24 вересня 2026 року Верховний Суд у складі колегії суддів Другої судової палати Касаційного цивільного суду в рамках справи № 127/33187/23, провадження № 61-1408св25 (ЄДРСРУ № 140021186) досліджував питання щодо хто несе відповідальність (банк чи користувач) за перехід за фішинговим (фейковим) посиланням та списання коштів з банківської карти.
Відповідно до частин сьомої - дев`ятої розділу VI «Загальні вимоги до безпеки здійснення платіжних операцій та управління ризиками» Положення про порядок емісії спеціальних платіжних засобів і здійснення операцій з їх використанням, затвердженого постановою Правління Національного банку України від 05 листопада 2014 року № 705, яке було чинним на час виникнення спірних правовідносин, емітент або визначена ним юридична особа під час отримання повідомлення та/або заяви про втрату електронного платіжного засобу та/або платіжні операції, які не виконувалися користувачем, зобов`язаний ідентифікувати користувача і зафіксувати обставини, дату, годину та хвилини його звернення на умовах і в порядку, установлених договором. Емітент після надходження повідомлення та/або заяви про втрату електронного платіжного засобу та/або платіжні операції, які не виконувалися користувачем, зобов`язаний негайно зупинити здійснення операцій з використанням цього електронного платіжного засобу.
Емітент у разі здійснення помилкового або неналежного переказу, якщо користувач невідкладно повідомив про платіжні операції, що ним не виконувалися, після виявлення помилки негайно відновлює залишок коштів на рахунку до того стану, у якому він був перед виконанням цієї операції.
Емітент у разі повідомлення користувачем про незавершену операцію з унесення коштів через платіжні пристрої банку-емітента на рахунки, відкриті в банку-емітенті, після подання користувачем емітенту відповідного документа, що підтверджує здійснення цієї операції, негайно зараховує зазначену в цьому документі суму коштів на відповідний рахунок.
Користувач не несе відповідальності за здійснення платіжних операцій, якщо електронний платіжний засіб було використано без фізичного пред`явлення користувачем та/або електронної ідентифікації самого електронного платіжного засобу і його користувача, крім випадків, якщо доведено, що дії чи бездіяльність користувача призвели до втрати, незаконного використання ПІНу або іншої інформації, яка дає змогу ініціювати платіжні операції.
Лише наявність обставин, які безспірно доводять, що користувач своїми діями чи бездіяльністю сприяв втраті, незаконному використанню ПІНу або іншої інформації, яка дає змогу ініціювати платіжні операції, є підставою для його притягнення до цивільно-правової відповідальності.
Таким чином, користувач не несе відповідальності за здійснення платіжних операцій у разі відсутності доказів сприяння ним втраті, використанню ПІНу або іншої інформації, яка дає змогу ініціювати платіжні операції.
Такий правовий висновок викладено у постанові Верховного Суду України від 13 травня 2015 року у справі № 6-71цс15, у постанові Верховного Суду від 23 січня 2018 року у справі № 202/10128/14-ц (провадження № 61-1856св17) від 13 вересня 2019 року у справі № 501/4443/14-ц (провадження № 61-10469св18), від 20 листопада 2019 року у справі № 577/4224/16-ц (провадження № 61-30583св18) та інших.
На підставі пунктів 2-4 частини 20 статті 38 Закону України «Про платіжні послуги», пунктів 136, 140 розділу VIІ Положення про порядок емісії та еквайрингу платіжних інструментів, затвердженого постановою Правління Національного банку України № 164 від 29 липня 2022 року, користувач зобов`язаний зберігати та використовувати електронний платіжний засіб відповідно до вимог законодавства України та умов договору, укладеного з емітентом; не допускати використання електронного платіжного засобу особами, які не мають на це права.
(!!!) Користувач зобов`язаний не повідомляти та іншим чином не розголошувати індивідуальну облікову інформацію та/або іншу інформацію, що дає змогу ініціювати платіжні операції, та негайно після того, як йому стало відомо про факт втрати такої інформації та/або платіжного інструменту, повідомити про це емітента в спосіб та каналами зв`язку, визначеними договором між емітентом та користувачем.
- до моменту повідомлення емітента про факт втрати платіжного інструменту та/або індивідуальної облікової інформації ризик збитків несе користувач;
- з моменту повідомлення відповідальність покладаються на емітента (банк)
Примітка: Момент, з якого настає відповідальність емітента, має бути чітко визначений умовами договору, укладеного між користувачем та емітентом.
Між тим, надання споживачем третім особам необхідної інформації для здійснення звичайних операцій із зарахування на картковий рахунок коштів (номер карткового рахунку; прізвище, ім'я по батькові власника карткового рахунку, його номера телефону) не може розцінюватися як надання користувачем інформації, яка дає змогу ініціювати платіжні операції (постанова Верховного суду від 28 лютого 2018 року у справі № 725/314/15-ц, ЄДРСРУ № 72587534).
ВИСНОВОК: Якщо зняттю коштів з банківської картки сприяла необачна поведінка користувача, зокрема шляхом переходу за фішинговим (фейковим) посиланням, та введення свого паролю до акаунта Приват24, який автоматично став відомий третій особі, то саме КОРИСТУВАЧ має нести ризик збитків від здійснення операцій за його електронними платіжними засобами, які здійснені до повідомлення банку про вказані обставини.
Матеріал по темі: «Стягнення з банку безпідставно списаних коштів з карткового рахунку»