PSD3 a PSR přepisují pravidla evropského platebního trhu. Co přinesou bankám a poskytovatelům platebních služeb?
Evropský platební trh čeká významná regulatorní změna. Připravovaná směrnice PSD3 a nařízení PSR mají modernizovat pravidla poskytování platebních služeb, posílit ochranu uživatelů a zároveň reagovat na nové formy podvodů, rozvoj fintechu a rychlou digitalizaci platebního trhu.
Nejde přitom pouze o legislativní úpravu stávajících pravidel. Nový rámec může významně změnit způsob, jakým banky a další poskytovatelé platebních služeb nastavují prevenci podvodů, ověřování plateb, odpovědnost za škody i vztahy s poskytovateli technologických řešení.
K připravovaným změnám se v článku pro odborný měsíčník Bankovnictví vyjadřuje Jan Šovar, partner FINREG PARTNERS.
Co PSD3 a PSR přinášejí?
Mezi nejvýznamnější změny patří zejména:
- vyšší odpovědnost za podvody a změny pravidel pro refundace,
- ověřování příjemce před provedením platby,
- přísnější požadavky na monitoring plateb a behaviorální analýzu,
- posílení open bankingu a standardizace API,
- širší přístup poskytovatelů k platebním systémům,
- nové požadavky související s fintechy a digitálními peněženkami.
Významná část nové regulace se přitom soustředí na otázku, kdo ponese finanční důsledky podvodné transakce a za jakých podmínek bude mít klient nárok na její refundaci.
Odpovědnost za podvody: důležitý posun
Věcným přelomem je posun v odpovědnosti za podvody. Zde je však třeba rozlišovat dvě situace, které se v praxi často zaměňují.
U neautorizovaných transakcí, kdy platbu iniciuje sám podvodník – například s využitím údajů získaných phishingem – platí, že poskytovatel musí částku bez zbytečného odkladu vrátit a nese odpovědnost, ledaže prokáže podvod nebo hrubou nedbalost klienta.
Nově se navíc výslovně potvrzuje, že samotné technické splnění silného ověření – například úspěšné zadání PINu nebo průchod biometrií – samo o sobě nestačí jako důkaz, že klient platbu skutečně autorizoval. Důkazní břemeno leží na poskytovateli platebních služeb.
To je významný praktický posun. Skutečnost, že transakce prošla bezpečnostními mechanismy banky, totiž automaticky neznamená, že ji skutečně inicioval a autorizoval její klient.
„Refund first, argue later“?
Směr celého balíčku dokresluje jeden trend, na který je vhodné upozornit. Generální advokát Soudního dvora EU ve stanovisku ze dne 5. března 2026 ve věci C-70/25, Tukowiecka dovodil, že u neautorizované transakce musí banka refundovat částku okamžitě i tehdy, domnívá-li se, že klient jednal hrubě nedbale; spor o zavinění se podle tohoto výkladu řeší až následně.
Zjednodušeně řečeno: „refund first, argue later“.
Je však důležité zdůraznit, že v tomto případě zatím nejde o rozsudek Soudního dvora EU, ale o stanovisko generálního advokáta. Jeho závěry proto nelze zaměňovat s konečným rozhodnutím soudu. Přesto může být stanovisko významným vodítkem pro další vývoj výkladu pravidel PSD2 a jejich vztahu k připravovanému PSR.
Kde končí oběť podvodu a začíná hrubá nedbalost?
Jednou z nejobtížnějších otázek bude patrně vymezení hranice hrubé nedbalosti u manipulativních podvodů.
Představme si situaci, kdy je klient přesvědčivě zmanipulován – například telefonátem podpořeným umělou inteligencí, která věrně napodobí hlas bankéře. Klient je přesvědčen, že komunikuje se svou bankou, a platbu sám potvrdí.
Právě zde se dostáváme do prostoru, kde se tradiční představa o „autorizované platbě“ dostává do konfliktu s realitou moderních podvodů. PSR za stanovených podmínek ukládá bance povinnost peníze vrátit, zejména pokud se podvodník vydává za klientovu banku.
Důkazní břemeno ohledně podvodu či hrubé nedbalosti klienta přitom za stanovených podmínek ponese jeho banka. V praxi tak bude nesnadné určit okamžik, kdy oběť promyšleného útoku přestala být obětí a stala se osobou jednající hrubě nedbale.
Že nejde pouze o teoretický problém, ukazuje současná nejednotnost rozhodovací praxe v jednotlivých evropských státech. Významným příkladem je rozhodnutí francouzského Cour de cassation z října 2024, které se zabývalo telefonním spoofingem. Soud dospěl k závěru, že klientovi nelze přičítat hrubou nedbalost, pokud jej telefonicky kontaktovala osoba vydávající se za pracovníka jeho banky a na displeji se zobrazilo skutečné číslo bankovního poradce. Soud přitom zohlednil i skutečnost, že takový způsob podvodu může snížit ostražitost oběti a poskytuje jí méně času odhalit podvod než například e-mailový phishing.
Francouzská judikatura tak ukazuje, že při posuzování hrubé nedbalosti nemusí být rozhodující pouze samotný fakt, že klient transakci technicky potvrdil. Významnou roli mohou hrát také okolnosti, za nichž k potvrzení došlo, způsob manipulace a míra důvěryhodnosti podvodného jednání.
Pro banky to znamená více než jen změnu compliance.
Celý článek je dostupný v Odborném měsíčníku Bankovnictví a naleznete jej také ve formátu PDF níže.
