidžia personalizuotus saugumo duomenis tretiesiems asmenims.

Kitaip tariant, byloje yra reikšminga išsiaiškinti, ar Direktyvos 2015/2366 73 straipsnio 1 dalis turi būti suprantama ir aiškinama taip, kad joje nustatyta mokėjimo paslaugų teikėjo pareiga nedelsiant grąžinti neautorizuotos mokėjimo operacijos sumą nelemia galutinio nuostolių paskirstymo tarp šalių, kai mokėtojas nėra vartotojas ir šalys, remdamosi Direktyvos 2015/2366 61 straipsnio 1 dalimi, yra susitarusios nukrypti nuo 74 straipsnio nuostatų.

Dėl priežastinio ryšio, kaip mokėjimo paslaugų teikėjo atsakomybės sąlygos, ir mokėjimo paslaugų teikėjo atsakomybės ribojimo

Be pirmiau nurodyto klausimo, byloje kyla ir priežastinio ryšio, kaip mokėjimo paslaugų teikėjo atsakomybės sąlygos, klausimas.

Atsakovė byloje laikosi pozicijos, kad tarp jos veiksmų (neveikimo, netaikant griežto autentiškumo patvirtinimo mokėjimų operacijoms) ir ieškovės patirtos žalos nėra priežastinio ryšio. Atsakovė įsitikinusi, kad net jei ji būtų pritaikiusi griežtą autentiškumo patvirtinimą ginčo mokėjimams, ieškovė vis tiek būtų patyrusi tokio paties dydžio žalą. Žalai atsiradus dėl ieškovės veiksmų (neatsargiai atskleidžiant prisijungimo duomenis tretiesiems asmenims), atsakovei, jos vertinimu, atitinkamai neturėtų kilti pareiga atlyginti ieškovės patirtus nuostolius arba jos atsakomybė turėtų būti ribojama atsižvelgiant į pačios ieškovės neatsargumą.

Kaip ir minėta, mokėjimo paslaugų teikėjo atsakomybės klausimus reguliuoja Direktyvos 2015/2366 73 ir 74 straipsniai.

Direktyvos 2015/2366 73 straipsnio 1 dalyje yra įtvirtintos šios pareigos grąžinti neautorizuotos mokėjimo operacijos sumą atsiradimo sąlygos: pirma, mokėtojo mokėjimo paslaugų teikėjas sužino arba būna informuotas apie neautorizuotą mokėjimo operaciją, antra, mokėtojo mokėjimo paslaugų teikėjas neturi pagrįstų priežasčių įtarti sukčiavimą ir, trečia, tų priežasčių raštu nepateikia atitinkamai nacionalinei institucijai.

Direktyvos 2015/2366 74 straipsnio 2 dalyje įtvirtinta, kad kai mokėtojo mokėjimo paslaugų teikėjas nereikalauja griežto kliento autentiškumo patvirtinimo, atsakomybė už finansinius nuostolius mokėtojui tenka tik tuo atveju, jei mokėtojas veikia nesąžiningai.

Kaip matyti iš nurodytų nuostatų, nei Direktyvos 2015/2366 73 straipsnio 1 dalyje, nei Direktyvos 2015/2366 74 straipsnio 2 dalyje eksplicitiškai nėra įtvirtinta, kad mokėjimo paslaugų teikėjo atsakomybei už neautorizuotas mokėjimo operacijas kilti būtina nustatyti, jog mokėtojo paslaugų teikėjo veiksmai (neveikimas) nereikalaujant griežto kliento autentiškumo patvirtinimo yra susiję priežastiniu ryšiu su mokėtojo finansiniais nuostoliais. Šios nuostatos taip pat neįtvirtina galimybės riboti mokėjimo paslaugų teikėjo atsakomybės atsižvelgiant į mokėtojo neatsargumą.

Priežastinio ryšio sąlyga pagal valstybių narių nacionalinę teisę yra įprasta civilinės atsakomybės sąlyga. Pavyzdžiui, pagal CK 6.247 straipsnį, kuris reguliuoja priežastinį ryšį, kaip civilinės atsakomybės sąlygą, atlyginami tik tie nuostoliai, kurie susiję su veiksmais (veikimu, neveikimu), nulėmusiais skolininko civilinę atsakomybę tokiu būdu, kad nuostoliai pagal jų ir civilinės atsakomybės prigimtį gali būti laikomi skolininko veiksmų (veikimo, neveikimo) rezultatu.

Be to, valstybių narių nacionalinėje teisėje įprastai yra nustatytos ir taisyklės dėl atsakomybės ribojimo, kai paties nukentėjusio asmens veiksmai prisideda prie žalos atsiradimo. Pavyzdžiui, CK 6.248 straipsnio 4 dalyje nustatyta, kad jeigu dėl žalos atsiradimo kaltas ir kreditorius, tai atlygintini nuostoliai mažinami proporcingai kreditoriaus kaltei arba skolininkas gali būti atleistas nuo civilinės atsakomybės.

Turint tai omenyje, byloje kilo klausimas, ar Direktyvos 2015/2366 73 ir 74 straipsniai gali būti suprantami ir aiškinami taip, kad mokėjimo paslaugų teikėjo atsakomybei taikyti turi būti nustatyta priežastinio ryšio tarp mokėjimo paslaugų teikėjo atliktų veiksmų (neveikimo) ir mokėtojo patirtos žalos sąlyga.

Be to, svarbu sužinoti ir tai, ar Direktyvos 2015/2366 73 ir 74 straipsniai gali būti suprantami ir aiškinami taip, kad mokėjimo paslaugų teikėjo atsakomybė galėtų būti ribojama atsižvelgiant į nukentėjusio asmens veiksmus.

Pažymėtina, kad atsakymai į aptartus klausimus yra būtini siekiant nustatyti, kokios turėtų būti atsakovo (mokėjimo paslaugų teikėjo) atsakomybės už neautorizuotas mokėjimo operacijas sąlygos ir kuriai šaliai (mokėtojui ar mokėjimo paslaugų teikėjui) tenka dėl neautorizuotų mokėjimo operacijų atsiradę nuostoliai.

Lietuvos Aukščiausiojo Teismo Civilinių bylų skyriaus teisėjų kolegija, vadovaudamasi Sutarties dėl Europos Sąjungos veikimo 267 straipsnio 3 dalimi, Lietuvos Respublikos civilinio proceso kodekso 3 straipsnio 5 dalimi, 163 straipsnio 1 dalies 9 punktu, 340 straipsnio 5 dalimi, 356 straipsnio 5 dalimi,

Rezoliucinė dalis

nutaria:

Kreiptis į Teisingumo Teismą su prašymu priimti prejudicinį sprendimą šiais klausimais:

Ar Direktyvos 2015/2366 73 straipsnio 1 dalis, ta apimtimi, kuria joje nustatyta, kad valstybės narės užtikrina, jog neautorizuotos mokėjimo operacijos atveju mokėtojo mokėjimo paslaugų teikėjas nedelsdamas ir bet kuriuo atveju ne vėliau kaip iki kitos darbo dienos pabaigos po to, kai sužino arba būna informuotas apie operaciją, mokėtojui sugrąžintų neautorizuotos mokėjimo operacijos sumą, turi būti suprantama ir aiškinama taip, kad joje nustatyta mokėjimo paslaugų teikėjo pareiga nedelsiant grąžinti neautorizuotos mokėjimo operacijos sumą nelemia galutinio nuostolių paskirstymo tarp šalių, kai mokėtojas nėra vartotojas ir šalys, remdamosi Direktyvos 2015/2366 61 straipsnio 1 dalimi, yra susitarusios nukrypti nuo 74 straipsnio nuostatų?

Nepriklausomai nuo to, kaip būtų atsakyta į pirmąjį klausimą, ar Direktyvos 2015/2366 73 straipsnio 1 dalis, ta apimtimi, kuria joje nustatyta, kad valstybės narės užtikrina, jog neautorizuotos mokėjimo operacijos atveju mokėtojo mokėjimo paslaugų teikėjas nedelsdamas ir bet kuriuo atveju ne vėliau kaip iki kitos darbo dienos pabaigos po to, kai sužino arba būna informuotas apie operaciją, mokėtojui sugrąžintų neautorizuotos mokėjimo operacijos sumą, ir 74 straipsnio 2 dalis, ta apimtimi, kuria joje nustatyta, kad kai mokėtojo mokėjimo paslaugų teikėjas nereikalauja griežto kliento autentiškumo patvirtinimo, atsakomybė už finansinius nuostolius mokėtojui tenka tik tuomet, jei mokėtojas veikia nesąžiningai, gali būti suprantamos ir aiškinamos taip, kad mokėjimo paslaugų teikėjo atsakomybei taikyti turi būti nustatyta priežastinio ryšio tarp mokėjimo paslaugų teikėjo atliktų veiksmų (neveikimo) ir mokėtojo patirtos žalos sąlyga?

Nepriklausomai nuo to, kaip būtų atsakyta į pirmiau nurodytus klausimus, ar Direktyvos 2015/2366 73 straipsnio 1 dalis, ta apimtimi, kuria joje nustatyta, kad valstybės narės užtikrina, jog neautorizuotos mokėjimo operacijos atveju mokėtojo mokėjimo paslaugų teikėjas nedelsdamas ir bet kuriuo atveju ne vėliau kaip iki kitos darbo dienos pabaigos po to, kai sužino arba būna informuotas apie operaciją, mokėtojui sugrąžintų neautorizuotos mokėjimo operacijos sumą, ir 74 straipsnio 2 dalis, ta apimtimi, kuria joje nustatyta, kad kai mokėtojo mokėjimo paslaugų teikėjas nereikalauja griežto kliento autentiškumo patvirtinimo, atsakomybė už finansinius nuostolius mokėtojui tenka tik tuomet, jei mokėtojas veikia nesąžiningai, gali būti suprantamos ir aiškinamos taip, kad mokėjimo paslaugų teikėjo atsakomybė galėtų būti ribojama atsižvelgiant į nukentėjusio asmens veiksmus, tokius kaip prisijungimo prie mokėjimo paskyros duomenų atskleidimą tretiesiems asmenims dėl suklaidinimo?

Sustabdyti civilinės bylos nagrinėjimą iki Teisingumo Teismo sprendimo gavimo.

Ši Lietuvos Aukščiausiojo Teismo nutartis yra galutinė, neskundžiama ir įsiteisėja nuo priėmimo dienos.