Bank przegrał apelację w sporze o pożyczkę zawartą przez oszustów

Zaskarżonym wyrokiem z dnia 3 stycznia 2024 r. w sprawie z powództwa W. H. i C. H. (1) przeciwko Bankowi (...) Spółce Akcyjnej z siedzibą w I., Sąd Rejonowy dla Łodzi-Śródmieścia w Łodzi:

1. ustalił, że nie istnieje pomiędzy W. H. a Bankiem (...) Spółką Akcyjną z siedzibą w I. stosunek prawny wynikający z umowy pożyczki numer (...) z 27 października 2022 roku;

2. zasądził od strony pozwanej Banku (...) Spółki Akcyjnej z siedzibą w I. na rzecz powodów W. H. i C. H. (1) solidarnie kwotę 4.384 zł tytułem zwrotu kosztów postępowania z ustawowymi odsetkami za opóźnienie od dnia uprawomocnienia się wyroku do dnia zapłaty.

Powyższe rozstrzygnięcie Sąd I instancji oparł na następujących ustaleniach faktycznych i rozważaniach prawnych:

W. H. 13 lutego 2015 roku zawarła umowę o prowadzenie konta dla osób fizycznych, kartę płatniczą oraz umowę ramową z (...) Spółką Akcyjną z siedzibą w I.. Umowa dotyczyła rachunku o numerze (...). Jako numer kontaktowy posiadacza konta wskazano nr (...). Stosownie do postanowień umowy ramowej jej przedmiotem było ustalenie formy zawierania przez strony m.in. umowy o dowolny produkt kredytowy. Zgodnie z §4 ust.2 umowy zawarcie umów o dowolny produkt kredytowy mogło zostać dokonane w formie pisemnej, a także w postaci elektronicznej przy użyciu środków komunikacji elektronicznej, w tym poprzez Kanały Bankowości Elektronicznej. Zawarcie umów poprzez Kanały Bankowości Elektronicznej było możliwe w sytuacji łącznego spełnienia warunków w postaci zawarcia przez T. odrębnej umowy o usługi bankowości elektronicznej oraz udostępnienia T. przez Bank funkcjonalności zawierania umów produktowych w poszczególnych Kanałach Bankowości Elektronicznej. Szczegółowe zasady korzystania z bankowości elektronicznej określał Regulamin świadczenia usług Bankowości Elektronicznej.

Bank (...) Spółka Akcyjna z siedzibą w I. (dalej: Bank (...) S.A.) jest następcą (...) Banku Spółki Akcyjnej.

Zgodnie z Regulaminem Ogólnym Świadczenia Usług Bankowych dla Osób Fizycznych w Banku (...) S.A. obowiązującym w stosunku do umów zawartych do 19 października 2021 roku określał on zasady m.in. korzystania za Kanałów Bankowości Elektronicznej. W § 2 Regulaminu sformułowano definicje pojęć używanych w jego dalszej treści i tak:

• Autoryzacja - wyrażenie przez Posiadacza rachunku/Posiadacza karty zgody na dokonanie transakcji płatniczej/Dyspozycji w formie wskazanej w Regulaminie ogólnym;

• Autoryzacja mobilna - funkcja Aplikacji mobilnej umożliwiająca Autoryzację oświadczeń, w tym oświadczeń składanych w placówce banku, zgodnie z zasadami wyrażonymi w § 57 Regulaminu;

• Autoryzacja oświadczenia - zgoda Użytkownika (...) na złożenie oświadczenia woli lub wiedzy o treści określonej w (...) w formie określonej w Regulaminie oraz wskazanej każdorazowo w komunikacie Banku, w tym wyrażenie zgody przez Użytkownika (...) na dokonanie transakcji płatniczej;

• Dane identyfikujące - dane, które powinny zostać wprowadzone przez Posiadacza rachunku lub osobę przez niego upoważnioną w celu uzyskania dostępu do (...). Dane te służą do identyfikacji Posiadacza rachunku lub osoby przez niego upoważnionej oraz podpisania oświadczenia złożonego w (...);

• Hasło mobilne - kod ustanowiony przez Użytkownika (...) w Aplikacji mobilnej;

• Hasło SMS - jednorazowy kod wysyłany na wcześniej Zdefiniowany numer telefonu;

• Hasło tymczasowe - hasło nadawane przez Użytkownika (...) w Centrum (...) lub przekazywane przez Bank w bezpiecznej kopercie;

• H@słol - kod ustanowiony przez Użytkownika (...) w ramach Usług bankowości elektronicznej i Usług bankowości telefonicznej;

• Kanały Bankowości Elektronicznej (dalej (...)) - usługa zdalnego dostępu do produktów i usług oferowanych przez Bank, umożliwiająca składanie oświadczeń woli i wiedzy. Do (...) należą:

a. Usługa bankowości elektronicznej - usługa polegająca na dostępie do rachunku płatniczego przez Internet, umożliwiająca sprawdzenie salda rachunku płatniczego, zmianę limitów dla płatności bezgotówkowych i transakcji dokonywanych przy użyciu Karty debetowej lub złożenie innego rodzaju dyspozycji do rachunku. Usługę tę stanowią:

i. X. - dostępny za pośrednictwem sieci Internet oraz komputera lub Urządzenia mobilnego wyposażonego w rekomendowaną przeglądarkę;

ii. Aplikacja mobilna - dostępna po zainstalowaniu przez Posiadacza rachunku oprogramowania Banku na podłączonych do Internetu Urządzeniach mobilnych oraz połączonych z nimi urządzeniach dodatkowych (w szczególności zegarkach typu smartwatch);

• Kod (...) 6 cyfrowy kod służący do Autoryzacji Płatności Mobilnych (...) dokonywanych przy użyciu Zaufanego urządzenia;

• PIN Mobilny - indywidualny kod wykorzystywany w Aplikacji mobilnej. Kod PIN jest ustalany podczas aktywacji Aplikacji mobilnej na Urządzeniu mobilnym;

• Silne uwierzytelnianie - oznacza uwierzytelnienie zapewniające ochronę poufności danych w oparciu o zastosowanie co najmniej dwóch elementów uwierzytelniania należących do kategorii:

a. wiedza (coś, co wie wyłącznie Posiadacz karty lub Użytkownik (...)),

b. posiadanie (coś, co posiada wyłącznie Posiadacz karty lub Użytkownik (...)),

c. cechy Posiadacza karty lub Użytkownika (...) (coś, co charakteryzuje Posiadacza karty lub Użytkownika (...)),

będących integralną częścią tego uwierzytelnienia oraz niezależnych w tym sensie, że naruszenie jednego z nich nie osłabia wiarygodności pozostałych;

• Uwierzytelnianie - procedura umożliwiająca Bankowi weryfikację tożsamości Posiadacza rachunku lub osoby przez niego upoważnionej bądź ważności stosowania konkretnego instrumentu płatniczego, łącznie ze stosowaniem Danych identyfikujących;

• Urządzenie mobilne - urządzenie elektroniczne pozwalające na odbieranie, przetwarzanie i wysyłanie danych za pośrednictwem sieci Internet, które może być przenoszone i używane w dowolnym miejscu oraz spełniające wymagania techniczne niezbędne do instalacji Aplikacji mobilnej;

• Użytkownik (...) Posiadacz rachunku lub pełnomocnik, który posiada dostęp do usługi bankowości elektronicznej lub Usługi bankowości telefonicznej;

• Zaufane urządzenie - urządzenie mobilne z zainstalowaną i aktywowaną aplikacją Banku;

• Zdefiniowany numer telefonu — numer telefonu na który Bank przesyła HasłaSMS.

Zgodnie z §17 ust. 4 Regulaminu U. uwierzytelnianie Użytkownika (...), może być wymagane w przypadku gdy: uzyskuje on dostęp do rachunku w trybie online, inicjuje elektroniczną transakcję płatniczą, przeprowadza za pomocą kanału zdalnego czynność, która może wiązać się z ryzykiem oszustwa związanego z wykonywanymi usługami płatniczymi lub innych nadużyć. Stosownie do §17 ust 5 Regulaminu w przypadku, gdy Bank, pomimo istniejącego obowiązku określonego w obowiązujących przepisach prawa, nie wymaga U. Uwierzytelniania, Użytkownik (...) nie ponosi odpowiedzialności za nieautoryzowane transakcje płatnicze, chyba że działał umyślnie. W §17 ust. 6 Regulaminu wskazano, że Każdy element uwierzytelnienia musi zostać ustanowiony i powiązany z Użytkownikiem (...). Zgodnie z postanowieniami Regulaminu elementy uwierzytelniania, z których mógł korzystać Użytkownik (...) obejmowały:

• Autoryzację mobilną;

• Bezpieczną kopertę,

• Dane aktywowane z wykorzystaniem modułu biometrycznego;

• H@słol;

• Hasło mobilne;

• Karta płatnicza;

• PIN;

• PIN Mobilny;

• Zaufana przeglądarka;

• Zaufane urządzenie;

• Zdefiniowany numer telefonu;

Stosownie do postanowień sformułowanych w § 57 Regulaminu Posiadacz rachunku i Bank mogli poprzez (...) w zakresie określonym w ust. 3 składać oświadczenia woli i wiedzy, w postaci elektronicznej (dalej: oświadczenie) w tym również dokonywać autoryzacji mobilnej oświadczeń składanych w Placówkach Banku. Za postać elektroniczną oświadczenia uznaje się cyfrowy zapis oświadczenia, prezentowany w sposób umożliwiający zapoznanie się z treścią oświadczenia i jego zrozumienie, w szczególności wyświetlany na ekranie urządzenia. Aktywacja Aplikacji mobilnej na urządzeniu jest równoznaczna z przypisaniem do Użytkownika (...) Zaufanego urządzenia. Każdorazowy dostęp do (...) przez Użytkownika (...) możliwy jest po podaniu Danych identyfikujących. W § 58 ust. 5 – 10 Regulaminu określono, że do złożenia Bankowi oświadczenia przez (...) wymagane jest dokonanie Autoryzacji oświadczenia. Bank potwierdza otrzymanie oświadczenia komunikatem za pośrednictwem użytego (...). Do oświadczenia złożonego przez (...), dołączane są Dane identyfikujące. Podpisanie przez Bank oświadczenia woli złożonego przez (...) następuje przez dołączenie podpisu elektronicznego w postaci certyfikatu Banku lub Danych identyfikujących w postaci danych osoby upoważnionej przez Bank. Dane identyfikujące wymagane w poszczególnych (...) oraz sposób Autoryzacji oświadczenia w poszczególnych (...) określa Tabela załączona do Regulaminu. Każdy z Posiadaczy Rachunku bankowego wspólnego otrzymuje indywidualne Dane do (...) i jest upoważniony do samodzielnego składania dyspozycji za pośrednictwem (...).

W § 95 Regulaminu wskazano, że Bank nie ponosi odpowiedzialności, jeżeli niewykonanie lub nienależyte wykonanie transakcji płatniczej jest wynikiem działania siły wyższej, wynika z przepisów prawa. Bank nie ponosi odpowiedzialności także z tytułu udostępnienia osobom trzecim przez Posiadacza rachunku poufnego hasła, numeru X. oraz udostępnienia przez Posiadacza rachunku Haseł SMS potwierdzających operacje w (...). Bank nie ponosi odpowiedzialności także w przypadku braku powiadomienia Banku przez Posiadacza rachunku stwierdzonych nieautoryzowanych, niewykonanych lub nienależycie wykonanych transakcjach płatniczych, niezwłocznie, jednak nie później niż w terminie 13 miesięcy od dnia obciążenia Rachunku bankowego albo od dnia, w którym transakcja miała być wykonana. Zgodnie z postanowieniami § 96 Regulaminu jeżeli Bank ponosi odpowiedzialność zgodnie z § 95, niezwłocznie przywraca obciążony Rachunek bankowy do stanu, jaki istniałby, gdyby nie miało miejsca niewykonanie lub nienależyte wykonanie transakcji płatniczej.

W przypadku usługi (...) identyfikujące obejmowały X. i dodatkowo: Autoryzację mobilną lub Dane aktywowane z wykorzystaniem modułu biometrycznego lub Dane osobowe lub H@słol, lub PIN Mobilny, lub Zaufaną przeglądarka, lub Zaufane urządzenie; lub Zdefiniowany numer telefonu. Autoryzacja oświadczenia poprzez usługę (...) wymagała przycisku „Akceptuj”, (...), itp. lub dodatkowo Autoryzacji mobilnej lub Danych aktywowanych z wykorzystaniem modułu biometrycznego, lub PIN Mobilny, lub Zaufanej przeglądarki, lub Zaufanego urządzenia, lub Zdefiniowanego numeru telefonu.

W przypadku usługi (...) mobilnej Dane identyfikujące obejmowały X. i dodatkowo: Dane aktywowane z wykorzystaniem modułu biometrycznego lub Dane osobowe, lub PIN Mobilny, lub Zaufane urządzenie, lub Zdefiniowany numer telefonu. Autoryzacja oświadczenia poprzez Aplikację mobilną wymagała przycisku „Akceptuj”, (...), itp. lub dodatkowo Danych aktywowanych z wykorzystaniem modułu biometrycznego, lub H@sła1, lub Hasła mobilnego, lub PIN Mobilny, lub Zaufanego urządzenia, lub Zdefiniowanego numeru telefonu.

W trakcie trwania umowy Bank (...) S.A. przesyłał na konto bankowości elektronicznej W. H. i C. H. (2) ostrzeżenia o atakach phishingowych.

W. H. wystawiła w intrenecie ogłoszenie o sprzedaży kombinezonu dziecięcego zimowego na portalu (...). Poprzez komunikator X. skontaktowała się z nią rzekomo zainteresowana ww. przedmiotem osoba. W. H. przesłała link do produktu, a następnie na prośbę rzekomego kupca przesłała swój adres e-mail, wymagany przez portal (...), co zostało potwierdzone przez ww. osobę zdjęciem ekranu. Następnie na adres poczty elektronicznej W. H. przyszła wiadomość sygnowana logo portalu (...) w której widniał przycisk „potwierdź zamówienie”. W. H. kliknęła ten przycisk, który przeniósł ją na stronę, na której widniały logotypy różnych banków, w tym Banku (...) S.A.

W. H. „kliknęła” w ikonę swojego banku i zalogowała się, tak jak to robi zazwyczaj do swojego konta, tj. podając swój login, hasło i numer PESEL. Strona, na którą została przeniesiona, w jej ocenie wyglądała identycznie jak strona, na której zazwyczaj loguje się do bankowości elektronicznej. Po zalogowaniu W. H. otrzymała informację, że za chwilę zadzwoni do niej ktoś z banku i poda kod do potwierdzenia zamówienia, a ona musi ten kod wpisać w ciągu 5 sekund. W. H. otrzymała telefon od Banku (...) S.A. W rozmowie został podany kod, który służył do aktywacji aplikacji mobilnej na nowym urządzeniu Samsung (...). Po otrzymaniu kodu W. H. wpisała go w system w którym była zalogowana. W treści ogłoszenia o sprzedaży na portalu (...) W. H. nie zamieściła numeru konta, na które miały zostać przelane pieniądze za wystawiony kombinezon, wobec czego sądziła, że koniecznym jest zalogowanie się do banku, żeby portal (...) wiedział, gdzie przesłać pieniądze z tytułu sprzedaży.

O godzinie 20:37:33 w dniu 27 października 2022 roku z konta bankowości elektronicznej przypisanego do W. H. został złożony wniosek kredytowy nr (...), w którym jako wnioskodawczyni została wskazana W. H.. W treści wniosku wskazano, że miesięczne wydatki na utrzymanie gospodarstwa domowego wnioskodawcy wynoszą 450 zł, a poziom jego całkowitego zadłużenia nie przekracza kwoty 155.458 zł. Wniosek dotyczył udzielenia pożyczki przez Bank (...) S.A w kwocie 10.200 zł na 84 miesiące spłaty z powiększeniem tej kwoty o kwotę prowizji i składki z tytułu zawarcia umowy ubezpieczenia Bezpieczna Pożyczka. Spłaty miały być dokonywane automatycznie. Wniosek kredytowy został przesłany z urządzenia o nr IP 5.173.33.93. Akceptacja wniosku nastąpiła na podstawie zgodnego X., H@sła1 oraz znaków z identyfikatora. Jako środki autoryzujące oświadczenie wskazano zgodne naciśnięcie przycisku akceptacji oraz H@sła SMS/autoryzacja mobilna.

Bank (...) S.A. 27 października 2022 roku zawarł umowę pożyczki gotówkowej nr (...), w której jako pożyczkobiorca została wskazana W. H.. W treści umowy wskazany został nr PESEL – (...). Zgodnie z postanowieniami umowy, pożyczkobiorcy została udzielona pożyczka w kwocie 10.200 zł. Całkowita kwota do zapłaty wynosiła 19.552,94 zł. Pożyczka miała być spłacona w 84 miesięcznych ratach po 229,61 zł każda, płatnych do 1 dnia każdego miesiąca. Rzeczywista Roczna Stopa Oprocentowania wynosiła 22,53 %. Pożyczka była oprocentowana według zmiennej stopy oprocentowania wynoszącej 11,100 %. Prowizja wynosiła 406,98 zł, a składka ubezpieczeniowa 2.762,06 zł. Kwota udzielonej pożyczki została przelana na konto W. H. o godzinie 20:38 27 października 2022 roku.

Umowa pożyczki została zaakceptowana przy użyciu urządzenia o nr. IP 5.173.33.93, z zastosowaniem danych identyfikujących w postaci X., H@sła 1 oraz znaków z identyfikatora. Autoryzacja oświadczenia przez klienta nastąpiła przez zgodne naciśnięcie przycisku akceptacji i H@sła SMS/Autoryzacja mobilna. Wniosek o pożyczkę został złożony za pośrednictwem usługi (...). W ten sam sposób potwierdzono pełnomocnictwo dla Banku (...) S.A.

W. H. nie miała woli zawarcia umowy pożyczki, nie składała wniosku o jej zawarcie, ani także nie upoważniła osób trzecich do zawarcia umowy pożyczki w jej imieniu. W. H. nie skorzystała z środków płynących z udzielonej pożyczki.

Po przelaniu środków z tytułu udzielonej pożyczki na konto W. H. i C. H. (1) nastąpiła wypłata (...) kwoty 1.000 zł z bankomatu w F. oraz dokonano 4 przelewów natychmiastowych na 3 różne konta bankowe tytułując przelewy nazwą usługi przelewu natychmiastowego. Łączna kwota przelanych środków wyniosła 8.000 zł. Przelewy zostały dokonane od godziny 20:39:53 do 20:45:53, zaś wypłata (...) nastąpiła o godzinie 20:43:25.

Po uzyskaniu informacji o rzekomym zawarciu umowy pożyczki w drodze wiadomości SMS- tj o godzinie 20:41 w dniu 27 października 2022 roku W. H. skontaktowała się telefonicznie z Bankiem (...) S.A. w celu zgłoszenia wystąpienia oszustwa i dokonania z użyciem jej konta bankowego nieautoryzowanych transakcji. W odpowiedzi na zgłoszenie Bank (...) S.A. wskazał, że nie może uznać tego zgłoszenia, gdyż instalacja i aktywacja aplikacji mobilnej, pożyczka, przelewy i wypłata (...) były prawidłowo uwierzytelnione i zostały wykonane zgodnie ze złożonymi zleceniami. Bank (...) zaznaczył, iż nie zostały złamane jego zabezpieczenia, a także nie było awarii jego systemów oraz innych usterek mających wpływ na wykonane operacje i transakcje. Dalej Bank (...) S.A. opisał przebieg zdarzeń z 27 października 2022 roku. W pierwszej kolejności Bank (...) odnotował prawidłowe logowanie do aplikacji X. przy użyciu danych W. H. w postaci X., indywidualnego hasła znanego tylko klientce, a także wybranych dwóch cyfr z wybranego identyfikatora – nr F. lub dokumentu tożsamości. Następnie została dokonana instalacja aplikacji mobilnej przy użyciu należących do W. H. kodów do logowania na urządzeniu Samsung (...). Zainstalowana aplikacja została aktywowana z użyciem danych do logowania, połączenia z infolinią banku na nr (...) oraz wprowadzenia 3-cyfrowego kodu w aktywowanej aplikacji, otrzymanej podczas kontaktu z infolinią. O 20:32 Bank (...) S.A. odnotował wpłynięcie wniosku o zawarcie umowy pożyczki na kwotę 10.200 zł. Złożenie wniosku zostało potwierdzone w aplikacji mobilnej. O godzinie 20:36 Bank (...) S.A. miał potwierdzić aktywację aplikacji mobilnej w wiadomości sms na nr (...). O godzinie 20:38 została zawarta umowa pożyczki. Bank (...) S.A. odnotował niezbędne czynności do zawarcia umowy i wypłacił pieniądze na konto W. H.. W kolejnych minutach zostały zlecone przelewy na łączną kwotę 8.000 zł, a także została przeprowadzona wypłata (...) na kwotę 1.000 zł z użyciem urządzenia Samsung (...). W tak przedstawionym stanie faktycznym Bank (...) S.A. wskazał, iż W. H. nie uprawdopodobniła, że to nie ona wyraziła zgodę na zawarcie umowy pożyczki. Wszystkie zaś transakcje przy użyciu bankowości elektronicznej zostały przeprowadzone w sposób prawidłowy i uwierzytelniony.

W piśmie datowanym na 22 listopada 2022 roku W. H. wniosła do Banku (...) S.A. o ponowne rozpatrzenie sprawy. Wskazała, że niezwłocznie po wykryciu oszustwa zadzwoniła na infolinię banku w celu zabezpieczenia konta. Od chwili zatelefonowania do momentu zablokowania konta minęło kilka minut, w którym to czasie były wykonywane przelewy oraz wypłata w bankomacie. W. H. podkreśliła, że transakcje zostały wykonane przez telefon, który nie znajduje się w jej posiadaniu. Nadto zwróciła uwagę, że wypłata z bankomatu miała miejsce w F., podczas gdy W. H. zamieszkuje w L.. W. H. wskazała także, że współposiadaczem konta jest jej małżonek C. H. (1), który powinien zostać poinformowany o pożyczce udzielanej na to konto i także potwierdzić tę transakcję. O przelewach C. H. (1) został poinformowany z 30 minutowym opóźnieniem. W. H. wskazała, że o innych jej transakcjach C. H. (1) był powiadamiany w ciągu kilku sekund. W. H. zwróciła się do Banku (...) o anulowanie pożyczki wraz z odsetkami.

W odpowiedzi na pismo W. H. Bank (...) S.A. wskazał, iż nie znalazł podstaw do uznania nieistnienia umowy pożyczki. Podniósł, że wszystkie kwestionowane transakcje były autoryzowane, czyli uwierzytelnione. Bank (...) S.A. zaznaczył, że 27 października 2022 roku została poprawnie aktywowana aplikacja mobilna na nowym urządzeniu, która do aktywacji wymagała zalogowania się z użyciem X. oraz H@sła1, a także wpisania 3-cyfrowego kodu, który został przekazany w rozmowie telefonicznej na numer telefonu przypisany do konta. Tekst, który miała w rozmowie telefonicznej usłyszeć W. H. brzmiał: „Zaczynasz aktywację aplikacji mobilnej Banku (...). Jeśli to nie Twoje zlecenie to rozłącz się i skontaktuj się z bankiem. Za chwilę usłyszysz poufny 3-cyfrowy kod. Wprowadź go wyłącznie w aktywowanej aplikacji mobilnej Banku. Pracownicy Banku nigdy nie proszą o ten kod. Nie podawaj go nikomu. Jeśli ktokolwiek poprosi Cię o kod podczas połączenia telefonicznego, rozłącz się i skontaktuj z Bankiem. Numer telefonu znajdziesz na stronie internetowej Banku. Twój poufny kod to: XXX”. Bank (...) S.A. wskazał, iż następnie został przesłany SMS zawierający potwierdzenie aktywacji aplikacji mobilnej na nowym urządzeniu – Samsung SM-(...). W treści wiadomości miało być wskazane, że w przypadku nie potwierdzania tej aktywacji należy skontaktować się z Bankiem. Wniosek kredytowy został złożony poprzez potwierdzenie przyciskiem akceptacji. Po zweryfikowaniu wniosku została zawarta umowa pożyczki, która została potwierdzona logowaniem do bankowości elektronicznej i kliknięciem przycisku akceptacji na przypisanym urządzeniu. Po zatwierdzeniu oświadczenia bank miał wysłać potwierdzenie do aplikacji i usługi (...). Pożyczka została wypłacona na konto W. H. i nastąpiła seria zleceń przelewów oraz wypłata (...) z bankomatu. Bank wskazał, że każda z transakcji była prawidłowo uwierzytelniona poprzez logowanie się do bankowości elektronicznej i aplikacji mobilnej.

W. H. 27 października 2022 roku złożyła na policji zawiadomienie o popełnieniu przestępstwa na jej niekorzyść. 3 listopada 2022 roku zostało wszczęte dochodzenie o przestępstwo określone w art. 287 §1 k.k. i art. 279 §1 k.k. w zw. z art. 11 §2 k.k., które toczyło się pod nadzorem Prokuratury Rejonowej L. – M. w L. na Komisariacie VIII Policji w L..

Wnioskiem o udostępnienie danych ze zbioru danych osobowych Komisariat VIII Policji KMP w L. zwrócił się do Banku (...) S.A. o wskazanie jakiego typu były transakcje kwestionowane przez W. H., z jakiego adresu IP były zlecane, a także jak zostały autoryzowane. W odpowiedzi Bank (...) S.A. Przedstawił tożsame stanowisko jak w odpowiedziach na reklamacje W. H..

W. H. w 1 grudnia 2022 roku i 2 stycznia 2023 roku wpłaciła na rzecz Banku (...) S.A. kwoty po 229,61 zł z tytułu rat wynikających z umowy pożyczki z 27 października 2022 roku.

Powyższy stan faktyczny Sąd I instancji ustalił w oparciu o zgromadzony w sprawie materiał dowodowy, w tym na podstawie dokumentów złożonych przez strony postępowania. Autentyczność i wiarygodności zaoferowanych przez strony dokumentów nie była kwestionowana przez żadną ze stron, ani także nie budziła wątpliwości Sądu. Swoje ustalenia faktyczne Sąd poczynił również w oparciu o przesłuchanie powódki w charakterze strony. Sąd dał wiarę zeznaniom powódki w zakresie, w jakim przedstawiane przez nią informacje znajdowały pokrycie w danych płynących z dokumentów złożonych do akt sprawy.

Sąd I instancji uznał powództwa za zasadne w całości.

Sąd Rejonowy wskazał, że zgodnie z treścią art. 189 k.p.c. powód może żądać ustalenia przez sąd istnienia lub nieistnienia stosunku prawnego lub prawa, gdy ma w tym interes prawny. Cytowany przepis, choć zamieszczony w ustawie o postępowaniu cywilnym, ma w istotnym zakresie charakter materialnoprawny. Przyznaje bowiem prawo do ochrony praw podmiotowych w szczególnej formie, nieznanej innym przepisom prawa materialnego, tj. poprzez ustalenie istnienia prawa lub stosunku prawnego. Wskazać należy, że przedmiotem ustalenia w drodze powództwa przewidzianego w art. 189 k.p.c. mogą być prawa i stosunki prawne, dla ustalenia których właściwa jest droga procesu cywilnego (np. ustalenie nieistnienia/ nieważności umowy) a przesłanką merytoryczną takiego powództwa jest interes prawny, rozumiany jako potrzeba ochrony sfery prawnej powoda, którą może uzyskać przez samo ustalenie stosunku prawnego lub prawa (por. wyrok SN z 10.06.2011 r., II CSK 568/10). Wskazany w treści art. 189 k.p.c. interes prawny, jako merytoryczna przesłanka powództwa o ustalenie stosunku prawnego lub prawa, decyduje o dopuszczalności badania i ustalania prawdziwości twierdzeń powoda, że wymienione w pozwie prawo rzeczywiście istnieje. W konsekwencji przeprowadzenie badania przez Sąd, czy dane prawo faktycznie przysługuje powodowi, jest uzależnione od uprzedniego wykazania przez powoda przesłanek, w tym przede wszystkim interesu prawnego, umożliwiających udzielenie ochrony prawnej przewidzianej w art. 189 k.p.c. Należy wskazać, że ocena w zakresie istnienia bądź nieistnienia interesu prawnego, jako przesłanki powództwa przewidzianego w art. 189 k.p.c. nie może być dokonywana w sposób schematyczny, lecz z uwzględnieniem konkretnych okoliczności sprawy. Nie każdy fakt istnienia innej formy ochrony praw, niweczy automatycznie interes prawny jako materialnoprawnej przesłanki powództwa o ustalenie (por. wyrok SN z dnia 8.05.2001 r., I CKN 1111/00).

Sąd I instancji powołał się na ukształtowany w orzecznictwie pogląd, że interes prawny w ustaleniu istnienia/nieistnienia stosunku prawnego zachodzi wówczas, jeżeli sam skutek, jaki wywoła uprawomocnienie się wyroku ustalającego, zapewni powodowi ochronę jego prawnie chronionych interesów, czyli definitywnie zakończy spór istniejący lub prewencyjnie zapobiegnie powstaniu takiego sporu w przyszłości (por. wyrok Sądu Najwyższego z dnia 18 czerwca 2009 r., II CSK 33/09, OSNC 2010, Nr B, poz. 47).

Sąd Rejonowy wskazał, że w przedmiotowej sprawie między stronami powstała sytuacja prawna, w której doszło do wątpliwości w zakresie zawarcia przez strony umowy pożyczki i dlatego koniecznym było orzeczenie o tym stosunku przez Sąd w wyroku.

W ocenie Sądu I instancji powodowie w niniejszej sprawie legitymowali się interesem prawnym w ustaleniu nieistnienia umowy pożyczki z 27 października 2022 roku. Znajdowali się bowiem w stanie niepewności co do wynikających z tej umowy obowiązków, a ich niepewność wynikała z zawarcia umowy pożyczki przez osobę, która „podszyła się” pod W. H.. Z tego stanu niepewności mogłyby wyniknąć negatywne konsekwencje dla powodów. W przypadku bowiem przyjęcia, że umowa nie istnieje w konsekwencji nie istniej podstawa do uiszczania rat, pozwany mógłby wytoczyć przeciwko nim powództwo o zapłatę całej kwoty pożyczki. W ocenie Sądu Rejonowego powodom przysługiwał więc interes prawny w rozumieniu art. 189 k.p.c. w tym, by stan niepewności co do swoje sytuacji prawnej usunąć. Sąd I instancji zaznaczył, że w takim stanie faktycznym powodowie nie dysponowali innym instrumentem prawnym, który chroniłby ich interes zapewniając taki sam skutek. Mając powyższe na uwadze Sąd Rejonowy doszedł do przekonania, że powodowie byli co do zasady uprawnieni do domagania się ustalenia nieistnienia umowy pożyczki z 27 października 2022 roku.

Sąd I instancji podkreślił, że w niniejszej sprawie W. i C. H. (1) dochodzili uznania za nieistniejącą umowy pożyczki nr (...), powołując się na fakt, iż nie została zawarta przez W. H., a przez podszywającą się pod nią, nieustaloną osobę, która podstępem uzyskała jej dane do bankowości elektronicznej. Pozwany podnosił, iż powódka swoim działaniem - udostępnieniem danych osobie trzeciej - doprowadziła do zawarcia przedmiotowej umowy, a także, że umowa, jak i wszystkie następujące po niej transakcje, zostały prawidłowo uwierzytelnione, wobec czego zarówno umowa jak i one są ważne i skuteczne. Nadto pozwany podniósł, że to powódka wpisała podany w rozmowie telefonicznej poufny kod, którym to działaniem dopuściła do aktywacji aplikacji mobilnej na nowym, nienależącym do niej urządzeniu.

Sąd Rejonowy wskazał, że kwestionowana w przedmiotowej sprawie umowa stanowi umowę pożyczki, która jest również umową o kredyt konsumencki. Zgodnie z treścią art. 5 pkt 13 ustawy z dnia 12 maja 2011 r. o kredycie konsumenckim (t.j. Dz. U. z 2023 r. poz. 1028) umowa o kredyt konsumencki może być zawierana na odległość, czyli bez jednoczesnej obecności obu stron, przy wykorzystaniu środków porozumiewania się na odległość.

Sąd I instancji przyjął, że zawieranie umów o kredyt konsumencki za pośrednictwem środków porozumiewania się na odległość nie jest wyłączone przez art. 29 ustawy o kredycie konsumenckim i art. 10 ust. 1 dyrektywy Parlamentu Europejskiego i Rady 2008/48/WE z dnia 23 kwietnia 2008 r. w sprawie umów o kredyt konsumencki, a zatem umowa ta może zostać zawarta zarówno w formie pisemnej, jak i „na trwałym nośniku” (zob. Tomasz Czech, Kredyt konsumencki. Komentarz, (...), 2018). Do skutecznego zawarcia umowy pożyczki konieczne jest ustalenie, że doszło do złożenia skutecznych i zgodnych oświadczeń woli dwóch stron - pożyczkodawcy i pożyczkobiorcy. Tymczasem w okolicznościach przedmiotowej sprawy pojawiły się w tym zakresie wątpliwości.

Sąd Rejonowy wskazał, że zgodnie z treścią przepisu art. 60 k.c., z zastrzeżeniem wyjątków w ustawie przewidzianych, wola osoby dokonującej czynności prawnej może być wyrażona przez każde zachowanie się tej osoby, które ujawnia jej wolę w sposób dostateczny, w tym również przez ujawnienie tej woli w postaci elektronicznej (oświadczenie woli). Zgodnie zaś z art. 61 §1 i § 2 oświadczenie woli, które ma być złożone innej osobie, jest złożone z chwilą, gdy doszło do niej w taki sposób, że mogła zapoznać się z jego treścią. Odwołanie takiego oświadczenia jest skuteczne, jeżeli doszło jednocześnie z tym oświadczeniem lub wcześniej (§1). Oświadczenie woli wyrażone w postaci elektronicznej jest złożone innej osobie z chwilą, gdy wprowadzono je do środka komunikacji elektronicznej w taki sposób, żeby osoba ta mogła zapoznać się z jego treścią (§2). Przepis ten wyraża zasadę swobody formy, wedle której wola osoby skierowana na wywołanie zamierzonego skutku prawnego związanego z dokonywaną czynnością prawną, może być uzewnętrzniona w każdy dowolny sposób, ujawniający ją tak, że staje się dostatecznie zrozumiała dla adresata. W konsekwencji ujawnienie woli osoby dokonującej czynności prawnej może nastąpić także w sposób dorozumiany, przez jakiekolwiek zachowanie się, uzewnętrzniające tę wolę w sposób obiektywnie zrozumiały, które wyraża wolę wywołania skutków prawnych, objętych treścią czynności prawnej. Złożenie oświadczenia może być zarówno jednostkową czynnością, jak i całym procesem zachowań podmiotu składającego to oświadczenie, o ile w oparciu o całokształt okoliczności można podmiotowi składającemu oświadczenie przypisać zamiar wywołania określonych skutków prawnych, czyli gdy zachowanie to niesie za sobą określony komunikat mający wywołać skutki prawne (por. Wyrok SN z 22.02.2017 r., IV CSK 179/16, LEX nr 2271465). Przepis ten umożliwia zatem składanie oświadczeń woli skutkujących, np. zawarciem umowy w formie elektronicznej. Aby jednak mówić, że doszło do czynności prawnej polegającej na zawarciu umowy konieczne jest w pierwszej kolejności ustalenie, że doszło do złożenia dwóch zgodnych oświadczeń woli, a następnie, że oświadczenia te były skuteczne. Czym innym jest bowiem ustalenie, że doszło do faktu złożenia oświadczenia woli, a czym innym ustalenie, że oświadczenie to było skuteczne.

Sąd I instancji wskazał przy tym, że o fakcie złożenia oświadczenia woli decydują w szczególności okoliczności, czy składający oświadczenie w ogóle wyraził swoją wolę – w zasadzie w dowolnej formie, o ile forma ta w wystarczający sposób wolę tę ujawniła oraz czy oświadczenie to doszło do adresata w rozumieniu art. 61 § 2 k.c. Natomiast o skuteczności złożonego oświadczenia decydują w szczególności takie okoliczności, jak zdolność do czynności prawnych, forma czy należyte umocowanie. Regulację odnoszącą się do składania oświadczeń woli w formie elektronicznej odnaleźć można w art. 781 § 1 k.c., który wskazuje, że do zachowania elektronicznej formy czynności prawnej wystarcza złożenie oświadczenia woli w postaci elektronicznej i opatrzenie go kwalifikowanym podpisem elektronicznym. Stosownie do § 2 tego przepisu oświadczenie woli złożone w formie elektronicznej jest równoważne z oświadczeniem woli złożonym w formie pisemnej. Mając na względzie regulacje zawarte w art. 772 i art. 773 k.c. wskazać należy, że oświadczenie woli złożone w formie elektronicznej można uznawać za dokument.

Prawo bankowe dopuszcza składanie oświadczeń woli związanych z dokonywaniem czynności bankowych w postaci elektronicznej, stanowiąc przy tym, że czynność dokonana w tej formie spełnia wymagania formy pisemnej, w tym formy pisemnej zastrzeżonej pod rygorem nieważności (art. 7 ust. 1 i 3 Prawa bankowego). Jednakże czynność mająca na celu uzewnętrznienie oświadczenia woli musi pochodzić bezpośrednio od osoby, która zamierza danej czynności prawnej dokonać. Osoba ta musi przejawiać świadomość i zamiar dokonania określonej czynności prawnej. Musi podjąć skonkretyzowane działanie, zmierzające do celu, jakim jest wstąpienie w dany stosunek prawny, np. stosunek zobowiązaniowy. Innymi słowy musi podjąć zachowanie skierowane na wywołanie zamierzonego przez stronę skutku prawnego, związanego z dokonywaną czynnością.

Sąd Rejonowy podniósł, że w przedmiotowej sprawie wskazane elementy oświadczenia woli nie wystąpiły, co czyni sporną umowę nieistniejącą. Stwierdzić należało, że Powódka nie miała woli zawarcia umowy pożyczki nr (...) z 27 października 2023 roku. Powódka nigdy nie złożyła oświadczenia woli, którego skutkiem byłoby zawarcie przedmiotowej umowy pożyczki. Powódka nie wyrażała chęci zawarcia pożyczki, ani także nie podejmowała jakichkolwiek świadomych czynności, których celem byłoby zwarcie umowy pożyczki. Umowa będąca przedmiotem sprawy została zawarta poprzez sieć Internet, z wykorzystaniem bankowości elektronicznej, co stanowi podstawę do przywołania przepisów ustawy z dnia 19 sierpnia 2011 r. o usługach płatniczych (t.j. Dz. U. z 2022 r. poz. 2360 z późn. zm., dalej: u.u.p.).

W art. 40 ust. 1 u.u.p. wskazano, że transakcję płatniczą uważa się za autoryzowaną, jeżeli płatnik wyraził zgodę na wykonanie transakcji płatniczej w sposób przewidziany w umowie między płatnikiem a jego dostawcą. Zgoda może dotyczyć także kolejnych transakcji płatniczych. Treść przywołanego przepisu prowadzi do konkluzji, że uznanie konkretnej transakcji za autoryzowaną wymaga, by została ona dokonana bezpośrednio przez płatnika lub za jego zgodą przez osobę upoważnioną, w sposób, który przewiduje umowa zawarta z bankiem o prowadzenie rachunku. Dokonanie transakcji płatniczej bez zgody posiadacza rachunku należy uznać za transakcję nieautoryzowaną.

W przepisach u.u.p. wskazano, że uwierzytelnianie stanowi procedurę umożliwiającą dostawcy usług płatniczych weryfikację tożsamości użytkownika lub ważności stosowania konkretnego instrumentu płatniczego, łącznie ze stosowaniem indywidualnych danych uwierzytelniających (art. 2 pkt 33b u.u.p.) Indywidualne dane uwierzytelniające to z kolei indywidualne dane zapewniane użytkownikowi przez dostawcę usług płatniczych do celów uwierzytelnienia. Sąd I instancji zauważył, iż w treści Regulaminu Ogólnego Świadczenia Usług Bankowych obowiązującego strony dokonano zdefiniowania pojęć „uwierzytelniania” i „autoryzacji oświadczenia”. Definicja pierwszego pojęcia jest niemalże tożsama z definicją sformułowaną w ustawie. Z kolei pod pojęciem „autoryzacji oświadczenia” strony w przedmiotowym przypadku rozumiały zgodę użytkownika bankowości elektronicznej na złożenie oświadczenia woli lub wiedzy o treści określonej w bankowości elektronicznej w formie określonej w Regulaminie oraz wskazanej każdorazowo w komunikacie Banku, w tym wyrażenie zgody przez Użytkownika (...) na dokonanie transakcji płatniczej.

Sąd Rejonowy wywnioskował, że powyższe wskazuje wyraźnie na rozdzielenia znaczenia pojęć „uwierzytelnienia” i „autoryzacji”. Autoryzacja wiąże się ze zgodą posiadacza rachunku na wykonanie transakcji płatniczej poprzez procedurę uwierzytelnienia. Sąd I instancji stwierdził, że przeprowadzenie samej procedury uwierzytelniającej bez wyrażenia jednoznacznej i wyraźnej zgody posiadacza rachunku bankowego na jej przeprowadzenie, nie doprowadzi do dokonania autoryzowanej transakcji płatniczej. Powyższe prowadzi do stwierdzenia, że transakcja płatnicza, by była autoryzowana, musi zawierać oświadczenie woli osoby uprawnionej do zawarcia transakcji, które winno być złożone w odpowiedniej formie. Brak jednego z tych elementów powodować będzie uznanie transakcji za nieautoryzowaną. Konstatując powyższe Sąd Rejonowy wskazał, że transakcją nieautoryzowaną, będzie taka, która została wprawdzie uwierzytelniona, ale na to uwierzytelnienie nie wyraził zgody posiadacz rachunku, bądź upoważniona przez niego osoba.

Według Sądu I instancji, w przedmiotowym przypadku zgodnie z Regulaminem obowiązującym strony uwierzytelnienie oświadczenie poprzez aplikację mobilną wymagało zalogowania się do niej, kliknięcia przycisku (...), (...), bądź innego podobnie brzmiącego lub dodatkowo Danych aktywowanych z wykorzystaniem modułu biometrycznego, lub H@sła1, lub Hasła mobilnego, lub PIN Mobilny, lub Zaufanego urządzenia, lub Zdefiniowanego numeru telefonu. Przedmiotowa umowa pożyczki została uwierzytelniona poprzez aplikację mobilną, zainstalowaną na nowym urządzeniu. Jednocześnie urządzenie to nie należało do powódki. Sąd Rejonowy wskazał, że choć powódka umożliwiła dostęp do aplikacji poprzez swoją nieostrożność, o tyle nie wyraziła ona zgody na zawarcie umowy pożyczki. Sąd I instancji wskazał, że nawet w przypadku, gdyby uznać, że instalacja aplikacji na nowym urządzeniu została przeprowadzona za zgodą Powódki, o tyle nie sposób utożsamić zgody na instalację ze zgodą na zawarcie umowy pożyczki. Sąd Rejonowy wskazał, że samo logowanie się do aplikacji, czy też bankowości internetowej i potwierdzenie transakcji, dokonane bez zgody posiadacza rachunku stanowi jedynie uwierzytelnienie transakcji, nie zaś jej autoryzację.

W przedmiotowym stanie faktycznym czynności podjęte elektronicznie, których wynikiem była akceptacja umowy pożyczki nie zostały dokonane przez któregokolwiek z powodów. O dokonaniu tychże czynności ani powódka, ani powód nie wiedzieli. Powodowie jako posiadacze rachunku bankowego nie wyrażali także zgody na zawarcie umowy pożyczki. Akceptacja warunków przedmiotowej umowy pożyczki została dokonana przez nieznaną osobę trzecią, która nie posiadała upoważnienia od powodów na przeprowadzenie takiej transakcji. Sąd I instancji wskazał, iż w ustalonym stanie faktycznym brak jest wskazania, że powodowie podjęli jakiekolwiek czynności, które prowadziły do zawarcia umowy kredytowej. Powódka wprawdzie udostępniła nieświadomie swoje dane do bankowości elektronicznej, jednakże nie jest to jednoznaczne ze zgodą na zawarcie umowy pożyczki, tj. na jej autoryzację.

Należy podkreślić, iż powodowie nie mieli woli zawarcia umowy pożyczki. Czynności, które doprowadziły do tego, w których powódka miała swój udział, nie były objęte jej wolą co do zawarcia umowy pożyczki. Celem podejmowanych przez Powódkę czynności pod kierunkiem nieznanej osoby trzeciej było otrzymanie zapłaty za towar sprzedawany w Internecie, nie zaś zawarcie umowy pożyczki. Sąd I instancji w świetle dowodów przedłożonych do akt sprawy i okoliczności faktycznych ujawnionych w toku postępowania doszedł do konkluzji, że Powodowie, jako posiadacze rachunku bankowego, nie złożyli w stosunku do Banku (...) S.A. oświadczenia woli, skutkującego zawarciem umowy pożyczki nr (...) z 27 października 2023 roku. Wobec czego Sąd Rejonowy ustalił, iż pomiędzy Powodami a Pozwaną nie istnieje stosunek prawny wynikający z tejże umowy.

W przypadku analizowania autoryzacji czynności polegających na zawarciu umowy pożyczki oraz następujących po umowie pożyczki transakcji przelewów i wypłaty blik w ocenie Sądu Rejonowego istotnym było również ustalenie, czy w niniejszej sprawie niedbalstwo po stronie powodowej miało cechy rażącego niedbalstwa, jako kwalifikowanej formy winy czy cechy „zwykłego” niedbalstwa, o czym decydowało ustalenie wzorca staranności, wymaganego w stosunkach danego rodzaju. Na uwagę zasługuje wyrok z dnia 24 maja 2018 r. Sądu Apelacyjnego w Warszawie w sprawie sygn. akt VI ACa 217/17, w którym to wyroku Sąd wskazał, że „jeśli transakcje zostały zrealizowane bez zgody płatnika oraz w okolicznościach, za które nie ponosi on odpowiedzialności, a następnie płatnik dokonał zgłoszenia wystąpienia nieautoryzowanych transakcji, to na dostawcy ciąży obowiązek zwrotu kwot nieautoryzowanych transakcji. Jeśli jednak do nieautoryzowanych transakcji płatnik doprowadził umyślnie albo w wyniku umyślnego lub będącego skutkiem rażącego niedbalstwa naruszenia s

[…]