Ευθύνη τράπεζας στην ηλεκτρονική απάτη: τι δικαιούται το θύμα και πώς κρίνουν τα δικαστήρια

Α. Το ψευδοδίλημμα «μα εσύ έδωσες τους κωδικούς»

Ένα μήνυμα που μοιάζει να προέρχεται από την τράπεζα ή από γνωστή υπηρεσία, ένας σύνδεσμος προς σελίδα πανομοιότυπη με το γνήσιο περιβάλλον, μια κλήση από δήθεν εκπρόσωπο ασφαλείας. Μέσα σε λίγα λεπτά, οι κωδικοί έχουν αποσπαστεί και ο λογαριασμός έχει αδειάσει. Και τότε το θύμα ακούει τη στερεότυπη απάντηση: «οι συναλλαγές έγιναν με τους δικούς σας κωδικούς, ευθύνεστε εσείς». Η απάντηση αυτή είναι νομικά εσφαλμένη ως αφετηρία. Ο νόμος και, ολοένα σταθερότερα, τα δικαστήρια λένε κάτι διαφορετικό: η ασφάλεια των πληρωμών δεν είναι υπόθεση του καταναλωτή. Είναι υποχρέωση του παρόχου.

Β. Η ραχοκοκαλιά: ν. 4537/2018 και μη εγκεκριμένη πράξη πληρωμής

Το ειδικό πλαίσιο είναι ο ν. 4537/2018, που ενσωμάτωσε την ευρωπαϊκή Οδηγία PSD2 για τις υπηρεσίες πληρωμών. Ο μηχανισμός του είναι ευθύς. Πράξη πληρωμής θεωρείται εγκεκριμένη μόνο εφόσον ο πληρωτής συγκατατέθηκε σε αυτήν. Για μη εγκεκριμένη πράξη, ο πάροχος υποχρεούται κατ’ αρχήν σε άμεση επιστροφή του ποσού. Το βάρος απόδειξης φέρει η τράπεζα, και, κρισιμότερο όλων, κατά τη ρητή πρόβλεψη του άρθρου 72 παρ. 2, η καταγραφή και μόνη της χρήσης του μέσου πληρωμών, η πληκτρολόγηση δηλαδή των κωδικών, δεν αρκεί αφ’ εαυτής, ούτε για να αποδείξει ότι ο πληρωτής ενέκρινε τη συναλλαγή, ούτε ότι ενήργησε με δόλο ή βαριά αμέλεια. Ο χρήστης οφείλει να ειδοποιήσει τον πάροχο αμελλητί μόλις αντιληφθεί τη μη εγκεκριμένη πράξη, και πάντως εντός του δεκατριμήνου που τάσσει ο νόμος, γι’ αυτό και η άμεση, έγγραφη αμφισβήτηση των συναλλαγών είναι η πρώτη κίνηση κάθε θύματος.

Γ. Το πραγματικό πεδίο μάχης: η «βαριά αμέλεια»

Η μόνη πραγματική γραμμή άμυνας της τράπεζας είναι ο ισχυρισμός ότι το θύμα ενήργησε με βαριά αμέλεια. Εδώ όμως η νομολογία έχει βάλει ψηλά τον πήχη. Το Δικαστήριο της Ευρωπαϊκής Ένωσης, στην απόφαση C-665/23 του 2025, ξεκαθάρισε ότι η βαριά αμέλεια δεν τεκμαίρεται μηχανικά, αλλά απαιτεί συνολική, εξατομικευμένη κρίση του εθνικού δικαστή. Η ελληνική νομολογία κινείται στην ίδια τροχιά: έχει κριθεί ότι μόνη η καταχώριση των προσωπικών κωδικών δεν συνιστά απόδειξη βαριάς αμέλειας του πελάτη (ΜονΠρΚαβ 189/2025), ενώ στο καθεστώς της ισχυρής ταυτοποίησης δύο σταδίων, βαριά αμέλεια νοείται κατά κανόνα μόνο όταν το θύμα παρέδωσε στους δράστες τα μέσα αμφότερων των σταδίων. Η ζυγαριά, πάντως, δεν γέρνει πάντοτε προς την ίδια πλευρά: σε υπόθεση απάτης με υποκλοπή κάρτας SIM, το Εφετείο απάλλαξε τράπεζα που απέδειξε ότι τήρησε στο ακέραιο τα πρωτόκολλα ασφαλείας της και δεν μπορούσε να γνωρίζει την αντικατάσταση της κάρτας στον πάροχο κινητής (ΜΕφΑθ 1356/2025). Το δίδαγμα είναι διπλό: ούτε αυτόματη ευθύνη της τράπεζας ούτε αυτόματη ενοχοποίηση του θύματος. Κρίνεται, κάθε φορά, ποιος παρέβη ποια συγκεκριμένη υποχρέωση.

Δ. Οι υποχρεώσεις της τράπεζας δεν εξαντλούνται στους κωδικούς

Η σύγχρονη νομολογία διευρύνει το πλέγμα των υποχρεώσεων του παρόχου πολύ πέρα από την ταυτοποίηση. Έχει κριθεί ότι οι τράπεζες οφείλουν να παρακολουθούν διαρκώς τις εξελισσόμενες μεθόδους εξαπάτησης, να διαθέτουν συστήματα εντοπισμού ύποπτων και ασυνήθιστων συναλλαγών και να δρουν κατά απατηλών ιστοσελίδων που μιμούνται το περιβάλλον τους (ΜΠρΑθ 11632/2025). Ορόσημο της τάσης αυτής αποτέλεσε η απόφαση του Μονομελούς Πρωτοδικείου Αθηνών 3764/2026, στην οποία παραστάθηκα, που επιδίκασε σε θύματα απάτης με απώλεια 147.366,15 ευρώ αποζημίωση 139.865,30 ευρώ. Όταν μεταφορές ασυνήθους ύψους και συχνότητας προς πρωτοεμφανιζόμενους δικαιούχους διεκπεραιώνονται χωρίς κανένα προειδοποιητικό αντανακλαστικό του συστήματος, η ζημία παύει να είναι αποκλειστικό έργο του απατεώνα.

Ε. Η αγωγή που κερδίζει: ορισμένη, τεκμηριωμένη, τεχνικά ανατετμημένη

Η ίδια νομολογία που ανοίγει τον δρόμο, τον περιφρουρεί και με αυστηρότητα: αγωγές που περιορίζονται στη γενική επίκληση «έπεσα θύμα απάτης» απορρίπτονται ως αόριστες (ΜΠρΑθ 19963/2025, ΕιρΑθ 1187/2024). Η αγωγή που ευδοκιμεί περιγράφει με ακρίβεια: ποιο μήνυμα ελήφθη και από ποιον φερόμενο αποστολέα, ποιες συναλλαγές εκτελέστηκαν χωρίς έγκριση, ποια συγκεκριμένη υποχρέωση παρέβη η τράπεζα και πώς μπορούσε να αποτρέψει ή να περιορίσει τη ζημία. Εδώ η τεχνική ανατομία του περιστατικού γίνεται αποδεικτικό πλεονέκτημα: τα ίχνη του παραπλανητικού μηνύματος, ο χρόνος και η αλληλουχία των συναλλαγών, η ροή του χρήματος προς τους λογαριασμούς-βιτρίνες, μεταφράζονται σε ισχυρισμούς ορισμένους, που δένουν τη νομική βάση με τα πραγματικά δεδομένα. Παράλληλα με το αστικό σκέλος κινείται και το ποινικό, με μήνυση στη Διεύθυνση Δίωξης Ηλεκτρονικού Εγκλήματος και άμεσο αίτημα δέσμευσης και ανάκλησης των μεταφορών: η ποινική δικογραφία, με τα στοιχεία των παρόχων και την πορεία του χρήματος, τροφοδοτεί αποδεικτικά την αστική διεκδίκηση. Ο αναλυτικός οδηγός μας για την ηλεκτρονική απάτη, σχετικές αποφάσεις και την ευθύνη της τράπεζας είναι αναρτημένος στην εξειδικευμένη πλατφόρμα μας https://poiniko-cyber.gr/cybercrime/ilektroniki-apati/.

ΣΤ. Επίμετρο

Η ηλεκτρονική απάτη είναι έγκλημα με δύο πράξεις: εκείνη του δράστη που στήνει την παγίδα, και εκείνη του συστήματος που την αφήνει να τελεσφορήσει. Ο νόμος μοίρασε τους ρόλους με σαφήνεια, τοποθετώντας την ασφάλεια των πληρωμών στην πλευρά που διαθέτει τα μέσα, τη γνώση και τα συστήματα. Τους κωδικούς τους απέσπασε ο απατεώνας. Την ασφάλεια, όμως, την εγγυάται ο πάροχος — και όταν αυτή αποτυγχάνει, ο νόμος δείχνει ποιος πληρώνει.

Ο Δημήτριος Μ. Ζιαμπάρας είναι Δικηγόρος παρ’ Αρείω Πάγω, μέλος του Δικηγορικού Συλλόγου Αθηνών, και Διπλωματούχος Ηλεκτρολόγος Μηχανικός και Μηχανικός Υπολογιστών του Αριστοτελείου Πανεπιστημίου Θεσσαλονίκης. Ασχολείται συστηματικά με την εκπροσώπηση θυμάτων ηλεκτρονικής απάτης έναντι τραπεζών και με υποθέσεις ηλεκτρονικού εγκλήματος, συνδυάζοντας τη νομική με την τεχνική ανάλυση (www.ziamparas.gr και poiniko-cyber.gr).