Czy bank ponosi odpowiedzialność za przyjęcie przelewu na konto oszusta?

W ramach przeciwdziałania praniu brudnych pieniędzy bank ma obowiązek ustalać i weryfikować tożsamość swych klientów, to oczywista oczywistość. Czy jednak przepisy AML mają zastosowanie także w przypadku transakcji oszukańczych? Czy bank-nadawca musi weryfikować nazwę beneficjenta podaną w przelewie z rzeczywistymi danymi posiadacza konta? Czy bank-odbiorca powinien sprawdzać, czy nikt się pod nikogo nie podszywa oraz zainteresować się źródłem nietypowego przysporzenia? Czy instytucja finansowa ma obowiązek zwrócić pieniądze wpłacone na konto oszusta — czy jednak odpowiedzialność banku za przyjęcie przelewu jest niedopuszczalna? (nieprawomocny wyrok SO w Piotrkowie Trybunalskim z 15 lipca 2024 r., I C 1706/21).

opis stanu faktycznego:

• zaczęło się od tego, że gmina dysponowała kwotą 5 mln zł, którą zamierzała korzystnie zdeponować na krótki czas oprocentowanym rachunku bankowym;
• skarbnik gminy uzyskał kontakt (zdalny, bo rzecz działa się w pandemii) z odpowiednią osobą w pewnym dużym banku, z którym wynegocjował korzystne warunki lokaty na 45 dni;

• finalnie się okazało, że pieniądze trafiły na konto pewnej spółki z o.o. — spółki-wydmuszki, która najwyraźniej nie prowadziła żadnej działalności, jej wcześniejsze sprawozdania nie spełniały elementarnych zasad rachunkowości (kolejnych już w ogóle nie składała do KRS), a następnie wytransferowane na zewnątrz w wielu przelewach;
• (pozostawione w uzasadnieniu okruszki pozwoliły ustalić, że chodziło o Gminę Rząśnia, por. „Gmina oszukana na 5 milionów złotych”, bankiem, do którego wpłynął przelew, był Bank Credit Agricole, a oszust posługiwał się adresem poczty elektronicznej w adresie creditagricol.pl);

roszczenie gminy:

• oszukana gmina nasamprzód zażądała od Credit Agricole zwrotu wpłaconych pieniędzy, a następnie wniosła do sądu pozew, w którym zażądała solidarnego zwrotu kwoty 5 mln zł;
• w ocenie strony powodowej roszczenia wobec banku spółdzielczego wynikały z braku należytego zbadania, czy zlecenie jest prawidłowe i właściwie autoryzowane, a pieniądze pójdą do podmiotu uprawnionego (bank zaniedbał powinności w zakresie sprawdzenia numeru rachunku i oznaczenia beneficjenta przelewu);
• natomiast odpowiedzialność Banku Credit Agricole za przyjęcie oszukańczego przelewu wynikać miała z braku podjęcia właściwych kroków w celu identyfikacji i weryfikacji tożsamości klienta, a także zaksięgowanie płatności na rachunku spółki, która nie prowadziła żadnej działalności, a nawet nie wypełniała obowiązków sprawozdawczych — skoro bank tego nie uczynił, to odpowiada za szkodę deliktową;
• bank spółdzielczy bronił się wskazując na fakt, że przelew był zgodny ze złożona dyspozycją (dwa podpisy i pieczątka), zaś zawartej umowie jako unikalny identyfikator beneficjenta wskazano wyłącznie numer rachunku bankowego, przez co bank nie miał obowiązku sprawdzać tożsamości odbiorców (upraszczając: bank odpowiada za to, że pieniądze wyśle na konto o określonym numerze, ale nie za to, że w rubryce nazwa odbiorcy był „Kowalski”, podczas gdy naprawdę konto należało do Wiśniewskiego), jeśli ktoś może sprawdzać takie informacje, to tylko bank uznający rachunek; co więcej transakcja przeszła jako rozliczenie międzybankowe (w rozumieniu zarządzenia prezesa NBP), a skoro bank centralny jej nie zakwestionował, to kwestionować nie ma czego; owszem, na banku spoczywa obowiązek zachowania szczególnej staranności (art. 355 par. 2 kc), ale analogiczny przepis dotyczy osób zarządzajacych mieniem komunalnym (art. 50 ust. 1 ustawy o samorządzie gminnym), przeto po tym jak wójt i skarbnik dali się oszukać nie powinni zrzucać winy na kozła ofiarnego;
• natomiast Credit Agricole podkreślał, że ustawa AML dotyczy prania brudnych pieniędzy i finansowania terroryzmu, a nie przeciwdziałania oszustwom, zaś tak czy inaczej przepisy o ustawy usługach płatniczych wyraźnie mówią, że płatność uznaje się za przekazaną do prawidłowego odbiorcy, jeśli zostało wykonane zgodnie z unikalnym identyfikatorem, niezależnie od podania przez klienta innych informacji (upraszczając: czyli nawet jeśli klient napisał „Wiśniewski”, a rachunek był Kowalskiego, to i tak liczy się numer konta); jeśli ktoś popełnił błąd, to gmina, w stopniu uzasadniającym co najmniej zarzut przyczynienia się do powstania szkody;

oddalenie powództwa wobec banku spółdzielczego:

• zlecenie płatnicze zostało autoryzowane w sposób prawidłowy i zgodny z umową: dyspozycja przelewu miała formę pisemną, została podpisana przez osoby upoważnione do reprezentacji klienta, przybito także pieczątkę gminy;
• zgodnie z regulaminem odpowiedzialność banku była wyłączona w przypadku podania przez płatnika nieprawidłowego unikalnego identyfikatora odbiorcy;
• stąd też walidacji ze strony banku podlegał wyłącznie podany numer rachunku: po wprowadzeniu go do systemu ukazała się informacja, że numer jest poprawny, jednak bank nie miał obowiązku porównywać nazwy odbiorcy podanego na zleceniu przelewu z faktyczną nazwą beneficjenta przelewu (skądinąd nie miał takiej możliwości: oba banki nie są ze sobą bezpośrednio połączone, zaś przelewy przechodzą przez system rozliczeń międzybankowych, tj. Elixir lub SORBNET2); to zlecenie zostało zaakceptowana przez drugiego pracownika banku (o wyższych uprawnieniach);
• sumarycznie oznacza to, że transakcja była prawidłowo autoryzowana i została prawidłowo wykonana — pieniądze zostały przelane na rachunek o wskazanym numerze (unikalnym identyfikatorze);

uwzględnienie roszczeń wobec Banku Credit Agricole:

• zgodnie z przepisami o przeciwdziałaniu praniu pieniędzy każdy bank ma obowiązek stosowania środków bezpieczeństwa finansowego, w tym prawidłowej identyfikacji klientów i ustalenia ich tożsamości (KYC), zarówno przy nawiązywaniu stosunków gospodarczych, jak i przeprowadzaniu transakcji na wyższą kwotę (por. „Czy banki mogą kopiować dokumenty tożsamości klientów?”);
• w przypadku transakcji nietypowych lub opiewających na wysokie kwoty bank ma obowiązek zastosować wzmożone środki bezpieczeństwa, w tym podjąć działania w celu wyjaśnienia ich okoliczności;

Bank ma obowiązek wnikania w prowadzoną działalność swoich klientów.

• przedsiębiorca ma majątek, określone obroty, pracowników, zaś w ramach prowadzonej działalności także obowiązki sprawozdawcze — tymczasem już w momencie zakładania rachunku dla spółki sprawozdanie nie było złożone, zaś w późniejszym okresie ruch na koncie był praktycznie zerowy, a po kilku miesiącach spółka została wykreślona z rejestru VAT;
• w przypadku spółki, która nie prowadziła żadnej działalności, zaksięgowanie przelewu na 5 mln złotych jest transakcją nietypową w rozumieniu regulacji AML — bo okoliczności gospodarcze nie usprawiedliwiały uznania rachunku taką kwotą;
• w przypadku transakcji nietypowej system bankowy powinien był taki przelew wychwycić i oznaczyć jako podejrzany, przekierować do dalszej analizy, która pozwoliłaby dostrzec, że odbiorcą przelewu miała być gmina, a nie spółka, dla której rachunek był prowadzony;
• brak szczelności systemu sprawiły, iż Credit Agricole jako bank-odbiorca przelewu uchybił obowiązkom w zakresie ustalenia tożsamości beneficjenta przelewu — a następnie przegapił strumień transakcji wychodzących, na łączną kwotę 5 mln złotych, które odpowiadały definicji prania brudnych pieniędzy;
• uchybienie obowiązkom w zakresie wychwycenia trefnej operacji pozwala przyjąć odpowiedzialność deliktową banku za przyjęcie przelewu i umożliwienie wyprowadzenia pieniędzy z rachunku spółki (na zasadzie winy, art. 415 kc);
• biorąc pod uwagę okoliczności przyczynienie się do powstania szkody można zarzucać powodowej gminie: osoby zarządzające mieniem komunalnym mają obowiązek zachowania szczególnej ostrożności i ochrony majątku gminy, a przecież skarbnik lekkomyślnie nie zweryfikował oferty w banku, nie porównał nawet domeny, z której otrzymywał korespondencję, wójt zgodził się na wpłatę przy braku podpisanej umowy — a losami pieniędzy zainteresowali się dopiero po kilkunastu dniach (po majowym weekendzie); w ocenie sądu stopień takiego przyczynienia można „wycenić” na 50% dochodzonej kwoty (art. 362 kc).