בקצרה, והנקודה שרוב המדריכים מפספסים: החוק המרכזי שקובע מה קורה כשמישהו מבצע פעולות בחשבון או בכרטיס שלכם בלי רשות הוא חוק שירותי תשלום, התשע"ט-2019. סעיף 24(ב) קובע שהמשלם אינו אחראי כלל לשימוש לרעה שנעשה לאחר שנמסרה הודעה לנותן שירותי התשלום על גניבה, אובדן או שימוש לרעה. סעיף 24(ג) מגביל את האחריות לתקופה שלפני ההודעה לסכום הנמוך מבין שניים: סכום קבוע של 75 שקלים חדשים בתוספת 30 שקלים חדשים לכל יום מהמועד שבו נודע לכם ועד למסירת ההודעה, ובלבד שאם נמסרה ההודעה בתוך 30 ימים מהשימוש לרעה הראשון האחריות לא תעלה על 450 שקלים חדשים; או סכום הפעולות שבוצעו בפועל. המסקנה המעשית אחת: מהירות ההודעה היא הגורם היחיד שאתם שולטים בו, והיא זו שקובעת את גובה החשיפה.
הבנקאות הדיגיטלית העבירה כמעט את כל הפעולות הפיננסיות לאפליקציה ולדפדפן, ויחד איתן העבירה גם את הסיכון. הטעויות הנפוצות אינן טכניות במיוחד, והנזק שהן גורמות אינו רק כספי: הוא כולל גם חשיפה משפטית ומחלוקת מול הבנק על מי נושא באחריות. הדף הזה מציג את הטעויות, ולצידן את המסגרת המשפטית שקובעת מה מגיע לכם כשמשהו משתבש.
המסגרת המשפטית והרגולטורית
ארבעה מקורות עומדים ביסוד ההגנה על לקוח בבנקאות דיגיטלית, וחשוב לא לערבב ביניהם:
- חוק שירותי תשלום, התשע"ט-2019: מסדיר את חוזה שירותי התשלום, את חובות הגילוי, ובעיקר את חלוקת האחריות בשימוש לרעה באמצעי תשלום. סעיף 7 מחייב גילוי של כל פרט מהותי לגבי תוכן השירות, היקפו, תנאיו ומחירו והסיכונים הכרוכים בו. סעיף 8 אוסר הטעיה בעניין מהותי, ומונה במפורש בין העניינים המהותיים את רצף הפעולות המהווה את אמצעי התשלום ואופן השימוש בו, ואת הזכות לביטול הוראת תשלום.
- חוק הבנקאות (שירות ללקוח), התשמ"א-1981: סעיף 3 אוסר על תאגיד בנקאי לעשות דבר העלול להטעות לקוח בעניין מהותי; סעיף 4 אוסר ניצול מצוקה, חולשה, בורות, אי ידיעת השפה או חוסר ניסיון; וסעיף 5 מסמיך את נגיד בנק ישראל לקבוע בכללים חובות גילוי נאות.
- חוק הגנת הפרטיות, התשמ"א-1981, ותקנות הגנת הפרטיות (אבטחת מידע), התשע"ז-2017: אלה, ולא חוק הגנת הצרכן, הם המקור לחובות אבטחת המידע החלות על מי שמחזיק מאגר מידע ובכלל זה גוף פיננסי.
- הוראות ניהול בנקאי תקין של הפיקוח על הבנקים בבנק ישראל: המסגרת הרגולטורית המחייבת בנושאי אבטחת מידע, הגנת סייבר וניהול סיכונים.
| המצב | אחריות המשלם | המקור |
|---|---|---|
| שימוש לרעה לאחר מסירת הודעה | אין אחריות כלל | סעיף 24(ב) |
| שימוש לרעה לפני מסירת הודעה | הנמוך מבין: 75 ש"ח ועוד 30 ש"ח לכל יום מהמועד שנודע לכם ועד ההודעה, או סכום הפעולות שבוצעו בפועל | סעיף 24(ג) |
| הודעה תוך 30 ימים מהשימוש לרעה הראשון | לא יותר מ-450 ש"ח | סעיף 24(ג)(1) |
| הרכיב החיוני הועמד לרשות אדם אחר | הגבלת האחריות אינה חלה, בכפוף לחריגים של שמירה בנסיבות סבירות או גניבה מאותו אדם | סעיף 24(ד) |
| נותן השירות לא איפשר למסור הודעה או לבטל את אמצעי התשלום בכל עת באופן סביר | אין אחריות כלל | סעיף 24(ה) |
הכלל היחיד שחייבים לזכור: מסירת ההודעה היא נקודת הניתוק. כל שקל שנגנב אחריה אינו על חשבונכם, וכל יום שעובר לפניה מגדיל את החשיפה ב-30 שקלים חדשים. אין שום סיבה להמתין, לבדוק, או "לוודא קודם". מודיעים מיד, בכל ערוץ זמין, ומתעדים את מועד ההודעה ואת שם הגורם שקיבל אותה. שימו לב גם לסעיף 24(ד): העמדת הרכיב החיוני של אמצעי התשלום, כגון סיסמה או קוד, לרשות אדם אחר שוללת את הגבלת האחריות.
שבע הטעויות הנפוצות בבנקאות דיגיטלית
1. סיסמאות חלשות וחוזרות
סיסמה קצרה, סיסמה שחוזרת בכמה שירותים, או סיסמה המבוססת על פרטים אישיים. הפתרון: סיסמה ייחודית לכל שירות, אימות דו שלבי בכל מקום שבו הוא זמין, ושימוש במנהל סיסמאות. סיסמה שנחשפה בדליפה באתר אחר הופכת מיד לסיכון בחשבון הבנק.
2. פישינג והתחזות
הודעה, דואר אלקטרוני או שיחה שנראים כמגיעים מהבנק ומבקשים פרטי גישה או קוד אימות. הכלל: בנק אינו מבקש סיסמה או קוד אימות בטלפון, בדואר אלקטרוני או בהודעה. במקרה של ספק, מנתקים ומתקשרים יזומה למספר הרשמי. שיטת התחזות מתקדמת שבה מספר המתקשר מזויף נדונה בהרחבה במדריך Spoofing תביעה דיני בנקאות: זכויות נפגעים והגשת תביעה.
3. התעלמות מהתראות אבטחה
התראות על כניסה ממכשיר חדש, על שינוי פרטים או על פעולה חריגה הן לרוב ההזדמנות הראשונה לזהות חדירה. מפעילים את כל ההתראות הזמינות, ולא מכבים אותן בגלל הרעש. במקביל, מעדכנים מערכת הפעלה ואפליקציות, מפני שעדכונים סוגרים פרצות ידועות.
4. שימוש ברשתות אלחוטיות ציבוריות
רשת פתוחה בבית קפה או בשדה תעופה חושפת את התעבורה. לפעולות פיננסיות משתמשים בחיבור סלולרי, ברשת ביתית מאובטחת או ברשת פרטית וירטואלית מוצפנת.
5. אי בדיקת תנועות בחשבון
זו הטעות עם ההשלכה המשפטית הישירה ביותר. ככל שתאחרו לגלות, כך יגדל מספר הימים שנספרים לפי סעיף 24(ג). בדיקה שבועית של התנועות, ומענה מיידי לכל חיוב שאינכם מזהים, מקטינים את החשיפה בפועל.
6. שיתוף פרטי גישה
מסירת סיסמה, שם משתמש או קוד אימות לאדם אחר, גם בן משפחה, פוגעת ישירות בהגנה שבחוק. סעיף 24(ד) קובע שהעמדת הרכיב החיוני לרשות אדם אחר שוללת את הגבלת האחריות, בין שהשימוש נעשה בידיעתכם ובין שלא, למעט חריגים מצומצמים.
7. אי קריאת תנאי השימוש
חוזה שירותי תשלום נערך בכתב בשפה ברורה ומובנת, וההסכמה שלכם צריכה להינתן במפורש ולהיות מתועדת. לפני כריתת החוזה יש לתת לכם הזדמנות סבירה לעיין בו, ולאחר הכריתה למסור לכם עותק. אלה אינם נוהג אלא חובות שבחוק.
מה עושים כשמתגלה פעולה שלא ביצעתם
- מודיעים מיד: בטלפון, באפליקציה או בכל ערוץ זמין, ומבקשים אישור בכתב על מועד ההודעה. זהו הצעד היחיד שקובע את גובה האחריות.
- מבקשים הקפאה או ביטול של אמצעי התשלום: ובמקביל דורשים העמדת אמצעי חלופי כדי לא להישאר בלי גישה.
- מחליפים סיסמאות: בחשבון הבנק וגם בדואר האלקטרוני המשמש לשחזור, שהוא לרוב היעד האמיתי של התוקף.
- מתעדים הכול: צילומי מסך של הפעולות, שעות, שמות נציגים ומספרי פנייה. תיעוד זה הוא הבסיס לכל מחלוקת בהמשך.
- מגישים תלונה במשטרה: במקרה של הונאה או גניבה, ומצרפים את מספר התלונה לפנייה לבנק.
- דורשים החזר בכתב: ובהיעדר מענה מספק, פונים לגורם פניות הציבור בבנק ולאחר מכן ליחידת פניות הציבור בפיקוח על הבנקים בבנק ישראל.
מחלוקת על העברה שבוצעה: כשהכסף כבר יצא בהעברה בנקאית, מתעוררות שאלות נוספות לגבי היקף האחריות של הבנק ושל הגורם המקבל. הנושא נדון בהרחבה במדריך אחריות הבנק בהעברה בנקאית שנגנבה: מדריך מקיף. במקרים שבהם הבנק מגיב בסגירת חשבון או בסירוב לפתוח חשבון חדש, יש כלים נפרדים, כמפורט במדריך סירוב בנק לפתוח חשבון: זכויותיך וכיצד לפעול.
מתי פונים לעורך דין
פנייה מוקדמת נדרשת כשהבנק דוחה את הטענה, כשהסכום משמעותי, כשמדובר בהתחזות מתוחכמת שבה נטען שאתם עצמכם אישרתם את הפעולה, או כשנטען נגדכם שהתרשלתם בשמירה על פרטי הגישה. מחלוקת כזו מתנהלת בזירה האזרחית, בכלים המתוארים בעמוד עורך דין משפט אזרחי: חוזים, לשון הרע ותביעות. במקרים שבהם נפתחה חקירה, בין שאתם הנפגעים ובין שהופנתה אליכם טענה, רלוונטיים גם הכלים שבעמוד עורך דין פלילי: חקירה, כתב אישום ומעצר.
בוצעו בחשבון שלכם פעולות שלא אתם עשיתם? ההודעה לבנק היא הצעד שקובע את גובה החשיפה שלכם, וכל יום נוסף עולה כסף. אחריה, כדאי לבדוק אם הבנק עמד בחובותיו. אפשר לבדוק את המקרה שלכם מול עורך דין בנקים: תביעות נגד בנקים וייצוג.
שאלות ותשובות על בנקאות דיגיטלית
כמה אני משלם אם גנבו לי כסף מהחשבון?
לפי סעיף 24 לחוק שירותי תשלום, לאחר שמסרתם הודעה אינכם אחראים כלל. לפני ההודעה האחריות מוגבלת לנמוך מבין 75 שקלים חדשים ועוד 30 שקלים חדשים לכל יום מהמועד שנודע לכם ועד ההודעה, לבין סכום הפעולות שבוצעו בפועל. אם מסרתם הודעה תוך 30 ימים מהשימוש לרעה הראשון, האחריות לא תעלה על 450 שקלים חדשים.
מה קורה אם מסרתי את הסיסמה למישהו?
סעיף 24(ד) קובע שהעמדת רכיב חיוני של אמצעי התשלום לרשות אדם אחר שוללת את הגבלת האחריות, בין שהשימוש נעשה בידיעתכם ובין שלא. קיימים חריגים מצומצמים, למשל כשהרכיב הועמד בנסיבות סבירות למטרת שמירה בלבד, או כשהשימוש לרעה נעשה לאחר שהרכיב נגנב מאותו אדם.
מה אם הבנק לא איפשר לי להודיע?
סעיף 24(ה) קובע שאם נותן שירותי התשלום לא איפשר לכם למסור הודעה או לבטל את אמצעי התשלום, בכל עת ובאופן סביר, לא תחול עליכם אחריות כלל. לכן חשוב לתעד ניסיונות ליצור קשר שלא נענו, ובאיזו שעה ובאיזה ערוץ.
איזה חוק מחייב את הבנק לאבטח את המידע שלי?
לא חוק הגנת הצרכן. חובות אבטחת המידע נובעות מחוק הגנת הפרטיות, התשמ"א-1981, ומתקנות הגנת הפרטיות (אבטחת מידע), התשע"ז-2017, ולצידן מהוראות ניהול בנקאי תקין של הפיקוח על הבנקים בבנק ישראל. חובות הגילוי וההגינות נובעות מחוק הבנקאות (שירות ללקוח) ומחוק שירותי תשלום.
הבנק דחה את הדרישה שלי, מה עכשיו?
דורשים החלטה מנומקת בכתב, ולאחריה פונים לגורם פניות הציבור בבנק. אם התשובה אינה מספקת, פונים ליחידת פניות הציבור בפיקוח על הבנקים בבנק ישראל. במקביל אפשר לשקול הליך משפטי, ובמקרים המתאימים תביעה בבית משפט לתביעות קטנות.
האם כדאי להשתמש באפליקציות צד שלישי לניהול פיננסי?
הן מציעות נוחות אך דורשות גישה למידע. לפני שימוש בודקים מי מפעיל את השירות, אם הוא כפוף לפיקוח, מה מדיניות הפרטיות ומה נאמר בתנאי השימוש לגבי אחריות בשימוש לרעה. חשוב במיוחד לוודא שאינכם מוסרים רכיב חיוני של אמצעי התשלום, בשל השלכות סעיף 24(ד).
הערה משפטית: מאמר זה מספק מידע כללי בלבד, נכון למועד פרסומו, ואינו מהווה ייעוץ משפטי ואינו תחליף לייעוץ פרטני. הסכומים המופיעים בסעיף 24 לחוק שירותי תשלום ניתנים לשינוי בצו של השר בהסכמת שר האוצר ונגיד בנק ישראל, ולכן יש לוודא את הנוסח המעודכן. בכל מקרה קונקרטי יש לפנות לעורך דין.
