În cazul în care o plată apare în contul unui client, iar acesta susține că nu a aprobat operațiunea, instituțiile bancare nu pot argumenta că simpla introducere a unui cod de securitate este suficientă pentru a respinge reclamația. Există o distincție juridică esențială între procesul de autentificare tehnică și actul de autorizare a plății de către persoana interesată. Această clarificare este necesară pentru a determina dacă pierderea financiară rămâne în sarcina clientului sau trebuie suportată de bancă.
Conform Legii nr. 209/2019 privind serviciile de plată, procesul de autentificare, realizat prin mecanisme precum parola, codul primit prin SMS sau aplicația bancară, reprezintă doar o verificare tehnică. Autorizarea, însă, presupune consimțământul explicit al clientului pentru tranzacția respectivă. Astfel, utilizarea unui instrument de plată nu constituie, în mod izolat, o dovadă a faptului că titularul a acordat acordul pentru plata efectuată, mai ales în situațiile în care datele bancare au fost utilizate de persoane fără drept.
Pentru plățile electronice la distanță, legislația europeană impune ca codul de autentificare să fie legat direct de suma plătită și de beneficiarul tranzacției. Din acest motiv, banca nu se poate limita la constatarea faptului că un cod corect a fost introdus în sistem. Instituția trebuie să demonstreze că operațiunea a fost autentificată, înregistrată și procesată corect, fără a fi afectată de defecțiuni tehnice sau alte deficiențe ale serviciului oferit utilizatorului.
În situațiile în care banca susține că titularul a acționat cu neglijență gravă sau fraudulos, povara probei revine instituției financiare. Utilizarea datelor sau a codurilor asociate clientului nu reprezintă o dovadă automată a unei conduite neadecvate din partea acestuia. Totuși, protecția legală nu garantează rambursarea automată în orice caz de înșelătorie, deoarece trebuie analizat dacă utilizatorul și-a încălcat intenționat sau din neglijență gravă obligațiile de securitate prevăzute.
Regula generală prevede că, pentru o operațiune neautorizată, banca trebuie să efectueze rambursarea imediată sau, cel târziu, până la sfârșitul următoarei zile lucrătoare după notificarea sau constatarea incidentului. Există o excepție în care banca poate amâna acest proces dacă are motive rezonabile de suspiciune de fraudă, comunicând aceste motive în scris autorității competente. Clientul are la dispoziție un termen de maxim 13 luni de la debitarea contului pentru a semnala operațiunea, însă trebuie să o facă prompt.
Cadrul juridic privind serviciile de plată în România este reglementat de legislația europeană, care urmărește un echilibru între securitatea tranzacțiilor și protecția consumatorului. Această reglementare impune băncii responsabilități stricte în gestionarea riscurilor de fraudă, obligând instituțiile să verifice nu doar validitatea tehnică a datelor, ci și validitatea consimțământului utilizatorului în procesul de transfer al fondurilor.