N.O. mod PKO BP S.A (C-70/25)

Foreløbig udgave

DOMSTOLENS DOM (Første Afdeling)

15. oktober 2026 (*)

» Præjudiciel forelæggelse – betalingstjenester i det indre marked – direktiv (EU) 2015/2366 – uautoriseret betalingstransaktion – artikel 73 – betalingstjenesteudbyderens ansvar – artikel 74 – betalerens ansvar – betalingstjenesteudbyderens forpligtelse til straks at foretage tilbagebetaling – rækkevidde – ansvarsfordelingen mellem betalingstjenesteudbyderen og betaleren – artikel 69 – betalingstjenestebrugerens forpligtelser – grov forsømmelse – betalingstjenesteudbyderens afvisning af straks at tilbagebetale betaleren beløbet for en uautoriseret transaktion med den begrundelse, at denne betaler havde muliggjort transaktionen ved grov forsømmelse «

I sag C-70/25 [Tukowiecka] (i),

angående en anmodning om præjudiciel afgørelse i henhold til artikel 267 TEUF, indgivet af Sąd Rejonowy w Koszalinie (retten i første instans i Koszalin, Polen) ved afgørelse af 23. januar 2025, indgået til Domstolen den 3. februar 2025, i sagen

N.O.

mod

PKO BP S.A.,

har

DOMSTOLEN (Første Afdeling),

sammensat af afdelingsformanden, F. Biltgen, og dommerne S. Gervasoni, A. Kumin, I. Ziemele og M. Bošnjak (refererende dommer),

generaladvokat: A. Rantos,

justitssekretær: V. Di Bucci,

på grundlag af den skriftlige forhandling,

efter at der er afgivet indlæg af:

–        PKO BP S.A. ved radcowie prawni M. Trepka og M. Wurm samt ved adwokaci Ł. Hejmej og A. Szczęśniak,

–        den polske regering ved B. Majczyna, som befuldmægtiget,

–        den tjekkiske regering ved J. Očková, M. Smolek og J. Vláčil, som befuldmægtigede,

–        den italienske regering ved S. Fiorentino, som befuldmægtiget, bistået af avvocato dello Stato G. Iappelli,

–        Europa-Kommissionen ved G. Goddin og J. Szczodrowski, som befuldmægtigede,

og efter at generaladvokaten har fremsat forslag til afgørelse i retsmødet den 5. marts 2026,

afsagt følgende

Dom

1        Anmodningen om præjudiciel afgørelse vedrører fortolkningen af artikel 73, stk. 1, og artikel 74, stk. 1, i Europa-Parlamentets og Rådets direktiv (EU) 2015/2366 af 25. november 2015 om betalingstjenester i det indre marked, om ændring af direktiv 2002/65/EF, 2009/110/EF og 2013/36/EU og forordning (EU) nr. 1093/2010 og om ophævelse af direktiv 2007/64/EF (EUT 2015, L 337, s. 35, berigtiget i EUT 2018, L 102, s. 97) (herefter direktiv »2015/2366«).

2        Anmodningen er blevet indgivet i forbindelse med en tvist mellem N.O., der er en fysisk person, og PKO BP S.A., en bank, vedrørende sidstnævntes afslag på at tilbagebetale beløbet for en betalingstransaktion, som N.O. ikke har autoriseret.

 Retsforskrifter

 EU-retten

 Direktiv 2007/64/EF

3        Artikel 60 i Europa-Parlamentets og Rådets direktiv 2007/64/EF af 13. november 2007 (EU) om betalingstjenester i det indre marked og om ændring af direktiv 97/7/EF, 2002/65/EF, 2005/60/EF og 2006/48/EF og om ophævelse af direktiv 97/5/EF (EUT 2007, L 319, s. 1), der har overskriften »Udbyderens ansvar for uautoriserede betalingstransaktioner«, fastsatte i stk. 1:

»Medlemsstaterne sikrer, at betalerens udbyder af betalingstjenester med forbehold af artikel 58 i tilfælde af en uautoriseret betalingstransaktion straks tilbagebetaler betaleren beløbet for den uautoriserede betalingstransaktion og, hvor det er relevant, fører den debiterede betalingskonto tilbage til den situation, der ville have været gældende, hvis den uautoriserede betalingstransaktion ikke var blevet gennemført.«

 Direktiv 2015/2366

4        6. og 71. betragtning til direktiv 2015/2366 har følgende ordlyd:

»(6)      Der bør fastsættes nye regler for at lukke hullerne i lovgivningen og samtidig give større retssikkerhed og sikre ensartet anvendelse af de retlige rammer i hele [Den Europæiske Union]. Der bør garanteres lige forretningsvilkår for eksisterende og nye markedsaktører, så det bliver nemmere for nye betalingsmidler at nå ud til et større marked, og så der sikres en høj grad af forbrugerbeskyttelse i forbindelse med betalingstjenester i hele Unionen. Dette bør skabe effektivitet i betalingssystemet som helhed og føre til større udvalg af og mere gennemsigtighed i betalingstjenester og samtidig styrke forbrugernes tillid til et harmoniseret betalingsmarked.

[...]

(71)      I tilfælde af en uautoriseret betalingstransaktion bør betalingstjenesteudbyderen straks tilbagebetale transaktionsbeløbet til betaleren. Hvis der er stor mistanke om en uautoriseret transaktion som følge af svigagtig adfærd fra betalingstjenestebrugerens side, og mistanken er baseret på objektive grunde, som er meddelt den relevante nationale myndighed, bør betalingstjenesteudbyderen have mulighed for inden for en rimelig frist at foretage en undersøgelse før tilbagebetaling til betaleren. For at forhindre, at betaleren stilles ugunstigt, bør valørdatoen for kreditering ikke være senere end den dato, hvor beløbet blev debiteret. For at tilskynde betalingstjenestebrugeren til snarest muligt at underrette betalingstjenesteudbyderen om et eventuelt tyveri eller tab af et betalingsinstrument og således mindske risikoen for uautoriserede betalingstransaktioner bør brugeren kun hæfte for et begrænset beløb, medmindre betalingstjenestebrugeren har handlet svigagtigt eller groft forsømmeligt. I denne sammenhæng synes et beløb på 50 EUR at være tilstrækkeligt for at sikre en harmoniseret og omfattende brugerbeskyttelse i Unionen. Der bør ikke pålægges ansvar, hvis betaleren ikke er i stand til at opdage tabet, tyveriet eller den uberettigede tilegnelse af betalingsinstrumentet. Når brugeren har meddelt betalingstjenesteudbyderen, at vedkommendes betalingsinstrument kan være misbrugt, bør betalingstjenestebrugeren desuden ikke skulle dække yderligere tab som følge af uautoriseret brug af instrumentet. Dette direktiv bør ikke berøre betalingstjenesteudbyderes ansvar for den tekniske sikkerhed af deres egne produkter.«

5        Dette direktivs artikel 1, der har overskriften »Genstand«, bestemmer følgende i stk. 2, litra b):

»Dette direktiv fastsætter endvidere regler for:

[...]

b)      betalingstjenestebrugeres og betalingstjenesteudbyderes respektive rettigheder og forpligtelser, hvad angår udbud af betalingstjenester som fast beskæftigelse eller forretningsaktivitet.«

6        Dette direktivs artikel 69 med overskriften »Betalingstjenestebrugerens forpligtelser i tilknytning til betalingsinstrumenter og personaliserede sikkerhedsoplysninger« fastsætter følgende:

»1.      En betalingstjenestebruger, der har ret til at anvende et betalingsinstrument:

a)      anvender betalingsinstrumentet i henhold til betingelserne for udstedelse og brug af betalingsinstrumentet, som skal være objektive, ikkediskriminerende og forholdsmæssige

b)      underretter snarest muligt betalingstjenesteudbyderen eller den enhed, som denne har udpeget, når vedkommende bliver opmærksom på tab, tyveri eller uberettiget tilegnelse eller anden uautoriseret brug af betalingsinstrumentet.

2.      Med henblik på stk. 1, litra a), skal betalingstjenestebrugeren, så snart denne modtager et betalingsinstrument, navnlig træffe alle rimelige foranstaltninger til at beskytte dets personaliserede sikkerhedsoplysninger.«

7        Samme direktivs artikel 71 med overskriften »Underretning om og berigtigelse af uautoriserede eller fejlbehæftede betalingstransaktioner« har i stk. 1 følgende ordlyd:

»For at kunne kræve berigtigelse af en uautoriseret eller fejlbehæfte[t] betalingstransaktion fra betalingstjenesteudbyderens side skal betalingstjenestebrugeren underrette betalingstjenesteudbyderen snarest muligt efter at have konstateret en sådan transaktion, der giver anledning til krav, herunder krav som omhandlet i artikel 89, og ikke senere end 13 måneder efter debiteringsdatoen.

[…]«

8        Artikel 72 i direktiv 2015/2366 med overskriften »Bevis for autentifikation og gennemførelse af betalingstransaktioner« fastsætter i stk. 2 følgende:

»Hvis en betalingstjenestebruger nægter at have autoriseret en gennemført betalingstransaktion, er brug af et betalingsinstrument, der er registreret af betalingstjenesteudbyderen, herunder i givet fald betalingsinitieringstjenesteudbyderen, i sig selv ikke nødvendigvis tilstrækkeligt til at bevise, hverken at betalingstransaktionen var autoriseret af betaleren, eller at betaleren handlede svigagtigt eller med forsæt eller ved grov forsømmelse undlod at opfylde en eller flere af sine forpligtelser i henhold til artikel 69. Betalingstjenesteudbyderen, herunder i givet fald betalingsinitieringstjenesteudbyderen, skal fremlægge bevismateriale for at påvise svig eller grov forsømmelse fra betalingstjenestebrugerens side.«

9        Dette direktivs artikel 73 med overskriften »Betalingstjenesteudbyderes ansvar for uautoriserede betalingstransaktioner« foreskriver i stk. 1:

»Medlemsstaterne sikrer med forbehold af artikel 71, at en betalers betalingstjenesteudbyder i tilfælde af en uautoriseret betalingstransaktion tilbagebetaler betaleren beløbet for den uautoriserede betalingstransaktion straks og under alle omstændigheder inden afslutningen af den følgende arbejdsdag efter at have konstateret eller være blevet underrettet om transaktionen, medmindre betalerens betalingstjenesteudbyder har rimelige grunde til at have mistanke om svig og skriftligt underretter den relevante nationale myndighed om disse grunde. Betalerens betalingstjenesteudbyder skal i givet fald føre den debiterede betalingskonto tilbage til den situation, der ville have været gældende, hvis den uautoriserede betalingstransaktion ikke var blevet gennemført. Herved skal det også sikres, at valørdatoen for kreditering af betalerens betalingskonto ikke ligger senere end den dato, hvor beløbet blev debiteret.«

10      Det nævnte direktivs artikel 74 med overskriften »Betalerens ansvar for uautoriserede betalingstransaktioner« har i stk. 1 følgende ordlyd:

»Uanset artikel 73 kan en betaler forpligtes til at dække tab i forbindelse med enhver uautoriseret betalingstransaktion på op til 50 EUR, der skyldes brug af et tabt eller stjålet betalingsinstrument eller uberettiget tilegnelse af et betalingsinstrument.

Første afsnit finder ikke anvendelse, hvis:

a)      tabet, tyveriet eller den uberettigede tilegnelse af betalingsinstrumentet ikke kunne opdages af betaleren forud for betalingen, medmindre betaleren selv har handlet svigagtigt, eller

b)      tabet er forårsaget af handlinger, der er foretaget af en betalingstjenesteudbyders ansat, agent eller filial eller en enhed, hvortil dens aktiviteter er outsourcet, eller disses passivitet.

Betaleren skal dække alle tab som følge af uautoriserede betalingstransaktioner, hvis de skyldes betalerens svigagtige handling eller manglende opfyldelse af en eller flere af de forpligtelser, der er fastsat i artikel 69, begået med forsæt eller ved grov forsømmelse. I sådanne tilfælde finder maksimumsbeløbet i første afsnit ikke anvendelse.

Hvis betaleren hverken har optrådt svigagtigt eller med forsæt har undladt at opfylde sine forpligtelser i henhold til artikel 69, kan medlemsstaterne begrænse det i dette stykke omhandlede ansvar under hensyntagen til navnlig arten af de personaliserede sikkerhedsoplysninger og de særlige omstændigheder, under hvilke betalingsinstrumentet blev tabt, stjålet eller uberettiget tilegnet.«

11      Samme direktivs artikel 102 med overskriften »Alternative tvistbilæggelsesprocedurer« fastsætter i stk. 1:

»Medlemsstaterne sikrer, at der i henhold til [...] EU-retten [...] fastlægges passende, uafhængige, upartiske, gennemsigtige og effektive alternative tvistbilæggelsesprocedurer for bilæggelse af tvister mellem betalingstjenestebrugere og betalingstjenesteudbydere vedrørende rettigheder og forpligtelser i medfør af afsnit III og IV, og kan med henblik herpå eventuelt gøre brug af eksisterende kompetente organer. Medlemsstaterne sikrer, at alternative tvistbilæggelsesprocedurer finder anvendelse på betalingstjenesteudbydere.«

12      Artikel 107 i direktiv 2015/2366 med overskriften »Fuld harmonisering« fastsætter i stk. 1:

»1.      For så vidt som dette direktiv indeholder harmoniserede bestemmelser, må medlemsstaterne ikke bevare eller indføre andre bestemmelser end dem, der er fastsat i direktivet, jf. dog artikel 2, artikel 8, stk. 3, artikel 32, artikel 38, stk. 2, artikel 42, stk. 2, artikel 55, stk. 6, artikel 57, stk. 3, artikel 58, stk. 3, artikel 61, stk. 2 og 3, artikel 62, stk. 5, artikel 63, stk. 2 og 3, artikel 74, stk. 1, fjerde afsnit, og artikel 86.«

 Polsk ret

13      Artikel 46 i ustawa o usługach płatniczych (lov om betalingstjenester) af 19. august 2011 (DZ. U. n° 199, position 1175), som ændret (Dz. U. af 2024, position 30), der gennemfører artikel 73 og 74 i direktiv 2015/2366 i den polske retsorden, bestemmer i stk. 1 og 3:

»1.      Med forbehold af artikel 44, stk. 2, tilbagebetaler betalerens [betalingstjeneste]udbyder i tilfælde af en uautoriseret betalingstransaktion straks og senest ved udgangen af arbejdsdagen efter den dag, hvor det konstateres, at en uautoriseret transaktion er blevet debiteret betalerens konto, eller efter at have modtaget en tilsvarende indberetning, beløbet for den uautoriserede betalingstransaktion til betaleren, medmindre betalerens [betalingstjeneste]udbyder på en rimelig måde og behørigt har dokumenteret, at der er grundlag for at have mistanke om, at der er tale om svig, og skriftligt har underrettet de retshåndhævende myndigheder. Hvis betaleren bruger en betalingskonto, skal betalerens [betalingstjeneste]udbyder genoprette den debiterede betalingskonto til den tilstand, den ville have været i, hvis den uautoriserede betalingstransaktion ikke havde fundet sted. Valørdatoen for kreditering af betalerens betalingskonto må ikke være senere end den dato, hvor beløbet blev debiteret. [...]

3.      Betaleren hæfter for uautoriserede betalingstransaktioner i fuldt omfang, hvis han eller hun forsætligt eller groft uagtsomt har tilsidesat en eller flere af de forpligtelser, der er omhandlet i artikel 42.«

 Tvisten i hovedsagen og det præjudicielle spørgsmål

14      Sagsøgeren i hovedsagen indgik en aftale om en opsparings- og checkkonto med PKO BP, der er en bank med hjemsted i Polen.

15      Sagsøgeren var offer for svig i form af phishing begået af en uidentificeret gerningsmand, der ved foregive at være interesseret i at købe en genstand, som sagsøgeren havde udbudt til salg på en online-auktionsportal, tilstillede sagsøgeren et link, som foranledigede sagsøgeren til at tro, at det hidrørte fra denne portal, og at det havde til formål at bekræfte salget. Efter at have fulgt dette link fik sagsøgeren i hovedsagen adgang til en internetside, der fremstod som værende bankens internetside, og indtastede der sine loginoplysninger til bankens netbanktjeneste. De således indhentede oplysninger gjorde det muligt for denne gerningsmand at overføre et beløb på 3 000 polske złoty (PLN) (ca. 705 EUR) fra sagsøgerens konto til en konto, som denne pågældende rådede over. Denne betalingstransaktion blev autoriseret af gerningsmanden til svigen ved hjælp af en bekræftelseskode, som blev sendt via SMS, og indhentet fra sagsøgeren i hovedsagen som følge af denne vildledning.

16      Sagsøger i hovedsagen indså næste dag, at der var tale om svig, og underrettede straks PKO BP og politiet om den uautoriserede betalingstransaktion. Det er ikke lykkedes at identificere gerningsmanden til svigen.

17      PKO BP nægtede at tilbagebetale beløbet for den uautoriserede transaktion til sagsøgeren i hovedsagen bl.a. med den begrundelse, at den skade, som den pågældende var påført, skyldtes, at hun ved grov forsømmelse ikke havde opfyldt sin forpligtelse til at opbevare det omhandlede betalingsinstrument med behørig omhu og ikke gøre det tilgængeligt for uautoriserede personer.

18      Sagsøgeren i hovedsagen har efterfølgende anlagt sag ved Sąd Rejonowy w Koszalinie (retten i første instans i Koszalin, Polen), som er den forelæggende ret, med påstand om, at PKO BP tilpligtes at betale et beløb på 3 000 PLN (ca. 705 EUR).

19      Sagsøgeren i hovedsagen har til støtte for sin anmodning gjort gældende, at PKO BP i sin egenskab af betalingstjenesteudbyder var forpligtet til straks at tilbagebetale beløbet for den uautoriserede betalingstransaktion til sagsøgeren, medmindre der er rimelige grunde til mistanke om, at betaleren har begået svig.

20      PKO BP har gjort gældende, at betalerens manglende opfyldelse af sine forpligtelser ved grov forsømmelse ligeledes udgør en grund, der fritager betalingstjenesteudbyderen for dennes forpligtelse til at tilbagebetale beløbet for den uautoriserede betalingstransaktion. Banken har i denne henseende gjort gældende, at den selvstændigt kan vurdere alle relevante forudsætninger for dens ansvar for en sådan transaktion og er fritaget for denne forpligtelse, hvis den fastslår, at betaleren har udvist en sådan forsømmelse.

21      Den forelæggende ret er af den opfattelse, at direktiv 2015/2366 og de nationale bestemmelser, der gennemfører dette direktiv i den polske retsorden, fastsætter det generelle princip om, at betalingstjenesteudbyderen fuldt ud bærer den risiko, der er forbundet med uautoriserede betalingstransaktioner. Ifølge den forelæggende ret påhviler det denne tjenesteyder i sin egenskab af specialiseret erhvervsdrivende at sikre transaktionernes sikkerhed over for risikoen for svig og beskytte de midler, som banken er betroet.

22      Denne ret har desuden bemærket, at både dette direktiv og de nationale bestemmelser giver betaleren ret til tilbagebetaling af beløbet for uautoriserede transaktioner, hvilket indebærer en ret til øjeblikkelig tilbagebetaling af de dermed tabte midler. Denne ret er kun begrænset, hvis der er rimelig grund til mistanke om, at betaleren har begået svig, og denne svig er indberettet til de kompetente nationale myndigheder.

23      Den forelæggende ret har endvidere anført, at de polske retter ikke har fået forelagt søgsmål anlagt af banker med påstand om, at en forbruger tilpligtes at tilbagebetale beløbet for uautoriserede betalingstransaktioner med den begrundelse, at forbrugeren har udvist grov forsømmelse. De er derimod blevet forelagt talrige søgsmål, som forbrugere har anlagt mod banker på grund af sidstnævntes afslag på at tilbagebetale beløbet for sådanne transaktioner.

24      Denne situation godtgør ifølge den forelæggende ret, at betalingstjenesteudbyderes anvendelse af undtagelserne til retten til tilbagebetaling er blevet hovedreglen for uautoriserede transaktioner. Disse tjenesteydere foretager normalt ikke tilbagebetaling af beløbet for sådanne transaktioner, således at det er betalerne, navnlig forbrugerne, der er henvist til at gøre deres ret til tilbagebetaling gældende ved de nationale domstole.

25      I denne sammenhæng er den forelæggende ret af den opfattelse, at den fortolkning af direktiv 2015/2366, som PKO BP har gjort gældende, ikke gør det muligt at nå det formål om beskyttelse af betaleren, der forfølges med den forpligtelse til straks at foretage tilbagebetaling af beløbet for uautoriserede betalingstransaktioner, der er fastsat i dette direktivs bestemmelser. Den forelæggende ret er derfor af den opfattelse, at disse bestemmelser skal fortolkes således, at de er til hinder for muligheden for, at en betalingstjenesteudbyder kan nægte straks at tilbagebetale beløbet for en uautoriseret betalingstransaktion med den begrundelse, at den skade, som betaleren har lidt som følge af denne transaktion, kan tilskrives sidstnævntes grove forsømmelse.

26      Den forelæggende ret er af den opfattelse, at en sådan fortolkning vil medføre, at udbyderen af betalingstjenester i dennes egenskab af erhvervsdrivende snarere end betaleren, som ofte er en forbruger, pålægges den byrde, der er forbundet med at anfægte den pågældendes ansvar, navnlig for så vidt angår anlæggelsen af sagen, sagsomkostningerne, bevisførelsen og forberedelsen af processkrifter.

27      På denne baggrund har Sąd Rejonowy w Koszalinie (retten i første instans i Koszalin) besluttet at udsætte sagen og forelægge Domstolen følgende præjudicielle spørgsmål:

»Skal bestemmelserne i artikel 73, stk. 1, sammenholdt med artikel 74, stk. 1, [i direktiv 2015/2366] fortolkes således, at en betalingstjenesteudbyder kan nægte at foretage en øjeblikkelig tilbagebetaling til betaleren i forbindelse med en uautoriseret betalingstransaktion, hvis betaleren har lidt et tab i forbindelse med den uautoriserede betalingstransaktion ved [efter grov forsømmelse] at have tilsidesat de forpligtelser, der er fastsat i [dette direktivs] artikel 69?«

 Om det præjudicielle spørgsmål

28      Den forelæggende ret ønsker med sit enlige spørgsmål nærmere bestemt oplyst, om artikel 73, stk. 1, og artikel 74, stk. 1, i direktiv 2015/2366 skal fortolkes således, at en betalingstjenesteudbyder kan nægte straks at foretage tilbagebetaling til betaleren af beløbet for en uautoriseret betalingstransaktion med den begrundelse, at betaleren ved grov forsømmelse har gjort denne transaktion mulig ved at undlade at opfylde sine forpligtelser i henhold til dette direktivs artikel 69.

29      I overensstemmelse med fast retspraksis skal der ved fortolkningen af en EU-retlig bestemmelse tages hensyn til dennes ordlyd, den sammenhæng, hvori den indgår, og til de mål, der forfølges med den ordning, som den udgør en del af (jf. i denne retning dom af 17.11.1983, Merck, 292/82, EU:C:1983:335, præmis 12, og af 1.8.2025, Veracash, C-665/23, EU:C:2025:598, præmis 34). En EU-retlig bestemmelses tilblivelseshistorie kan ligeledes give relevante elementer med henblik på dens fortolkning (dom af 2.9.2021, CRCAM, C-337/20, EU:C:2021:671, præmis 31).

30      Hvad i første række angår ordlydsfortolkningen bemærkes, at artikel 73 og 74 i direktiv 2015/2366 regulerer henholdsvis betalingstjenesteudbyderens og betalerens ansvar i tilfælde med uautoriserede betalingstransaktioner.

31      Det fremgår således for det første af ordlyden af dette direktivs artikel 73, stk. 1, at betalerens betalingstjenesteudbyder principielt skal tilbagebetale betaleren beløbet for en uautoriseret betalingstransaktion straks efter at have fået kendskab til transaktionen eller efter at være blevet underrettet herom og under alle omstændigheder inden afslutningen af den følgende arbejdsdag.

32      Denne tilbagebetalingsforpligtelse finder anvendelse »med forbehold af artikel 71« i det nævnte direktiv, hvis stk. 1 bestemmer, at for at kunne kræve berigtigelse af en uautoriseret eller fejlbehæftet betalingstransaktion fra betalingstjenesteudbyderens side skal betalingstjenestebrugeren underrette betalingstjenesteudbyderen snarest muligt.

33      Det skal desuden fremhæves, at ordlyden af samme direktivs artikel 73, stk. 1, kun fastsætter en enkelt undtagelse til forpligtelsen til straks at foretage tilbagebetaling, nemlig i det tilfælde, hvor udbyderen af betalingstjenester har rimelige grunde til at have mistanke om svig og skriftligt underretter den relevante nationale myndighed om disse grunde.

34      Det følger heraf, at artikel 73, stk. 1, i direktiv 2015/2366 ikke fastsætter nogen undtagelse til forpligtelsen til straks at foretage tilbagebetaling i tilfælde af mistanke om, at betaleren har muliggjort en uautoriseret betalingstransaktion ved grov forsømmelse ved at undlade at opfylde sine forpligtelser i henhold til dette direktivs artikel 69.

35      Hvad for det andet angår artikel 74, stk. 1, i direktiv 2015/2366 giver denne bestemmelses to første afsnit medlemsstaterne mulighed for som en undtagelse at lade betaleren dække tab i forbindelse med enhver uautoriseret transaktion på op til 50 EUR, der skyldes et tabt eller stjålet betalingsinstrument eller uberettiget tilegnelse af et betalingsinstrument, medmindre disse handlinger ikke kunne opdages af betaleren forud for betalingen. Denne bestemmelses tredje afsnit fastsætter, at betaleren skal dække alle tab som følge af uautoriserede betalingstransaktioner, hvis de skyldes betalerens svigagtige handling eller manglende opfyldelse af en eller flere forpligtelser, der er fastsat i dette direktivs artikel 69, begået med forsæt eller ved grov forsømmelse. Blandt disse forpligtelser er bl.a. den forpligtelse, der er omhandlet i denne artikel 69, stk. 2, og som består i at træffe alle rimelige foranstaltninger til at beskytte sikkerheden af sine personaliserede sikkerhedsoplysninger.

36      I øvrigt giver artikel 74, stk. 1, fjerde afsnit, i direktiv 2015/2366 medlemsstaterne mulighed for at begrænse betalerens ansvar, når denne hverken har optrådt svigagtigt eller forsætligt har undladt at opfylde sine forpligtelser i henhold til dette direktivs artikel 69. Der er imidlertid intet i forelæggelsesafgørelsen eller i de bemærkninger, der er indgivet til Domstolen, som gør det muligt at fastslå, at Republikken Polen har gjort brug af denne mulighed.

37      Ved fastlæggelsen af betalingstjenesteudbyderens og betalerens respektive rettigheder og forpligtelser foretager nævnte direktivs artikel 73 og 74 således en fordeling af risikoen mellem dem.

38      Hvad angår forholdet mellem de forpligtelser, der er fastsat i henholdsvis artikel 73 og 74 i direktiv 2015/2366, skal det konstateres, at ordlyden af dette direktivs artikel 74, stk. 1, ikke gør det muligt entydigt at fastlægge rækkevidden af den deri fastsatte undtagelse. Ifølge en fortolkning berører undtagelsen den forpligtelse til straks at foretage tilbagebetaling, der er fastsat i det nævnte direktivs artikel 73, stk. 1, i det tilfælde, hvor betaleren ved grov forsømmelse har undladt at opfylde sine forpligtelser i henhold til direktivets artikel 69. Ifølge en anden fortolkning vedrører denne undtagelse kun den endelige karakter af tilbagebetalingen, idet betalingstjenesteudbyderen er forpligtet til som et første skridt straks at foretage tilbagebetalingen, inden den pågældende som et næste skridt eventuelt, ved anvendelse af de rettigheder der er fastsat i denne henseende, kan kræve, at betaleren dækker de tab, der er forbundet med uautoriserede transaktioner.

39      Hvad i anden række angår den sammenhæng, hvori artikel 73 og 74 i direktiv 2015/2366 indgår, skal det dels fremhæves, at 71. betragtning til dette direktiv omhandler det tilfælde, hvor betalingstjenesteudbyderen har rimelig grund til at have mistanke om, at brugeren af betalingstjenester har begået svig, og skriftligt meddeler den kompetente nationale myndighed de objektive grunde, der ligger til grund for denne mistanke. Denne 71. betragtning synes at støtte den fortolkning, hvorefter den eneste undtagelse til forpligtelsen til straks at foretage tilbagebetaling er den, der udtrykkeligt er fastsat i dette direktivs artikel 73, stk. 1.

40      Dels skal det erindres, at det nævnte direktivs artikel 72, stk. 2, i forbindelse med fordelingen af bevisbyrden pålægger betalingstjenesteudbyderen bevisbyrden for, at betaleren har udvist grov forsømmelse. Denne fordeling af bevisbyrden afspejler den generelle opbygning af den ordning, der er indført ved samme direktivs artikel 73 og 74, og som består i at styrke beskyttelsen af betaleren i tilfælde af uautoriserede betalingstransaktioner.

41      En sådan regel bekræfter nemlig, at EU-lovgiver har haft til hensigt at sikre sammenhængen mellem den ordning, der er indført ved artikel 73, stk. 1, i direktiv 2015/2366, og de proceduremæssiges regler, der har til formål at sikre en effektiv gennemførelse af denne ordning.

42      Det følger således af de betragtninger, der er anført i nærværende doms præmis 39-41, at undersøgelsen af den sammenhæng, hvori dette direktivs artikel 73 og 74 indgår, understøtter den fortolkning, hvorefter disse artikler 73 og 74 regulerer særskilte aspekter af proceduren for tilbagebetaling af beløbet for uautoriserede betalingstransaktioner, således at det nævnte direktivs artikel 73 pålægger betalingstjenesteudbyderen en forpligtelse til straks at foretage tilbagebetaling af dette beløb, mens samme direktivs artikel 74 fastsætter en ramme for fordelingen af ansvaret mellem denne udbyder og betaleren på et senere stadium, således som det fremgår af den mekanisme, der er beskrevet i nærværende doms præmis 38.

43      Hvad i tredje række angår de formål, der forfølges med direktiv 2015/2366, skal det bemærkes, at direktivet, således som det fremgår af dets artikel 1, stk. 2, litra b), bl.a. har til formål at fastlægge betalingstjenestebrugeres og betalingstjenesteudbyderes respektive rettigheder og forpligtelser hvad angår udbud af sådanne tjenester som fast beskæftigelse eller forretningsaktivitet.

44      Dette direktiv har således, som det fremgår af sjette betragtning til direktivet, til formål at sikre en høj grad af forbrugerbeskyttelse (jf. i denne retning dom af 11.11.2020, DenizBank, C-287/19, EU:C:2020:897, præmis 102, og af 11.7.2024, Eurobank Bulgaria, C-409/22, EU:C:2024:600, præmis 79 og den deri nævnte retspraksis).

45      En fortolkning af artikel 74, stk. 1, i direktiv 2015/2366, hvorefter denne bestemmelse fritager betalingstjenesteudbyderen for dennes forpligtelse til straks at foretage tilbagebetaling som fastsat i dette direktivs artikel 73, stk. 1, når betaleren ved grov forsømmelse har undladt at opfylde sine forpligtelser i henhold til direktivets artikel 69, ville imidlertid ikke alene have til følge, at forpligtelsen til straks at foretage tilbagebetaling til betaleren  ville blive frataget sin effektive virkning, men ligeledes, at denne bruger ville blive tvunget til at tage initiativ til at gøre sin ret gældende for de kompetente domstole og til at bære de ulemper, der følger heraf, herunder eventuelle sagsomkostninger. En sådan fordeling af ansvar og risici til skade for betaleren er imidlertid vanskeligt forenelig med formålet om at sikre en høj grad af forbrugerbeskyttelse, som anført i nærværende doms præmis 44.

46      En fortolkning af artikel 74, stk. 1, i direktiv 2015/2366, hvorefter denne bestemmelse ikke fritager betalingstjenesteudbyderen for dennes forpligtelse til at straks foretage tilbagebetaling, er derimod i overensstemmelse med formålet om at sikre en høj grad af forbrugerbeskyttelse. Denne fortolkning er ikke til hinder for, at betalingstjenesteudbyderen efterfølgende på de betingelser, der er fastsat i dette direktivs artikel 74, stk. 1, afkræver betaleren tilbagebetaling af tab i forbindelse med uautoriserede betalingstransaktioner, når disse tab skyldes en tilsidesættelse ved en grov forsømmelse fra betalerens side af dennes forpligtelser i henhold til nævnte direktivs artikel 69.

47      Det følger heraf, at de formål, der forfølges med direktiv 2015/2366, understøtter den fortolkning, hvorefter den omstændighed, at betalingstjenesteudbyderen er af den opfattelse, at betaleren ved grov forsømmelse har undladt at opfylde sine forpligtelser i henhold til dette direktivs artikel 69, ikke kan bevirke, at denne udbyder fritages for den forpligtelse til straks at foretage tilbagebetaling, der er fastsat i nævnte direktivs artikel 73, stk. 1.

48      Hvad i fjerde række angår tilblivelseshistorien for direktiv 2015/2366 bemærkes, at den ordning, der er indført ved dette direktivs artikel 73, stk. 1, adskiller sig væsentligt fra den ordning, der tidligere blev indført ved direktiv 2007/64 for så vidt angår undtagelserne til forpligtelsen til straks at foretage tilbagebetaling.

49      Artikel 60 i direktiv 2007/64, der regulerede betalingstjenesteudbyderens ansvar for uautoriserede betalingstransaktioner, fastsatte ingen eksplicit undtagelse til denne forpligtelse. Det samme gjaldt for Europa-Kommissionens oprindelige forslag, der var udgangspunktet for den lovgivningsproces, der førte til vedtagelsen af direktiv 2015/2366 (COM(2013) 547 final). Det var først under denne proces, at EU-lovgiver indførte en specifik undtagelse til forpligtelsen til straks at foretage tilbagebetaling, når betalingstjenesteudbyderen har rimelige grunde til at have mistanke om, at der foreligger svig, uden at give medlemsstaterne mulighed for at opretholde eller indføre andre bestemmelser end dem, der er indeholdt i direktiv 2015/2366, således som det følger af direktivets artikel 107, stk. 1.

50      Endelig skal det præciseres, at i modsætning til hvad den tjekkiske og den italienske regering har gjort gældende i deres skriftlige bemærkninger, bevirker den fortolkning, der fremgår af nærværende doms præmis 47, ikke, at den procedure for alternativ tvistbilæggelse, der er omhandlet i artikel 102, stk. 1, i direktiv 2015/2366, omgås.

51      Det skal i denne henseende fremhæves, som generaladvokaten har anført i punkt 51 i forslaget til afgørelse, at denne procedure ikke er begrænset til bilæggelse af tvister om øjeblikkelig tilbagebetaling som fastsat i dette direktivs artikel 73, men omfatter enhver type tvist, der henhører under direktivets afsnit III og IV. Det følger heraf, at den omstændighed, at der findes en sådan procedure, ikke kan forstås således, at den udgør det nødvendige supplement til gennemførelsen af en enkelt bestemmelse i nævnte direktiv, nemlig artikel 73, og dermed heller ikke som svarende til en obligatorisk kontrolprocedure med hensyn til overholdelsen af de forpligtelser, der er fastsat i samme direktivs artikel 69.

52      Henset til samtlige ovenstående betragtninger skal det præjudicielle spørgsmål besvares med, at artikel 73, stk. 1, og artikel 74, stk. 1, i direktiv 2015/2366 skal fortolkes således, at en betalingstjenesteudbyder ikke kan nægte straks at foretage tilbagebetaling til betaleren af beløbet for en uautoriseret betalingstransaktion med den begrundelse, at betaleren ved grov forsømmelse har gjort denne transaktion mulig ved at undlade at opfylde sine forpligtelser i henhold til dette direktivs artikel 69.

 Sagsomkostninger

53      Da sagens behandling i forhold til hovedsagens parter udgør et led i den sag, der verserer for den forelæggende ret, tilkommer det denne at træffe afgørelse om sagsomkostningerne. Bortset fra nævnte parters udgifter kan de udgifter, som er afholdt i forbindelse med afgivelse af indlæg for Domstolen, ikke erstattes.

På grundlag af disse præmisser kender Domstolen (Første Afdeling) for ret:

Artikel 73, stk. 1, og artikel 74, stk. 1, i Europa-Parlamentets og Rådets direktiv (EU) 2015/2366 af 25. november 2015 om betalingstjenester i det indre marked, om ændring af direktiv 2002/65/EF, 2009/110/EF og 2013/36/EU og forordning (EU) nr. 1093/2010 og om ophævelse af direktiv 2007/64/EF

skal fortolkes således, at

en betalingstjenesteudbyder ikke kan nægte straks at foretage tilbagebetaling til betaleren af beløbet for en uautoriseret betalingstransaktion med den begrundelse, at betaleren ved grov forsømmelse har gjort denne transaktion mulig ved at undlade at opfylde sine forpligtelser i henhold til artikel 69 i direktiv 2015/2366.

Underskrifter

---

*      Processprog: polsk.

---

i      Den foreliggende sags navn er et vedtaget navn. Det svarer ikke til et navn på en part i sagen.