Spørsmålet i saken

Den 15. oktober 2026 avsa EU-domstolen prejudisiell avgjørelse i sak C-70/25 Tukowiecka. Spørsmålet i saken var om en bank kan nekte å tilbakebetale beløpet for en uautorisert betalingstransaksjon med den begrunnelse at kunden ved grov uaktsomhet selv har muliggjort svindelen, jf. direktiv (EU) 2015/2366 [Betalingstjenestedirektivet 2015 (PSD 2)], artikkel 71 nr. 1 og 74 nr. 1.

Sakens bakgrunn 

Eieren av en bankkonto (heretter «eieren») i den polske banken PKO BP (heretter «banken») ble utsatt for såkalt phishing-svindel, en form for digital svindel og sosial manipulering. Svindleren hadde utgitt seg for å være interessert i å kjøpe en gjenstand som eieren hadde lagt ut for salg på internett. Svindleren sendte henne en lenke som fremstod å være tilknyttet den aktuelle salgsplattformen. Gjennom denne lenken kom eieren til en nettside som etterliknet bankens egen nettside. Her oppga eieren innloggingsopplysninger til nettbanken sin. 

Ved hjelp av disse opplysningene overførte svindleren 3000 polske zloty fra hennes konto. Transaksjonen ble fullført ved bruk av en bekreftelseskode på SMS.

Dagen etter oppdaget eieren forholdet og varslet både banken og politiet. Banken nektet imidlertid å tilbakebetale beløpet. Etter bankens syn skyldtes tapet at eieren ved grov uaktsomhet hadde tilsidesatt sin plikt til å beskytte sine personlige sikkerhetsopplysninger for betalinger.

I denne anledning har den polske domstolen forelagt EU-domstolen spørsmål om tolkningen av PSD 2.

Spørsmålet er om PSD 2 artikkel 73 nr. 1 og 74 nr. 1 skal tolkes slik at betalingstjenesteyter kan nekte å tilbakebetale beløpet for en uautorisert betalingstransaksjon umiddelbart, med begrunnelse om at de mener betaleren har brutt sine plikter etter PSD 2 artikkel 69. 

EU-domstolens vurdering

EU-domstolen innleder med at EU-retten skal tolkes i samsvar med dens ordlyd, kontekst og formål. Bestemmelsens tilblivelseshistorie kan også utgjøre et relevant element for tolkningen.

PSD2 artikkel 73 og 74 regulerer ansvar ved uautoriserte betalingstransaksjoner.

Etter PSD 2 artikkel 73 nr. 1 skal betalingstjenesteyteren som hovedregel tilbakebetale beløpet for en uautorisert betalingstransaksjon umiddelbart etter at den får kjennskap til transaksjonen. Detter gjelder imidlertid bare dersom forbrukeren har underrettet batalingstjenesteyteren snarest mulig, jf. artikkel 71 nr. 1.

PSD 2 artikkel 73 nr. 1 oppstiller ett unntak fra tilbakebetalingsplikten. Betalingstjenesteyteren har ikke plikt til å tilbakebetale beløpet dersom den har rimelig grunn til å mistenke bedrageri fra kundens side, og dette skriftlig meldes til kompetent nasjonal myndighet, jf. PSD 2 artikkel 73 nr. 1.

Bestemmelsens ordlyd oppstiller ikke grov uaktsomhet som et grunnlag for å nekte umiddelbar tilbakebetaling.

EU-domstolen viser videre til at kunden kan holdes ansvarlig for hele tapet dersom vedkommende forsettlig eller ved grov uaktsomhet har tilsidesatt sine plikter til å beskytte betalingsinstrumenter og sikkerhetsopplysninger, jf. PSD2 artikkel 74 nr. 1, jf. artikkel 69 nr. 2.

PSD 2 artikkel 73 og 74 fordeler risikoen mellom betalingstjenesteyteren og kundens ved fastleggelsen av deres rettigheter og plikter.

Hva PSD 2 artikkel 73 og 74 regulerer i forhold til hverandre, fremkommer ikke klart ut fra bestemmelsenes ordlyd. Artikkel 74 kan enten forstås slik at den gjør et unntak fra bankens plikt til umiddelbar tilbakebetaling etter artikkel 73 nr. 1, dersom det foreligger grov forsømmelse av kundens plikter etter artikkel 69. Artikkel 74 kan også tolkes slik at den bare regulerer størrelsen på bankens tilbakebetalingsplikt. I slikt tilfelle må banken tilbakebetale beløpet umiddelbart etter artikkel 73 nr.1, og i ettertid kreve dekket tapet i henhold til artikkel 74 nr. 1. 

Direktivets system, formål og historie trekker i retning av at sistnevnte tolkning er riktig. Hva gjelder direktivets system viser domstolen til at fortalepunkt nr. 71 gir uttrykk for at det eneste unntaket fra umiddelbar tilbakebetaling er det som direkte er regulert i artikkel 73 nr. 1. 

Etter artikkel 72 nr. 2 har betalingstjenesteyteren bevisbyrden for at kunden har handlet grovt uaktsomt. Denne regelen har som formål å sikre en effektiv gjennomførelse av tilbakebetalingen etter artikkel 73 nr. 1. 

EU-domstolen legger også vekt på direktivets formål om å sikre et høyt nivå av forbrukerbeskyttelse. En ordning hvor kunden må gå til søksmål for å få tilbakebetalt pengene sine, ville påføre kunden både kostnader og risiko og dermed undergrave direktivets beskyttelsesformål. Betalingstjenesteyteren kan likevel i ettertid kreve tilbakebetaling i samsvar med vilkårene i artikkel 74 nr. 1. 

Direktivets historie taler i samme retning. PSD 2 artikkel 73 nr. 1 skiller seg fra det tidligere direktiv 2007/64/EF, som ikke innførte noen unntak fra tilbakebetalingsplikten. Det at lovgiver uttrykkelig har innført et begrenset unntak fra tilbakebetalingsplikten ved mistanke om bedrageri fra kundens side, tilsier at dette også er det eneste unntaket.

EU-domstolens konklusjon 

PSD 2 artikkel 73 nr. 1 og 74 nr. 1 skal tolkes slik at betalingstjenesteyter ikke kan nekte å tilbakebetale beløpet for en uautorisert betalingstransaksjon umiddelbart, med begrunnelse om at de mener betaleren har brutt sine plikter etter PSD 2 artikkel 69. 

Betalingstjenestedirektivet (EU) 2015/2366 (PSD2) er innlemmet i EØS-avtalens IX.II, og gjennomført i norsk rett ved lov 18. desember 2020 nr. 146 om finansavtaler (finansavtaleloven).

Dommen viser at en betalingstjenesteyter må tilbakebetale en uautorisert betaling umiddelbart etter at den har fått varsel om at dette er skjedd. Den etterfølgende vurderingen av hvorvidt en kunde forsettlig eller grovt uaktsomt har brutt sine plikter til å beskytte betalingsinstrumenter og sikkerhetsopplysninger gir dommen ikke veiledning om. PSD 2 gir ikke veiledning for hva som ligger i «grovt uaktsomt» eller «forsettlig». Begrepene må derfor tolkes i samsvar med den nasjonale forståelsen av begrepene, jf. fortalepunkt 72 i PSD 2. 

CH