Banii au ieșit din cont în douăzeci de minute.

Într-o fraudă bancară, răspunsul la întrebarea „îmi dă banca banii înapoi?” depinde de o distincție pe care aproape nimeni nu o cunoaște înainte să aibă nevoie de ea.

Telefonul sună într-o după-amiază obișnuită. La celălalt capăt, o voce calmă și profesionistă se prezintă: departamentul antifraudă al băncii. Persoana știe numele tău complet. Știe la ce bancă ai cont. Uneori știe și ultima ta tranzacție.

Ți se spune că s-a încercat o operațiune suspectă și că trebuie acționat imediat, altfel banii se pierd. Urmează douăzeci de minute în care cineva îți vorbește fără pauză, cu o urgență care nu îți lasă timp să te gândești. Ți se cere un cod primit prin SMS, sau să aprobi ceva în aplicație, sau să muți banii „într-un cont sigur”.

La final, contul este gol. Uneori mai rău: pe numele tău există un credit pe care nu l-ai cerut.

Fenomenul nu este marginal. Numai anul acesta, peste 170 de cereri legate de fraude bancare au ajuns la Centrul de Soluționare Alternativă a Litigiilor în domeniul Bancar, cu pagube care urcă până la 20.000 de euro. Tiparul este aproape întotdeauna același: infractorii nu sparg sistemele băncii. Obțin accesul chiar de la titular, prezentându-se drept „de la bancă”, „de la Poliție” sau „de la BNR”.

Prima întrebare pe care și-o pune oricine în situația asta este dacă banca îi va returna banii. Răspunsul depinde de o distincție juridică pe care puțini o cunosc și care decide, practic, totul.

Legea nr. 209/2019 privind serviciile de plată, actul care transpune în dreptul intern Directiva (UE) 2015/2366 (PSD2), tratează diferit două situații care, pentru omul păgubit, par identice. Linia de demarcație este consimțământul (art. 147–148 din Legea nr. 209/2019 — o operațiune de plată este considerată autorizată numai dacă plătitorul și-a exprimat consimțământul, în modalitatea convenită cu banca).

Prima situație este operațiunea de plată neautorizată. Cineva a folosit cardul sau contul tău fără acordul tău. Ți-au fost furate datele, ți-a fost compromis dispozitivul, s-a plătit cu un card pe care nu îl mai ai. Aici regula legii este clară: banca rambursează suma imediat sau cel târziu la sfârșitul următoarei zile lucrătoare după ce a constatat operațiunea ori a fost notificată despre ea, readuce contul în situația anterioară și se asigură că data valutei nu te dezavantajează (art. 173 — obligația de rambursare a băncii în cazul operațiunilor neautorizate; aceeași normă îi permite să amâne rambursarea doar dacă are motive rezonabile să suspecteze o fraudă din partea clientului și sesizează autoritatea competentă).

Există o singură limită modestă. Pentru operațiunile rezultate din folosirea unui instrument de plată pierdut, furat sau utilizat fără drept, titularul poate fi obligat să suporte cel mult echivalentul a 30 de euro, dacă nu a acționat fraudulos și nu a încălcat cu intenție obligațiile de păstrare în siguranță a elementelor de securitate (art. 179 alin. (1), raportat la art. 166, care stabilește obligațiile utilizatorului privind instrumentul de plată; plafonul nu se aplică deloc în situațiile de la art. 177).

Banca poate refuza rambursarea doar dacă dovedește că ai acționat fraudulos sau că ai fost în neglijență gravă (art. 179 alin. (2) — în aceste cazuri plătitorul suportă toate pierderile, iar plafonul de 30 de euro nu se mai aplică). Iar aici se află, după părerea mea, cea mai importantă propoziție din întreaga reglementare: sarcina probei cu privire la fraudă sau neglijență gravă revine prestatorului de servicii de plată (art. 172 — regula de probă; completat de art. 171, potrivit căruia simpla folosire a instrumentului de plată, înregistrată de bancă, nu este prin ea însăși suficientă pentru a dovedi nici autorizarea, nici frauda sau neglijența gravă a plătitorului).

Nu tu trebuie să demonstrezi că ai fost prudent. Banca trebuie să demonstreze că nu ai fost.

Aici se dă, de fapt, toată lupta. Ce înseamnă „neglijență gravă” nu este definit printr-o listă, iar legea cere ca răspunderea plătitorului să fie evaluată ținând cont, în special, de natura elementelor de securitate și de împrejurările concrete în care instrumentul a fost pierdut, furat sau folosit fără drept (art. 179 alin. (3)). Băncile invocă, previzibil, exact lucrurile pe care manipularea le-a produs: ai comunicat codul primit prin SMS, ai apăsat „aprobă” în aplicație, ai introdus datele cardului pe un site care arăta ca al băncii. Contraargumentul serios nu este că aceste gesturi nu s-au întâmplat, ci că au fost obținute printr-un atac construit profesionist — și că întrebarea se pune simetric, și în privința băncii.

Pentru că obligația de securitate nu este doar a clientului. Banca este ținută să aplice autentificarea strictă atunci când clientul își accesează online contul sau inițiază o plată electronică (art. 220 alin. (1)), iar dacă nu a solicitat o astfel de autentificare, plătitorul care nu a acționat fraudulos nu suportă nicio consecință financiară (art. 177 lit. d) — situațiile în care răspunderea trece integral la bancă, indiferent de plafonul de 30 de euro).

A doua situație este cea în care plata a fost autorizată chiar de tine. Ai făcut transferul cu mâna ta. Ai contractat creditul, sub presiune psihologică, și ai virat banii mai departe. Din punct de vedere juridic, consimțământul a existat, chiar dacă a fost obținut prin înșelăciune, iar obligația automată de rambursare din art. 173 nu se mai aplică.

Nu înseamnă că nu se mai poate face nimic. Se poate cere rechemarea transferului și blocarea sumei la banca beneficiarului, cât timp banii mai există acolo. Se poate discuta dacă o operațiune complet atipică pentru comportamentul tău financiar ar fi trebuit să declanșeze o alertă. Iar în privința creditului contractat sub manipulare rămâne deschisă discuția despre viciul de consimțământ (art. 1214 C. civ. — dolul, eroarea provocată prin manopere frauduloase, permite anularea contractului), însă cu un obstacol real care trebuie spus din capul locului: atunci când înșelăciunea vine de la un terț, iar nu de la bancă, anularea se poate cere doar dacă banca a cunoscut sau ar fi trebuit să cunoască frauda la momentul încheierii contractului (art. 1215 C. civ. — dolul unui terț). Sunt drumuri mai lungi și mai incerte, dar există.

Tocmai de aceea contează ce faci în primele ore, nu în primele săptămâni.

Legea prevede un termen maxim de treisprezece luni de la data debitării pentru a semnala o operațiune neautorizată sau executată incorect (art. 169 alin. (1) — notificarea trebuie făcută fără întârziere nejustificată, dar nu mai târziu de 13 luni de la debitare, altfel banca nu mai are obligația de a corecta operațiunea). Termenul acesta este o limită exterioară, nu o perioadă de gândire. Banii pot fi opriți doar cât mai sunt undeva. După ce au fost fragmentați și scoși, niciun termen legal nu îi mai aduce înapoi.

Concret: notifică banca imediat și cere să ți se înregistreze reclamația, cu număr. Depune plângere penală, dar fără să aștepți dosarul penal ca pe o condiție prealabilă pentru analiza băncii — faptele intră, după caz, sub incidența efectuării de operațiuni financiare în mod fraudulos (art. 250 C. pen. — retragerea de numerar sau transferul de fonduri prin folosirea, fără consimțământul titularului, a unui instrument de plată fără numerar ori a datelor care permit utilizarea lui), a fraudei informatice (art. 249 C. pen.) sau a înșelăciunii (art. 244 C. pen.).

Și, mai ales, cere decizia băncii în scris, motivată concret: cum a fost autentificată plata, pe ce dispozitiv, prin ce metodă de confirmare și care sunt dovezile presupusei tale neglijențe grave. Un refuz formulat generic, care invocă neglijența gravă fără să o dovedească, ignoră tocmai regula de probă din art. 172 și este primul semn că merită contestat.

Înainte de instanță există o cale pe care prea puțini o folosesc. Centrul de Soluționare Alternativă a Litigiilor în domeniul Bancar este entitatea de soluționare alternativă pentru domeniul bancar (O.G. nr. 38/2015 privind soluționarea alternativă a litigiilor dintre consumatori și comercianți, art. 21 — înființarea Centrului), se adresează consumatorilor persoane fizice, este gratuită pentru aceștia, iar procedurile se finalizează, de regulă, în 90 de zile calendaristice de la primirea dosarului complet, cu posibilitatea prelungirii în litigiile complexe. Procedura este voluntară, deci banca trebuie să accepte să intre în ea, iar rezultatul nu este garantat. În schimb, nu îți pierzi dreptul de a merge mai departe: pe durata procedurii prescripția dreptului la acțiune nu începe să curgă, iar dacă a început, se suspendă (art. 16 din O.G. nr. 38/2015).

Mai este ceva, care nu ține de drept, dar ține de realitatea acestor dosare.

Foarte mulți oameni nu reclamă din rușine. „Cum am putut să cad în așa ceva.” Este exact reacția pe care se bazează cei care construiesc aceste atacuri, pentru că rușina cumpără tăcere, iar tăcerea cumpără timp. Atacurile nu sunt improvizate și nu selectează oameni creduli. Sunt proiectate de profesioniști care exploatează urgența, autoritatea și frica — trei lucruri în fața cărora nimeni nu este imun într-o după-amiază obișnuită.

Legea nu te poate proteja de un telefon. Te protejează, în schimb, în tot ceea ce faci după el. Cu condiția să știi asta înainte, nu după.