dr Michał Synowiec

Pod koniec marca 2017 r. Prezes Urzędu Ochrony Konkurencji i Konsumentów (dalej: „Prezes UOKiK”) wydał stanowisko zawierające istotny pogląd w sprawie umowy pożyczki zawieranej na odległość pomiędzy instytucją finansową a konsumentem. Stanowisko Prezesa UOKiK odwołuje się do problematyki wykładni definicji „trwałego nośnika” występującej na gruncie wielu aktów prawnych. Przedstawiony pogląd ma charakter o tyle kluczowy, iż prowadzi do rygorystycznej interpretacji pojęcia „trwałego nośnika”, która istotnie wpłynie na funkcjonowanie wielu instytucji finansowych.

****

Tło faktyczne

Istotny pogląd w sprawie sporu konsumenta z Creamfinance Poland (pożyczkodawcą) wydany został przez Prezesa UOKiK w ramach toczącego się postępowania o sygn. III Ca 529/16, prowadzonego przez Sąd Okręgowy w Nowym Sączu. W przedmiotowej sprawie pożyczkodawca wystąpił do sądu z żądaniem zasądzenia od konsumenta na jego rzecz kwoty odpowiadającej pozostałej do spłaty pożyczki wraz z odsetkami ustawowymi. Na skutek zgłoszonego roszczenia konsument wystąpił do sądu z powództwem wzajemnym, w którym wystąpił o zasądzenie o Creamfinance Poland stosownej kwoty z tytułu skorzystania z sankcji kredytu konsumenckiego w związku z niedochowaniem przez pożyczkodawcę wymogów wynikających z ustawy o kredycie konsumenckim.

W ramach toczącego się postepowania konsument skierował do Prezesa UOKiK wniosek o przestawienie istotnego poglądu w sprawie w zakresie interpretacji pojęcia „trwałego nośnika”. Według twierdzeń konsumenta znajdujące się na stronie internetowej oraz indywidualnym koncie użytkownika informacje związane z zawartą umową pożyczki nie zostały mu przekazane na trwałym nośniku, co spowodowało naruszenie obowiązków po stronie pożyczkodawcy.

Charakterystyka „trwałego nośnika”

Definicja „trwałego nośnika” przewidziana została w wielu aktach prawnych dotyczących regulacji praw i obowiązków w przypadku zawierania umów z udziałem konsumentów. Odpowiednimi przykładami w tym zakresie są: ustawa z dnia 19 sierpnia 2011 r. o usługach płatniczych, ustawa z dnia 30 maja 2014 r. o prawach konsumenta oraz ustawa z dnia 12 maja 2011 r. o kredycie konsumenckim, która stanowiła podstawę rozbieżności interpretacyjnych, nad którą pochylił się Prezes UOKiK w ramach wydawanego przez siebie poglądu w sprawie.

Opierając się na brzmieniu zawartym w ostatnim z przytaczanych powyżej aktów prawnych poprzez pojęcie „trwałego nośnika” należy rozumieć: „materiał lub urządzenie służące do przechowywania i odczytywania informacji przekazywanych konsumentowi w związku z umową o kredyt, przez czas odpowiedni do celów jakim informacje te służą oraz pozwalające na odtworzenie tych informacji w niezmienionej postaci” (art. 5 pkt 17 u.k.k.). Podążając zatem za brzmieniem przepisu należy wskazać, że kluczowym w tym zakresie jest zapewnienie, by trwały nośnik umożliwiał przechowywanie dostarczonych informacji przez właściwy czas oraz by zapewniał on możliwość odtworzenia stosownych informacji w ich niezmienionej, pierwotnej postaci. Taka interpretacja zapewniać ma właściwą ochronę konsumentów w ramach zawierania przez nich umów z podmiotami profesjonalnymi, przy równoczesnym wskazaniu charakteru obowiązków informacyjnych, jakie mają zostać spełnione po stronie przedsiębiorcy, który zobligowany jest do dostarczenia konsumentowi stosownych informacji.

Stanowisko Prezesa UOKiK

Wyrażony przez Prezesa UOKiK istotny pogląd w sprawie doprowadził do przesądzenia, że strona internetowa przedsiębiorcy nie stanowi trwałego nośnika w rozumieniu ustawy o kredycie konsumenckim.

Podobne stanowisko przedstawione zostało także w kontekście indywidualnego konta użytkownika/ klienta prowadzonego w ramach serwisu internetowego przedsiębiorcy – stwierdzono, że nie spełnia ono wystarczających wymogów pozwalających na uznanie go za trwały nośnik w rozumieniu ww. ustawy.

Interpretacja Prezesa UOKiK zanegowała w pełni opinię wyrażoną przez Sąd I instancji (Sąd Rejonowy w Gorlicach; sygn. akt I C 675/15 upr), zgodnie z którą umieszczenie treści umowy i załączników na stronie internetowej jest równoznaczne z dostarczeniem jej na trwałym nośniku, gdyż konsument ma możliwość dokonania wydruku niezbędnych dokumentów. Prezes UOKiK – jak się zresztą wydaje słusznie – zauważył, że fakt możliwości samodzielnego wydrukowania dokumentów udostępnianych na stronie internetowej przedsiębiorcy nie ma żadnego znaczenia dla interpretacji pojęcia „trwałego nośnika”.

W kontekście analizy pojęciowej „trwałego nośnika” należy zauważyć, że sama ustawa mówi bowiem o dostarczeniu stosownych informacji. Takie sformułowanie wydaje się ukierunkowywać wykładnię przepisu ku poszukiwaniu aktywności po stronie podmiotu, który jest zobowiązany do przekazania informacji. Gdyby zatem podzielić pogląd Sądu I instancji, faktyczna aktywność wymaganych działań podejmowana byłaby przez konsumenta, a nie przedsiębiorcę, na którym ciąży obowiązek dostarczenia informacji.

Ponadto w kontekście omawianej sprawy kluczowe znaczenie ma, z jednej strony, kwestia czasowej dostępności dostarczanych informacji, a z drugiej strony, brak możliwości dokonywania w nich zmian.

Należy podkreślić, iż dostarczane przez przedsiębiorcę informacje na trwałym nośniku zapewnić mają do nich dostęp przez czas właściwy do celów, jakim informacje te służą. Z tego też względu sam fakt możliwości dostępu do informacji udostępnianych na indywidualnym koncie użytkownika w serwisie internetowym nie może zostać uznany za trwały nośnik informacji, gdyż dostęp do tego konta zostanie zablokowany względem użytkownika z chwilą zakończenia korzystania z usługi oferowanej przez przedsiębiorcę. Może być jednak konieczne uzyskanie dostępu do tych informacji ze względu na istnienie roszczeń, co do których termin przedawnienia jeszcze nie minął i które mogą być potencjalnie zgłoszone przez konsumenta w ramach dochodzenia przez niego swoich praw przed sądem.

Odnosząc się z kolei do drugiej cechy trwałego nośnika, jaką jest brak możliwości dokonywania zmian w dostarczanych informacjach, należy zauważyć, że w przypadku ich udostępniania w ramach prowadzonej przez przedsiębiorcę strony internetowej, czy też w ramach indywidualnego konta użytkownika, mogą być one (potencjalnie) edytowane przez przedsiębiorcę w dowolnym momencie, przy równoczesnym braku świadomości konsumenta o wprowadzanych modyfikacjach. Taki  stan rzeczy jest wysoce niepożądany z perspektywy konsumenta. Dostarczane przez przedsiębiorcę informacje nie są w takim przypadku w żaden sposób trwałe, gdyż ich zmiana możliwa jest w każdym czasie.

****

Wyrażony przez Prezesa UOKiK pogląd w sprawie wydaje się w istotny sposób wpływać na interpretację pojęcia „trwałego nośnika” występującą w polskim porządku prawnym. Jak sam zresztą wskazał on w swojej opinii, pomimo istnienia potrzeby każdorazowej analizy stanu faktycznego przemawiającego za koniecznością dokonania wykładni definicji „trwałego nośnika”, pojęcie to powinno być interpretowane i rozumiane tak samo na gruncie wszystkich przepisów służących ochronie konsumentów.

Nie sposób także pominąć faktu, że wyrażone stanowisko wpisuje się w dotychczasową wykładnię tego pojęcia na gruncie orzecznictwa unijnego (zob. wyrok TSUE z dnia 5 lipca 2012 r. w sprawie Content Services Ltd vs Bundesarbeitskammer, sygn. C-49/11). Doniosłość opinii przedkłada się bowiem na praktyczne wypełnianie obowiązków przez takie podmioty, jak chociażby banki/ skoki i inne instytucje finansowe, w tym instytucje płatnicze, które w ramach swojej działalności zobligowane są do wypełnienia rozległych obowiązków informacyjnych względem swoich klientów, w tym konsumentów. Zagadnienie to jest ponadto o tyle istotne, iż w ramach tak znaczącego rozwoju nowych technologii dostawcy usług płatniczych kierują się ku możliwie jak największej cyfryzacji w zakresie kontaktów ze swoimi klientami. Niemniej, należy pamiętać, że wszelkie wprowadzane przez nich innowacyjne rozwiązania powinny być dostosowane do obowiązujących przepisów prawa, co nie zawsze jest zadaniem prostym.

Z końcem lutego 2017 r. Europejski Urząd Nadzoru Bankowego (dalej: „EUNB”) uchwalił ostateczny projekt regulacyjnych standardów technicznych dotyczący silnego uwierzytelniania klientów oraz bezpiecznej komunikacji (dalej: „Standardy”). Początkowo dokument pojawić się miał z końcem stycznia 2017 r., jednakże ze względu na zbyt rygorystyczne regulacje spotkał się on z silnym sprzeciwem środowiska e-płatności. Dla podmiotów działających na rynku e-płatności Standardy stanowić będą jedno z kluczowych uregulowań wprowadzając obowiązek stosowania instytucji silnego uwierzytelniania w ramach obsługi rachunku płatniczego oraz przeprowadzania transakcji płatniczych.

****

Cel regulacji silnego uwierzytelniania

Zgodnie z motywami Standardów instytucja silnego uwierzytelniania stanowić ma podstawową metodę minimalizacji ryzyka oszustw w zakresie płatności elektronicznych. Jej wykorzystanie stanowić będzie zasadę zawsze, gdy dochodzić będzie do ujawnienia wrażliwych danych płatniczych, tj. danych potrzebnych do sprawdzenia salda rachunku lub historii transakcji płatniczych z ostatnich 90 dni. Z tego też względu korzystanie z procedury silnego uwierzytelniania nie będzie kwestią niezbędną jedynie w zakresie dokonania konkretnej płatności. Użytkownicy usług płatniczych będą mieli z nią do czynienia także w sytuacji uzyskania dostępu do swojego rachunku płatniczego.

Sama procedura uwierzytelniania poza wymogami technicznymi polegającymi na tworzeniu stosownych zabezpieczeń polegać ma również na wprowadzeniu funkcjonowania mechanizmu monitoringu transakcji, który pozwoli na wykrycie nieautoryzowanych lub oszukańczych operacji płatniczych. Tak rozbudowana struktura uwierzytelniania klientów ma za zadanie uściślić ochronę w zakresie działalności elektronicznych metod płatności.

Procedura silnego uwierzytelniania

Na gruncie Standardów zabezpieczenie operacji płatniczych przy użyciu silnego uwierzytelniania przybiera trójelementowy charakter. Wykorzystane środki opierają się na prostej koncepcji – coś co wiesz, coś co masz, coś czym jesteś. Wiedza stanowiąca pierwszą i w zasadzie fundamentalną część procedury uwierzytelniania odwoływać się ma np. do znajomości kodu PIN, potrzebnego do autoryzacji płatności. Posiadanie stanowiące kolejny element silnego uwierzytelniania dotyczy np. wykorzystania procedury potwierdzenia płatności przez posiadany smartfon użytkownika. Z kolei ostatnim, trzecim składnikiem, jest odwołanie się do zabezpieczeń biometrycznych polegających np. na wykorzystaniu odcisku palca użytkownika w ramach wykonywanej przez niego operacji płatniczej.

Zgodnie z ogólnymi założeniami każdy z powyższych składników jest w pełni niezależny od pozostałych, a złamanie jednego z nich nie wywiera żadnych negatywnych konsekwencji względem reszty. Procedura silnego uwierzytelniania klienta oparta ma być na wykorzystaniu minimum dwóch powyższych elementów, które następnie umożliwić mają wygenerowanie specyficznego kodu uwierzytelniającego. Kod ten ma zostać zaakceptowany przez dostawcę usług płatniczych tylko jednokrotnie w ramach uzyskiwania dostępu do konta online, rozpoczęcia transakcji płatniczej lub innej czynności związanej z obsługą konta, która mogłaby prowadzić do powstania ryzyka oszustwa albo innego nadużycia. Wygenerowany kod cechować ma się swoistymi wymogami polegającymi m.in. na niemożliwości jego podrobienia, czy też wygenerowania innego, który mógłby opierać się na tym poprzednim.

Standardy przewidują także podstawowe zasady wykorzystania procedury silnego uwierzytelniania klienta w ramach transakcji płatniczych. Z tego też względu liczba nieudanych prób uwierzytelniania ograniczona została do pięciu. Jeżeli użytkownik w sposób nieskuteczny przeprowadzi pięciokrotnie całą procedurę uwierzytelniania dochodzić ma do czasowego lub trwałego zablokowania elektronicznego instrumentu płatności. Z kolei maksymalny czas pozostawania bez jakiekolwiek aktywności ze strony płatnika na jego koncie online ograniczony został do maksymalnie pięciu minut liczonych od momentu skutecznego ukończenia procedury uwierzytelniania.

Warto także zwrócić uwagę, że Standardy narzucają na dostawców usług płatniczych inne wymogi związane z funkcjonowaniem kodów uwierzytelniających. Jednym z nich jest kwestia dynamicznego łączenia wygenerowanego kodu z kwotą transakcji oraz jej odbiorcą. Standardy bezpośrednio odwołują się także do obowiązku wprowadzenia odpowiednich środków umożliwiających zapewnienie poufności, autentyczności i integralności danych związanych z kwotą operacji płatniczej oraz odbiorcą płatności we wszystkich fazach procedury uwierzytelniania.

Wyjątki od stosowania procedury silnego uwierzytelniania

Standardy za ogólną zasadę przyjęły obowiązek korzystania z procedury silnego uwierzytelniania w celu zapewniania lepszej ochrony podmiotów korzystających z usług płatniczych oraz minimalizacji ryzyka oszustw i innych nadużyć z nimi związanych. Niemniej jednak przewidziany został szereg wyjątków, zgodnie z którym obowiązek ten został zniesiony. Warto jednakże wskazać, że możliwość niekorzystania z procedury silnego uwierzytelniania uzależniona została od innych czynników, które powinny zostać spełnione. Większość przewidzianych zwolnień obwarowana została szczegółowymi wymogami, które stanowić mają warunek konieczny skorzystania z opcji pominięcia procedury.

Po pierwsze, przypadkiem, który nie wymaga korzystania z procedury silnego uwierzytelniania jest transfer płatności w przypadku inicjacji całej operacji przez podmiot będący tą samą osobą fizyczną lub prawną zarówno po stronie płatnika jak i po stronie odbiorcy, a konta w ramach których dokonuje się płatności znajdują się u tego samego dostawcy usług płatniczych.

Po  drugie, podobne wyłączenie dotyczy także korzystania z samoobsługowych terminali płatniczych w ramach uiszczania opłaty za transport lub opłaty parkingowej. Przedmiotowe wyjątki odwołują się zatem do aspektów słusznościowych, którymi kierował się projektodawca w ramach przygotowywania Standardów – wprowadził on stosowne wyjątki, gdzie ryzyko nadużyć jest faktycznie niewielkie.

Po trzecie, do zwolnienia z obowiązku korzystania z procedury silnego uwierzytelniania dojdzie także wtedy, gdy w ramach dokonywanych operacji nie będą dostępne wrażliwe dane płatnicze, czyli dane dotyczące salda rachunku oraz historii transakcji z ostatnich 90 dni. Niemniej jednak wyjątek ten nie ma charakteru bezwzględnego, bowiem nie dotyczy sytuacji, w których użytkownik usług płatniczych uzyskuje dostęp do swojego rachunku po raz pierwszy lub od ostatniego wykorzystania procedury silnego uwierzytelniania minęło ponad 90 dni. Zgodnie zatem z regulacją zawartą w Standardach obowiązek skorzystania z instytucji silnego uwierzytelniania powracać będzie każdorazowo minimum raz na 90 dni w ramach korzystania ze swojego rachunku płatniczego przez użytkownika.

Po czwarte, w ramach Standardów poruszono także bardzo istotną kwestię zwolnień z  obowiązku silnego uwierzytelniania podczas dokonywania tzw. transakcji o niskiej wartości. W  tym przypadku zwolnione od obowiązku korzystania z procedury będą wszelkie transakcje opiewające na kwotę niższą niż 30 euro. Warto zauważyć, że limit ten obowiązywać będzie także w przypadku kilku następujących po sobie transakcji płatniczych, jednakże ich łączna wartość nie może przewyższać 100 euro, a suma wszystkich operacji przekraczać 5 transakcji, na dzień. Podobne uregulowanie znalazło swoje odzwierciedlenie w kontekście zbliżeniowych płatności elektronicznych. Maksymalna kwota podczas operacji zwolnionej od obowiązku stosowania procedury silnego uwierzytelniania nie może przekraczać kwoty 50 euro, a kwota łącznych, występujących konsekwentnie po sobie transakcji wynosić ponad 150 euro lub przekraczać 5 operacji.

Analiza ryzyka transakcji a obowiązek silnego uwierzytelniania

Standardy poza obowiązkiem stosowania procedury silnego uwierzytelniania odwołują się także do potrzeby prowadzenia przez dostawców usług płatniczych mechanizmu monitoringu transakcji, którego zadaniem jest zapewnienie wykrywania nieautoryzowanych albo oszukańczych transakcji płatniczych. Mechanizm monitorowania transakcji ze swego założenia powinien być oparty na analizie transakcji płatniczych uwzględniając elementy typowe dla przeciętnego użytkownika usług płatniczych. Powinien on ponadto brać pod uwagę takie czynniki jak np. kwotę transakcji, listę zagrożonych lub ukradzionych składników uwierzytelniania, prawdopodobne scenariusze oszustwa, czy także oznaki infekcji złośliwym oprogramowaniem w ramach procedury uwierzytelniania.

Poza powyższymi wymogami mechanizm monitoringu transakcji obwarowany został dodatkowymi wymogami w przypadku podmiotów zwolnionych z obowiązku stosowania procedury silnego uwierzytelniania, ze względu na uznanie tego podmiotu za stwarzającego niski poziom ryzyka w ramach przeprowadzanych analiz ryzyka transakcji. Standardy określają szczególne warunki w ramach tworzenia analiz ryzyka transakcji wprowadzając m.in. trójstopniowy referencyjny wskaźnik transakcji oszukańczych. Podmioty mieszczące się w ramach konkretnych kategorii uznane za potencjalnie bezpieczne ze względu na niski wskaźnik oszustw mogą uzyskać prawo do zwolnienia z obowiązku silnego uwierzytelniania nawet w przypadku transakcji do kwoty 500 euro. Niemniej jednak zwolnienie z obowiązku stosowania procedury silnego uwierzytelniania w stosunku do podmiotów korzystających z analizy ryzyka transakcji uzależnione zostało od wielu innych czynników odwołujących się np. do analiz nietypowych lokalizacji płatnika lub analizy lokalizacji odbiorcy płatności, która nie wiążę się z dużym ryzykiem.

****

W artykule odwołano się jedynie do najistotniejszych postanowień zawartych w Standardach, które regulują kwestię silnego uwierzytelniania klientów i zwolnień od tego obowiązku. Możliwe jest dostrzeżenie, że nowa regulacja wprowadza istotne zmiany mające na celu zwiększenie ochrony użytkowników usług płatniczych, bez pozbawiania ich wygody i szybkości e-płatności. Ostateczne uchwalenie Standardów wiązać się będzie z obowiązkiem praktycznego dostosowania wielu mechanizmów wykorzystywanych obecnie przez dostawców usług płatniczych.

Pozytywnie należy ocenić chociażby zwolnienie z obowiązku silnego uwierzytelniania w  zakresie podmiotów, które posiadają niski wskaźnik ryzyka w ramach prowadzonej przez siebie działalności. Taka regulacja powinna sprzyjać mobilizacji intensyfikacji środków ochrony ze strony dostawców usług płatniczych, którzy chętnie korzystaliby z możliwości odstąpienia od procedury silnego uwierzytelniania w ramach obsługiwanych transakcji.