رای شماره ۶۲۷ مورخ ۱۴‍۰۱/‍۰۹/‍۰۹ هیأت تخصصی مالیاتی ، بانکی دیوان عدالت اداری(مـوضـوع شـکـایت و خـواستـه : ابطال بخشنامه های ۱- شماره ۱۸۶۷۱۷/۹۷ مورخ ۱۳۹۷/‍۰۶/‍۰۱ ۲- شماره ۵۱۶۹۱/۹۸ مورخ ۱۳۹۸/‍۰۲/۲۱ ۳- شماره ۱۶۳۵۷۵/۹۸ مورخ ۱۳۹۸/‍۰۵/۱۴ بانک مرکزی از زمان ابلاغ ۴- بخشنامه شماره ۱۴‍۰/۱۳۹۸/۲۱۱۱۸/۹‍۰‍۰‍۰ دادستان کل کشور در خصوصی استفاده از رمزهای پویا در تراکنش های غیرحضوری)

شماره پــرونـــده :  هـ ع/ ۹۹۰۲۸۶۲    
شماره دادنامه: ۱۴۰۱۰۹۹۷۰۹۰۶۰۰۰۶۲۷      
تاریخ:   ۰۹/۰۹/۱۴۰۱*
شـاکــی :  آقای محمد صادق سعادت*
طرف شکایت :  بانک مرکزی جمهوری اسلامی ایران- معاونت حقوقی قوه قضاییه – دادستانی کل کشور*
مـوضـوع شـکـایت و خـواستـه :  ابطال بخشنامه های ۱- شماره ۱۸۶۷۱۷/۹۷ مورخ ۱۳۹۷/۶/۱ ۲- شماره ۵۱۶۹۱/۹۸ مورخ ۱۳۹۸/۲/۲۱ ۳- شماره ۱۶۳۵۷۵/۹۸ مورخ ۱۳۹۸/۵/۱۴ بانک مرکزی از زمان ابلاغ ۴- بخشنامه شماره ۱۴۰/۱۳۹۸/۲۱۱۱۸/۹۰۰۰ دادستان کل کشور در خصوصی استفاده از رمزهای پویا در تراکنش های غیرحضوری*
شاکی دادخواستی به طرفیت بانک مرکزی جمهوری اسلامی ایران- معاونت حقوقی قوه قضاییه – دادستانی کل کشور  به خواسته فوق الذکر به دیوان عدالت اداری تقدیم کرده که به هیات عمومی ارجاع شده است.
 

۱-  بخشنامه شماره ۱۸۶۷۱۷/۹۷ مورخ ۱۳۹۷/۶/۱با افزایش بهره گیری مشتریان بانکی از خدمات بانکداری و پرداخت الکترونیکی، میزان جرایم مرتبط با سوءاستفاده از اطلاعات محرمانه مشتریان علی الخصوص رمزهای کارت‌های بانکی نیز افزایش یافته است و این امر نشان می‌دهد که راهکارهای پیشین تولید و استفاده از اطلا عا ت محرمانه، توان مقابله با حملات گسترده امروزی را ندارند. لذا به منظور صیانت از حقوق مشتریان بانکی و کاهش مخاطرات مرتبط با رمزهای کارت‌های بانکی-بخصوص رمز دوم کارت‌ های بانکی که در تراکنش‌های بدون حضور کارت به کار گرفته می‌شوند-شرایط و ضوابط مرتبط با پویاسازی رمزهای کارت در قالب سندی با عنوان «الزامات رمزهای پویا در تراکنش‌های مبتنی بر کارت » تبیین شده است. به این ترتیب با اجرایی شدن این الزامات، مخاطرات مرتبط با رمزهای ایستای کارت‌های بانکی تا حد زیادی کاهش پیدا خواهد کرد و تلاش مجرمان و سوء استفاده کنندگان در سرقت و به کاربردن رمزهای ایستای کارت‌های بانکی با شکست مواجه خواهد شد.سند «الزامات رمزهای پویا در تراکنش‌های مبتنی بر کارت» به شناسه ۱۴-۳۰۰ BIS RG  با همکاری «کاشف»  تهیه شده و هدف از آن ارایه الزاماتی به منظور حصول اطمینان مؤسسات اعتباری صادر کننده کارت‌های بانکی، از کاهش مخاطرات و ایستا بودن رمزهای کارت‌های بانکی است. 
الزامات ارایه شده شامل: مشخصات رمزهای پویا، نحوه ثبت‌نام برای استفاده از رمزهای پویا، نکات مهم در تولید رمز پویا، انتقال اطلاعات حساس، ابزارهای ارایه رمزهای پویا و وظایف مؤسسات اعتباری به عنوان ارایه دهنده خدمات رمزهای پویا است. مقتضی است دستور فرمایید ضمن ابلاغ مراتب به واحدهای ذی‌ربط با قید فوریت، تمهیدات لازم برای اجرای «الزامات رمزهای پویا در تراکنش‌های مبتنی بر کارت» در آن بانک/مؤسسه اعتباری مطابق با برنامه زمان‌بندی ذیل، فراهم شده و علاوه بر نظارت دقیق بر حسن اجرای آن، نتیجه اقدامات صورت گرفته به این بانک  منعکس گردد.فازتاریخاقداماتاول۱۳۹۷/۶/۱ابلاغ سنددوم۱۳۹۷/۹/۱انتقال مسیولیت جبران خسارت مال باختگان به موسسه اعتباریارایه همزمان خدمت رمز دوم پویا و رمز ایستا به مشتریانسوم۱۳۹۸/۳/۱حذف ارایه رمز دوم ایستا برای تمامی تراکنش هاتوجه: مطابق مواد ۵۵ و ۵۷ از«الزامات رمزهای پویا در تراکنش‌های مبتنی بر کارت» ضروری است بانک‌ها و مؤسسات اعتباری پیش از عملیاتی نمودن خدمت رمزهای پویا، اسناد مرتبط با ارزیابی امنیتی و پذیرش با مخاطرات باقی مانده در محدوده خدمت مورد اشاره را برای اداره نظام‌های پرداخت این بانک ارسال نمایند .
۲- بخشنامه شماره ۵۱۶۹۱/۹۸ مورخ ۱۳۹۸/۲/۲۱پیرو بخشنامه شماره ۱۸۶۷۱۷/۹۷ مورخ ۱/۶/۹۷ این بانک در خصوص جایگزینی رمزهای پویا به جای رمزهای ایستا در پرداخت‌های بدون حضور کارت و با توجه به لزوم ارتقای سطح امنیت پرداخت‌های مردم و جلوگیری از تضییع حقوق سپرده گذاران و با توجه به نظرات دریافتی از کاربران و بانک‌ها در خصوص نحوه انجام کار، موارد زیر جهت توجه دقیق و اجرای مفاد آن ابلاغ می‌گردد:
۱-از ابتدای خردادماه تأمین امنیت مشتریان نظام بانکی در تراکنش‌های بدون حضور کارت برعهده بانک‌ها بوده و هرگونه مسیولیت سوء استفاده از حساب‌های مشتریان به دلیل آسیب پذیری‌های امنیتی در سرویس‌های بانکی مستقیماً عهده بانک بوده و در این موارد تأیید مرجع قضایی برای جبران خسارت مشتریان کفایت می‌کند.
۲- جایگزینی رمزهای دوم پویا به جای رمزهای دوم ایستا به عنوان یکی از برنامه های ارتقای سطح امنیتی نظام بانکی مطرح بوده و با توجه به اینکه امنیت بخش لاینفک هر خدمتی است، نباید هیچ هزینه ای از دارندگان کارت و مشتریان بانکی اخذ شود.
۳- بانک ها می‌توانند با قبول مسیولیت هرگونه سوء استفاده از مسایل امنیتی و جبران خسارت احتمالی وارد شده به مشتریان، برای تراکنش‌های کم مقدار (با سقف کمتر از پنج میلیون ریال در روز برای تمام تراکنش‌ها) و همچنین تراکنش‌هایی که ذی‌نفع آن دستگاههای عمومی-نظیر صادرکنندگان قبض-باشند، استفاده از رمزهای ایستا را مجاز تلقی نمایند .
۴-در صورتی که بانک بتواند راه حل مطمین دیگری را، که با تأیید بانک مرکزی متضمن تأیید هویت قوی مشتری پیش از برداشت از حساب مشتری باشد را اجرایی نماید، می‌تواند از این راه کار به عنوان جایگزین رمز پویا استفاده به عمل آورد .  
۵- هرگونه فرآیند تأمین امنیت پرداخت‌های بدون حضور کارت باید با انجام هزینه های منطقی و معقول و مطابق با قیمت تمام‌شده فنی در آن بانک به صورت یک زیرساخت دایمی صورت گرفته و صرفه و صلاح بانک به طور کامل در آن مدنظر قرار گیرد .  
۶-به منظور پشتیبانی حداکثری از مشتریان ضرورت دارد امکانات ارایه رمز محدود به استفاده از برنامه های کاربردی گوشی‌های هوشمند نشده و ارایه آن از طریق سایر ابزارهای نظیر پیامک، پیام رسان های داخلی مجاز و نظایر آن  برای مشتریان بانک‌ها نیز حسب تشخیص بانک فعال گردد .  
۳- بخشنامه شماره ۱۶۳۵۷۵/۹۸ مورخ ۱۳۹۸/۵/۱۴ بانک مرکزیبر اساس بخشنامه های شماره ۱۸۶۷۱۷/۹۷ مورخ ۱۳۹۷/۶/۱ و همچنین بند ۱ از بخشنامه شماره ۵۱۶۹۱/۹۸ مورخ ۱۳۹۸/۲/۲۱ از ابتدای خرداد ماه ۱۳۹۸ هرگونه مسیولیت سوء استفاده از حساب های مشتریان بدلیل آسیب پذیری های امنیتی خدمات بانکی، مستقیماً بر عهده بانک ها و مؤسسات اعتباری ارایه دهنده این خدمات بوده و در این موارد تأیید مرجع قضایی برای جبران خسارت مشتریان کفایت می نماید.بر این اساس و با عنایت به اینکه عدم پویاسازی رمز دوم کارت های بانکی از مصادیق آسیب پذیری امنیتی خدمات غیرحضوری مبتنی بر کارت محسوب می شود، لذا به موجب توافقات حاصل شده با معاونت محترم فضای مجازی دادستانی کشور کشور، مقرر گردید به منظور تسهیل و تسریع پرداخت خسارت مستقیم (معادل مبلغ مورد جرم) ناشی از عدم اجرای بخشنامه های صدرالاشاره به مالباختگان، مراجع قضایی پس از انجام بررسی های لازم دستورات مقتضی در این خصوص را از طریق سامانه تعاملی کاشف به بانک ها و موسسات اعتباری مرتبط ابلاغ نموده و این موسسات نیز مکلفند در حداقل زمان ممکن بدون قید و شرط نسبت به اجرای دستورات ابلاغ شده اقدام نموده و نتایج حاصله را از طریق سامانه مورد اشاره منعکس نمایند.

اداره نظام های پرداخت- داود محمد بیگی- اعظم السادات آقایی پور

بخشنامه شماره ۱۴۰/۱۳۹۸/۲۱۱۱۸/۹۰۰۰ دادستان کل کشوربا توجه به اینکه بموجب بخشنامه شماره ۱۸۶۷۱۷/۹۷ مورخ ۱/۶/۹۷ و بندهای ۱ و ۳ بخشنامه شماره ۵۱۶۹۱/۹۸ مورخ ۲۱/۲/۹۸ و شماره ۱۶۳۵۷۵/۹۸ مورخ ۱۴/۵/۹۸ بانک مرکزی ارایه خدمات غیرحضوری (نظیر تراکنش های بانکی اینترنتی) در بانک ها ضرورتاً مستلزم استفاده از رمزهای پویا بوده و از تاریخ ۱/۳/۹۸ و هرگونه استفاده از رمزهای دوم ایستا در تراکنش های غیرحضوری ممنوع اعلام و ادامه بکارگیری رمز دوم ایستا از مصادیق آسیب پذیری امنیتی خدمات بانکی محسوب شده و بعنوان ضمانت اجرا مقرر داشته است که «هرگونه سوء استفاده از حساب های مشتریان بدلیل آسیب پذیری امنیتی [ناشی از عدم اجرای الزامات رمزهای پویا] در سرویس های بانکی مستقیماً به عهده بانک بوده و در این موارد تأیید مرجع قضایی [دادسرا]، برای جبران خسارت مشتریان کفایت می کند.» لذا مقتضی است در پرونده های کلاهبرداری رایانه ای (برداشت غیرمجاز از حساب های بانکی) که پس از الزامی شدن استفاده از رمزهای پویا تشکیل شده است بررسی های لازم انجام شود و در صورت احراز انجام تراکنش مجرمانه با رمز دوم ایستا بلحاظ عدم رعایت بخشنامه بانک مرکزی و عدم رفع آسیب پذیری امنیتی، در قالب فرم پیوست دستور پرداخت خسارت بزه دیده صادر، و از طریق سامانه کاشف به بانک متخلف ابلاغ گردد.*
دلایل شاکی برای ابطال مقرره مورد شکایت : مصوبات مورد شکایت برخلاف مفاد قوانین و مقررات و برخلاف شرع انور می باشد و در بخشنامه های یاد شده مورد شکایت، مسیولیت جبران خسارت در تراکنش های بدون حضور کارت را برمبنای توافقات حاصل شده با معاونت محترم فضای مجازی دادستانی کل کشور، بر بانک ها تحمیل نموده است و بخشنامه صرف اعلام مرجع قضایی مبنی بر تحمیل خسارت در مرحله تحقیقات و بدون محکومیت قطعی در مرحله محاکم را مستوجب مسیولیت برای جبران خسارت داشته است.و پیرو بخشنامه های بانک مرکزی دادستان کل کشور، اقدام به صدور بخشنامه شماره ۹۰۰۰۵/۲۱۸۱۸/۱۳۹۸/۱۴۰ مورخ ۱۳۹۸/۶/۳ در خصوص جبران خسارت در پرونده های کلاهبرداری رایانه ای (برداشت غیرمجاز) توسط بانک ها را به دادستان های سراسر کشور ابلاغ نموده است که:
۱- بانک مرکزی برخلاف صلاحیت و خارج از حدود اختیار قانونی خویش در ماده ۲۰ قانون عملیات بانکی بدون ربا و ماده ۳۱ قانون پولی و بانکی و مواد ۱۱ و ۱۲ و ۱۳ و ۱۴ قانون پولی و بانکی کشور و ماده ۱۴ قانون برنامه ششم توسعه کشور، عدم اجرایی نمودن رمز پویا را جرم انگاری و بانک ها را بدون رسیدگی در محکم مکلف به جبرات خسارت نموده است.
۲- دادستانی کل کشور خارج از حدود اختیارات و وظایف خویش و برخلاف مواد ۱۱ و ۱۲ قانون مجازات اسلامی مصوب ۱۳۹۲ و با اضافه نمودن واژه "و دادسرا" به متن بخشنامه ابلاغی بانک مرکزی، دادستان های کل کشور را مکلف به مجازات بانک ها نموده است که این بخشنامه دادستان کل کشور برخلاف مواد ۲۲ و ۲۳ و ۲۴ و ۲۵ و ۲۶ و ۲۷ قانون آیین دادرسی کیفری می باشد (برخلاف حدود صلاحیت دادسراها)
۳- بخشنامه های صادره برخلاف اصول مسلم قانون اساسی از جمله اصول ۲۲ – ۳۶- ۳۷- ۴۰- ۴۹- ۱۳۸- ۱۶۹- ۱۷۰ قانون اساسی بوده و موجب تعرض به اموال بانک و در نتیجه حقوق سهامداران شده اند و برخلاف اصل برایت می باشند.
۴- بخشنامه های مورد شکایت برخلاف قاعده شرعی «من اتلف مال الغیر فهو له ضامن» و «لاضرر و لاضرار فی الاسلام» می باشند.تقاضای رسیدگی و ابطال بخشنامه های مورد شکایت که مقررات یاد شده و نیز ماده ۱ قانون مسیولیت مدنی در صدور آنها رعایت نشده است دارم.*
در پاسخ به شکایت مذکور ، اداره دعاوی حقوقی بانک مرکزی به موجب لایحه شماره ۲۴/۱۳۴۰/۰۰ مورخ ۱۴۰۰/۵/۱۱ به طور خلاصه توضیح داده است که :
الف- کلیه بخشنامه های مورد شکایت به موجب بند ۱۳ شناسه الزامات «رمزهای پویا در تراکنش های مبتنی بر کارت» منضم به بخشنامه شماره ۲۷۳۲۰۵/۹۸ مورخ ۱۳۹۸/۸/۱۳ منسوخ شده ارز و در حال حاضر سند و بخشنامه اخیرالذکر ملاک عمل می باشد لیکن چون در ماده ۵۹ این سند به بخشنامه های مورد اعتراض اشاره شده است پاسخ ماهوی نیز بیان می شود.
ب- بانک مرکزی به موجب بند ۸ ماده ۱۴ از قانون پولی و بانکی کشور می تواند با تعیین مقررات افتتاح حساب جاری و پس انداز و سایر حساب ها در امور پولی و بانکی کشور دخالت و نظارت کند که این امر باشد قبلاً به تصویب شورای پول و اعتبار برسد.
ج- شورای پول و اعتبار در همین راستا، طی نهصد و پنجاه و سومین جلسه مورخ ۱۳۸۰/۲/۲ ضوابط صدور کارت را تصویب نمود و به بانک ها ابلاغ کرد و مسیولیت استفاده از روش های مطمین و رمز را با بانک عامل(صادر کننده کارت) قرار داده است و از سوی دیگر در برابر هر خسارتی که به مشتریان وارد می شود بانک عامل مسیول و متعهد به جبران است وثیقه بانک در صورت تخلف مفروض دانسته شد و اشخاص نیاز به اثبات ندارند.
د- بخشنامه ها برخلاف ادعای شاکی مخالف اصول قانون اساسی نیز نمی باشند و اصولاً پذیرش احتمال خطر و ریسک در یک امر مالی، تعرض محسوب نمی شود و به واسطه جایگاه نظارتی بانک مرکزی و مجوز قانونی در این خصوص و اینکه کلیه قراردادهای بانکی باید در چارچوب های تنظیمی و اعلامی بانک مرکزی تدوین شوند، مراتب در حدود اختیار بوده و تقاضای رد شکایت واصله را دارم.معاونت حقوق قوه قضاییه پاسخی ارسال ننموده است.*
در خصوص ادعای مغایرت مصوبه با شرع ، قایم مقام دبیر شورای نگهبان به موجب نامه شماره ۳۲۶۷۰/۱۰۲ مورخ ۱۴۰۱/۶/۱ اعلام کرده است که :«همانطور که قبلاً طی نامه شماره ۲۴۹۸۶/۱۰۲ مورخ ۱۴۰۰/۲/۶ اعلام شده است، بخشنامه ها و نامه مورد شکایت خلاف شرع شناخته نشد.»پرونده کلاسه هـ ع/۹۹۰۲۸۶۲ در جلسه مورخ ۱۴۰۱/۸/۱۵ هیات تخصصی مالیاتی بانکی دیوان عدالت اداری مورد تبادل واقع و با لحاظ نظریه اعضای حاضر با استعانت از درگاه خداوند متعال به شرح ذیل اقدام به انشاء رای می نماید :  
رای هیات تخصصی مالیاتی ، بانکی دیوان عدالت اداری
بخشنامه های مورد شکایت به شماره ۱۸۶۷۱۷/۹۷ مورخ ۱۳۹۷/۶/۱ و شماره ۵۱۶۹۱/۹۸ مورخ ۱۳۹۸/۲/۲۱ و شماره ۱۶۳۵۷۵/۹۸ مورخ ۱۳۹۸/۵/۱۴ صادره از بانک مرکزی جمهـوری اسلامی ایـران و شماره ۱۴۰/۱۳۹۸/۲۱۱۱۸/۹۰۰۰ دادستـان کـل کشور ، که مفاد آنها در صدد بیـان این موضوع است که از تاریـخ لازم الاجراء شدن مصوبات و بخشنامه های بانک مرکزی در مورد تکالیف بانک های عامل و مؤسسات مالی و اعتباری مبنی بر عدم استفاده از رمز دوم ایستا در تراکنش های بانکی و اینکه صرفاً از رمزهای دوم پویا استفاده شود ، مسیولیت عدم استفاده از رمزهای پویا و اصرار بر استفاده از رمزهای ایستا ، توسط هر بانک در صورت وجود و بروز خسارت و ضرر به مشتریان به عهده بانک مربوطه می باشد ، در حدود قانون و مقررات بوده چرا که
اولاً - بانک مرکزی وظیفه سیاست گذاری و اتخاذ تصمیم در حوزه معاملات پولی و بانکی و تعیین حدود آن را دارد
ثانیاً - در جهت کسب اعتماد بین مشتریان و بانک ها ، ایجاد مرزهای امنیتی و تلاش در جهت جلوگیری از سوء استفاده از حساب ها از وظایف ذاتی بانک مرکزی جهت تبیین و ابلاغ به بانک ها می باشد و موجب اعتماد سازی می شود.
ثالثاً - شورای محترم نگهبان در نظریه شماره ۲۴۸۹۶/۱۰۲ مورخ ۱۴۰۰/۲/۶ مفاد مصوبات مورد شکایت را خلاف شرع اعلام ننموده است ، بنابراین به استناد مـواد ۸۴ ( بند ب و تبصره ۱ آن ) و نیز ماده ۸۷ از قانون تشکیلات و آیین دادرسی دیوان عدالت اداری مصوب ۱۳۹۲ رای به رد شکایت صادر می نماید. رای مزبور ظرف بیست روز پس از صدور قابل اعتراض از ناحیه ریاست معزز دیوان یا ده نفر از قضات گرانقـدر دیـوان عدالت اداری می باشد. 

محمّد علی برومندزاده رییس هیات تخصصی مالیاتی بانکی دیوان عدالت اداری