PSR je součástí širší reformy platebních služeb. Směrnice PSD3 upraví licencování platebních institucí a dohled nad nimi a členské státy ji budou muset transponovat do svých právních řádů. Nařízení PSR upraví práva a povinnosti stran a bezpečnost transakcí a bude přímo použitelné ve všech členských státech. Finální kompromisní text PSR potvrdila Rada EU v dubnu 2026 a nyní jej čeká formální přijetí Evropským parlamentem a Radou. Přestože jde formálně dosud o schvalovaný text, pro zjednodušení jej dále označujeme jako nařízení. Plné uplatňování se očekává v roce 2028.
Rozsah nové úpravy
Článek 59 zavádí povinnost refundace i u transakcí, které plátce sám autorizoval. Podle odstavce 1 se vztahuje na situace, kdy třetí osoba přiměje plátce k autorizaci platby tím, že se vydává za zástupce či zaměstnance jeho poskytovatele platebních služeb (PSP) a zároveň zneužije identifikační znaky této instituce.
Takové jednání odpovídá spoofingu, při němž útočník podvrhne technické údaje instituce, aby v oběti vyvolal falešnou důvěru. Může jít o telefonní číslo (Caller ID spoofing, kdy se oběti na displeji místo neznámého čísla zobrazí název banky) nebo o e-mailovou adresu (e-mail spoofing). Na rozdíl od neautorizovaných transakcí plátce v těchto případech platbu vědomě schvaluje. V bankovní praxi se proto řadí mezi tzv. APP podvody (Authorised Push Paymentfraud), které patří z hlediska dokazování a přisouzení odpovědnosti k nejobtížnějším.
Postup při refundaci
Poškozený plátce musí bez zbytečného odkladu podat trestní oznámení a informovat svého PSP, že se stal obětí spoofingu. PSP je následně povinen do 15 dnů buď vrátit celou částku, nebo plátci zaslat písemné odůvodnění zamítnutí.
Refundaci může PSP odmítnout pouze tehdy, má-li důvodné podezření na podvod ze strany plátce, nebo jednal-li plátce hrubě nedbale (čl. 59 odst. 2). Důkazní břemeno v obou případech nese PSP, který musí své rozhodnutí podložit konkrétními důkazy.
Výklad hrubé nedbalosti
Nařízení pojem hrubé nedbalosti blíže nevymezuje. Podle analýzy PwC Legal Germany (The PSR and PSD3 move forward, duben 2026) lze očekávat následující výklad.
Hrubou nedbalostí zpravidla není samotné uvěření manipulativnímu scénáři útočníka. Použije-li útočník sofistikované technické prostředky, například Caller ID spoofing, při kterém telefon oběti zobrazuje oficiální číslo banky, běžný spotřebitel nemůže podvrh reálně odhalit. Podlehnutí takto věrohodnému útoku proto zpravidla nebude možné kvalifikovat jako hrubou nedbalost.
Hrubou nedbalostí naopak může být naprostý nedostatek základní péče a ignorování zjevných varovných signálů. Typickým příkladem je přehlédnutí výslovného, personalizovaného varování, které PSP zobrazí v aplikaci přímo při schvalování konkrétní transakce (např. „Pozor, toto schválení umožní převod na cizí účet, banka po telefonu nikdy nežádá autorizační kódy“).
Preventivní povinnosti PSP
Vedle povinnosti refundace ukládá PSR poskytovatelům platebních služeb také přísné preventivní povinnosti.
Před autorizací platby musí PSP ověřit shodu příjemce (Verification of Payee, VoP) a bezplatně plátci sdělit, zda jméno příjemce odpovídá číslu účtu (IBAN). V případě neshody je povinen plátce na tuto skutečnost výslovně a srozumitelně upozornit. U eurových převodů tuto povinnost již zavedlo nařízení o okamžitých platbách, PSR ji rozšiřuje na všechny úhrady. Podle přechodných ustanovení se bude uplatňovat 27 měsíců po vstupu nařízení v platnost, tedy o šest měsíců později než ostatní pravidla PSR.
PSP se dále musí zapojit do specializovaných systémů pro sdílení informací o podvodných účtech (tzv. mule accounts) a o nově se objevujících podvodných schématech. Současně jsou povinni prokazatelně informovat své klienty o podvodných metodách, rizicích sociálního inženýrství a možnostech, jak se jim bránit.
Shrnutí
Do doby, než se PSR začne uplatňovat, se postup řídí stávající právní úpravou, podle níž u autorizovaných plateb nese riziko zpravidla plátce. Nová pravidla odpovědnost za spoofingové podvody výrazně přesouvají z plátců na poskytovatele platebních služeb. Lze proto očekávat, že poškození budou tyto podvody hlásit častěji a PSP budou nuceni posílit kontrolní a varovné mechanismy.
