Republika Hrvatska

Trgovački sud u Osijeku

Osijek, Zagrebačka 2

Poslovni broj: P-311/2024-44

U I M E R E PU B L I K E H R V A T S K E

P R E S U D A

Trgovački sud u Osijeku, po sucu Željku Jakšić, kao sucu pojedincu, u pravnoj stvari tužitelja LJEKARNA ŠKUGOR, Osijek, Ulica Stjepana Radića 36, OIB 94324068304, zastupana po Tihomiru Zec i Nikoli Sabljak, odvjetnicima u Odvjetničkom društvu Zec & partneri d.o.o. Osijek, protiv tuženika Privredna banka Zagreb d.d., Zagreb, Radnička 50, OIB 02535697732, zastupana po punomoćnici Maji Čuljak, odvjetnici iz Zagreba, radi 123.419,00 EUR, nakon glavne i javne rasprave zaključene 28. svibnja 2026., u nazočnosti punomoćnika tužitelja i tuženika, na ročištu za objavu sudske odluke održanom 9. srpnja 2026.,

p r e s u d i o  j e

I Nalaže se tuženiku Privredna banka Zagreb d.d., Radnička 50, Zagreb, OIB: 02535697732 isplatiti tužitelju LJEKARNA ŠKUGOR, Stjepana Radića 36, Osijek, OIB: 94324068304 iznos od 123.419,00 EUR (sto dvadeset tri tisuće četiristo devetnaest eura) sa zateznim kamatama koje teku od 4. studenog 2022., pa do 31. prosinca 2022., primjenom prosječne kamatne stope na stanja kredita odobrenih na razdoblje dulje od godine dana nefinancijskim trgovačkim društvima, izračunate za referentno razdoblje koje prethodi tekućem polugodištu uvećano za 3 (tri) postotna poena određene člankom 29. Zakona o obveznim odnosima, a od 1. siječnja 2023., do 30. prosinca 2023., po kamatnoj stopi koja se određuje za svako polugodište uvećanjem kamatne stope koju je Europska središnja banka primijenila na svoje posljednje glavne operacije refinanciranja koje je objavila prije prvog kalendarskog dana tekućeg polugodišta za tri postotna poena, a od 31. prosinca 2023., do isplate po kamatnoj stopi koja se za svako polugodište određuje uvećanjem referentne stope za tri postotna poena, pri čemu se za prvo polugodište primjenjuje referentna stopa koja je na snazi na dan 1. siječnja, a za drugo polugodište referentna stopa koja je na snazi na dan 1. srpnja te godine, u roku od 15 dana.

II Nalaže se tuženiku Privredna banka Zagreb d.d., Radnička 50, Zagreb, OIB: 02535697732 naknaditi tužitelju LJEKARNA ŠKUGOR, Stjepana Radića 36, Osijek, OIB: 94324068304, parnični trošak u iznosu od 31.645,32 EUR (trideset jednu tisuću šesto čedrdeset pet eura i trideset dva centa), sa zakonskim zateznim kamatama koje teku od dana donošenja presude do isplate po stopi koja se određuje za svako polugodište, uvećanjem kamatne stope koju je Europska središnja banka primijenila na svoje posljednje glavne operacije refinanciranja koje je obavila prije prvog kalendarskog dana tekućeg polugodišta za tri postotna poena, u roku od 15 dana.

Obrazloženje

1. Kod ovoga suda je 30. rujna 2024., zaprimljena tužba uvodno označenog tužitelja protiv uvodno označenog tuženika radi naknade štete te isplate novčanog iznosa od 123.419,00 eura.

2. U tužbi tužitelj u bitnom navodi da je tužitelj sa tuženikom od dana 1. kolovoza 2013., imao sklopljen Ugovor o otvaranju i vođenju transakcijskog računa te obavljanju platnih i drugih usluga te je tuženika gotovo deset godina, preko svog redovnog računa pravnih osoba između ostalog obavljao i plaćanja trećim osobama, da je također tužitelj sa tuženikom imao sklopljen i Ugovor o korištenju PBZ digitalnog bankarstva za poslovne subjekte od 17. kolovoza 2022., da je dana **.**.2022., SĆ, obnašateljica dužnosti ravnatelja tužitelja, zaprimila je na e- mail adresu [adresa elektroničke pošte] zavaravajuću „phishing“ poruku, koja je svojim izgledom i nazivom adrese s koje je poslana ([adresa elektroničke pošte]) izgledala kao legitimna poruka PBZ banke a u kojoj poruci je bilo navedeno kako PBZ Banka obavještava korisnike PBZ Business Internet bankarstva da je ograničen pristup Internet bankarstvu za poslovne subjekte te da je potrebno unijeti pristupne podatke kako bi se moglo neometano nastaviti sa korištenjem aplikacije, da je u prilogu e-mail poruke bila dostavljena poveznica h ttps://pbzhr.com/1/1poduzetnici//PBZpoduzetnici/1.php na koju poveznicu je gospođa SĆ „kliknula“ te je nastavno na skočnom prozoru unijela potrebne podatke za pristup bankovnom računu u vlasništvu tužitelja, da je dana 31. listopada 2022., nakon što je gospođa SĆ fizički zaprimila poštu PBZ banke, zamijetila kako je sa računa tužitelja izvršeno više transakcija na inozemne bankovne račune a koje transakcije ona nije kreirala, zatražila niti autorizirala, a nakon što je zakonska zastupnica tužitelja otišla u poslovnicu tuženika provjeriti o čemu je riječ da je utvrđeno kako je u vremenskom periodu od 26. - 31. listopada 2022., u trinaest navrata, nepoznata osoba ili više njih neovlašteno transferirala sa računa tužitelja broj HR 28 2340 0091 1105 9802 4, otvorenog kod tuženika, ukupno 123.419,00 EUR (protuvrijednost u kunama 935.817,74 kn) na sedam različitih inozemnih računa, i to četiri različita bankovna računa u Republici Bugarskoj, dva bankovna računa u Republici Sloveniji i jedan račun u Saveznoj Republici Njemačkoj i to na račun

- HĆ, Sparkasse Oberland, Savezna Republika Njemačka, dana 26.10.2022., 9.795,00 EUR

- HĆ, Sparkasse Oberland, Savezna Republika Njemačka, dana 26.10.2022., 9.890,00 EUR

- DĆ, SKB d.d., Republika Slovenija, dana 26.10.2022., 6.700,00 EUR

- DĆ, SKB d.d., Republika Slovenija, dana 27.10.2022., 4.000,00 EUR

- HĆ, Sparkasse Oberland, Savezna Republika Njemačka, dana 27.10.2022., 9.842,00 EUR

- MĆ, Nova kreditna banka Maribor d.d., Republika Slovenija, dana 27.10.2022., 5.300,00 EUR

-Doncho Hristov Doncheva, KBC bank Bulgaria EAD, Republika Bugarska, dana 27.10.2022, 4.959,00 EUR

- RĆ, Central cooperative bank PLC, Republika Bugarska, dana 28.10.2022., 4.973,00 EUR

- SĆĆ, Eurobank Bulgaria AD, Republika Bugarska, dana 28.10.2022., 15.370,00 EUR

- HĆĆ, First Investment Bank AD, Republika Bugarska, dana 31.10.2022., 14.890,00 EUR

- HĆĆ, First Investment Bank AD, Republika Bugarska, dana 31.10.2022., 13.200,00 EUR

- HĆĆ, First Investment Bank AD, Republika Bugarska, dana 31.10.2022., 13.000,00 EUR

- HĆĆ, First Investment Bank AD, Republika Bugarska, dana 31.10.2022., 11.500,00 EUR.

2.1. Tužitelj smatra kako je tuženik kao kreditna institucija, koja se u svome poslovanju svakodnevno susreće sa sličnim situacijama, morao detektirati takve transakcije kao sumnjive i u konačnici ih spriječiti, da se radi o nizu transakcija (njih trinaest), u vrlo kratkom vremenskom razdoblju, sa velikim novčanim iznosima, da se radi o inozemnim transakcijama, a tužitelji nikada prije toga nije zatražio ili autorizirao bilo kakvu transakciju prema inozemnom računu, tužitelj se (putem osobe ovlaštene za zastupanje), osim osobnog odlaska u poslovnice tuženika, u dva navrata i pisano obratio tuženiku i to prvi puta dopisom od 3. studenog 2022., a potom, nakon nezadovoljavajućeg i paušalnog odgovora tuženika, putem punomoćnika dopisom od 1. prosinca 2022., na koje dopise je tuženik dao paušalne odgovore, navodeći kako je u odnosu na svih trinaest transakcija tuženik postupio u cijelosti u skladno svim primjenjivim propisima, pravilima bankarske struke i odredbama Okvirnog ugovora te se radilo o uredno autoriziranim transakcijama, uz punu primjenu pouzdane autentifikacije, a da u svojim dopisima nije naveo koje je on to mjere primijenio u zaštiti tužitelja kao korisnika, već dapače, navodi kako tuženik transakcije nije detektirao kao sumnjive i kako nema nikakve odgovornosti tuženika za štetu koju je pretrpio tužitelj, da je o događaju odmah izvijestio i nadležnu Policijsku upravu Osječko-baranjske županije, Sektor kriminalističke policije, te je protiv nepoznatih počinitelja podnio kaznenu prijavu radi postojanja osnovane sumnje na počinjenje kaznenog djela „računalne prijevare“ iz čl. 271. st. 2. Kaznenog zakona, a dana 15. prosinca 2022., podnijeta je kaznena prijava protiv I. osumnjičenog SĆĆ, II. osumnjičene DĆĆ, III. osumnjičenog HĆĆ, IV. osumnjičenog DĆ i V. osumnjičenog OĆ, zbog sumnje da su isti počinili kazeno djelo računalne prijevare i pranje novca na štetu tužitelja a da je kazneno procesuiran samo jedan osumnjičenik (DĆ) od kojega tužitelj nije uspio naplatiti niti jedan euro ukradenog novca.

2.2. Tužitelj smatra da bi tuženik, da je poduzeo mjere koje je bio dužan poduzeti, mogao i morao spriječiti svu štetu koju je pretrpio tužitelj (već prilikom prve isplate sa računa tužitelja, takvu isplatu je trebao zaustaviti i ne provesti), posebno kada se uzmu u obzir sve specifičnosti vezane uz sporne transakcije:

-sve transakcije su bile plaćanja u inozemstvo, a koja plaćanja tužiteljica nikada ranije u svojih 10 godina poslovanja nije vršila,

-svi nalozi su bili označeni hitnima radilo se o čak 13 transakcija u razdoblju od svega 6 dana, na koje dane padaju i neradni dani subota i nedjelja,

-sve transakcije su bile značajnih financijskih iznosa, s tim što su prve dvije transakcije od 26. listopada 2022., izvršene prema HĆ, Sparkasse Oberland, Savezna Republika Njemačka, iznosile su ukupno 19.685,00 EUR, a sami nalozi su kreirani i zaprimljeni u razmaku manjem od 3(tri) minute,

-plaćanja su izvršena u korist računa koje tužitelj nije naznačio kao pouzdane račune niti su ikada ranije izvršene uplate na te račune.

2.3. Da prilikom provođenja transakcije od strane napadača, tužitelj nije dobio na mobilni uređaj ili mobilnu aplikaciju Banke poruku ili obavijest za potvrdu provedbe transakcije, već su se transakcije provele s autorizacijom isključivo putem PIN-a. Iako kao odgovor na dopis tužitelja, tuženik u svom dopisu od 15. prosinca 2022. , tvrdi da su višestruke transakcije od strane napadača provedene „uz punu primjenu pouzdane autentikacije“, napominje da tuženik u navedenom slučaju nije reagirao niti šesti dan kada je izvršena i trinaesta novčana transakcija, već je tužitelj primitkom izvoda utvrdio kako je riječ o neautoriziranim transakcijama i zatražio blokiranje svojeg računa, smatra da tuženik ne bi reagirao na novčana kretanja po transakcijskom računu tužitelja i da su se transakcije izvršavale i sljedećih nekoliko dana, tužitelju je nejasno kako tuženik inozemne transakcije ovako velikih novčanih iznosa nije prepoznao kao sumnjive niti po jednom kriteriju, kao što je primjerice inozemna IP adresa s koje je pristupano Internet bankarstvu, kao i po činjenici da tuženik nikada ranije nije provodio inozemne transakcije niti je imao bilo kakve transakcije u takvim iznosima prema nepouzdanim računima odnosno neprovjerenim primateljima, a u dosadašnjem radu i korištenju Internet bankarstva, tužitelj je svaku prvu transakciju prema novom subjektu (računu) morao potvrditi pozivom na telefonski broj tuženika.

3. Tuženik u odgovoru na tužbu u bitnome navodi da je u konkretnom slučaju u cijelosti postupao sukladno svim primjenjivim propisima, pravilima bankarske struke te u skladu sa odredbama Okvirnog ugovora za konkretni transakcijski račun, prigovara promašenoj pasivnoj legitimaciji, ukoliko bi se radilo i o neautoriziranim transakcijama, ističe se da je tužitelj sukladno općim uvjetima poslovanja Banke odgovoran za izvršene neautorizirane platne transakcije bez obzira na iznos, ovo sve jer se radilo / bi se radilo o transakcijama do kojih je došlo zbog zlouporabe platnog instrumenta te je korisnik kao platitelj odgovoran u cijelosti za izvršenje platne transakcije, kako je ona posljedica njegova načina postupanja sa personaliziranim sigurnosnim vjerodajnicama platnog instrumenta iz krajnje nepažnje, a što je temeljem prezentiranih činjenica iz tužbe upravo bio slučaj kod predmetnih transakcija iz tužbe, smatra da je tužitelj nesavjesno i krajnje nepažljivo podijelio personalizirane sigurnosne vjerodajnice trećim neovlaštenim osobama zbog čega je došlo do zlouporabe platnog prometa za što je tužitelj kao platitelj odgovoran u cijelosti, a osobe koje su zlouporabu učinile poznate su kao štetnici i kazneno su prijavljeni kao osumnjičenici te se od istih šteta potražuje u kaznenom postupku koji je iniciran kaznenom prijavom dostavljenom uz tužbu, u slučaju kada korisnik (ovdje tužitelj) podijeli sigurnosne vjerodajnice osoba koja ih je zaprimila ima sve potrebne podatke za log-in ili potvrdu #withKEY-a kojim onda autorizira transakciju, što u prijevodu znači da ta osoba ima mogućnost obavljanja autoriziranih transakcija, jer uz dobivene sigurnosne vjerodajnice može obaviti uredan pristup i autorizaciju transakcije, radi nesavjesnog postupanja tužitelja uz krajnju nepažnju došlo je do uredno autoriziranih transakcija od strane treće osobe uz punu primjenu pouzdane autentifikacije isključivo jer su podijeljene personalizirane sigurnosne vjerodajnice na način suprotan svim ugovornim odredbama i općim uvjetima te suprotno ugovorenim kanalima komunikacije, suprotno obavijestima i upozorenjima Banke i bez primjene minimalne pažnje, da tužitelj nije primijenio običnu pažnju, a kamo li pažnju savjesnog gospodarstvenika, da se svim uslugama digitalnog bankarstva pristupa isključivo putem službene web stranice / adrese banke, dok se mobilno bankarstvo uvijek instalira na način da se od banke zaprimaju informacije i nikada niti u jednom ugovoru niti uputi niti općim uvjetima ne stoji da će banka tražiti podjelu personaliziranih podataka putem nekog linka, jer se banci pristupa isključivo na službenu stranicu banke www.pbz.hr što je nebrojeno puta ugovorima i općim uvjetima istaknuto, također se ističe da je tužitelj ugovorio Ugovor o korištenju PBZ digitalnog bankarstva za poslovne subjekte i da se komunikacija obavlja na hrvatskom jeziku, a e-mail poruka koju je tužitelj zaprimio ne odnosi se na PBZ digitalno bankarstvo za poslovne subjekte niti je došla sa službene Internet adrese tuženika, te iz samog naslova je vidljivo da se radi o sumnjivoj poruci koja ne koristi niti službeni naziv ugovorene usluge niti hrvatski jezik („Vaša PBZ Business sesija je potekla“), što ukazuje da je tužiteljica postupila krajnje nepažljivo kada je podijelila personalizirane sigurnosne vjerodajnice na link u navedenoj sumnjivoj obavijesti koja je i sumnjiva jer tekst nije sačinjen na način kako to inače Banka ili bilo koji poslovni subjekt, čini jer tekst glasi: „Obaviještenje za korisnike PBZ Business Internet bankarstva da zbog povećanja cyber sigurnosti smo ograničili važenje mobilne aplikacije koja se koristi za prijavu te potvrdu izvršavanja transakcija putem internet bankarstva za poslovne subjekte na trajanje 30 dana“, što nije u duhu hrvatskog jezika i radi se o gramatički netočnoj i krivoj jezičnoj konstrukciji koja ukazuje na to da se radi o poruci koja ne može biti niti je bila poslana od strane Banke, Banka u svom poslovanju nikada ne koristi poveznice, osim toga u tekstu se nadalje navodi : „vašu sesiju produžite u ispod poslanoj poveznici: https:// pbzhr.com/1/poduzetnici/PBZpoduzetnici_1.php„, da se ne radi o službenoj stranici banke, već o krajnje sumnjivoj stranici, da se koriste riječi koje nisu hrvatske što ukazuje na činjenicu da takva poruka nije poslana od strane tuženika, tužitelj u tužbi navodi da je sukladno toj poruci bilo potrebno unijeti pristupne podatke kako bi se neometano moglo nastaviti sa korištenjem aplikacije a što nije točno i ne proizlazi iz teksta koji se uz tužbu kao dokaz dostavlja, također da poruka nema logični slijed jer se navodi da će radi cyber napada mobilno bankarstvo moguće biti korišteno 30 dana, a radi produžetka istog se traže postojeće vjerodajnice – što upućuje na nelogičnost, a tužitelj bi uz korištenje obične pažnje, utvrdio da se svakako ne radi o poruci Banke., dakle da je tužitelj u svom postupanju bio krajnje nepažljiv, nesavjestan i nemaran slijedom čega je isti odgovoran za štetu koja mu je nastala.

3.1. Tuženik također ukazuje da je sa tuženikom sklopio Ugovor o otvaranju i vođenju transakcijskog računa te obavljanju platnih i ostalih usluga dana 1.8.2013., te je dana 17.8.2022., sklopio Ugovor o korištenju PBZ digitalnog bankarstva za poslovne subjekte, da Ugovor o otvaranju i vođenju transakcijskog računa te obavljanju platnih i ostalih usluga određuje i uređuje prava i obveze Korisnika (koji je tužitelj) i Banke (koja je tuženik) kao pružatelja platnih i ostalih usluga, da Opći uvjeti dopunjuju odredbe navedenog ugovora i obvezuju ugovorne strane na isti način kao i ugovorne odredbe i nalaze se u prilogu samog ugovora te čine njegov sastavni dio, a u navedenom Ugovoru Korisnik se obvezuje kao sudionik u platnom prometu raspolagati sredstvima na transakcijskom računu u skladu sa važećim zakonskim i podzakonskim propisima, općim uvjetima i navedenim ugovorom, obvezuje se davati ispravne naloge za plaćanje u skladu i na način utvrđen propisima i Općim uvjetima, a za koje je dana odgovarajuća suglasnost sukladno Općim uvjetima, sukladno Ugovoru o otvaranju i vođenju transakcijskog računa te obavljanju platnih i ostalih usluga Korisnik je za raspolaganje sredstvima na transakcijskom računu morao ovlastiti jednu ili više poslovno sposobnih osoba, sukladno odredbama Općih uvjeta, te je bio dužan nadzirati ovlasti korištenja koje je dao ovlaštenicima za raspolaganje sredstvima na transakcijskom računu i odgovoran je Banci za eventualnu štetu nastalu kao posljedica prekoračenja i/ili zlouporabe ovlasti od strane ovlaštenika, Korisnik je prema Općim uvjetima poslovanja PBZ d.d. po transakcijskim računima i obavljanju platnih i ostalih usluga za nepotrošače odgovoran za sve radnje i propuste ovlaštenika, čime se u postupanju u ovoj vrsti poslovanja traži pojačanja pažnja odnosno da je sudionik u obveznom odnosu dužan u ispunjavanju svoje obveze postupati s pažnjom koja se u pravnom prometu zahtijeva, a to bi bila pažnja dobrog gospodarstvenika, a i prema Zakonu o obveznim odnosima (dalje ZOO) i prema odredbama potpisanih ugovora, ugovorne strane su dužne u zasnivanju obveznih odnosa i ostvarivanju prava i obveza iz tih odnosa, pridržavati se načela savjesnosti i poštenja, također sukladno Ugovoru o korištenju PBZ digitalnog bankarstva za poslovne subjekte korisnik se obvezuje koristiti Uslugu savjesno i uz poštovanje ugovorenih sigurnosnih uvjeta. Sastavni dio navedenog Ugovora su i Opći uvjeti korištenja PBZ digitalnog bankarstva za poslovne subjekte, Zahtjev za korištenje digitalnog bankarstva za poslovne subjekte te Zahtjev za dodjelu korisničkog prava za PBZ digitalnog bankarstva za poslovne subjekte, ako korisnik ovlašćuje krajnjeg korisnika.

3.2. Smatra da je tužitelj propustio savjesno postupati kao korisnik ugovorene usluge i nije postupao pažnjom koja se u ovoj vrsti poslova zahtjeva, a obzirom na okolnosti konkretnog slučaja nije postupao čak niti pažnjom koju bi redoviti korisnik usluga trebao koristiti te je tužiteljeva krajnja nepažnja u postupanju prilikom postupanja sa povjerenim mu informacijama dovela do posljedica za koje je isključivo odgovoran sam tužitelj kao korisnik te se isti zbog nepridržavanja odredbi o sigurnosti koje uključuju kompletni sustav sigurnosnih mjera zaštite, isključivo svojom krivnjom izložio provođenju transakcija opisanih u tužbi, a za koje je i u samoj tužbi naveo tko je štetnik za navedene događaje.

3.3. Temeljem Zahtjeva za korištenje PBZ digitalnog bankarstva za poslovne subjekte krajnji korisnici bili su ŽĆ i SĆ, korisnik i krajnji korisnik se sukladno Općim uvjetima korištenja PBZ digitalnog bankarstva obvezao da će štiti računalnu opremu i programsku podršku za korištenje PBZ digitalnog bankarstva i ostalih usluga u okviru Usluge, te upotrebljavati ju isključivo na način kako je to predviđeno za navedenu Uslugu. Korisnik je bio dužan i obvezao se sustav za autentifikaciju i autorizaciju čuvati i to na način da čuva njegovu tajnost: zaporku, pin i podatke koje generira autentifikacijsko/autorizacijski sustav, da ne smije zapisivati, otkrivati ili činiti dostupnim te podatke trećim osobama, te brižljivo čuvati korisnička imena, lozinke, kodove, PIN-ove i ostale identifikatore, štiti ih od krađe, gubitka, uništenja, oštećenja ili zlouporabe, ta da ih neće zapisivati na papir, elektronički ili drugi medij, otkrivati ih niti činiti dostupnim trećim osobama, te zaključuje da nije postupao u skladu sa zakonom, ugovorom, općim uvjetima niti okvirnim ugovorom te je postupao suprotno preuzetim obvezama i odgovoran je za takvo nesavjesno i krajnje nepažljivo te protupravno ponašanje.

3.4. Za razliku od tužitelja tuženik smatra da je postupio sukladno svim odredbama zakona i pravilima struke, te je primijenio sve odredbe i postupke u vezi sigurnosnih provjera transakcija, no kako je tužitelj protivno preuzetim obvezama o zabrani dijeljenja sigurnosnih vjerodajnica iste nesavjesno podijelio, tako se radilo o transakcijama koje su bile autorizirane putem ispravnih korisničkih tajnih podataka, odnosno svih podataka potrebnih za aktivaciju usluge drugoj osobi, slijedom čega se radilo o autoriziranim transakcijama a da je Banka putem svojih komunikacijskih kanala sve klijente obavijestila o mogućnosti phishinga kao i o samom postupanju u odnosu na to kako bi se spriječile bilo kakove zlouporabe te u konkretnom slučaju, a kako to sasvim pogrešno navodi tužitelj, nije došlo niti do kakvog propusta u sigurnosnoj provjeri od strane tuženika, već je upravo tužitelj podijelivši tajne sigurnosne vjerodajnice, koje se obvezao čuvati kao tajne, omogućio trećoj osobi urednu autentifikaciju i podijelio ovlaštenje da se treća osoba uredno autorizira, da se dodatna provjera identiteta obavlja prilikom autoriziranja transakcije putem PIN-a ili opcionalno putem otiska prsta ili prepoznavanja lica, a u konkretnom slučaju nije relevantna obzirom je sam korisnik prenio ovlaštenje odnosno podijelio sigurnosne vjerodajnice trećoj osobi te je ista odredila i dodatnu provjeru kao osoba kojoj je prenijeto ovlaštenje za obavljanje transakcija te je tako upravo tužitelj svojim nesavjesnim ponašanjem uz krajnju nepažnju odgovoran za provedene transakcije.

3.5. Smatra da je protupravno djelovanje i odgovornost za štetu koja je tužitelju nastala na strani osoba koje su se prijevarno ponašale i otuđile novac sa računa tužitelja i koje osobe su kazneno procesuirane.

4. Očitujući se na tuženikov odgovor na tužbu, tužitelj ukazuje da se protivi tvrdnjama tuženika u kojima tuženik pokušava svu odgovornost prebaciti na tužitelja, da paušalno navodi kako je poduzeo sve potrebne mjere radi zaštite tužitelja a da pritom ne navodi konkretno niti jednu jedinu mjeru koju je tuženik poduzeo, da su navodi tuženika kako poruka nije bila u duhu hrvatskog jezika te kako ista nije imala logičan slijed usmjerena na skretanje pozornosti da isti nije učinio baš ništa kako bi zaštitio tužitelja, da se isti uopće ne očituje na činjenicu kako su već prve transakcije tužitelja prema HĆ dana 26. listopada 2022., u iznosima od 9.795,00 EUR i 9.890,00 EUR u smislu odredbe članka 16. st. 1. toč. 2. tada važećeg Zakona o sprječavanju pranja novca i financiranja terorizma, povremene transakcije veće od 105.000,00 kn, zbog kojih je tuženik morao provesti dubinsku analizu stranke što nije učinio, a da je tuženik proveo mjeru dubinske analize i barem telefonski kontaktirao odgovornu osobu tužitelja i pitao je da pojasni o kakvoj se transakciji radi (što je uredno znao činiti za svaku prvu transakciju prema trećima u tuzemstvu), do cijelog lanca prijevare ne bi niti došlo, to što je tužitelj kazneno prijavio i osobe koje su direktno izvršile sporne transakcije, nipošto ne znači kako upravo tuženik nije tužitelju odgovoran za pretrpljenu štetu, da je upravo tuženikovo nepoduzimanje radnji koje su dovele do oštećenja tužitelja, a koje bi ga zaštitile od prijevare neovisno o postupanjima i namjerama osoba koje su direktno vršile transakcije (dvostruka autentifikacija, dubinska analiza, ne postupanje sukladno primjenjivim propisima, pravilima bankarske struke i odredbama Okvirnog ugovora), predstavlja štetu radnju te je upravo tuženik, u smislu odredbe čl. 1045. ZOO-a osoba koja je u građansko-pravnom smislu odgovorna za štetu koju je pretrpio tužitelj.

5. U dokaznom postupku sud je izvršio uvis i pročitao dokumentaciju iz spisa koju čine Ugovor o otvaranju i vođenju transakcijskog računa… od 1. kolovoza 2013.,(list 12-13), Ugovor o korištenju PBZ digitalnog bankarstva … od 17. kolovoza 2023.,(list 14-15 ), g-mail poruka (list 16), pregled prometa (list 17-19), Popis bespravno izvršenih naloga … (list 20), dopis tužitelja upućen tuženikui (list 34-36 ), Odgovor na zahtjev za povrat isplaćenih sredstava (list 37), dopis punomoćnika tužitelja (list 38-40 ), Odgovor tuženika na dopis punomoćnika tuženika (list 41-42 ), dokumentacije vezana za podnošenje kaznene prijave (listovi 43-47), Opći uvjeti korištenja PBZ digitalnog bankarstva za poslovne subjekte (listovi 48-57), spis Općinskog suda u Osijeku Kov-70/23, saslušao je u svojstvu stranke SĆ te je proveo vještačenja po sudskom vještaku digitalne forenzike Igoru Špoljariću na okolnost izvršenih autorizacija i primjene zaštitnih mjera koje su primijenjene i koje su trebale biti primijenjene kako bi se tužitelja i svaku treću osobu zaštitilo phishinga i sličnih prijevara prilikom korištenja digitalnog bankarstva te financijsko- knjigovodstveno vještačenjem na okolnost utvrđivanja visine potraživanja tužitelja po sudskom vještaku za financije, knjigovodstvo i bankarstvo Lidiji Balog.

6. Nakon savjesne i brižljive ocjene svakog dokaza zasebno i u njihovoj ukupnosti te na temelju rezultata cjelokupno provedenog postupka u skladu s odredbom članka 8. Zakona o parničnom postupku ("Narodne Novine" br. 53/91, 91/92, 112/99, 88/01, 117/03, 88/05, 84/08, 123/08, 57/11, 148/11, 25/13, 89/14, 70/19, 80/22, 114/22 i 155/23- dalje: ZPP), sud je na temelju rezultata provedenog postupka, a imajući u vidu pravila o teretu dokazivanja, utvrdio kako je tužbeni zahtjev tužitelja opisano u izreci presude, osnovan.

7. Predmet spora je zahtjev za naknadu štete koju tužitelj kao vlasnik računa otvorenog kod tuženika potražuje od istoga jer ga smatra odgovornim za nepoduzimanje propisanih mjera koje bi onemogućile treće osobe da sa računa tužitelja neosnovano transferiraju na svoje račune novčana sredstva u ukupnom iznosu od 123.419,00 eura.

8. Nesporno je da je tužitelj kao Korisnik sa tuženikom kao Bankom sklopio prvotno Ugovor o otvaranju i vođenju transakcijskog računa… od 1. kolovoza 2013.,(list 12-13) te nastavno Ugovor o korištenju PBZ digitalnog bankarstva … od 17. kolovoza 2023.,(list 14-15 ),čiji je sastavni dio Opći uvjeti korištenja PBZ digitalnog bankarstva za poslovne subjekte (listovi 48-57), nesporno je također da su sa računa tužitelja otvorenog kog tuženika u vremenskom razdoblju od 26. - 31. listopada 2022., u trinaest navrata, nepoznate osobe neovlašteno transferirale novčana sredstva u ukupnom iznosu 123.419,00 eura, da je u odnosu na predmetno otuđenje nakon kriminalističke obrade podignuta kaznena prijava u odnosu na pet osoba od kojih je samo jedna i to DĆ pravomoćno osuđen u kaznenom postupku koji je vođen kod Općinskog suda u Osijeku pod brojem Kov-70/2023.

9. Sporno je u ovome postupku

-pasivna legitimacija tuženika,

-da li je tuženik u pružanju svojih usluga implementirao specijalizirane programske alate iz članka 4, točka 2. Općih uvjeta korištenja PBZ digitalnog bankarstva za poslovne subjekte

-da li je tužitelj povrijedio obaveze pod točkom 6. Općih uvjeta korištenja PBZ digitalnog bankarstva za poslovne subjekte

-da li je tuženik povrijedio obaveze pod točkom 7. Općih uvjeta korištenja PBZ digitalnog bankarstva za poslovne subjekte u smislu ispunjavanja uvjeta za njenu odgovornost iz točke 7. stavak 6 podstavak 3., stavka 9. i stavka 10 sukladno točci listovi

-da li se tužitelj kao korisnik nije pridržavao obaveza pod točkom 9. Općih uvjeta korištenja PBZ digitalnog bankarstva za poslovne subjekte.

10. U odnosu na radnje koje su poduzete nakon primitka g-mail poruke (list 16), sud je saslušao u svojstvu stranke SĆ koja navodi da je po funkciji ravnateljica tužitelja, da gotovo sve poslove vezano za platni promet tužitelja obavljam osobno, da je 2013. sa tuženikom sklopila ugovor vezano za otvaranje i vođenje transakcijskog računa te obavljanje platnih i drugih usluga te od tada koristi uslugu e- bankarstva, da je 2022. dobila obavijest PBZ da se za poduzetnike ukida dotadašnji način poslovanja u smislu da se više neće koristiti stik za ulazak u aplikaciju putem koje je tužitelj plaćao račune već da će se promijeniti taj način i da će se u upotrebu uvesti nova aplikacija u koju će korisnik ulaziti koristeći osobni mobitel, prilikom potpisivanja novog ugovora sa bankom da je otišla kod ovlaštene osobe u banci koja joj je usnimila novu aplikaciju na mobitel, da je nastavno za svoje poslovanje i plaćanje koristila računalo s tim da bi mogla izvršiti plaćanje putem računala morala je u tu novu aplikaciju banke ulaziti putem mobitela pojašnjavajući da bi prvo aktivirala putem mobitela aplikaciju PBZ, potom je aktivirala dio koji se zove "with key“, potom je na mobitel unosila PIN nakon čega joj se na mobitelu generirala jednokratna lozinka i njeno korisničko ime pomoću koja dva podatka je ulazila u aplikaciju mali poduzetnici na računalu, kada joj se otvori aplikacija mali poduzetnik na računalu da je pristupala računu, nakon što bi obavila planiranu transakciju da ju program navodi da to mora potvrditi na način da prvo upiše svoj PIN, nakon toga joj se otvori QR kod kojeg mora usnimiti mobitelom i to je potvrda da tu transakciju želi obaviti, nakon čega od banke odbije potvrdu da je transakcija obavljena.

10.1. Također navodi da tužitelj nikada nije obavljao nikakva plaćanja prema inozemstvu, da je negdje 2022. na svoj mobilni uređaj dobila jednu e-mail poruku, s obzirom na izgled i sadržaj te poruke da je zaključila da joj se obraća PBZ, a s obzirom na sadržaj te poruke da je također zaključila da bi trebala po istoj postupiti, da je u sadržaju te poruke bilo navedeno da će biti ograničen pristup internet bankarstvu za poslovne subjekte a kako bi se moglo nastaviti sa korištenjem istih da je trebala unijeti određene podatke putem poveznice na koju je trebala kliknuti da bi te podatke mogla dati, nakon što se povezala putem poveznice da je od nje bio zatražen samo jedan podatak kojeg je trebala ukucati a radilo se o PIN-u kojim se povezuje na njen bankovni račun, nakon što je ukucala PIN da je zatvorila aplikaciju, ne sjeća se da li je banka u tim obavijestima od nje tražila bilo koji podatak koji bi se odnosio na osobne podatke npr. ime, prezime, OIB, PIN ili slično, ne sjeća se da li je u nekom kraćem vremenskom razdoblju nakon što se povezala na tu poveznicu obavljala bilo kakve transakcije tužitelja, da nastavno nije kontaktirala banku već je dobila putem pošte pisanu obavijest o transakcijama koje su predmet ovoga postupka moguće nakon nekoliko dana, da je to pismeno banke odmah pokazala knjigovođi koji joj je rekao da "netko vam je skinuo novce sa računa", istog dana prvo telefonom a kasnije i osobno kontaktirala je banku čija se ovlaštena osoba povezala sa njenim računom i također vidjela te transakcije nakon čega je naložila blokiranje računa, a isto nije mogla povezati sa navedenim okolnostima vezano za poveznicu koju je dobila i na koju sam se priključila. Pojašnjava da je prije nego što se povezala na dobivenu e-mail poruku odnosno dostavljenu poveznicu pročitala sadržaj koji je prethodio poveznici a iz sadržaja, bar kako je to tada pročitala i shvatila, nije imala razloga posumnjati da se ne bi radilo o službenoj poruci banke, kada je sklapala ugovor sa bankom i ugovarala korištenje njihovih usluga smatrala je da nitko ne može ući u račun tužitelja ne samo kako bi ga pogledao već posebice da bi mogao vršiti bilo kakve transakcije, bila je kategorična u smislu da osim PIN-a na poveznicu nije upisala niti jedan drugi podatak, također da su PIN, brojevi koje dobije kada "klikne" na aplikaciji "with key" i skeniranje koda radnje koje su ugovorene i potrebne da se obavi sigurna transakcija i a ne koristi biometrijske podatke za potvrdu u transakcijama.

10.2. Također pojašnjava da nije nikada davala nalog da bi se radilo o hitnom nalogu, da se gotovo sva plaćanja odnosno transakcije tužitelja odnose na pravne osobe, što se tiče fizičkih osoba jedino se jednom mjesečno isplaćuje najamnina fizičkoj osobi te jednom mjesečno plaća radnicima, a svi ti iznosi da su su u mnogomu manji od onih koji su "skinuti" sa računa, da je u početku poslovanja i korištenja usluge PBZ pogotovu kada se radilo o plaćanju nekih većih novčanih iznosa cca 5.000,00 kn ili više i to prema "novim klijentima" isto nije mogla izvršiti u a da prije toga nije dala potvrdu o isplati djelatniku banke koji bi ju prije toga uvijek nazvao, da je to bilo u počecima suradnje dok kasnije to nije bilo pravilo niti je bilo uobičajeno iz razloga što su svi klijenti odnosno dobavljači već prošli nekakvu transakciju i vjerojatno bili poznati banci, do primljene obavijesti od strane banke vezano za sporne transakcije prije toga ni na koji način nije komunicirana od strane banke a odlaskom u banku da je dala nalog da se račun blokira.

10.3. Ne sjeća se da li je obavljala plaćanja u vremenskom razdoblju od 26.10.2022. do 31.10.2022., plaćanja putem digitalnog bankarstva obavlja po potrebi, i nije svakodnevno, pojašnjava a nakon što joj je na prijedlog tuženika predočena mail poruka sa lista 16 spisa da se radi o poruci koju je dobila na računalo te je po sadržaju iste postupila i povezala se na poveznicu, da joj je poruka došla na službenu e-mail adresu, da nije primijetila da na dostavljenom e-mail-u nije bilo loga PBZ, e-mail nije bio potpisan ali misli da je to bilo uobičajeno, ne sjeća se da bi od PBZ dobivala e-mail poruke stoga se ne sjeća kako one izgledaju, s obzirom na njihov uobičajeni sadržaj i oznake nije smatrala da je e-mail poruka koju je dobila nešto neuobičajeno i nije stoga smatrala da je potrebito o tomu kontaktirati banku, da je u ime tužitelja kao odgovorna i ovlaštena osoba potpisala bankom ugovor o korištenju njihovih usluga, vjerojatno da je tom prilikom dobila i njihove opće uvjete poslovanja, ne sjeća se da li je te opće uvjete pročitala, poznato joj je da je PIN tajni broj, ne sjeća se da li bi ju banka ikada pitala vezano za taj PIN, a nakon što se povezala na zadanu poveznicu da je po traženom ukucala PIN i niti jedan drugi broj, radi se o PIN-u kojim se otvara aplikacija na mobilnom uređaju, ne sjeća se da li joj je nakon što je ukucala PIN stigla bilo kakva povratna poruka, a taj PIN prije predmetnog događaja ni sa kim drugim nije dijelila.

10.4. Sud je poklonio vjeru iskazu SĆ koju je saslušao u svojstvu stranke, držeći njen iskaz logičnim i uvjerljivim osim u dijelu u kojemu iskazuje da je postupajući u odnosu na mail poruku sa lista 16 spisa, a nakon što se povezala primljenom poveznicom, ukucala samo PIN a o čemu će detaljnije sud dati obrazloženje u nastavku.

11. U odnosu na okolnost izvršenih autorizacija i primjene zaštitnih mjera koje su primijenjene i koje su trebale biti primijenjene kako bi se tužitelja i svaku treću osobu zaštitilo phishinga i sličnih prijevara prilikom korištenja digitalnog bankarstva sud je proveo vještačenja po sudskom vještaku digitalne forenzike Igoru Špoljariću koji je izradio pisani nalaz i mišljenje (listovi 96-100), a s obzirom na primjedbe tuženika isti je izradio dopunu nalaza i mišljenja (listovi 168-175), te dopunu nalaza i mišljenja (listovi 190-193), te je pojašnjavao iste na ročištima koja su održana 4. srpnja 2025., te 20. ožujka 2026.

11.1. U pisanom nalazu i mišljenju (listovi 96-100) vještak navodi da je nalaz i mišljenje sačinio temeljem dostupne dokumentacije u spisu iz kojeg proizlazi da su zbog činjenice da je tužiteljica posjetila internet poveznicu koju je dobila putem lažnog e-maila (phishing), misleći da se radi o poveznici PBZ banke, čiji je tužitelj poslovni korisnik, napadači došli do podataka kao što su korisničko ime i PIN, nakon čega su se prijavili u račun tužitelja putem Internet preglednika i izvršili ukupno trinaest (13) transakcija na inozemne račune, u ukupnom iznosu od 123.419,00 EUR, odnosno 935.817,74 kn, u vremenskom razdoblju od 26.10. - 31.10.2022. godine, da je tuženik ustvrdio su svih trinaest transakcija „uredno autorizirane transakcije, uz punu primjenu autentifikacije“ te „ukoliko račun na koji se uplaćuje novac nije označen kao Pouzdan račun, autorizacija se vrši QR kodom, odnosno #withKey“, također da tužitelj navodi u dokumentu „Opći uvjeti korištenja PBZ digitalnog bankarstva za poslovne subjekte“ da je „withKEY – sustav autentifikacije i autorizacije integriran u aplikaciju PBZ mobilnog bankarstva za potrebe pristupa i korištenja Usluge i za provođenje platne transakcije“, da je u odnosu na svih trinaest transakcija, za koje je utvrđeno da su uspješno provedene, potrebno autorizirati putem bankovne aplikacije na mobilnom uređaju skenirajući QR kod koji je generiran prilikom izrade naloga za plaćanje, a kako napadači nisu imali pristup mobilnom uređaju tužitelja, da nisu niti mogli autorizirati transakcije putem QR kod-a, što dovodi do zaključka da mehanizmi zaštite koji su navedeni u odgovoru tuženika nisu funkcionalni odnosno nisu ispravno primijenjeni sa ciljem zaštite korisnika bankovnog računa, da je aplikaciju mobilnog bankarstva moguće instalirati na mobilni uređaj, a aplikacija nije aktivna i funkcionalna dok se mobilni uređaj ne potvrdi (verificira) u poslovnici banke te stoga smatra da ne postoji mogućnost da su napadači zbog posjeda korisničkog imena i PIN-a tužitelja instalirati aplikaciju mobilnog bankarstva i na taj način autorizirali transakcije.

11.2. Tužitelj na ovaj nalaz i mišljenje nije imao primjedbi dok je tuženik stavio niz primjedbi navodeći u bitnome

- da je protivan pravilima struke i materijalnim dokazima u spisu,

- da napadači nisu došli do podataka nego im je tužiteljica dala svojevoljno svoje podatke,

- da je upravo tužiteljica putem „phishing“ poruke, predala nepoznatim osobama podatke potrebne za aktivaciju Digical LE mobilne aplikacije na mobilnom uređaju pod njihovom kontrolom a da su podaci potrebni za aktivaciju usluge (odnosno oporavak Digical LE mobilne aplikacije), korisnički broj, kod za oporavak i identifikacijski kod poslan SMS-om na koji način su se napadači uspješno prijavili u oporavljenu Digical LE mobilnu aplikaciju, a ne na službenu stranicu PBZ kako to pogrešno vještak u nalazu navodi,

-da su napadači, jer se radi o uredno autoriziranim transakcijama uz punu primjenu pouzdane autentifikacije, obavili uredne transakcije, jer je korisnik predao sve podatke potrebne za aktivaciju usluge na novom mobilnom uređaju drugoj osobi te je novi korisnik imao mogućnost aktivacije usluge na drugom uređaju ili ponovne aktivacije na istom uređaju o čemu se vještak nije očitovao,

-da je tužiteljica ta koja je posjetila Internet poveznicu nakon što je zaprimila mail sa adrese koja nije službena adresa tuženika, da poruku koja nije na hrvatskom jeziku već je pravopisno i jezično netočna i da su jezične nepravilnosti vrlo lako uočljive na koji način je primijenila samo običnu pažnju te je na takvoj poveznici nastavila unositi svoje tajne podatke i dijeliti iste nepoznatim osobama,

- da vještak pogrešno navodi kako napadači nisu mogli imali pristup mobilnom uređaju tužitelja što je netočno i pogrešno, jer su upravo napadači imali pristup novom mobilnom uređaju pod njihovom kontrolom obzirom je tužiteljica / klijent predala sve potrebne podatke za aktivaciju usluge (odnosno oporavak) Digical LE mobilne aplikacije,

-da vještak potpuno pogrešno tvrdi da tuženik nije imao mehanizme zaštite niti navodi niti pojašnjava što točno nije funkcioniralo u mehanizmu zaštite nakon što je tužiteljica predala sve potrebne podatke za aktivaciju usluge (odnosno oporavak ) Digical LE mobilne aplikacije,

-da je nejasno od kuda vještak izvodi zaključak da je aplikaciju mobilnog bankarstva moguće instalirati na mobilni uređaj samo u poslovnici banke

-da su napadači bili u posjedu vjerodajnica tužiteljice / klijenta koje im je ona dobrovoljno dala iako je prilikom potpisa ugovora upozorena da se navedeni podaci ne dijele, te su napadači navedene podatke iskoristili za instalaciju/oporavak Digical LE aplikacije na mobilnom uređaju u svom posjedu te su time imali pristup računu kao i mogućnost unosa i autorizacije transakcija iako je tada Banka imala uspostavljene mehanizme za praćene transakcija, da su sporne transakcije obzirom na navedeno, jer su instalirane kao da ih je instalirala sama tužiteljica putem njezinih tajnih podataka koje nije smjela dijeliti, nisu mogle biti detektirane kao sumnjive, na koji način je tužiteljica postupala sa krajnjom nepažnjom a da ne postoje mehanizmi zaštite koji bi onemogućili korisnika /klijenta konkretno tužiteljicu da sama dijeli svoje tajne podatke trećim osobama iako se prethodno ugovorno obvezala da ih neće dijeliti.

12. Očitujući se na primjedbe tuženika iz točke 12.2. obrazloženja tužitelj smatra

-da tuženik niti jednom rečenicom ne pojašnjava što se u njegovom sustavu dogodilo, niti daje pojašnjenje kako je moguće da treća strana sustavno danima prebacuje novac njegovog klijenta niti ne navodi ni jednu mjeru koju je on poduzeo kako bi spriječio nastanak štetnog događaja,

-postavlja pitanje zašto tuženik nije u spis dostavio sve njemu dostupne podatke u smislu kada su točno transakcije evidentirane u njegovom sustavu, kako ih je detektirao i uvrstio sustav

-postavlja pitanje zašto tuženik ne pojasni i dokumentira kada su i kako treće osobe aktivirale klonove mobilne aplikacije tuženice na svojim uređajima i kako se u njegovom sustavu manifestira takav pristup trećih osoba jer su morali ostaviti IP-trag različit od tužiteljice, a iz istog bi sigurno bilo vidljivo da se radi o log inu-u iz neke strane države, što bi odmah bio signal za detektiranje i klasificiranje transakcije kao sumnjive,

-da tuženik prije ovog događaja nije imao niti jednu transakciju u inozemstvu, nikada nije imao tako velika novčana plaćanja u tako kratkim vremenskim intervalima, a naročito tuženik izbjegava pojasniti na koji način je u konkretnoj situaciji primijenio zakonske norme vezane uz sprječavanje pranja novca i kakvu je dubinsku analizu spornih transakcija proveo.

13. Na ročištu održanom 4. srpnja 2024., vještak Igor Špoljarić u cijelosti je ostao kod svog pisanog nalaza i mišljenja ukazujući opetovano da je za izradu nalaza i mišljenja koristio podatke koji se nalaze u spisu predmeta, da je u spisu predmeta našao podatke koji ukazuju da je banka obavijestila tužitelja o provedenim transakcijama nekoliko dana nakon što su provedene, da u spisu nije našao podatak da bi tuženik bilo koju transakciju koja je predmet ovoga postupka označio bilo kao sumnjivu bilo kao nespornu, da u spisu ne postoji podatak da bi tuženik na bilo koji način tijekom vršenja predmetnih transakcija izvijestio tužitelja o bilo kojoj transakciji osim kada su bile već provedene), da nije bilo podataka da bi se moglo zaključiti da bi tužitelj u odnosu na predmetne transakcije vršio bilo kakvu dubinsku analizi sukladno Zakonu o sprečavanju pranja novca, da nije u spisu vidio niti jedan podatak o mehanizmu zaštite koji je primijenio tuženik a vezano za sporne transakcije osim da je tuženik naveo popis svih mehanizama i da se u konkretnom slučaju radilo u uredno autoriziranim transakcijama uz punu primjenu pouzdane autentifikacije, a točno primijenjenu metodu, odnosno mehanizam u točno određenom vremenu prilikom provođenja spornih trans nije vidio, t.j. ako je transakcija provedena u 23 h banka nije odgovor da je u trans provedena 23.01 pomoću točne metode autentifikacije npr. skeniranje QR koda mobilnim uređajem, da informatički sustavi bilježe sve transakcije i sva logiranja u sustav a dodatnim filterima banka odnosno softver razlučuje što je sumnjivo a što legitimna transakcija a u ovom slučaju takvi zapisi kada se korisnik ulogirao u sustav i potvrdio transakciju neovisno sumnjiva ili legitimna u spisu predmeta nema a ukoliko bi se uspješno proveo mehanizam zaštite koji banka navodi da se sporne transakcije ne bi dogodile

13.1. U odnosu na pitanja tuženika

-vještak se nije mogao izjasniti koje je sve podatke dala LĆ nakon što se povezala na poveznicu,

-ukoliko je tužiteljica podijelila podatke potrebne za oporavak odnosno aktivaciju digitalne mobilne aplikacije svog bankarstva te podijelila i PIN dobiven SMS od strane banke dali se ta aplikacija mogla koristiti ovlašteno na drugom mobilnom uređaju uz punu autentifikaciju nije mogao odgovoriti bez uvida u dokumentaciju tuženika o načinu na koji funkcioniraju aplikacije i autorizacije te bez originalnih LOG zapisa sa svim svojim karakteristikama (vremena, aktivnosti, korisnička imena itd).

-u slučaju da je tužiteljica trećoj osobi dostavila baš sve podatke koje banka redovnim putem zahtjeva od novih korisnika odnosno korisnika koji mijenjaju mobilni uređaj tj. instaliraju aplikaciju na drugi uređaj u tom slučaju bi treće osobe preuzele identitet tužiteljice i mogle bi provesti transakciju ali bi tužiteljica u istom trenutku izgubila vlastiti identitet u banci odnosno njezina mobilna aplikacija ne bi radila i da bi da bi to bilo evidentirano u banci pod aktivnostima tužiteljičinog korisničkog računa (npr slanje koda za aktivaciju, pretplatnički broj na koji je poslan SMS za potvrdu i sl), a da u spisu predmeta postoji izjava tužiteljice da nije provodila inozemne transakcije a prema podacima iz spisa počinitelji su provodili transakcije (iz neke druge zemlje), što je potrebno utvrditi prema IP adresama.

14. Sud je prihvatio prijedlog tuženika a s obzirom da se vještak zbog nedostatka dokumentacije u spisu nije mogao očitovati na pojedina pitanja tuženika koja su tijekom postupka postala sporna, držeći da iz tih razloga tuženik nije bio prekludiran u dostavljanju kako novih dokaza (dokumentacije), tako i iznošenja hipotetskog slučaja vezano za možebitnu dostavu podataka nepoznatim osobama koji su bili potrebni za aktivaciju Digical LE mobilne aplikacije na mobilnom uređaju pod njihovom kontrolom, te je naložio tuženiku dostavu vještaku potrebnih podataka da vještak sačini dopunu nalaza i mišljenja.

15. Tuženik je podneskom od 4. kolovoza 2025., sudu dostavio dodatne informacije i materijalnu dokumentaciju ustrajući da je zz tužiteljice, odgovarajući na „phishing“ mail poruku predala nepoznatim osobama podatke potrebne za aktivaciju Digical LE mobilne aplikacije na mobilnom uređaju pod njihovom kontrolom.

16. Uzimajući u obzir podnesak tuženika od 4. kolovoza 2026., kao i naknadno dostavljenu dokumentaciju, vještak je sačinio dopunu nalaza i mišljenja (listovi 168- 175), navodeći

-da u podnesku tuženik ukazuje da je poruka za oporavak računa „poslana na broj telefona [broj telefona], 26.10.2022 u 12:45:24“,

-da se u dokumentu „Prilog TS OS P-311-2024-22-4 od 06.08.2025. - pp 3878 2024 odgovor IT službe ŠKUGOR - prilog 3.pdf“ navodi „Kad je „napadač“ uspješno aktivirao aplikaciju na svom mobilnom uređaju, korisnici Drenki Škugor je automatski mobilna aplikacija postala neaktivna (za jednog krajnjeg korisnika - jednu fizičku osobu može biti aktivna samo jedna aplikacija).“,

-da se također navodi da je „Druga ovlaštena osoba i dalje imala omogućen pristup aplikaciji. Iz logova su vidljive tri prijave u razdoblju 26.10.2022. do 31.10.2022.“,

-prema odgovoru tuženika „Korisnici SĆ realiziran je Zahtjev za redistribuciju kodova za aplikaciju 31.10.2022 15:19:09.“,

-da tuženik dostavlja ispis u kojem je vidljivo da je promijenjen mobilni uređaj a da informatički sustav tuženika ima evidentiranu i vidljivu promjenu uređaja s metapodacima uređaja, uz konstataciju da je „korisnik 2009959305026 hakiran“,

-da je u e-mail poruci od strane zakonskog zastupnika tuženika, 02.09.2025. dostavljena Microsoft Excel datoteka naziva „export_ljekarna_skugor_logins.xlsx“ unutar koje se nalazi popis prijava u aplikaciju za razdoblje od 23.10. do 14.11.2022. , a iz podataka je vidljivo da se u spornom razdoblju od 26.10.2022. do 31.10.2022. godine s korisničkim podacima tužitelja u aplikaciju spajalo putem mobilne aplikacije, da je iz tablice vidljiva vrsta aplikacije (APP_TYPE) što je u ovom slučaju mobilna aplikacija, ID tvrtke (COMPANY_ID), vrijeme logiranja u aplikaciju (CREATED_DATE), a da je problematična činjenica s PERSON_ID što se višestruko pojavljuje novi ID broj 1607993990278, na temelju prethodnih odgovora tuženika, može se zaključiti da je tužiteljev ID broj 2009959305026, da se novi ID broj 1607993990278 pojavljuje još 31.10, 1.11., 02.11., 03.11., 04.11., 05.11., 08.11., 10.11. i 11.11.2025. , a kako se novi ID broj pojavljuje i nakon ponovnog oporavka računa u posjed tužitelja, za pretpostaviti je da novi ID broj 1607993990278 predstavlja određeni bankarski sustav/softver ili osobu od strane tuženika a da pojašnjenje od tuženika u odnosu na ovaj broj nije dobio.

17. Vještak se u ovoj dopuni ponovno osvrće na „Opće uvjete korištenja PBZ digitalnog bankarstva za poslovne subjekte“ potpisan između tužitelja i tuženika, pod točkom 4.2. u kojoj je navedeno da Banka koristi specijalizirane programe za analizu obilježja i uzorka ponašanja korisnika s ciljem sprječavanja neovlaštenog pristupa, da Banka korištenjem specijaliziranih programskih alata može analizirati obilježja načina na koji krajnji korisnik koristi uslugu (primjerice, zadržavanje na pojedinim poljima za unos podataka, kretanje između polja unosa korištenjem miša, tipkovnice ili prstiju te kombinaciju s tehničkim podacima koji su preduvjet mogućnosti korištenja usluge putem sredstava daljinske komunikacije, primjerice operativni sustav koji krajnji korisnik koristi, vrsta mobilnog uređaja/računala, tip i verzija preglednika - za web aplikacije, veličina zaslona uređaja, jezik preglednika/mobilnog uređaja, naziv i verzija mobilne aplikacije, a po potrebi i druge podatke ove vrste), a da na njegov upit Banka vezano za transakcije koje je tužiteljica provodila prema inozemnim računima, nije odgovorila.

17.1. Pojašnjava da je Direktiva o platnim uslugama (PSD2) nalaže uvođenje novih zahtjeva poput snažne autentikacije klijenta (SCA) i dinamičkog povezivanja transakcija, PSD2 direktiva je postavila više sigurnosne standarde koji otežavaju napade poput phishinga, da snažna autentikacija klijenta (Strong Customer Authentication, SCA) propisuje višefaktorsku provjeru identiteta korisnika kako bi se potvrdilo da transakciju doista odobrava legitimni korisnik, da SCA zahtijeva autentikaciju pomoću najmanje dva od tri nezavisna faktora sigurnosti i to

-nešto što korisnik zna – primjerice lozinka ili PIN kod,

-nešto što korisnik ima – npr. mobilni uređaj, token ili kartica,

-nešto što korisnik jest – biometrijski identifikator poput otiska prsta ili prepoznavanja lica, a kako bi se korisničko iskustvo učinilo efikasnijim, npr. da korisnici ne moraju svaku transakciju potvrđivati višestrukim faktorima.

17.2. Također da su razvijeni modeli analize rizika transakcija (Transaction Risk Analysis, TRA) koji u realnom vremenu procjenjuju je li određena transakcija dovoljno sigurna da prođe bez SCA, a da se i dalje zadrži visok nivo zaštite, da Direktiva o platnim uslugama (PSD2) naglašava važnost proaktivne detekcije prijevara i višeslojnog pristupa sigurnosti, a neki od ključnih alata i metoda u borbi protiv prijevara su

-analiza ponašanja korisnika (behavioral analytics)-praćenje kako korisnik koristi aplikaciju ili web uslugu u realnom vremenu, radi uočavanja odstupanja od uobičajenog ponašanja, na primjer, sustav može bilježiti brzinu i ritam tipkanja, način pomicanja kursora ili korištenja touch ekrana, obrasce navigacije kroz aplikaciju i sl., koje stvaraju jedinstveni profil “normalnog” korisnika, te ako se tijekom prijave ili plaćanja detektira neuobičajeno ponašanje (npr. netipično spora ili brzopleta interakcija, korištenje copy/paste umjesto uobičajenog tipkanja, čudne geste na uređaju), sustav to može označiti kao sumnjivo čime se dodaje razina autentikacije s ciljem sprječavanja zloupotrebe računa.

-uz bihevioralnu analitiku primjenjuju se i modeli za otkrivanje anomalija koji i uzimaju u obzir brojne signale od karakteristika uređaja i mreže (IP adrese, geo- lokacije) preko spomenutih bihevioralnih obrazaca korisnika, pa do transakcijskih parametara (iznos, vrijeme, frekvencija) kako bi izračunali vjerojatnost da je neka radnja prijevarna, pa primjerice, neočekivana transakcija u ponoć s novog uređaja na geografski udaljenoj lokaciji mogla bi dobiti visok rizični skor i biti automatski zaustavljena ili poslana na dodatnu provjeru.

-“otisak” uređaja (device fingerprinting) koji prikuplja niz tehničkih parametara o korisnikovom uređaju i pregledniku (poput vrste i verzije preglednika, operativnog sustava, rezolucije ekrana, instaliranih fontova, vremenske zone, itd.) kako bi generirale unikatni profil uređaja na koji način Banka može prepoznati koristi li se račun s prethodno neviđenog uređaja ili okruženja a novi ili sumnjivi uređaji mogu podići rizični skor i pokrenuti dodatne provjere.

17.3. Pojašnjava da svi ti alati zajedno čine “višeslojnu” obranu a da PSD2 eksplicitno potiče takav pristup, kombinaciju snažne autentikacije i napredne detekcije prijevara, a višeslojnost znači da i ako jedan mehanizam zakaže ili je zaobiđen, drugi mehanizam može detektirati potencijalnu sumnjivu aktivnost pa tako npr. ako korisnik ipak nasjedne na phishing i preda svoje lozinke i OTP, sustav može i dalje zaustaviti prijevaru prepoznavanjem da ponašanje ne odgovara korisniku ili da uređaj nije pouzdan.

17.4. Vještak također ukazuje da je čuvanje podataka i dostupnost istih prema javno dostupnim informacijama Intesa Sanpaolo grupe, koja je vlasnik PBZ banke 10 godina.

17.5. Zaključno iznosi mišljenje

-da sigurnosni mehanizmi iz ugovora PBZ digitalnog bankarstva-točka 4.2. Ugovora predviđaju primjenu "specijaliziranih programskih alata" koji analiziraju ponašanje krajnjeg korisnika u svrhu detekcije prijevara, mehanizmi poput praćenja zadržavanja u poljima za unos, kretanja mišem ili korištenja tipkovnice, kombinirani s tehničkim karakteristikama (OS, vrsta uređaja, jezik, veličina zaslona itd.), predstavljaju čimbenike poznate kao behavioral analytics i device fingerprinting, ovakvi podaci se prikupljaju radi formiranja profila "normalnog" ponašanja korisnika i služe kao sloj za detekciju anomalija. Sama prisutnost takvih alata u ugovoru implicira da je banka predvidjela njihovu upotrebu radi proaktivne identifikacije sumnjivih aktivnosti,

-da PSD2 Direktiva i sigurnosni zahtjevi PSD2 i delegirana uredba 2018/389 eksplicitno zahtijevaju snažnu autentikaciju klijenata (SCA) opisano u točci 18.1. obrazloženja

-u predmetnom slučaju obrazac ponašanja i aktivnosti kao oporavak aplikacije na novom uređaju, zahtjevi za plaćanje na račune u inozemstvu nepouzdanim osobama/strankama, testne i veće transakcije, ukupan iznos provedenih transakcija, vrlo vjerojatno IP adresa izvan Republike Hrvatske su mogli biti automatski označeni kao visoko rizični i zaustavljeni.

-čuvanje i pohrana podataka prema pravilima Intesa Sanpaolo grupe, podaci o korisničkim interakcijama čuvaju se 10 godina, ako su aktivirani mehanizmi iz točke 4.2. ugovora, pretpostavlja se da su i metapodaci o korištenju usluge (npr. ponašanje korisnika, tehnički parametri, log zapisi sustava za zaštitu i slično) pohranjeni i trebali bi biti dostupni na zahtjev radi forenzičke analize tim više što je tužitelj podnio tužbu unutar dvije godine od incidenta i što je incident prijavljen banci i zatim Ministarstvu unutarnjih poslova u najranijoj fazi, točnije 31.10.2022. godine odnosno 02.11.2022. godine.

18. Tužitelj nije imao primjedbi na dopunu nalaza i mišljenja ustrajući da tuženik nije poduzeo mjere kako bi zaštitio tužitelja kao svog klijenta, da tuženik i nastavno nije dostavio sve tražene podatke, da tuženik nikada nije osporio da bi tužitelj ikada vršio plaćanja u inozemstvo, kada se s jedne strane pogledaju sigurnosni zahtjevi koje je tuženik morao implementirati u svoje poslovanje, kako bi zaštitio klijente sukladno Direktivu (EU) 2015/2366 (PSD2), koja se primjenjivala u razdoblju kada su tužitelju neovlašteno skinuta novčana sredstva, a sa druge strane da je tuženik detektirao da je tužitelj promijenio uređaj, kao i da su sve isplate vršene u inozemstvo (a nikada prije nisu), da je jasno kako sustav zaštite kod tuženika nije funkcionirao i kako nikakve mjere koje bi zaštitile tužitelja nisu poduzete, unatoč tomu što je tužitelj nasjeo na phising poruku nije istina da nakon toga tuženik nije mogao ništa više učiniti budući da i vještak ukazuje da u situaciji da bilo koji klijent i postane žrtva phisinga, da je Banka dužna primijeniti alate zaštite, koji bi i u takvim situacijama, detektirali prijevaru i spriječili klijente da trpe štetu.

19. Tuženik je i na dopunu nalaza i mišljenja imao primjedbi držeći da je dopuna mišljenja dana suprotno pravilima struke, materijalnim dokazima u spisu, te utvrđenim činjenicama, da je nesporna činjenica kako je tužiteljica predala nepoznatim osobama podatke za aktivaciju Digical LE mobilne aplikacije na mobilnom uređaju pod njihovom kontrolom čime su napadači imali neometan pristup klijenta-tužitelja, ustrajući da je upravo zz tužitelja odgovorna za takvu okolnost jer je podijelila trećim nepoznatim osobama podatke koje je dobila SMS porukom dana 26 10 2022 , od kada njezina aplikacija više nije bila aktivna, time je omogućila trećim osobama da preuzmu njezin identitet slijedom čega su sigurnosni mehanizmi tuženika u potpunosti bili onemogućeni.

19.1. Podneskom od 9. veljače 2026., tuženik predlaže da sudski vještak sačini još jednu dopunu nalaza i mišljenja vodeći se dobivenim zadacima od strane suda posebice na okolnost što se vještak nije osvrnuo na činjenicu da tužiteljica nije mogla koristiti svoj telefon nakon što je podijelila svoje podatke za aktivaciju Digical LE mobilne aplikacije na mobilnom uređaju pod kontrolom trećih osoba a da nije reagirala niti je kontaktirala banku.

20. Sudski vještak je po pozivu suda sačinio novu dopunu nalaza i mišljenja (listovi 190-193), navodeći da je tužitelj zaprimio „phishing“ poruku elektroničke pošte, uslijed čega je neovlaštenim osobama ustupio svoje autentifikacijske podatke nakon čega su napadači instalirali mobilnu aplikaciju banke na novi mobilni uređaj, i izvršili trinaest novčanih transfera na račune u inozemstvu i to

-trinaest transakcija različitih iznosa s oznakom „hitno“,

-primatelji su bile fizičke osobe u inozemstvu,

-tužitelj prema tim osobama, kao niti bilo kojim fizičkim osobama ranije nikada nije provodio uplate.

Pojasnio je da je za vještačenje korištena Direktiva (EU) 2015/2366 (PSD2), i Delegirana uredba (EU) 2018/389 (RTS* o SCA i sigurnoj komunikaciji) i to

-članak 2. -mehanizmi praćenja transakcija koji omogućuju detekciju neovlaštenih li prijevarnih transakcija

-članak 18. -Transaction Risk Analysis (TRA**) mora uzeti u obzir najmanje sljedeći elemente i to neuobičajeni obrasce potrošnje, neuobičajeno ponašanje platitelja, indikatore kompromitiranog uređaja ili softvera, neuobičajenu lokaciju platitelja, poznate scenarije prijevare,

-RTS – Regulatory Technical Standards, odnosno regulativa o tehničkim standardima

-TRA – Transaction Risk Analysis – analiza rizika za transakcije – pružatelji usluga dužni su provoditi praćenje transakcija u stvarnom vremenu s ciljem otkrivanja anomallija.

20.1 Pojašnjava da su u predmetnoj situaciji bili prisutni brojni indikatori povećanog rizika, koji su prema PSD2/RTS trebali biti predmet analize: a) novi uređaj (instalacija aplikacije na novi mobilni uređaj predstavlja objektivni indikator povećanog rizika, osobito ako

-prethodno nije bio registriran taj uređaj,

-dolazi do promjene u uobičajenom obrascu pristupa bankovnoj aplikaciji i njenom korištenju,

b) višestruke transakcije u kratkom razdoblju odnosno izvršenje trinaest transakcija u kratkom vremenskom razdoblju predstavlja odstupanje od uobičajenog ponašanja klijenta, a regulativa o tehničkim standardima RTS izričito navodi da sustav praćenja mora analizirati neuobičajene obrasce potrošnje tj. uplata, neuobičajeno ponašanje korisnika kao što je plaćanje u kasnim večernjim ili ranim jutarnjim satima 3.

c) uplate prema inozemnim primateljima

-transferi su izvršeni prema osobama u inozemstvu,

-prema primateljima kojima tužitelj nikada ranije nije provodio uplate. Takva okolnost predstavlja dodatni rizik prema kriterijima Analize rizika za transakcije-(TRA), jer uključuje nove primatelje, međunarodne transfere, odstupanje od povijesnog obrasca ponašanja, u ovom slučaju neoznačavanje primatelja transakcije kao „pouzdanog“ primatelja.

20.2. Vještak postavlja nakon ovih utvrđenja pitanje da ukoliko su u konkretnom slučaju postojali višestruki indikatori povećanog rizika (novi uređaj, neuobičajeni iznosi, novi inozemni primatelji, serijske transakcije),

-je li sustav praćenja rizika bio adekvatno konfiguriran/implementiran,

-je li izvršena odgovarajuća procjena rizika,

-je li primijenjena dodatna autentifikacija prije odobravanja transfera (npr biometrija ili telefonski poziv banke prema klijentu),

-je li sustav pravodobno reagirao na očite anomalije.

20.3. Vještak navodi da iako je tužitelj ustupio svoje autentifikacije podatke kao žrtva prijevare (phishing), predmetni niz transakcija sadržavao je više objektivnih indikatora prijevare, a prema PSD2 i RTS regulativi, pružatelj platnih usluga dužan je

- imati sustav praćenja rizika,

-analizirati neuobičajene obrasce,

-reagirati na indikatore povećanog rizika,

-primijeniti dodatnu autentifikaciju ili blokirati transakciju kada to zahtijevaju okolnosti

20.3. Napominje da je sud zatražio raspravnim zapisnikom da se dostave svi log zapisi povezani s računom i aktivnostima tužitelja a da podaci i log zapisi vezani za RTS (rizici neuobičajeni obrasci, indikatori povećanog rizika itd) nisu dostavljeni a da su dostavljeni moglo se utvrditi:

-kako je konkretni sustav praćenja rizika funkcionirao,

-je li identificirao opisane anomalije,

-zašto unatoč višestrukim indikatorima rizika nije došlo do pravovremene blokade ili dodatne provjere transakcija, na koji način ključni podatci o sustavu i mehanizmima zaštite tuženik nije dostavio na uvid, navodeći da zbog proteka od 2 godine nema više dostupnih podataka, iako je tužitelj prijavio prijevaru u studenom 2022, a smatra da je tuženik trebao imati pohranjene zapise o sustavima i mehanizmima zaštite, posebice jer je teret dokazivanja da je sustav funkcionalan i ispravno implementiran na strani pružatelja usluge, u ovom slučaju na tuženiku. Ustrajući da mehanizmi zaštite nisu ispravno funkcionirali i detektirali visokorizične aktivnosti i zaštitili tužitelja.

21. Nastavnim podneskom od 19. ožujka 2026., tuženik opetovano stavlja primjedbe u bitnome da je vještak prekoračio svoje ovlasti te je ušao u tumačenje pravnih pitanja, da vještačenju nedostaje stručna i tehnička analiza i obrazloženje, da vještak zanemaruje grubu nepažnju tužiteljice, pogrešno primjenjuje Delegirane uredbe (EU) 2015/389 poglavito čl.18; da je iskazna kontradiktornost prvobitnog nalaza i mišljenja i njegove dopune i da se neosnovano poziva na Zakon o sprečavanju pranja novca i financiranju terorizma.

21.1. Na ročištu za glavnu raspravu vještak je opovrgnuo primjedbe tuženika, ustrajući na sadržaju svojih odgovora koji su dani u dotadašnjim nalazima i dopunama nalaza i mišljenja.

22. Sud je poklonio vjeru nalazu i mišljenju, dopunama nalaza i mišljenja te pojašnjenjima tijekom ovoga postupka sudskog vještaka Igora Špoljarića držeći iste logičnim i uvjerljivim i da su dani sukladno pravilima struke.

23. U odnosu na okolnost utvrđivanja visine potraživanja tužitelja, sud je proveo vještačenja po sudskom vještaku financijsko-knjigovodstvene struke Lidiji Balog koja je izradila pisani nalaz i mišljenje (listovi 217-228).

23.1. Iz nalaza i mišljenja vještakinje Lidije Balog proizlazi da je tužitelj sa tuženikom od dana 01. kolovoza 2013., imao sklopljen Ugovor o otvaranju i vođenju transakcijskog računa, te obavljanju platih i drugih usluga te je putem tuženika preko svog redovnog računa pravnih osoba broj HR28 2340 0091 1105 9802 4, obavljao i plaćanja drugim osobama, u tu svrhu da je tužitelj sa tuženikom imao sklopljen i Ugovor o korištenju PBZ digitalnog bankarstva za poslovne subjekte od 17. kolovoza 2022., da je dana 26. listopada 2022., obnašateljica dužnosti ravnatelja tužitelja primila putem e-maila zavaravajuću poruku, na koju je unijela podatke za pristup Internet bankarstvu, nakon čega je sa računa tužitelja izvršeno više transakcija na inozemne bankovne račune, koje tužitelj nije zadao, da je uvidom u Pregled prometa po transakcijskom računu tužitelja otvorenog kod tuženika za razdoblje od 25.10.2022 do 31.10.2022. godine, te ispis pojedinačnih deviznih transakcija za svako provedeno plaćanje sa računa tužitelja, utvrdila sam da je

-sa transakcijskog računa tužitelja za provedenih trinaest transakcija, kojima je izvršeno devizno plaćanje inozemnim osobama, u razdoblju od 26.10.2022. do 31.10.2022., skinuto ukupno 935.817,74 HRK, a što primjenom fiksnog tečaja od 7,53450 HRK za 1 EUR, iznosi 124.204,36 EUR,

-naknada za hitno plaćanje navedenih transakcija plaćena je tuženiku sa transakcijskog računa tužitelja ukupno 1.300,00 HRK, a što primjenom fiksnog tečaja od 7,53450 HRK za 1 EUR, iznosi 172,54 EUR.

24. Tužitelj na nalaz i mišljenje vještaka nije imao primjedbi dok je vještakinja očitujući se na primjedbe tuženika na ročištu ustrajala kod svog nalaza i mišljenja.

25. Sud je poklonio vjeru nalazu i mišljenju vještakinje Lidije Balog kao i njezinim usmenim pojašnjenjima, držeći iste logičnim i uvjerljivim i da su dani sukladno pravilima struke, kako nije našao niti jednu okolnost koja bi dovela u dvojbu njen nalaz sud zaključuje da su sa računa tužitelja tuženik proveo trinaest transakcija najmanje u iznosu od 123.419,00 EUR.

26. Nesporno je da je predmetni Ugovor o korištenju PBZ digitalnog bankarstva za poslovne subjekte trgovački ugovor u kojemu Ljekarna Škugor u ovome postupku tužitelj, nije potrošač.

27. Odredbom članka 10. Zakona o obveznim odnosima ("Narodne novine" br. 35/2005., 41/2008., 125/2011., 78/2015., 29/2018., 126/2021., 114/2022., 156/2022., 145/2023., 155/2023, dalje ZOO), propisano je

„(1) Sudionik u obveznom odnosu dužan je u ispunjavanju svoje obveze postupati s pažnjom koja se u pravnom prometu zahtijeva u odgovarajućoj vrsti obveznih odnosa (pažnja dobrog gospodarstvenika, odnosno pažnja dobrog domaćina).

(2) Sudionik u obveznom odnosu dužan je u ispunjavanju obveze iz svoje profesionalne djelatnosti postupati s povećanom pažnjom, prema pravilima struke i običajima (pažnja dobrog stručnjaka).

(3) Sudionik u obveznom odnosu dužan je u ostvarivanju svog prava suzdržati se od postupka kojim bi se otežalo ispunjenje obveze drugog sudionika“ U konkretnom slučaju i tužitelj i tuženik su bili u obavezi u ispunjavanju svojih obaveza iz predmetnog ugovora kao i Općih uvjeti korištenja PBZ digitalnog bankarstva za poslovne subjekte postupati sukladno odredbi članka 10. stavka 2. ZOO-a.

28. Osnovano po mišljenje suda tuženik upire na okolnost da tužitelj nije postupao sukladno Ugovoru o korištenju PBZ digitalnog bankarstva za poslovne subjekte (dalje Ugovor), odnosno dijelu ugovorenih odredbi Općih uvjete korištenja PBZ digitalnog bankarstva za poslovne subjekte (dalje Opći uvjeti), koji su sastavni dio Ugovora.

28.1. Točkom 6 naslovljenom „Obveze Korisnika“ iz Općih uvjeta propisano je uz ostalo da će korisnik/tužitelj

- koristili sustav za autentifikaciju i autorizaciju na način da čuva njegovu tajnost: zaporku, PIN i podatke koje generira autentifikacijsko/autorizacijski sustav, ne smije zapisivati, otkrivati ili činiti dostupnim trećim osobama;

-brižljivo čuvati korisnička imena, lozinke, kodove, PIN-ove i ostale identifikatore, da će ih štititi od krađe, gubitka, oštećenja, uništenja ili zlouporabe te da ih neće zapisivati na papir, elektronički ili drugi medij, otkrivati ih niti činiti dostupnima trećim osobama;

28.2. Točkom 9 naslovljenom „Sigurnost“ iz Općih uvjeta propisano je uz ostalo za korisnika/tužitelja

-Korisnik je dužan pridržavati se svih sigurnosnih mjera zaštite i upotrebe računala, mobilnih uređaja i drugih uređaja na kojima je aktivirano korištenje Usluge prema sigurnosnim preporukama Banke uključujući zaštitu pristupa računalu, mobilnim i drugim uređajima povjerljivom lozinkom, zaštitu tajnosti odabrane lozinke/PIN-a kako bi se spriječilo neovlašteno korištenje, ne otvaranje poruke elektroničke pošte (e-mail) i privitaka i poveznica (linkova) iz sumnjivih poruka ili poruka koje ne očekuje, vođenje računa o internetskim stranicama koje posjećuje s uređaja kojima pristupa Usluzi jer pristup nekim stranicama uključuje povećani rizik od zaraze računala, mobilnih i drugih uređaja malicioznim programima, pristupanje Usluzi isključivo preko web adrese navedene u Korisničkim uputama, redovito provjeravanje novih obavijesti koje mu Banka šalje putem Usluge ili na drugi ugovoreni ili propisani način te ih se pridržavati i postupati u skladu s tim obavijestima; odmah obavijestiti Banku o promjeni broja mobilnog telefonskog uređaja krajnjeg korisnika za sigurno funkcioniranje usluge

-Korisnik snosi svu eventualnu štetu nastalu zbog nepridržavanja ovih odredbi od strane Korisnika i/ili ako je treća osoba na bilo koji način došla u posjed sredstava i/ili podataka vezanih za autorizaciju Korisnika/Krajnjih korisnika u sustav PBZ digitalnog bankarstva (npr. Platnih instrurnenata, korisničkih imena, lozinka, kodova, PIN-ova i ostalih identifikatora).

-Korisnik snosi sav rizik unosa netočnih podataka u svim dokumentima iz ovih Općih uvjeta digitalnog bankarstva.

-Korisnik snosi rizik i odgovornost za instrukcije na platnom nalogu koje je autorizirao sukladno ovim Općim uvjetima i Korisničkirn uputama

28.3. ŠĆ u svojemu iskazu uz ostalo navodi

-„ja sam negdje 2022. na svoj mobilni uređaj dobila jednu e-mail poruku, s obzirom na izgled i sadržaj te poruke ja sam zaključila da mi se obraća PBZ, a s obzirom na sadržaj te poruke ja sam također zaključila da bih trebala po istoj postupiti.“

- „nakon što sam se povezala putem poveznice od mene je bio zatražen samo jedan podatak kojeg sam trebala ukucati a radilo se o PIN-u kojim se povezuje na moj bankovni račun“,

„i prije sam dobivala putem e-maila određene obavijesti od banke, ali ja se ne sjećam da li je banka u tim obavijestima od mene tražila bilo koji podatak koji bi se odnosio na osobne podatke npr. ime, prezime, OIB, PIN ili slično“,

„prije nego što sam se povezala na dobivenu e-mail poruku odnosno dostavljenu poveznicu ja sam pročitala sadržaj koji je prethodio poveznici a iz sadržaja bar kako sam ja to tada pročitala i shvatila nisam imala razloga posumnjati da se ne bi radilo o službenoj poruci banke“.

-„ u ovom trenutku se ne mogu sjetiti nisam primijetila da na dostavljenom e-mail- u nije bilo loga PBZ“,

-„ne sjećam se da bih od PBZ dobivala e-mail poruke stoga se ne sjećam kako one izgledaju s obzirom na njihov uobičajeni sadržaj i oznake nisam smatrala da je e- mail poruka koju sam dobila nešto neuobičajeno i nisam stoga smatrala da je potrebito o tomu kontaktirati banku ja sam u ime tužitelja kao odgovorna i ovlaštena osoba potpisala sa bankom ugovor o korištenju njihovih usluga, vjerojatno sam tom prilikom dobila i njihove opće uvjete poslovanja, ne sjećam se da li sam te opće uvjete pročitala“,

-„ne sjećam se da li bi me banka ikada pitala vezano za taj PIN koji sam ja zadala“ „ne sjećam se da li sam dobivala bilo kakve e-mail poruke tuženika a samim tim ne sjećam se da li sam ih dobivala sa nekakve druge adrese osim one koja je navedena u općim uvjetima“.

28.4. Sud drži osnovanim navode tuženika u dijelu u kojem upire na okolnost da je tužitelj odnosno njegov ovlaštenik, u konkretnom slučaju SĆ, nesavjesno i krajnje nepažljivo podijelila personalizirane sigurnosne vjerodajnice trećim neovlaštenim osobama suprotno svim ugovornim odredbama i općim uvjetima te suprotno ugovorenim kanalima komunikacije, suprotno obavijestima i upozorenjima Banke i bez primjene pažnju savjesnog gospodarstvenika, zbog čega je došlo do zlouporabe platnog prometa.

28.5. Sukladno točci 11.4. ovoga obrazloženja, sud ne poklanja vjeru dijelu iskaza UĆ u kojemu navodi da je nakon aktiviranja poveznice iz zlonamjernog maila, postupajući po traženom ukucala samo PIN, naime osnovano tuženik tvrdi dostavljajući pri tomu kao dokaz relevantnu dokumentaciju, a što je uostalom potvrdio i vještak Špoljarić u Dopuni nalaza i mišljenja (listovi 168-175), da je ista nastavno uz PIN dostavila i sve podatke potrebne za aktivaciju Digital LE mobilne aplikacije na mobilnom uređaju sada pod kontrolom nepoznate osobe i to korisnički broj, kod za oporavak i identifikacijski kod na koji način su napadači bili u mogućnosti uspješno se prijaviti u oporavljenu Digital LE mobilnu aplikaciju, tako preuzeti identitet SĆ i provesti transakciju, a na tu okolnost ukazuje i činjenica da se SĆ nije više mogla koristiti svojom aplikacijom sve do 31. listopada 2022., u 15:19:09, kada je po njenom zahtjevu realiziran njen zahtjev za redistribuciju kodova.

28.6. Odredbama Zakona o platnom prometu („Narodne novine“ broj 66/2018., 114/2022., dale ZOPP), koji je bio na snazi u vrijeme otuđenja utuženog novčanog iznosa sa računa tužitelja propisano je

„Članak 39.

(1) Korisnik platnih usluga koji je ovlašten koristiti se platnim instrumentom dužan je:

1. koristiti se platnim instrumentom u skladu s odredbama okvirnog ugovora kojima je regulirano izdavanje i korištenje toga platnog instrumenta i

2. bez odgađanja obavijestiti pružatelja platnih usluga ili osobu koju je odredio pružatelj platnih usluga o ustanovljenom gubitku, krađi ili zlouporabi platnog instrumenta ili njegovu neovlaštenom korištenju.

(2) Korisnik platnih usluga dužan je, u slučaju iz stavka 1. točke 1. ovoga članka, odmah nakon primitka platnog instrumenta poduzeti razumne mjere za zaštitu personaliziranih sigurnosnih vjerodajnica toga platnog instrumenta“

28.7. Sukladno utvrđenjima iz točke 29.5. korisnica je odala personalizirane sigurnosne vjerodajnice trećoj strani odgovarajući na phishing poruku čime je po mišljenju suda propustila poduzeti razumne mjere zaštite.

28.8. Naime odredba članka 10. stavka 1. ZOO-a zahtjeva pažnju dobrog gospodarstvenika u obveznim odnosima. Za korisnika koji nije potrošač (poduzetnik, pravna osoba, obrtnik) primjenjuje se viši standard od onoga za fizičku osobu-potrošača jer je on profesionalni sudionik u prometu i od njega se može očekivati veća razina pažnje u rukovanju financijskim instrumentima i digitalnim sustavima. U konkretnom slučaju SĆ se nije mogla sjetiti da se ili se nije upoznala sa obavezama kao korisnica koje su navedene u Općim uvjetima, nastavno upotrebljavajući pažnju dobrog gospodarstvenika prethodno upoznata u cijelosti što se od nje kao korisnice očekuje sukladno Općim uvjetima, ista je mogla i morala pažljivije analizirati zaprimljenu mail poruku na koji način bi po mišljenju suda zasigurno, a s obzirom na njene nedostatke kako gramatičke prirode tako i sadržajne, mogla zaključiti da bi se ipak radilo o najmanje sumnjivoj ako ne i zlonamjernoj poruci, (ista je imala pravopisne pogreške, sadržavala je urgentni ton, nastavno postavljen je zahtjev za podacima koje Banka prije nikada nije tražila, imala je lažni logotip, nastavno javno su objavljene sigurnosne obavijesti pružatelja da on nikad ne traži PIN/lozinke putem e-pošte), dakle tužitelj kao poslovni korisnik u konkretnom slučaju nije poznavao, iako je trebao, temeljne sigurnosne upute iz okvirnog ugovora s bankom, čime se takvo postupanje može okvalificirati kao postupanje protivno obavezama iz članka 10. ZOO.

29. Unatoč utvrđenju suda da je korisnik usluge postupao protivno obavezama iz članka 10. stavka 2. ZOO-a i članka 39. stavak 1. točka 1. ZOPP-a, sud ne smatra osnovanim tvrdnju tuženika da je na taj način otklonjena njegova odgovornost za činjenicu koja je predmet ovog tužbenog zahtjeva.

29.1. Točkom 4 naslovljenom „Uvjeti korištenja Usluge“ propisano je uz ostalo za Banku: „U svrhu sprječavanja neovlaštenog pristupa i prijevara pri korištenju Usluge, budući da ova Usluga znači korištenje bankovnih i financijskih usluga na daljinu, Banka korištenjem specijaliziranih programskih alata može analizirati obilježje načina na koji krajnji korisnik koristi uslugu (primjerice zadržavanje na pojedinim poljima za unos podataka, kretanje između polja unosa korištenjem miša, tipkovnice ili prstiju te kombinaciju s tehničkim podacima koji su preduvjet mogućnosti korištenja Usluge putem sredstava daljinske komunikacije, primjerice operativni sustav koji krajnji korisnik koristi, vrsta mobilnog uređaja/računala. tip i verzija preglednika - za web aplikacije, veličina zaslona uređaja, jezik preglednika/mobilnog uređaja, naziv i verzija mobilne aplikacije a po potrebi i druge podatke ove vrste“.

29.2. Točkom 7 naslovljenom „Obveze Banke“ iz Općih uvjeta propisano je uz ostalo za Banku:

Stavak 9 „Banka odgovara Korisniku za neposredno nastalu štetu koja je nastala namjerno ili nemarom od strane Banke“.

Stavak 10 „Banka će obavijestiti Korisnika u slučaju sumnje na prijevaru ili stvarne prijevare ili prijetnje sigurnosti Usluge i/ili Platnog instrumenta, primjenjujući dostupne pouzdane kanale i način komunikacije.“

30. Odredbama ZOPP-a koje su bile na snazi u vrijeme otuđenja utuženog novčanog iznosa sa računa tužitelja, člankom 2 propisano je:

„Ovim Zakonom u hrvatsko zakonodavstvo preuzima se sljedeći akt Europske unije: Direktiva (EU) 2015/2366 Europskog parlamenta i Vijeća od 25. studenoga 2015. o platnim uslugama na unutarnjem tržištu, o izmjeni direktiva 2002/65/EZ, 2009/110/EZ i 2013/36/EU te Uredbe (EU) br. 1093/2010 i o stavljanju izvan snage Direktive 2007/64/EZ (Tekst značajan za EGP) (SL L 337, 23. 12. 2015.) (u daljnjem tekstu:

Direktiva (EU) 2015/2366)“

30.1. Banke i ostali pružatelji platnih usluga bili su dužni primjenjivati i Delegiranu uredbu Komisije (EU) 2018/389 od 14. rujna 2019, čija primjena se odnosila na sve zahtjeve pouzdane autentifikacije klijenta (SCA) i zajedničkih sigurnih otvorenih komunikacijskih standarda (CSC), a ista je donijeta je kao regulatorni tehnički standard (RTS) koji razrađuje odredbe Direktive (EU) 2015/2366 o platnim uslugama (PSD2), osobito njezine članke 97. i 98.

30.1.1. Za napomenuti je da se na Direktivu (EU) 2015/2366 Europskog parlamenta i Vijeća od 25. studenoga 2015. o platnim uslugama na unutarnjem tržištu te Delegiranu uredbu Komisije (EU) 2018/389 od 14. rujna 2019, u svom nalazu i mišljenju referira sudski vještak Špoljarić, sve kako je navedeno o točci 18.1. ovoga obrazloženja a čiju potrebu primjene tuženik u ovome postupku nije problematizirao, posebice uzimajući i u obzir sadržaj točke 4.2 njegovih Općih uvjeta.

31. Odredbom članka 3. stavak 1. točka 1. ZOPP-a propisano je „autentifikacija jest postupak koji pružatelju platnih usluga omogućuje provjeru identiteta korisnika platnih usluga ili valjanosti korištenja određenoga platnog instrumenta, uključujući provjeru korištenja personaliziranih sigurnosnih vjerodajnica korisnika platnih usluga“ 31.1. Točkom 2. naslovljenom „Pojmovnik“ Općih uvjeta definirani su pojmovi

-„autentifikacija“–postupak identifikacije krajnjeg Korisnika putem personaliziranih aplikacija PBZ mobilnog bankarstva, valjanosti korištenja određenog autenifikacijskog/autorizacijskog sustava uključujući provjeru personaliziranih sigurnosnih obilježja i na taj način verifikaciju Krajnjeg korisnika. Ako autentifikacija obuhvaća uporabu dvaju ili više elemenata koji pripadaju u kategoriju znanja (nešto što samo krajnji Korisnik zna), posjedovanja (nešto što samo krajnji korisnik posjeduje), i svojstvenosti (nešto što krajnji korisnik jest) koji su međusobno neovisni, radi se o pouzdanoj autentifikaciji.

-„autorizacija“–postupak potvrđivanja volje krajnjeg Korisnika u ime i za račun Korisnika usluge putem personalnih sigurnosnih obilježja i određenog autenifikacijskog/autorizacijskog sustava u svrhu davanja suglasnosti za izvršenje naloga za plaćanje …“

31.2. Za napomenuti je da je tuženik tijekom postupka u više navrata, po mišljenju suda neosnovano, a takvog je stajališta i vještak Špoljarić, isticao da se u konkretnom slučaju radilo o uredno autoriziranim transakcijama uz punu primjenu pouzdane autentifikacije.

32. Odredbom članka 42. ZOPP-a propisano je

(1) Ako korisnik platnih usluga osporava da je autorizirao izvršenu platnu transakciju ili tvrdi da platna transakcija nije izvršena ili da nije uredno ili na vrijeme izvršena, njegov pružatelj platnih usluga dužan je dokazati da je platna transakcija bila autentificirana, da je platna transakcija bila pravilno evidentirana i proknjižena te da na izvršenje platne transakcije nije utjecao tehnički kvar ili neki drugi nedostatak usluge koju je on pružio.

(2) Ako korisnik platnih usluga osporava da je autorizirao izvršenu platnu transakciju, sama činjenica da je pružatelj platnih usluga evidentirao korištenje platnog instrumenta nije nužno dokaz da je platitelj autorizirao tu platnu transakciju. (3) Ako korisnik platnih usluga osporava da je autorizirao izvršenu platnu transakciju, a pružatelj platnih usluga sumnja da je korisnik platnih usluga postupao prijevarno ili da namjerno ili zbog krajnje nepažnje nije ispunio jednu ili više svojih obveza iz članka 39. ovoga Zakona, pružatelj platnih usluga dužan je dokazati prijevarno postupanje odnosno takvu namjeru ili krajnju nepažnju korisnika platnih usluga.

33. Iz nalaza i mišljenje vještaka Špoljarića proizlazi da osim tvrdnje tuženika da je svaka pojedina sporna transakcija uredno autorizirana uz punu primjenu pouzdane autentifikacije, tuženik nije predočio niti jedan valjani dokaz, a što je njegova obaveza sukladno odredbi članka 42. ZOPP-a.

34. Sud je pozvao tuženika da sudskom vještaku dostaviti svu od vještaka traženu dokumentaciju, a sud nije imao razloga sumnjati u dio njegovog nalaza da tuženik nije dostavio log zapise koji su povezani sa računom i aktivnostima tužitelja vezani za RTS (rizici neuobičajeni obrasci, indikatori povećanog rizika itd), a da su dostavljeni da se moglo se utvrditi kako je konkretni sustav praćenja rizika funkcionirao, je li identificirao opisane anomalije te zašto unatoč višestrukim indikatorima rizika nije došlo do pravovremene blokade ili dodatne provjere transakcija, a sud ne smatra osnovanim pojašnjenje tuženika da zbog proteka od 2 godine nema više dostupnih podataka, iz razloga a na koje upire sudski vještak a tuženik ne problematizira, što se podaci o korisničkim interakcijama prema pravilima Intesa Sanpaolo grupe u čijem sastavu je tuženik čuvaju 10 godina, a sud je mišljenja da ako su aktivirani mehanizmi iz točke 4.2. ugovora, o korištenju usluge (npr. ponašanje korisnika, tehnički parametri, log zapisi sustava za zaštitu i slično), da bi podaci tužitelja o predmetnim transakcijama mogli i morali biti posebno pohranjeni i čuvani te dostupni na zahtjev radi forenzičke analize tim više što je tužitelj podnio tužbu unutar dvije godine od incidenta i što je incident prijavljen banci i zatim Ministarstvu unutarnjih poslova u najranijoj fazi, točnije 31.listopada 2022., odnosno 02.11.2022.

35. Sud smatra osnovanim navode koje je tužitelj iznosio tijekom postupka a koje potkrepljuje i nalaz i mišljenje sudskog vještaka u smislu da su u predmetnim transakcijama bili prisutni brojni indikatori povećanog rizika, koji su prema PSD2/RTS trebali biti predmet analize i to novi uređaj (instalacija aplikacije na novi mobilni uređaj predstavlja objektivni indikator povećanog rizika, osobito ako prethodno nije bio registriran taj uređaj, da dolazi do promjene u uobičajenog obrasca pristupa bankovnoj aplikaciji i njenom korištenju, da višestruke transakcije u kratkom razdoblju odnosno izvršenje trinaest transakcija u kratkom vremenskom razdoblju predstavlja odstupanje od uobičajenog ponašanja klijenta, a regulativa o tehničkim standardima RTS izričito navodi da sustav praćenja mora analizirati neuobičajene obrasce potrošnje tj. uplata, neuobičajeno ponašanje korisnika kao što je plaćanje u kasnim večernjim ili ranim jutarnjim satima, uplate prema inozemnim primateljima i to onima prema kojima tužitelj nikada ranije nije provodio uplate, odnosno ukoliko su u konkretnom slučaju postojali naprijed navedeni indikatori povećanog rizika da li je onda sustav praćenja rizika bio adekvatno konfiguriran/implementiran, je li izvršena odgovarajuća procjena rizika, je li primijenjena dodatna autentifikacija prije odobravanja transfera (npr biometrija ili telefonski poziv banke prema klijentu), te je je li sustav pravodobno reagirao na očite anomalije.

36. Sud je stajališta da tuženik obaveze preuzete odredbom točke 4.2 njegovih Općih uvjeta nije na odgovarajući način primijenio, da jeste po mišljenju suda tužitelj je na vrijeme, već prilikom pokušaja prve sporne transakcije mogao reagirati istu cijeniti kao spornu te spriječiti njenu realizaciju, a ne samo što to nije učinio već je dopustio da se po identičnom obrascu realizira još dvanaest transakcija, da sustav tužitelja to nije na vrijeme prepoznao i spriječio već da je upravo korisnik u ovome postupku tužitelj o tim transakcijama morao tužitelja izvijestiti. Da je tužitelj mogao prepoznati opisane radnje napadača, neovisno o radnjama tuženika opisane u točci 28.. do 28.8., ukazuje upravo ispis kojeg je tuženik dostavio tijekom postupka, a na koju upire i sudski vještak, u kojem je vidljiva konstatacija da je promijenjen mobilni uređaj a da informatički sustav tuženika ima evidentiranu i vidljivu promjenu uređaja s metapodacima uređaja, uz konstataciju da je „korisnik 2009959305026 hakiran“(točka 17 obrazloženja.) 37. Sud zaključuje temeljem provedenih dokaza da tuženik čija je to obaveza bila sukladno odredbi članka 42 ZOPP-a, nije dokazao

-da je autentifikacija platne transakcije (13 transakcija) bila provedena,

-da je transakcija (13 transakcija) bila pravilno zabilježena i proknjižena

-da na izvršenje transakcije (13 transakcija) nije utjecao tehnički kvar ili nedostatak.

38. Slijedom prethodnih utvrđenja, obaveza se banke-tuženika u ovome postupku temelji na odredbi 43. ZOPP-a koji propisuje:

„(1) U slučaju izvršenja neautorizirane platne transakcije, platiteljev pružatelj platnih usluga dužan je vratiti platitelju iznos te neautorizirane platne transakcije, i to odmah, a najkasnije do kraja prvoga radnog dana nakon dana primitka obavijesti iz članka 41. ovoga Zakona ili saznanja za neautoriziranu platnu transakciju na neki drugi način.

(2) Ako je za iznos neautorizirane platne transakcije terećen račun za plaćanje platitelja, platiteljev pružatelj platnih usluga dužan je u roku iz stavka 1. ovoga članka dovesti taj račun u stanje koje bi odgovaralo stanju tog računa da neautorizirana platna transakcija nije bila izvršena, pri čemu datum valute odobrenja računa za plaćanje platitelja ne smije biti kasniji od datuma na koji je taj račun terećen za iznos neautorizirane platne transakcije.

(3) Platiteljev pružatelj platnih usluga nije dužan postupiti po odredbama stavaka 1. i 2. ovoga članka ako ima opravdan razlog za sumnju u prijevaru i ako je o navedenom razlogu obavijestio Hrvatsku narodnu banku u pisanom obliku.“ 39. Odgovornost tuženika u konkretnom slučaju proizlazi i temelji se i na odredbi članka 1062. stavak 1. ZOO-a i to:

(1) Pravna osoba odgovara za štetu koju njezino tijelo prouzroči trećoj osobi u obavljanju ili u vezi s obavljanjem svojih funkcija“, a sukladno prethodnim utvrđenjima suda tuženik se prilikom izvršavanja spornih 13 transakcija u svom postupanju i redovnom poslovanju nije pridržavao važećih zakonskih odredaba ZOPP-a, Općih uvjeta poslovanja PBZ d.d. po transakcijskim računima i obavljanju platnih i ostalih usluga za nepotrošače i Općih uvjeta korištenja PBZ digitalnog bankarstva za poslovne subjekte niti obaveze iz članka 10. ZOO-a.

40. Odredbom članka 1045. ZOO-a, propisano je

(1) Tko drugome prouzroči štetu, dužan je naknaditi je ako ne dokaže da je šteta nastala bez njegove krivnje.

41. Sud nalazi kako su i kumulativno ispunjene sve pretpostavke odgovornosti za štetu kako slijedi:

-subjekti – štetnik i oštećenik na način da je tužitelj oštećen najmanje za iznos iz točke I izreke a da je tuženik štetnik jer nije poduzeo radnje koje je bio dužan poduzeti,

-štetna radnja-tuženikovo nepoduzimanje radnji koje su dovele do oštećenja tužitelja, a koje bi ga zaštitile od prijevare (dvostruka autentifikacija, dubinska analiza, ne postupanje sukladno primjenjivim propisima, pravilima bankarske struke i odredbama Okvirnog ugovora,

-šteta-tužitelj je pretrpio najmanje štetu iz točke I. izreke a koji novčani iznos je otuđen sa njegovog računa,

-uzročna veza-između štetne radnje (kao uzroka) i štete (kao posljedice) postoji uzročna veza jer se šteta javlja baš kao posljedica štetne radnje, da je tuženik poduzeo radnje koje je bio dužan poduzeti, do štete na strani tužitelja ne bi došlo, jer bi transakcije bile zaustavljene, a novac bi ostao na računu tužitelja,

-subjektivni element protupravnosti-tužitelj je bio dužan poduzeti mjere kojima bi zaštitio tuženika, a koje su naprijed opisana no on ih nije poduzeo niti je primijenio minimum dužne pažnje, a što je dovelo do štete na strani tužitelja.

42. U konačnici činjenica da je iniciran kazneni postupak u odnosu na osobe na čije su račune isplaćeni novčani iznosi iz točke 2. obrazloženja, kao i činjenica da je jedan od njih pravomoćno osuđen nije okolnost koja bi na bilo koji način utjecala na odgovornost tuženika, tim prije što nije ničim dokazano da se ovdje tužitelj u bilo kojem iznosu namirio u odnosu na te osobe.

43. Kako je sud temeljem provedenog dokaznog postupka našao tužbeni zahtjev osnovanim, a time prigovor promašene pasivne legitimacije tuženika neosnovanim, to je odlučio kao u izreci ove presude a odluku o zateznim kamatama donio je temeljem odredbe članka 29. stavka 1 i 2 ZOO-a.

44. Odluku o naknadi parničnih troškova sud je donio primjenom odredbi ZPP- a i to članka 151., članka 154. stavka 1., članka 155. i članka 164. stavka 1. i stavka 4., a visina istih odmjerena je prema odredbama Tarife o nagradama i naknadi troškova za rad odvjetnika ("Narodne novine", broj 138/23, u daljnjem tekstu OT), i Uredbe o tarifi sudskih pristojbi ("Narodne novine", broj 37/23).

45. Sud je tužitelju priznao trošak parničnog postupka u ukupnom iznosu od

31.645,32 EUR i to na ime

-sastav tužbe (Tbr. 7 toč. 1)

1.858,00 EUR

-podnesak 23.12.2024 (Tbr. 8. t. 1)

1.858,00 EUR

-ročište 14.01.2025. (Tbr. 9 toč. 5)

1.858,00 EUR

-ročište 18.02.2025. (Tbr. 9 toč. 1)

1.858,00 EUR

-podnesak 15.04.2025. (Tbr. 8. t. 1)

1.858,00 EUR

-podnesak 18.06.2025. (Tbr. 8. t. 1)

1.858,00 EUR

-ročište 04.07.2025. (Tbr. 9 toč. 1)

1.858,00 EUR

-podnesak 08. 01. 2026. (Tbr. 8. t. 1)

1.858,00 EUR

.podnesak 27.02.2024. (Tbr. 8. t. 1)

1.858,00 EUR

-ročište 20.03.2026.(Tbr. 9 toč. 1)

1.858,00 EUR

-podnesak 05.05.2026. (Tbr. 8. t. 1)

1.858,00 EUR

-ročište 28.05.2026. (Tbr. 9 toč. 1)

1.858,00 EUR

-objava 09.07.2026. (Tbr. 9 toč. 3)

100,00 EUR

22.396,00 EUR

PDV 25 %

5.599,00 EUR

-trošak financijskog vještačenja

500,00 EUR

-trošak digitalno-forenzičkog vještačenja

2.155,10 EUR

-trošak pristojbe na tužbu

331,61 EUR

-trošak pristojbe na presudu

663,61 EUR

sveukupno 31.645,32 EUR

U Osijeku 9. srpnja 2026.

SUDAC

Željko Jakšić

POUKA O PRAVNOM LIJEKU: Protiv ove presude nezadovoljna stranka može uložiti žalbu Visokom trgovačkom sudu RH u Zagrebu u roku od 15 dana putem ovog suda.