Рішення № 128155248, 16.06.2025, Володимирський міський суд Волинської області (до 25.04.2025 - Володимир-Волинський міський суд Волинської області)

154/1122/25

2/154/740/25

РІШЕННЯ

ІМЕНЕМ УКРАЇНИ

16 червня 2025 року м. Володимир

Володимирський міський суд Волинської області в складі,

головуючого судді Вітера І.Р.,

при секретарі судових засідань Багдасарової Л.А.,

з участю представника позивача - адвоката Лесика С.І.,

представника відповідача Попова В.О.,

розглянувши в режимі відеоконференції за правилами спрощеного позовного провадження у приміщенні суду цивільну справу за позовом ОСОБА_1 до Акціонерного товариства «Універсал Банк» про захист прав споживачів,-

ВСТАНОВИВ:

21 березня 2025 року адвокат Лесик С.І. в інтересах ОСОБА_1 звернувся до суду з позовом до АТ «Універсал Банк» в якому просив зобов`язати його скасувати відсотки, пеню (штрафні санкції) нараховані за наслідками проведення операції перерахування 07 жовтня 2024 року грошових коштів з карткового рахунку НОМЕР_1 , відкритого на ім`я ОСОБА_1 та відновити залишок коштів на цьому рахунку до стану в якому він був перед виконанням фінансових операцій 07 жовтня 2024 року, тобто станом на 06 жовтня 2024 року.

В обґрунтування позовних вимог зазначив, що між АТ «Універсал Банк» та позивачкою укладено договір про надання банківських послуг шляхом підписання заяви-анкети, відповідно якого відповідачем відкрито позивачці поточний рахунок у гривні та встановлено кредитний ліміт на картковому рахунку НОМЕР_1 .

07 жовтня 2024 року в період часу з 12:03 по 12:08 невстановлені особи шляхом заволодіння особистим номером мобільного телефону позивачки, отримали доступ до її особистого кабінету у мобільному додатку «Монобанк», активували фізичну картку банку «АТБ» в м. Кривий Ріг за допомогою якої п`ятьма трансакціями зняли готівку через банкомат в загальному розмірі 103843 гривень.

Після відновлення номеру телефону, позивачка помітила несанкціоноване списання коштів з її рахунку, відразу ж заблокувала картку у мобільному додатку, звернулась у поліцію та онлайн-підтримку банку.

За результатами звернень зареєстроване кримінальне провадження за ч.4 ст.190 КК України, розслідування якого триває по даний час. Також станом на час звернення до суду за нею обліковується заборгованість, що виникла внаслідок шахрайських дій невстановлених осіб.

Ствердив, що вказані платіжні операції позивачка не здійснювала, банківську картку не втрачала та нікому не передавала, ПІН-код картки або іншу персональну інформацію не розголошувала, Умови і Правила обслуговування в АТ «Універсал Банк» при наданні банківських послуг щодо продуктів monobank/Universal Bank не порушувала, негайно після виявлення факту списання грошових коштів з банківської картки звернулась до служби підтримки відповідача з повідомленням про несанкціоноване списання коштів з її рахунку.

Натомість, за переконаннями сторони позивача під час здійснення нетипових для позивачки трансакцій, відповідач в порушення норм Закону України «Про платіжні послуги» не отримував згоди позивачки (не були використані будь-які можливості як то смс-повідомлення, дзвінок оператора чи інші варіанти підтвердження платежів), відповідачем не було дотримано умов верифікації позивачки, як користувача послуг, та не застосовано посиленої автентифікації, внаслідок чого відбулось несанкціоноване списання коштів. Єдиним хто мав інформацію про персональні дані позивача, а саме про наявність кредитної картки, кредитного ліміту, номер, термін дії, CVV-код є відповідач, який не виконав свого обов`язку щодо належного зберігання та захисту інформації. Зазначає, що в порушення ст.ст.1, 2, 68 Закону України «Про платіжні послуги», ст.ст.4, 14 Закону України «Про захист прав споживачів» АТ «Універсал Банк» не забезпечило безпеку операцій із банківським рахунком позивачки, а тому банк зобов`язаний відновити залишок коштів на її картковому рахунку у розмірі, що існував до моменту несанкціонованого списання.

Ухвалою суду від 24 березня 2025 року відкрито провадження у справі та призначено розгляд справи за правилами спрощеного позовного провадження з повідомленням (викликом) сторін в судове засідання.

15 квітня 2025 року через систему «Електронний суд» представником відповідача - адвокатом Поповим В.О. подано відзив, яким позов заперечено.

Не заперечуючи укладення 22 березня 2022 року договору про банківське обслуговування з позивачкою, відповідач зазначає, що їй відкрито рахунок НОМЕР_2 з кредитним лімітом. Позивачка погодилась з Умовами і Правилами обслуговування, які є частиною договору, зокрема щодо дій у разі шахрайства, а також способів комунікації - телефонного дзвінка, електронного листа, тощо.

Позивачка користувалася мобільним додатком «Монобанк» із довіреного пристрою iPhone 13 Pro Max і фінансовим номером НОМЕР_3 (оператор «Lifecell»), за якими проводилась її верифікація банком, що підтверджено даними з внутрішньої системи. Крім цього для входу до мобільного застосунку «Монобанк» позивачка використовувала ПІН-код, який вигадала самостійно при першій реєстрації у додатку, і він мав бути відомий лише їй. Розголошення ПІН-коду заборонене Умовами і Правилами. 07 жовтня 2024 року вона звернулася до служби підтримки з повідомленням про заволодіння третіми особами її SIM-карткою та несанкціоноване зняття ними з її рахунку 100 000 гривень (не враховуючи комісії). Однак, за твердженням банку, звернення надійшло вже після спірних операцій - о 12:24.

Представник відповідача вказав на те, що о 11:58 на фінансовий номер позивачки було надіслано OTP-пароль для підтвердження зміни пристрою. Через хвилину цей пароль був введений на новому пристрої Samsung sm-m325fv/13(33). За версією банку, OTP не міг бути відомий стороннім особам і надійшов лише позивачці. Повідомлення про шахрайство банк на цей момент не отримував.

Зміна пристрою і вхід до застосунку підтверджені правильним введенням ПІН-коду, відомого лише позивачці. Надалі з нового пристрою через застосунок «Монобанк» у акаунті позивачки було активовано додаткову картку АТБ, за якою проведено операції зняття коштів у банкоматі з 12:03 до 12:08. Позивачка звернулася до банку лише о 12:24 - після здійснення транзакцій. Операція на 70 000 грн., ініційована о 12:35, була заблокована банком, бо вже надійшло звернення позивачки.

Представник відповідача наголошує, що відповідно до ч. 5 ст. 87 Закону України «Про платіжні послуги» та Умов і Правил (пункти 6.2.7, 6.2.8, 8.11, 8.15), клієнт несе відповідальність за всі авторизовані операції до моменту офіційного повідомлення про втрату контролю над засобами ідентифікації. З урахуванням обставин, відповідач вважає, що дії (або бездіяльність) позивачки призвели до втрати нею контролю над доступом до рахунку, що унеможливлює покладання відповідальності на банк. Посилання на звернення до правоохоронних органів не є належним доказом незаконних дій банку.

Ухвалою Володимирського міського суду від 23 квітня 2025 року задоволено клопотання представника позивача - Лесика С.І. про витребування доказів. Витребувано у ТОВ «Лайфселл» інформацію щодо блокування та перевипуск 07 жовтня 2024 року SIM-картки з номером НОМЕР_3 .

12 травня 2025 року на адресу суду надійшла відповідь на ухвалу про витребування доказів від ТОВ «Лайфселл», згідно якої 07 жовтня 2024 року номер НОМЕР_3 обслуговувався на умовах передоплати та був знеособленим. Цього дня мав місце вхід в особистий кабінет за даним номером без ознак несанкціонованого втручання, оскільки абонентом його було підтверджено оператору. Після успішного входу о 11:57 абонентом було здійснено віддалену заміну SIM-карти на нову eSIM-карту із збереженням номеру. Також цього дня о 12:16 було здійснено заміну SIM-карти на нову SIM-карту магазині Lifecell у місті Володимир-Волинському, особою, яка представилась ОСОБА_1 , що надала правильні відповіді на питання, які може знати виключно кінцевий користувач.

У судовому засіданні представник позивача підтримав позов з підстав, викладених у позовній заяві.

Представник відповідача в судовому засіданні позов заперечив з підстав, викладених у відзиві.

Заслухавши позиції сторін, дослідивши матеріали справи, судом встановлено наступні фактичні обставини.

22 березня 2022 року ОСОБА_1 підписала Анкету-заяву до Договору про надання банківських послуг Monobank/Universal Bank. Ця Анкета-заява разом із Умовами і правилами обслуговування в АТ «Універсал Банк» при наданні банківських послуг щодо продуктів monobank/Universal Bank (далі - Умови і Правила або УіП), таблицею обчислення вартості кредиту і паспортом споживчого кредиту, що розміщені за посиланням www.monobank.ua/terms; тарифами, що розміщені за посиланням www.monobank.ua/rates складають Договір про надання банківських послуг (а.с.65-132). Підписуючи цю заяву власноручним підписом або цифровим власноручним підписом на екрані власного смартфону у мобільному застосунку monobank, ОСОБА_1 просила відкрити поточний рахунок в АТ «Універсал Банк» у гривні на її ім`я НОМЕР_2 . Просила встановити кредитний ліміт на суму, зазначену в мобільному додатку (а.с.10). Заява позивачки ОСОБА_1 була акцептована банком.

При користуванні мобільним додатком «Монобанк» позивачка використовувала довірений пристрій (телефон) iPhone 13 Pro Max з 02 травня 2024 року та фінансовий номер оператора «Lifecell» НОМЕР_3 з 13 жовтня 2022 року, що підтверджується прінтскрінами з внутрішньої системи Банку та повідомленням оператора Lifecell (зворот а.с.42, а.с.144-146, 188-210), і не заперечується стороною позивачки.

Довідкою відповідача про зміну кредитного ліміту позивачки (а.с.64) встановлено, що сторонами 23 липня 2024 року було погоджено встановлення для ОСОБА_1 кредитного ліміту в розмірі 150 000 гривень.

Згідно повідомлення ТОВ «Лайфселл» про надання витребуваних судом доказів № 2189д від 12 травня 2025 року (а.с.188-210) номер оператора «Lifecell» НОМЕР_3 починаючи до 08 жовтня 2024 року обслуговувався на умовах передоплати та знеособлено (анонімно). 07 жовтня 2024 року мав місце вхід у звичайному режимі без ознак несанкціонованого втручання в особистий кабінет «Мій lifecell» за номером НОМЕР_3. Такому входу в особистий кабінет передувала невдала спроба входу в особистий кабінет о 11:55. Після невдалої спроби входу в особистий кабінет «Мій lifecell» мав місце автоматизований вихідний дзвінок від lifecell на номер НОМЕР_3 о 11:56 для підтвердження входу в особистий кабінет з наступним текстом: «Вас вітає lifecell. Для підтвердження авторизації прохання натиснути «1», для відміни - натисніть «2». Кінцевий користувач, отримавши такий автоматизований дзвінок, натиснув «1» на своєму кінцевому («термінальному») обладнанні. Такі дії надали змогу здійснити вхід в особистий кабінет за номером НОМЕР_3. Після того ТОВ «Лайфселл» на номер НОМЕР_3 було направлено інформаційне SMS-повідомлення наступного змісту: «Ви успішно авторизувалися в сервісах lifecell… Якщо ви не здійснювали вхід, змініть пароль або натисніть тут (…) Телефон підтримки 0 800 20 5433, … lifecell» (факт отримання даного повідомлення позивачкою також підтверджено у справі прінтскріном екрану її телефону (а.с.13)). Безпосередньо після цього в особистому кабінеті за номером НОМЕР_3 було встановлено новий пароль для входу в «Мій lifecell». Після наступного успішного входу в особистий кабінет 07 жовтня 2024 року о 11:57, в такому особистому кабінеті «Мій lifecell» за номером НОМЕР_3 було здійснено віддалену заміну SIM-карти на нову eSIM-карту з тим самим номером НОМЕР_3 . У ТОВ «Лайфселл» відсутня інформація про особу, яка здійснила вказану заміну.

За даних обставин судом встановлено очевидний факт того, що саме позивачка ОСОБА_1 (умисно або з необережності) або інша особа з використанням довіреного пристрою (телефону) iPhone 13 Pro Max із встановленою у ньому SIM-картою фінансового номера оператора «Lifecell» НОМЕР_3 , які належали позивачці, акцептували (погодили) вхід до особистого кабінету «Мій lifecell» для вчинення вищеописаних дій.

Як вбачається з прінтскріну внутрішньої системи банку (а.с.43, 146) 07 жовтня 2024 року о 11:58:53 на фінансовий номер позивачки НОМЕР_3 , було надіслано ОТP-пароль для підтвердження зміни довіреного пристрою.

07 жовтня 2024 року о 11:59:02 даний ОТР-пароль було введено на новому пристрої (телефоні) Samsung sm-m325fv/13(33) (а.с.43, 146).

Після зміни довіреного пристрою позивачки було здійснено вхід до мобільного застосунку «Монобанк» шляхом правильного введення ПІН-коду 07 жовтня 2024 року о 11:59:36, що підтверджується роздруківкою внутрішньої системи банку (а.с.46, 144-146).

Одразу після входження до мобільного застосунку з нового мобільного 07 жовтня 2024 року о 11:59:37 на фінансовий номер позивачки відповідачем направлене повідомлення «Інформування ризиків про вхід», в тому числі і на електронну пошту ІНФОРМАЦІЯ_1 , яка була зазначена нею для комунікації із банком (а.с.46).

07 жовтня 2024 року о 12:02 у мобільному застосунку «Монобанк» було активовано пластикову додаткову картку Монобанк НОМЕР_4 , яка розповсюджується у магазинах АТБ, а її активація відбувається он-лайн у мобільному застосунку «Монобанк» шляхом сканування QR-коду на упаковці картки. Під час активації потрібно ввести CVV-код картки та встановити ПІН-код для неї.

За допомогою активованої картки АТБ 4441111170157220 були проведені операції зняття коштів в банкоматах в період з 12:03 по 12:08 07 жовтня 2024 року.

Так, згідно із долученими позивачкою і відповідачем копіями квитанцій від 07 жовтня 2024 року та випискою банку по рахунку НОМЕР_2 за період 07 жовтня 2024 року, а також за меморіальними ордерами, наданими відповідачем від 07 жовтня 2024 року, з 12:03 по 12:08 цього дня було проведено п`ять трансакцій по зняттю готівки у банкоматах (DN00 та Ukrsibbank) по 20 000 гривень на загальну суму 103 842, 58 гривень (з яких 3842, 58 гривень це комісія за зняття готівки) (а.с.11, 19-23, 59-63).

07 жовтня 2024 року о 12:24 позивачка звернулась до служби підтримки банку та повідомила, що невідомі особи заволоділи її сім-карткою з фінансовим номером телефону ( НОМЕР_3 ). Також ці особи заволоділи грошовими коштами з її рахунку, дані обставини підтверджені аудіозаписами розмови ОСОБА_1 з оператором Служби підтримки банку (файл «2024-10-07_12.24.24.mp4, долучений відповідачем і міститься у електронних файлах системи «Електронний Суд»).

Наданими стороною позивача роздруківками прінтскрінів з її телефону також доводиться її комунікація із Службою підтримки АТ «Універсал Банк» у жовтні 2024 року та факт повідомлення позивачкою про несанкціоноване списання коштів із її рахунку (а.с.13-18).

07 жовтня 2024 року о 12:35 банком заблокована ще одна операція із списання коштів з рахунку позивачки на суму 70 000 гривень (зворот а.с.46).

08 жовтня 2024 року на підставі заяви ОСОБА_1 були внесені відомості до Єдиного реєстру досудових розслідувань за обставинами, що можуть свідчити про вчинення кримінального правопорушення, передбаченого ч. 4 ст.190 КК України, номер кримінального провадження 12024030510001112 (а.с.9).

Довідкою про рух коштів по рахунку позивачки НОМЕР_2 за період з 01 жовтня 2024 року по 01 березня 2025 року також підтверджуються вказані вище п`ять трансакцій від 07 жовтня 2024 року, після чого АТ «Універсал Банк» нараховував та списував відсотки за користування кредитними коштами в межах кредитного ліміту. Заборгованість ОСОБА_1 станом на 01 березня 2025 року становить 109 105, 87 гривень (а.с.12).

Згідно наданого відповідачем розрахунку заборгованості за договором від 22 березня 2022 року, заборгованість ОСОБА_1 перед АТ «Універсал Банк» станом на 30 березня 2025 року становить 109 105, 87 гривень (а.с.133-143).

Джерела права, що застосовані судом при розгляді справи та висновки суду.

Відповідно до ч. 1 ст. 1066 ЦК України, за договором банківського рахунка банк зобов`язується приймати і зараховувати на рахунок, відкритий клієнтові (володільцеві рахунка), грошові кошти, що йому надходять, виконувати розпорядження клієнта про перерахування і видачу відповідних сум з рахунка та проведення інших операцій за рахунком.

Відповідно до ч. 3 ст. 1068 ЦК України банк зобов`язаний за розпорядженням клієнта видати або перерахувати з його рахунка грошові кошти в день надходження до банку відповідного розрахункового документа, якщо інший строк не передбачений договором банківського рахунка або законом.

Відповідно до ч. 1 ст. 1071 ЦК України банк може списувати кошти з рахунка на підставі розпорядження клієнта.

Тобто тільки клієнт може ініціювати списання коштів, а банк в свою чергу зобов`язаний ідентифікувати його особу. Встановлення, що власник рахунка та ініціатор списання коштів є однією особою - запорука належного виконання банком умов договору.

Положенням ст.1073 ЦК України встановлено, що у разі несвоєчасного зарахування на рахунок грошових коштів, що надійшли клієнтові, їх безпідставного списання банком з рахунка клієнта або порушення банком розпорядження клієнта про перерахування грошових коштів з його рахунка банк повинен негайно після виявлення порушення зарахувати відповідну суму на рахунок клієнта або належного отримувача, сплатити проценти та відшкодувати завдані збитки, якщо інше не встановлено законом.

Отже, положення Цивільного кодексу України передбачають обов`язок банку в разі виявлення безпідставного списання коштів повернути їх на рахунок клієнта.

Тобто, предметом доказування у справі є підставність списання коштів з рахунку позивачки ОСОБА_1 07 жовтня 2024 року.

У спорах щодо операцій з банківського рахунка, здійснених за допомогою платіжних інструментів, спеціальним законом є Закон України «Про платіжні послуги» від 30 червня 2021 року, № 1591-IX (далі - Закон), який: регулює правовідносини щодо платіжних операцій, зокрема безготівкових переказів; визначає умови відповідальності як постачальника платіжних послуг (банку), так і користувача (клієнта); має пріоритет над загальними положеннями Цивільного кодексу України (ЦКУ) у сфері регулювання платіжних операцій.

Згідно ч.3 ст.2 Закону, у разі суперечності норм цього Закону нормам інших законів норми цього Закону мають перевагу.

Згідно положень статті 67 Закону, надавачі платіжних послуг зобов`язані запровадити систему захисту інформації, що має забезпечувати безперервний захист інформації про виконання платіжних операцій та індивідуальної облікової інформації на всіх етапах її формування, обробки, передавання та зберігання. Система захисту інформації має забезпечувати цілісність, конфіденційність, доступність та простежуваність інформації, що формується, обробляється, передається та зберігається під час виконання платіжних операцій, відповідно до вимог, встановлених нормативно-правовими актами Національного банку України. Надавачі платіжних послуг зобов`язані виконувати встановлені законодавством вимоги щодо захисту інформації. У разі виявлення порушень законодавства щодо захисту інформації, що містять ознаки вчинення злочину, надавачі платіжних послуг зобов`язані повідомити про це відповідні правоохоронні органи. Працівники надавачів платіжних послуг зобов`язані виконувати вимоги законодавства щодо захисту інформації під час виконання платіжних операцій, зберігати таємницю надавача платіжних послуг (або іншу інформацію з обмеженим доступом) та підтримувати конфіденційність інформації, що використовується в системі захисту такої інформації. Працівники надавачів платіжних послуг несуть відповідальність за неналежне використання та зберігання засобів захисту інформації, що використовуються під час виконання платіжних операцій, а також за розголошення персональних даних користувачів та інформації, що може бути віднесена до банківської таємниці чи таємниці надавача платіжних послуг, відповідно до законодавства.

Згідно ч.ч.1-5 ст.68 Закону, електронна взаємодія надавача платіжних послуг із користувачем здійснюється лише після автентифікації користувача, який є фізичною особою, або уповноваженого представника користувача, який є юридичною особою. Під час виконання автентифікації надавачі платіжних послуг зобов`язані виконувати вимоги Національного банку України щодо захисту конфіденційності та цілісності індивідуальної облікової інформації користувачів. Надавачі платіжних послуг зобов`язані застосовувати посилену автентифікацію користувача під час: 1) отримання користувачем доступу до рахунку за допомогою засобів дистанційної комунікації; 2) ініціювання дистанційної платіжної операції; 3) будь-яких інших дій у разі підозри вчинення шахрайства (або існування ризику шахрайства) чи інших неправомірних дій (або існування ризику вчинення інших неправомірних дій). Надавачі платіжних послуг зобов`язані розробити та застосовувати елементи посиленої автентифікації, які мають бути незалежними, щоб виявлення факту несанкціонованого доступу до одного захищеного елемента або його розголошення не загрожувало надійності інших елементів, а також запровадити заходи із забезпечення захисту конфіденційності даних автентифікації. Для проведення дистанційних платіжних операцій надавачі платіжних послуг зобов`язані застосовувати посилену автентифікацію платника, що включає використання унікальних для кожної окремої операції даних, які дають змогу пов`язувати (в результаті виконання алгоритму співставляти контрольний показник з даними операції) операцію на певну суму і конкретного отримувача.

Згідно п.8 ч.1 ст.1 Закону, дистанційна платіжна операція - платіжна операція, що здійснюється із застосуванням засобів дистанційної комунікації.

Згідно п.70 ч.1 ст.1 Закону, посилена автентифікація - процедура автентифікації, яка передбачає використання двох чи більше сукупностей даних, що належать до таких різних категорій: а) знань (володіння інформацією (даними), що відома лише користувачу); б) володінь (застосування матеріального предмета, яким володіє лише користувач); в) притаманність (перевірка біометричних даних або інших властивостей (рис, характеристик), притаманних лише користувачу, що відрізняють його від інших користувачів).

За аналізом положень статті 86 Закону України «Про платіжні послуги», надавач платіжних послуг несе відповідальність за невиконання або неналежне виконання платіжної операції, якщо не доведе, що вона була здійснена належним чином відповідно до вимог закону та договору. У разі виконання помилкової, неакцептованої або неналежної платіжної операції, банк зобов`язаний:

?негайно повернути кошти платнику за рахунок власних коштів;

?сплатити пеню (0,1% за кожен день прострочення, або подвійну облікову ставку НБУ - залежно від ситуації);

?надати користувачу всю інформацію про операцію безоплатно;

?відшкодувати комісію, якщо вона була утримана/сплачена платником.

Також банк несе відповідальність у разі порушення строків виконання платіжних операцій, несанкціонованого списання, дій своїх працівників, агентів, а також при незастосуванні посиленої автентифікації, якщо її використання є обов`язковим.

Споживач має право на судовий захист і відшкодування шкоди, спричиненої діями або бездіяльністю надавача платіжних послуг, а тягар доказування належності виконання операції покладено на банк.

Згідно частини 1 статті 87 Закону, платник несе відповідальність перед надавачем платіжних послуг, що його обслуговує, відповідно до умов укладеного між ними договору про надання платіжних послуг.

Пунктом 2.4 Глави 2 Розділу І Умов і Правил передбачено, що клієнт своїм підписом на Анкеті-Заяві беззастережно підтверджує, що на момент укладення відповідного договору він ознайомився та погоджується з умовами договору, зокрема паспортом споживчого кредиту, таблицею обчислення загальної вартості кредиту та тарифами, встановленим в договорі порядком нарахування платежів та інших витрат, які повинен сплатити клієнт, передбаченими договором правами та обов`язками сторін, а також іншу інформацію, яка необхідна до ознайомлення згідно з законодавством, зокрема законом України «Про фінансові послуги та фінансові компанії», законом України «Про платіжні послуги» (зворот а.с.67).

При укладенні договору позивачка погодилась з Умовами і Правилами обслуговування в АТ «Універсал Банк», в тому числі щодо виконання умов договору щодо здійснення помилкових неналежних платіжних операцій, взаємодії на випадок шахрайства (підозри шахрайства) або загрози безпеці виконання платіжної операції визначеними договором способами (телефонний дзвінок, лист на електронну пошту, тощо).

Згідно п.5.9.1 Умов і Правил, ідентифікація клієнта для доступу до мобільного застосунку здійснюється за допомогою засобів ідентифікації, які передбачені між банком і клієнтом (засоби ідентифікації: номер телефону клієнта, особистий ПІН-код, сукупність цифрових та літерних компонентів тощо).

OTP (one time password) - одноразовий цифровий пароль, що надсилається Банком на персональний номер мобільного телефону фізичної особи (шляхом направлення SMS-повідомлення) з метою ідентифікації такої особи та підтвердження отриманого від неї розпорядження, погодження, повідомлення тощо («визначення термінів» - глава 1 розділу 1 УіП) (зворот а.с.66).

Пунктом 4.3 Умов і Правил (а.с.72) визначено механізм отримання згоди від клієнта за допомогою авторизації за допомогою мобільного телефону і OTP-пароля:

1. Банк генерує OTP-пароль і відправляє його клієнту з зазначенням інформації, яка буде їм підтверджуватися.

2. У разі згоди клієнт передає отриманий OTP-пароль банку шляхом введення у відповідному рядку використовуваного сервісу.

3. У разі якщо номер мобільного телефону зареєстрований і збігається з номером телефону клієнта, вважається, що клієнт прийняв запропоновані умови.

Сторони визнають співпадіння ОТР-паролю електронним підписом клієнта.

4. При здійсненні платіжних операцій в системах дистанційного обслуговування - виконання в програмних комплексах маніпуляцій, спрямованих на успішне завершення платежу, прирівнюється до електронного підпису клієнта. Згоду клієнта може бути підтверджено, крім іншого: документом на паперовому носії з реквізитами, що дозволяють ідентифікувати цей документ; документом в електронному вигляді із застосуванням електронного/електронного цифрового підпису; проведенням клієнтом банківських операцій, отриманням банківських послуг, яке супроводжується оформленням касових документів; введенням пін-коду, паролів доступу до застосунку, використання біометричних даних клієнта (відбитки пальців, в тому числі за допомогою технології TouchID, або розпізнавання обличчя, в тому числі за допомогою технології FaceID).

ПІН-код - цифровий код для ідентифікації клієнта при проведенні операцій з використанням електронного обладнання («визначення термінів» - глава 1 розділу 1 УіП) (зворот а.с.66).

Згідно вимог п.п.4.2.2-4.2.9 Умов та Правил визначені обов`язки клієнта, зокрема: він зобов`язаний підтримувати в актуальному стані фінансовий номер телефону; не встановлювати на телефон неліцензійні операційні системи, не підключатись до системи зв`язку через Wi-fi точки публічного доступу; не залишати свій телефон без нагляду. В разі втрати/крадіжки пристрою, з якого здійснюється авторизація негайно повідомити про це контактний центр банку (зворот а.с.71).

Згідно умов укладеного договору (зворот а.с.85) клієнт зобов`язується:

п. 6.2.7 - не передавати платіжну картку та/або номер мобільного телефону та/або мобільний телефон, що використовується для мобільного застосунку у користування третім особам;

п.6.2.8 - зберігати ПІН-код, коди доступу, аутентифікаційні дані в таємниці і ні за яких обставин не повідомляти їх третім особам. У разі одержання клієнтом інформації щодо несанкціонованих операцій з його карткою або при виникненні підозр щодо шахрайства, він повинен якнайшвидше звернутись до центру клієнтської підтримки банку.

Також п.8.16 УіП передбачено, що банк не несе відповідальність перед клієнтом за операції, що здійснювались після передачі мобільного телефону, сім-карти третім особам.

Згідно п.8.15 Умов і Правил, у разі якщо клієнт дає згоду на проведення операцій з картами або нанесеними на них даними поза полем його контролю, він несе повну відповідальність за їх можливе шахрайське використання надалі. Банк не несе відповідальності за операції, що супроводжуються правильним введенням ПІН-коду.

Згідно п.8.17 Умов і Правил клієнт несе відповідальність за всі операції, що проводяться клієнтом та / або третіми особами з відома або без відома Клієнта при використанні мобільних додатків для здійснення фінансових операцій, в тому числі в разі якщо програмне забезпечення та / або мобільний пристрій Клієнта, з використанням яких здійснюється доступ до даних послуг, були схильні до модифікації, що порушує угоду користувача, укладену між клієнтом і виробником програмного забезпечення та / або мобільного пристрою, а також у разі якщо на мобільному пристрої, що використовується для підключення телефону клієнта до мобільного застосунку був активований режим для розробників.

Пунктом 8.18 Умов і Правил передбачено, що Банк не несе відповідальність за неотримання або несвоєчасне отримання Клієнтом повідомлень, направлених Банком Клієнту у відповідності до умов Договору.

Згідно п.4.2.9 Умов і Правил, клієнт зобов`язується в разі втрати / крадіжки пристрою, з якого здійснюється авторизація в мобільному застосунку та/або картки, негайно повідомити про це Банк через контактний центр (зворот а.с.71).

Згідно п.4.3.15 Умов і Правил, з метою моніторингу шахрайських/ризикових банківських операцій і / або проведення заходів з погашення заборгованості клієнта Банк має право протягом терміну дії договору встановити геопозиціонування телефону клієнта / уповноваженої особи клієнта, номер якого вказаний у договорі, а також використовувати інформацію про місцезнаходження клієнта / уповноваженої особи клієнта, отриманої Банком на підставі геопозиціонування телефону (а.с.73).

Згідно п.4.3.24 УіП, банк має право на власний розсуд запропонувати Клієнту реструктуризацію заборгованості, що виникла в результаті здійснення несанкціонованих операцій з його карткою у зв`язку з передачею (повідомленням) Клієнтом третім особам ПІН-коду, кодів доступу, аутентифікаційних даних, смартфону із встановленим мобільним застосунком. У разі прийняття Клієнтом пропозиції, Сторони укладають письмову угоду.

На підставі п.5.31 Умов і Правил, якщо в результаті передачі (повідомлення) клієнтом третім особам ПІН-коду, кодів доступу, аутентифікаційних даних були здійснені несанкціоновані операції з його карткою, що призвело до виникнення заборгованості, клієнт зобов`язується погасити зазначену заборгованість протягом 3 місяців (якщо більший строк не наданий, на підставі рішення відповідного органу банку, в індивідуальному порядку). У випадку якщо заборгованість буде погашена протягом 3 місяців (або протягом більшого строку, наданого на підставі рішення відповідного органу банку в індивідуальному порядку) з моменту здійснення несанкціонованих операцій, банк на власний розсуд має право визначити зазначений час пільговим періодом та застосувати пільгову відсоткову ставку.

За положеннями ч.ч.3-5 Закону України «Про платіжні послуги», платник зобов`язаний негайно після того, як така інформація стала йому відома, повідомити надавача платіжних послуг у визначеному договором порядку про факт виконання з його рахунку неналежної або неакцептованої платіжної операції для отримання відшкодування за такою операцією.

Платник має право вимагати відшкодування коштів за неналежною платіжною операцією, за умови повідомлення про це надавача платіжних послуг протягом 90 календарних днів з дати списання коштів за такою операцією з його рахунку.

Зазначений у цій частині строк не застосовується, якщо надавач платіжних послуг не дотримався свого обов`язку щодо інформування платника про виконані платіжні операції згідно з вимогами цього Закону.

До моменту повідомлення емітента про факт втрати платіжного інструменту та/або індивідуальної облікової інформації відповідно до статті 38 цього Закону ризик збитків від виконання неналежних платіжних операцій та відповідальність за них покладаються на платника. З моменту повідомлення платником емітента про факт втрати платіжного інструменту та/або індивідуальної облікової інформації ризик збитків від виконання неакцептованих/неналежних платіжних операцій та відповідальність покладаються на емітента. Момент, з якого настає відповідальність емітента, має бути чітко визначений умовами договору, укладеного між користувачем та емітентом.

Згідно п. 143-148 Положення «Про порядок емісії та еквайрингу платіжних інструментів» затвердженого постановою НБУ № 164 від 29.07.2022 надавач платіжних послуг у разі виконання помилкової платіжної операції з рахунку неналежного платника, якщо власник рахунку/держатель невідкладно повідомив про платіжні операції з використанням платіжного інструменту, які ним не виконувалися, зобов`язаний негайно після виявлення помилки або після отримання повідомлення (залежно від того, що відбулося раніше) переказати за рахунок власних коштів суму платіжної операції на рахунок неналежного платника. Надавач платіжних послуг зобов`язаний також відшкодувати неналежному платнику суму утриманої/сплаченої неналежним платником комісійної винагороди за виконану помилкову платіжну операцію (за наявності такої комісійної винагороди).

Надавач платіжних послуг повинен сприяти власнику рахунку/держателю в поверненні коштів за неналежною платіжною операцією з використанням платіжного інструменту шляхом негайного надання доступної йому інформації про таку операцію (без стягнення плати), уключаючи інформацію, отриману на його запит від надавача платіжних послуг, що обслуговує неналежного отримувача. Надавач платіжних послуг, який обслуговує неналежного отримувача, для встановлення правомірності платіжної операції з використанням платіжного інструменту в разі опротестування неналежної платіжної операції власником рахунку та/або держателем та/або на вимогу емітента зобов`язаний після отримання відповідного повідомлення негайно заблокувати кошти в сумі неналежної платіжної операції на рахунку неналежного отримувача на строк до 30 календарних днів.

Надавач платіжних послуг у разі повідомлення власником рахунку/держателем про незавершену платіжну операцію з внесення коштів з використанням платіжного інструменту через платіжні пристрої цього надавача платіжних послуг на рахунки/електронні гаманці, відкриті в цього надавача платіжних послуг, після подання власником рахунку/держателем відповідного документа, що підтверджує здійснення цієї операції, негайно зараховує зазначену в цьому документі суму коштів на відповідний рахунок/електронний гаманець.

Власник рахунку не несе відповідальності за платіжні операції, здійснені без автентифікації платіжного інструменту і його держателя, крім випадків, якщо доведено, що дії чи бездіяльність власника рахунку/держателя призвели до втрати, незаконного використання ПІНу або іншої інформації, яка дає змогу ініціювати платіжні операції.

Власник рахунку має право на відшкодування в судовому порядку шкоди, заподіяної надавачем платіжних послуг унаслідок помилкової, неналежної платіжної операції або виконання платіжної операції з порушенням установлених законодавством України строків.

Емітент зобов`язаний розглядати заяви (повідомлення) користувача щодо використання платіжного інструменту або неналежної платіжної операції, ініційованої з його допомогою, надати користувачу можливість одержувати інформацію про хід розгляду заяви (повідомлення) і повідомляти в письмовій формі про результати розгляду заяви (повідомлення) у строк, установлений договором, але не більше строку, передбаченого законодавством України для розгляду звернень (скарг) громадян.

Верховний суд висловив правову позицію в Постанові від 05 грудня 2018 року в справі № 754/15020/15-ц згідно якої користувач не несе відповідальності за здійснення платіжних операцій, якщо електронний платіжний засіб було використано без фізичного пред`явлення користувачем та/або електронної ідентифікації самого електронного платіжного засобу і його користувача, крім випадків, якщо доведено, що дії чи бездіяльність користувача призвели до втрати, незаконного використання ПІНу або іншої інформації, яка дає змогу ініціювати платіжні операції.

Лише наявність обставин, які безспірно доводять, що користувач своїми діями чи бездіяльністю сприяв втраті, незаконному використанню ПІН-коду або іншої інформації, яка дає змогу ініціювати платіжні операції, є підставою для притягнення її до цивільно-правової відповідальності. Така правова позиція також була висловлена Верховним Судом України у постанові від 13 травня 2015 року в справі № 6-71цс15.

Зазначені норми є спеціальними для спірних правовідносин.

Таким чином, користувач не несе відповідальності за здійснення платіжних операцій у разі відсутності доказів сприяння ним втраті, використанню ПІНу або іншої інформації, яка дає змогу ініціювати платіжні операції.

Такий правовий висновок викладено у постанові Верховного Суду України від 13 травня 2015 року у справі № 6-71цс15, у постановах Верховного Суду від 23 січня 2018 року у справі № 202/10128/14-ц (провадження № 61-1856св17), від 13 вересня 2019 року у справі № 501/4443/14-ц (провадження № 61-10469св18), від 20 листопада 2019 року у справі № 577/4224/16-ц (провадження № 61-30583св18), від 17 червня 2021 року (провадження №61-1035св21).

Верховний суд в Постанові від 16 серпня 2023 року в справі № 176/1445/22 зробив висновок, що саме банк має доводити, що користувач своїми діями чи бездіяльністю сприяв втраті, незаконному використанню персонального ідентифікаційного номера або іншої інформації, яка дає змогу ініціювати платіжні операції; у разі недоведеності обставин, які безспірно свідчать про те, що користувач своїми діями чи бездіяльністю сприяв втраті, незаконному використанню ПІН-коду або іншої інформації, яка дає змогу ініціювати платіжні операції, необхідно виходити з відсутності вини користувача у перерахуванні чи отриманні спірних грошових коштів; сам по собі факт коректного вводу вихідних даних для ініціювання такої банківської операції, як списання коштів з рахунку користувача, не може достовірно підтверджувати ту обставину, що користувач своїми діями чи бездіяльністю сприяв втраті, незаконному використанню ПІН-коду або іншої інформації, яка дає змогу ініціювати платіжні операції; за відсутності належних та допустимих доказів сумніви та припущення мають тлумачитися переважно на користь споживача, який зазвичай є «слабкою» стороною у таких цивільних відносинах, правові відносини споживача з банком фактично не є рівними.

При вирішенні даної справи суд враховує положення законодавства та правову позицію Верховного Суду, згідно з якою користувач не несе відповідальності, якщо доведено, що його дії чи бездіяльність не призвели до втрати або незаконного використання ПІН-коду чи іншої інформації.

Однак, у даній справі матеріали свідчать про те, що зміна SIM-картки відбулася після активних дій позивачки ОСОБА_1 - підтвердження через дзвінок від оператора, а зміна довіреного пристрою та вхід до мобільного додатку банку відбулися з використанням OTP-пароля, надісланого на фінансовий номер позивачки та правильного введення ПІН-коду, який логічно був відомий лише позивачці.

«Персональний ідентифікаційний номер» (ПІН) - код, відомий лише клієнту і потрібний для його ідентифікації під час здійснення операцій з використанням платіжної картки.

За встановленими обставинами справи, саме дії позивачки ОСОБА_1 , зокрема підтвердження входу в особистий кабінет мобільного оператора через натискання клавіші під час дзвінка, самостійне або з її дозволу третіми особами введення нового пароля та ініціювання заміни SIM-картки на eSIM, створили передумови для подальшої авторизації у мобільному додатку банку. Надсилання OTP-коду на фінансовий номер та його коректне введення на новому пристрої, а також успішна ідентифікація шляхом введення ПІН-коду, який міг бути відомий виключно позивачці, підтверджують, що доступ до банківського застосунку був здійснений не внаслідок неналежного зберігання персональної інформації позивачки відповідачем чи втручання працівника банку до його систем, а в результаті втрати контролю над персональними ідентифікаційними засобами з боку самої позивачки.

Таким чином, доводи сторони позивачки про вину відповідача у невиконанні обов`язку щодо належного зберігання та захисту інформації, спростовується. Натомість, наявність підтверджених дій з боку кінцевого користувача вказує на те, що компрометація даних могла відбутись внаслідок поведінки позивачки, а не з вини банку.

Ці обставини, відповідно до умов договору та положень закону, свідчать про акцептування операцій з боку клієнта або про його недбалість у збереженні конфіденційних даних.

Банк не мав правових підстав відмовити у проведенні цих операцій, оскільки вони були авторизовані з використанням всіх необхідних засобів ідентифікації, а повідомлення про шахрайство надійшло після їх завершення. Таким чином, відповідальність за проведені спірні операції покладається на позивачку, яка порушила умови договору щодо збереження конфіденційності своїх даних та засобів ідентифікації.

Відповідно до ч. 5 ст. 87 Закону України «Про платіжні послуги» та Умов і Правил (пункти 6.2.7, 6.2.8, 8.11, 8.15), саме клієнт несе відповідальність за всі авторизовані операції до моменту офіційного повідомлення про втрату контролю над засобами ідентифікації.

З урахуванням встановлених обставин, суд вважає, що саме дії позивачки призвели до втрати нею контролю над доступом до рахунку, що унеможливлює покладання відповідальності на банк.

Посилання сторони позивачки на звернення до правоохоронних органів не є прямим доказом неналежних дій банку чи його вини у списанні коштів. Розслідування кримінального провадження є окремим процесом, який не спростовує фактів, встановлених судом на підставі доказів, наданих сторонами.

Покликання сторони позивачки на те, що відповідачем не використані всі можливості для належної верифікації позивачки, як користувача послуг, та не було застосовано посиленої автентифікація є також необгрунтованими, оскільки згідно п.4.3.15 Умов і Правил, моніторинг шахрайських/ризикових банківських операцій є правом банку, а не його обов`язком, а операції із зняття готівки з рахунку позивача відбувались із застосуванням простої пластикової банківської картки, тобто не були дистанційними платіжними операціями, які потребували посиленої автентифікація в розумінні положень ч.1 ст.1 та ст.68 Закону України «Про платіжні послуги». Натомість саме з вини позивачки були створені умови за яких списання коштів з її рахунку відбулись із застосуванням кількох засобів ідентифікації, таких як:

1.використання фінансового номера позивачки;

2.верифікація через новий довірений пристрій, після його ідентифікації за допомогою надісланого ОТР-паролю;

3.правильне введення ПІН-коду для входу у мобільний додаток «Монобанк», а надалі правильне введення ПІН-кодів при здійснення платіжних операцій з використанням пластикової банківської картки при знятті готівки з банкоматів.

За даних обставин суд не знаходить підстав для задоволення позову, оскільки відповідальність за проведені авторизовані платіжні операції, які були вчинені до повідомлення позивачкою відповідача, покладається ч.5 ст.87 Закону України «Про платіжні послуги» саме на неї.

На підставі викладеного, керуючись ст.ст. 5, 10, 12, 76-81, 89, 128, 141, 258, 259, 263-265, 268, 289, 352, 354-355 ЦПК України, суд,-

УХВАЛИВ:

Відмовити в задоволенні позову ОСОБА_1 до Акціонерного товариства «Універсал Банк» про захист прав споживачів.

Рішення суду набирає законної сили після закінчення строку подання апеляційної скарги всіма учасниками справи, якщо апеляційну скаргу не було подано.

У разі подання апеляційної скарги рішення, якщо його не скасовано, набирає законної сили після повернення апеляційної скарги, відмови у відкритті чи закриття апеляційного провадження або прийняття постанови суду апеляційної інстанції за наслідками апеляційного перегляду.

Рішення може бути оскаржене до Волинського апеляційного суду шляхом подання апеляційної скарги протягом тридцяти днів з дня його складення.

Повний текст рішення складено 16 червня 2025 року.

Реквізити сторін:

Позивач: ОСОБА_1 , адреса: АДРЕСА_1 , РНОКПП: НОМЕР_5 ;

Відповідач: Акціонерне товариство «Універсал Банк», адреса: 04082, м. Київ, вул.. Автозаводська, буд.54/19, ЄДРПОУ 21133352.

Суддя Володимирського міського суду Ігор Вітер