Pengadilan tertinggi EU: bank harus mengembalikan dana ke korban penipuan terlebih dahulu, bahkan jika lalai

Pengadilan Keadilan Uni Eropa (CJEU) memutuskan pada 15 Oktober 2026 bahwa bank dan penyedia layanan pembayaran lainnya tidak dapat menunda atau menolak pengembalian dana kepada pelanggan yang terkena transaksi tanpa otorisasi hanya karena mereka mencurigai pelanggan sangat lalai. Putusan dikeluarkan dalam Perkara C-70/25, N.O. melawan PKO BP S.A., mengikuti permintaan untuk putusan pendahuluan dari pengadilan distrik di Koszalin, Polandia, yang diajukan pada 3 Februari 2025.

Apa yang terjadi dalam perkara yang mendasar

Kasus dimulai dengan pelanggan bank Polandia, yang dalam dokumen pengadilan hanya diidentifikasi sebagai N.O., yang menjadi target penipu yang menyamar sebagai pembeli di platform penjualan online. Penipu mengirimkan tautan pembayaran palsu yang menyamar sebagai pesan dari platform. Setelah pelanggan mengklik tautan dan memasukkan kredensial perbankan mereka di halaman login palsu, penipu mentransfer sekitar €700 dari akunnya. Banknya, PKO BP, menolak untuk mengembalikan dananya, dengan alasan bahwa dia sangat lalai dengan memasukkan kredensial di halaman palsu.

Apa yang Pengadilan putuskan

CJEU berpendapat bahwa hukum layanan pembayaran EU — Petunjuk Layanan Pembayaran (Directive 2015/2366, dikenal sebagai PSD2) — memerlukan bank untuk mengembalikan jumlah transaksi tanpa otorisasi secara langsung, dan tidak lebih lambat dari akhir hari kerja berikutnya setelah pelanggan melaporkan, terlepas dari apakah bank percaya pelanggan bertindak dengan kelalaian besar. Pengadilan menemukan bahwa memungkinkan bank menahan pengembalian dana saat mereka menyelidiki klaim kelalaian akan menghilangkan kewajiban pengembalian dana dari efek praktisnya dan memaksa korban untuk pergi ke pengadilan hanya untuk mendapatkan uang mereka kembali.

Putusan ini tidak mencegah bank dari mencoba memulihkan jumlah yang dikembalikan kemudian. Jika bank percaya bahwa pelanggan dengan sengaja atau melalui kelalaian besar gagal melindungi kredensial keamanan yang dipersonalisasi, dapat melakukan tuntutan terhadap pelanggan kemudian — tetapi beban membuktikan kelalaian tersebut terletak pada bank, biasanya di depan hakim, bukan pada pelanggan pada saat penipuan.

Mengapa itu penting di seluruh EU

Karena PSD2 adalah direktif EU yang diterapkan di semua 27 negara anggota, putusan ini merupakan panduan mengikat untuk pengadilan nasional dan regulator di seluruh blok, bukan hanya di Polandia. Organisasi konsumen mengatakan efek praktisnya signifikan karena banyak bank secara rutin telah membalikkan urutan yang dimaksudkan oleh hukum: menyelidiki kelalaian yang dicurigai terlebih dahulu dan membayar hanya setelahnya, jika sama sekali. Kelompok konsumen Belgia Test-Achats/Testaankoop menyebut keputusan ini titik balik. Juru bicaranya, Julie Frère, merangkum kewajiban sebagai "Les banques doivent payer d'abord, discuter ensuite" ("bank harus membayar terlebih dahulu, berdiskusi kemudian"), mengatakan itu mengkonfirmasi aturan yang telah bank obati dalam praktik.

The Brussels Times melaporkan bahwa putusan ini secara langsung menantang praktik saat ini di bank-bank Belgia, beberapa di antaranya telah menolak pengembalian dana langsung sementara mereka menyelidiki apakah pelanggan ceroboh dengan detail login atau kode satu kali. Komentar hukum tentang kasus, termasuk analisis yang diterbitkan oleh outlet Spanyol Ara, mencatat bahwa jawaban Pengadilan berlaku secara khusus pada batas waktu pengembalian dana yang ditetapkan dalam PSD2, bahwa putusan berbicara dalam hal 'penyedia layanan pembayaran' secara umum daripada hanya bank, dan bahwa itu meninggalkan penyedia bebas untuk menggugat kelalaian besar secara terpisah, setelah uang telah dikembalikan.

Skala masalahnya

Putusan ini tiba saat kerugian penipuan pembayaran meningkat di seluruh EU dan Kawasan Ekonomi Eropa. Laporan bersama dari Otoritas Perbankan Eropa dan Bank Sentral Eropa menemukan bahwa total kerugian penipuan pembayaran mencapai €4,2 miliar pada 2024, naik dari €3,5 miliar pada 2023 dan €3,4 miliar pada 2022 — peningkatan sekitar 20% dari 2023 ke 2024. Dalam total itu, penipuan yang terkait dengan transfer kredit meningkat 16% tahun-ke-tahun menjadi €2,2 miliar, dan penipuan pada kartu yang diterbitkan EU dan EEA meningkat 29% menjadi sekitar €1,33 miliar. Untuk penipuan transfer kredit secara khusus, laporan yang sama menemukan bahwa pengguna layanan pembayaran menanggung sekitar 85% dari kerugian yang dihasilkan, sebagian besar karena scam menipu orang untuk mengotorisasi transfer itu sendiri.

Apa yang masih tidak jelas

Putusan ini mengatasi transaksi tanpa otorisasi — kasus di mana orang lain mengakses atau mengalihkan uang pelanggan, seperti dalam phishing. Itu tidak mengubah perlakuan hukum yang terpisah dari situasi di mana bank memiliki alasan objektif untuk mencurigai pelanggan mengotorisasi pembayaran itu sendiri atau terlibat dalam penipuan, yang masih dapat membenarkan menahan pengembalian dana. Seberapa cepat bank-bank individual di seluruh EU mengubah prosedur pengembalian dana internal mereka dalam menanggapi putusan, dan apakah regulator nasional akan secara aktif memberlakukannya, tetap dilihat pada 16 Oktober 2026.