Суд ЕС постановил, что банк должен вернуть клиенту сумму несанкционированного платежа немедленно — не позднее конца следующего рабочего дня после уведомления, если клиент сообщил об операции без неоправданной задержки. Отложить возврат можно лишь при обоснованном подозрении в мошенничестве самого клиента, о котором банк письменно сообщил компетентному национальному органу.

Дело C‑70/25 возникло в Польше после фишинговой атаки. Покупательница перешла по ссылке с площадки объявлений, ввела данные для входа в банковский аккаунт, и с её счёта перевели около €700. На следующий день она уведомила банк, но тот отказался возвращать деньги, сославшись на грубую неосторожность при защите учётных данных.

Суд разделил немедленный возврат и окончательное распределение убытка по директиве PSD2. Одной ссылки на грубую неосторожность недостаточно, чтобы заставить клиента ждать завершения спора. Однако после возврата банк вправе потребовать деньги обратно, если докажет, что убыток возник из-за умышленного или грубо неосторожного нарушения клиентом правил безопасности.

Решение не присуждает польской клиентке выплату автоматически: её спор должен завершить национальный суд. Но толкование Суда ЕС обязательно для аналогичных дел и меняет порядок риска для банков и платёжных сервисов во всём Евросоюзе: сначала восстановить баланс, затем доказывать вину клиента.