Oceń wpis  oddane głosy: 1 / 1

My tu gadu-gadu o bzdurach, a tymczasem niedawno weszła w życie ustawa o usługach płatniczych, która sporo pozmieniała m.in. w kwestii bezpieczeństwa kart płatniczych.
(Acz nie tylko -- po prostu chciałbym zacząć właśnie od kart, aczkolwiek raczej sygnalizacyjnie -- na pewno jeszcze nie raz do zagadnienia będę tu wracał.)

Będzie w punktach, bo tak wygodniej:

• podstawowa sprawa: dostawcy (czyli instytucje działające w sferze usług płatniczych) mają obowiązek zawierania z klientami umów ramowych o świadczenie usług płatniczych (wyjąwszy operacje jednorazowe) - oraz świadczenia tych usług w sposób określony umową. Umowa ramowa powinna określać w szczególności nazwę dostawcy, organ nadzoru, opis cech usług, określanie sposobów autoryzacji operacji płatniczych, sposobów komunikowania się klienta i banku, sposoby zabezpieczenia instrumentów płatniczych, warunki blokowania kart przez banki. Ważne: zmiany umowy ramowej nie mogą wejść w życie wcześniej, niż 2 miesiące po dacie poinformowania klienta o zmianach (to się zdziwią w MultiBanku i mBanku! -- art. 29 ust. 1);
• zmieniają się zasady autoryzacji transakcji płatniczych (wszystkich, a więc dokonaną nie tylko kartą płatniczą). Dotąd było prosto: posiadacza karty właściwie nie powinny obciążać transakcje, o ile nie doszło do fizycznego przedstawienia i elektronicznej identyfikacji posiadacza (co wypadało rozumieć jako obowiązek podania numeru PIN -- a co z PayPassem? a co z transakcjami w naszych kochanych urbanmatach? albo na autostradach? tyle, że wiedziałem, dlaczego w Polsce nigdy nie powstanie coś takiego jak PayPal).
  Od wejścia w życie ustawy o usługach płatniczych jest inaczej: sposób autoryzacji transakcji określać ma wyłącznie umowa, zaś zgoda może dotyczyć także kolejnych (przyszłych) transakcji -- a w pewnych sytuacjach może być udzielona także po jej dokonaniu (art. 40 ustawy). Dla klienta przede wszystkim oznacza to, że PayU mogło zmienić zasady funkcjonowania -- i stać się właśnie polskim PayPalem;
• w związku z tym niepotrzebna stała się -- budząca liczne, acz nieuzasadnione kontrowersje -- dotychczasowa konstrukcja operacji na odległość bez fizycznego przedstawienia karty (art. 28 ust. 6 EIP). Skoro ustawa daje dowolność określania sposobów potwierdzania dokonania operacji przez użytkowników -- równocześnie ciężarem dowodu obarczając dostawcę (o czym więcej poniżej) -- to nie ma potrzeby budowania aż tak szczegółowych konstrukcji prawnych;
•  nie oznacza to jednak, że odtąd użytkownik ryzykuje swoimi pieniędzmi jakkolwiek bardziej niż dotąd: art. 45 ust. 1 ustawy stanowi, że jeśli użytkownik zakwestionuje prawidłowość wykonania lub autoryzacji transakcji płatniczej, to ciężar dowodu spoczywać będzie na dostawcy usług płatniczych (np. na banku). Mało tego: dowód ten nie może się ograniczać do wykazania, że użyto instrumentu płatniczego wydanego użytkownikowi (a więc bank nie będzie mógł powiedzieć "mamy zarejestrowane, że to była pańska karta bankomatowa") -- teraz bank musi udowodnić, że za transakcją stoi użytkownik instrumentu płatniczego wykazując innego rodzaju okoliczności, albo udowodnić, że płatnik umyślnie doprowadził do nieautoryzowanej operacji (a więc dopuścił się klasycznego fraudu), albo też celowo lub wskutek rażącego niedbalstwa naruszył obowiązek prawidłowego zabezpieczenia karty i nieudostępniania jej osobie nieuprawnionej (art. 45 ust. 2 w zw. z art. 42 ustawy o usługach płatniczych);
• znacząco wydłuża się termin do zgłaszania reklamacji dotyczących nieautoryzowanych lub nieprawidłowych transakcjach (znów: wszystkich, nie tylko karcianych): dotąd posiadacz karty płatniczej miał obowiązek zgłosić zakwestionowane operacje w ciągu 14 dni od daty otrzymania zestawienia -- teraz mamy na to aż 13 miesięcy od obciążenia rachunku lub dnia wykonania feralnych transakcji (art. 44 ustawy);
• bagatela: w przypadku dopuszczenia do wykonania nieautoryzowanej operacji dostawca ma obowiązek bezzwłocznie zwrócić pieniądze na rachunek (art. 46 ust. 1 ustawy);
• ważne: w przypadku utraty (kradzieży, zgubienia) instrumentu płatniczego bądź niezachowania podstawowych zasad bezpieczeństwa przechowywania nie zmienia się kwota, do której odpowiada posiadacz karty (150 euro) -- wyjąwszy sytuacje, kiedy płatnik doprowadził do takiej transakcji umyślnie (a więc chce oszukać) albo co najmniej przez rażące niedbalstwo nie zabezpieczył instrumentu płatniczego. Oczywiście odpowiedzialność wyłącza zastrzeżenie karty lub innego instrumentu płatniczego -- od tego momentu pełne ryzyko obarcza bank -- chyba że posiadacz plastiku celowo doprowadził do nieautoryzowanej transakcji (ale tu uwaga: reguły te mogą nie mieć zastosowania do pieniądza elektronicznego, czyli tzw. kart przedpłaconych -- art. 46 ust. 6 ustawy o usługach płatniczych);
•  kolejną ciekawostką jest -- odnosząca się do transakcji inicjowanych przez jej odbiorcę (chodzi tu przede wszystkim o polecenie zapłaty, ale i na przykład o obciążenie karty płatniczej na żądanie usługodawcy) -- możliwość żądania zwrotu kwoty obciążenia, pod warunkiem jednak, że kwota ta nie była znana w przypadku autoryzacji i była ona wyższa, niż płatnik mógł się spodziewać, z pominięciem jednak wahnięć kursów walutowych (jak ulał pasuje np. do zawyżonego rachunku za telefon). Płatnik ma na zgłoszenie takiego żądania 8 tygodni od wykonania operacji, przy czym dostawca zwraca mu pełną kwotę w ciągu 10 dni, chyba że ma dobre przyczyny po temu, by odmówić (art. 47-48 ustawy);
• ważne: proponowane zmiany tak naprawdę mogą nas dotyczyć dopiero od października 2012 roku (ale mogą wcześniej), a to dlatego, że zgodnie z art. 168 ustawy o usługach płatniczych dostawcy prowadzący działalność w dniu wejścia jej w życie mają obowiązek dostosować się do jej postanowień "w terminie nie dłuższym niż 12 miesięcy" (chodzi o art. 16-59 ustawy). Ustawodawca nie ma jednak tu na myśli umów zawartych z klientami przed dniem wejścia w życie przepisów ustawy -- art. 168 dotyczy generalnej konstrukcji dokumentów bankowych, a więc nawet składając wniosek o kartę płatniczą jutro, wcale nie musimy dostać umowy odpowiadającej przywołanym przeze mnie przepisom;
• równocześnie w znacznym zakresie uchylone zostały przepisy ustawy o elektronicznych instrumentach płatniczych (właściwie wszystko co dotąd pisałem o EIP się pozmieniało...) -- właściwie dotyczy ona już prawie tylko elektronicznego pieniądza (czyli tzw. kart pre-paid) oraz bardzo podstawowych spraw dotyczących kart płatniczych oraz akceptantów.

Tyle w pierwszym tekście poświęconym ustawie, która weszła w życie blisko siedem tygodni temu.

A już wkrótce -- bo to też interesujące -- o tym, że ustawodawca wreszcie zainteresował się kwestiami (wzajemnej) odpowiedzialności instytucji finansowych za fraudy (art. 143-149 ustawy, ze szczególnym uwzględnieniem art. 144-146).

 Oceń wpis  oddane głosy: 2 / 0

Po dłuższej przerwie zaczynamy z wysokiego "C": Studenckie Koło Naukowe Prawa Nowych Technologii przy UMK w Toruniu poprosiło mnie o rozpropagowanie wśród P.T. Czytelników tego nieszczęsnego blogaska informacji o konferencji "Ataki sieciowe -- IT, Law, Electronic Evidence", która odbędzie się 5 grudnia 2011 r. w aud. "F" Wydziału Prawa i Administracji UMK.

Jak dowiaduję się z listela nadesłanego przez organizatorów:

Konferencja ma wymiar ogólnopolski i docelowo skierowana jest do osób, które zawodowo zajmują się problematyką cyberprzestępczości i cyberbezpieczeństwa.
Konferencja jest interesująca także ze względu na nowatorskie ujęcie tematu jakim jest połączenie wiedzy informatycznej o istniejących zagrożeniach oraz trendach cyberbezpieczeństwa, wiedzy prawnej o aspektach cyberprzestępczości i podejmowanych rozwiązaniach legislacyjnych oraz wiedzy z zakresu informatyki śledczej o problemach natury dowodowej i ich rozwojowi.
Patronat merytoryczny nad konferencją objął Prof. dr hab. Andrzej Adamski. Planowany jest patronat honorowy Ministra Sprawiedliwości. Patronat honorowy nad Konferencją objął Dziekan Wydziału Prawa i Administracji.

Więcej informacji można znaleźć właśnie na stronie konferencji (AtakiSieciowe.UMK.pl), a zwłaszcza program konferencji, listę prelegentów oraz informacje na temat rejestracji uczestników.
Aha, warto chyba dodać, że organizatorów wspiera Stowarzyszenie Instytut Informatyki Śledczej.

Wydaje mi się, że każdy zainteresowany tematyką bezpieczeństwa w sieci -- niekoniecznie prawnik, ale przecież i admini-sieciowcy, którzy toczą swoje nieustające boje -- powinien wpisać sobie tę datę do kalendarza i wybrać się do Torunia na imprezę.

 Oceń wpis  oddane głosy: 0 / 1

Kawałek internetu został dziś zaspamowany tekstem pt. "Do SO wpłynął pozew przeciwko Grupie Allegro" -- chodzi rzecz jasna o SOKiK oraz o usługę Płacę z Allegro, która (nadal nie rozumiem dlaczego) tak bardzo rozpala część Sprzedających.

W skrócie: chodzi o to, że od jakiegoś czasu obligatoryjnym warunkiem wystawienia przedmiotu w Allegro jest udzielenie kupującemu możliwości zapłacenia ceny z zastosowaniem usługi pozwalającej na zapłatę kartą płatniczą lub szybkim przelewem (np. MultiTransfer). Owszem, są nieliczne wyjątki -- nieliczne transakcje można dopiąć wyłącznie poprzez zwykły przelew lub manualne przekazanie gotówki (prawdę mówiąc nie wiem z kim trzeba pogadać, żeby mieć aukcję bez ikonki PzA) -- aczkolwiek jak wiadomo wyjątki służą wyłącznie potwierdzeniu ogólnej reguły.
Wygodna i przyjazna kupującemu (choćby dlatego, że zapłata poprzez Płacę z Allegro jest warunkiem skorzystania z ochrony jaką daje Program Ochrony Kupujących) usługa nie spodobała się niektórym sprzedającym. Ich zdaniem w ten sposób Grupa Allegro "żywi" się przez dodatkowe kilka dni pieniędzmi, które kupujący już wpłacił, a sprzedający jeszcze nie otrzymał. Co więcej wprawdzie dziś usługa jest bezpłatna (tj. żadna ze stron umowy sprzedaży nie ponosi kosztów prowizji -- de facto oznacza to, że jest to jedyny chyba sposób na bezprowizyjną obsługę kart płatniczych), jednak istnieje ryzyko, że stosowna 2-3% prowizja pojawi się na wyciągach.

Co więcej -- i to ma być chyba clou pozwu (który ma mieć sygnaturę XVII AmC 4993/11) -- Allegro nie daje sprzedającym możliwości wyboru: każda aukcja musi być wyposażona w opcję Płacę z Allegro i tylko od woli klienta będzie zależało czy zdecyduje się z niej skorzystać, czy też zapłaci "po staremu".

Pisałem o tym już przeszło rok temu i dziś to powtórzę: pretensje są nieuzasadnione i bezpodstawne, wierzę przeto (i mam nadzieję), że sprawa spełznie na niczym:

• problem podstawowy (aczkolwiek właściwie zamykający temat): ochrona przed stosowaniem przez przedsiębiorców klauzul niedozwolonych przysługuje wyłącznie konsumentom, tj. osobie fizycznej która dokonuje czynności prawnej niezwiązanej bezpośrednio z jej działalnością gospodarczą lub zawodową (art. 22(1) kodeksu cywilnego). I tu małe zaskoczenie: owa "działalność gospodarcza" nie musi oznaczać od razu statusu przedsiębiorcy, bowiem przyjmuje się, że wystarczy zamiar osiągnięcia celu zarobkowego (tak Sławomir Koroluk, "Nowa definicja konsumenta w kc", Radca prawny 2003/3/26) -- a więc skoro sprzedający na Allegro zamierza osiągnąć jakiś zysk, w relacjach z administratorem serwisu aukcyjnego nie ma statusu konsumenta.
  I tu właściwie mamy koniec tematu: skoro każdy sprzedający za pośrednictwem Allegro.pl bo ma na celu osiągnięcie zysku, to nie może nazywać się konsumentem -- czyli droga do SOKiK w zasadzie jest przed nim zamknięta;
• po drugie (bo nie wszyscy pamiętają, że nie wystarczy literalne szczególarstwo): nie ma klauzuli abuzywnej, jeśli nie da się wykazać sprzeczności ukształtowania praw i obowiązków konsumenta w sposób sprzeczny z dobrymi obyczajami oraz rażąco naruszający jego interesy.
  Tymczasem nieszczęsne Płacę z Allegro w żaden sposób nie narusza interesów sprzedającego: usługa jest wprawdzie co do zasady obligatoryjna, ale mimo tego nadal jest za darmo, zaś wypłaty -- sprawdziłem organoleptycznie -- idą na konto sprzedawcy zwykle jedną z pierwszych sesji Elixir po wpłacie (odpada przeto zarzut, iżby Grupa Allegro SA -- lub podmiot powiązany nią -- "pasły się" na kasie wpłaconej przez kupujących);
• mało tego (argumentu bezpieczeństwa obrotu nie odpuszczę): tylko w ten sposób nabywający towary zyskuje sensowną ochronę przed nieuczciwymi sprzedawcami (płacący kartą kredytową powinni jeszcze pamiętać o plusach jakie daje im instytucja chargeback!) -- toteż jakbym to ja coś sprzedawał (a przecież czasem starego Pentaksa trzeba się jakoś pozbyć ;-) raczej nie dziwiłbym się nabywcy, że chciałby czuć się nieco pewniej...
• (argumentu, że w ten sposób zmusza się do założenia rachunku w banku -- oraz podania jego danych osobie postronnej -- poważnie nie traktuję. Jak ktoś się boi bankowości, to niech o Allegro nawet nie marzy!);
• i na zakończenie argument przez porównanie: jakby było coś na rzeczy, to klienci brytyjskiego Amazona (Amazon.co.uk) już dawno puściliby go w skarpetkach. Bo tam nie to, że nie da się czegoś nie sprzedać bez "opcji z kartą" -- tam jak nie masz karty płatniczej (opis mówi o "credit card", ale przecież pójdzie i zwykła "debit card"), to po prostu nic nie kupisz...

Reasumując: jeśli faktycznie ktoś porwał się na skierowanie do Sądu Ochrony Konkurencji i Konsumentów pozwu związanego z Płacę z Allegro, to mamy do czynienia z generalnym strzałem kulą w płot. I bardzo dobrze.

 Oceń wpis  oddane głosy: 1 / 0

To też jest dobre -- zwłaszcza, że odnosi się do kwestii "czy ja muszę się martwić, że mi ktoś w komputrze grzebie" -- oraz "czy mnie mają karać, że nie mam hasła na wifi?" Albo: co ja biedny zrobię jak mi się kto zachakieruje i świnkę podłoży?

Oto jak pisze Wired zdarzyło się w Stanach Zjednoczonych, że na 18 lat za kraty ma pójść Barry Ardolf, człowiek, który w akcie sąsiedzkiej zemsty podjął się aktów cyber-terroru i cyber-prowokacji wymierzonej w ogólnie pojętą godność, reputację i bezpieczeństwo swoich sąsiadów właśnie.

I tak Ardolf włamując się do "wyniuchanej" sieci bezprzewodowej stworzył "na rachunek" prześladowanego sąsiada pedofilską stronkę internetową, do której dodał prowokacyjny tekst, że przecież jako doskonały prawnik może zawsze powiedzieć, że jest tylko ofiarą włamania -- i jako doskonałemu prawnikowi oczywiście uda się mu ujść na sucho (co miało oczywiście wytrącić ewentualne -- i prawdziwe -- argumenty obrony). A później -- korzystając ze skrzynki pocztowej swojej ofiary -- posyłał linki do tej strony do jego współpracowników. Wysyłał także inne flirtowne listele, do jego współpracowniczek -- a przecież wiemy czym jest flirt za Oceanem...
(Szczęście, że współpracownicy prześladowanego nie uwierzyli w te bzdury, dzięki czemu udało się ustalić, że dostęp do sieci miało jakieś nieautoryzowane urządzenie.)

Następnie Ardolf spreparował -- korzystając z konta i adresu IP swojej ofiary -- wiadomości z groźbami pod adresem różnych polityków (w tym wiceprezydenta Bidena), co miało sprowadzić na głowę rzekomego sprawcy agentów służb specjalnych (i sprowadziło).

A wszystko po to, by skompromitować, skonfliktować z prawem i narazić na represje organów ścigania -- by zemścić się.

Jednak ten ostatni właśnie wybryk zgubił podstępnego drania. "Wired" mówi (a ja powtarzam, bo się nie znam), że właśnie w otoczeniu tych gróźb udało się wyniuchać dane bandziora-prowokatora (jego nazwisko i dane konta u dostawcy sieci). Po tym FBI uzyskało sądowy nakaz przeszukania domu Ardolfa, gdzie odnaleziono niezbite dowody jego przestępstw, w tym zapisane kopie danych z komputera sąsiadów, podręczniki z cyklu "jak łamać zabezpieczenia sieci bezprzewodowych", odręczne notatki mówiące o agresywnych planach (!), a nawet listy, które ukradł on był ze skrzynki swoim ofiarom.

Sprawa makabrycznie paskudna ale -- co tu kryć -- wariatów nie brak, więc każdy z nas powinien uważać na to, co się dzieje dookoła (parę lat temu miałem posmak takich historii, więc wiem coś o tym). My wprawdzie mamy od niedawna w kodeksie karnym przepisy penalizujące stalking (art. 190a kk), jednak różnica jest tego rodzaju, że stalking jest wówczas, kiedy każdy widzi, że ktoś się na nas uwziął -- a prowokacje tego rodzaju nie są oczywiste na pierwszy rzut oka.
Tym razem dobrze się skończyło -- dobrze, dla ofiar, które uwolniły się od swojego oprawcy i uratowały swą reputację -- potrafię sobie jednak wyobrazić sytuację, w której przeważają oczywiste oczywistości i dla prześladowanych przez Ardolfa nie byłoby szans na wyjaśnienia ni ratunku.

18 lat to sroga kara, jej wysokość wynika zapewne ze specyfiki amerykańskiego wymiaru sprawiedliwości -- u nas za uporczywe nękanie można dostać maksimum 3 lata (lub do 10, jeśli wskutek stalkingu udręczona ofiara targnie się na swoje życie), jednak tu oczywiście doszłyby i inne kwalifikacje (m.in. tenże art. 267 par. 2 kk, a także osobna sprawa za próbę skierowania ostrza sprawiedliwości w niewinną osobę).

 Oceń wpis  oddane głosy: 2 / 1

No i skąd ja mogłem wiedzieć, że Nextbike będzie dla mnie następnym rezerwuarem ciekawostek?

Założenie konta w systemie Wrocławskiego Roweru Miejskiego nie wymaga przejścia całej procedury (tj. dokonania żądanej płatności) -- użytkownik dostaje mejla z informacją o jego loginie i haśle (czy to rozsądnie przesyłać takie potwierdzenia pocztą elektroniczną?!) oraz informację, że dalsza zabawa wymaga pieniędzy.
Partnerem świadczącym dla Nextbike usługi w zakresie rozliczania amatorów rowerów jest WordPay -- piękna nazwa, acz nic mi dotąd nie mówiąca, nazwa.

Traf chce, że Nextbike Polska sp. z o.o. -- a może Nextbike GmbH? -- nie informuje klientów w prawidłowy sposób o podmiocie będącym agentem rozliczeniowym. Robi to nieszczęsny Urbancard (DotPay), robi to nawet Multikino (które korzysta z usług nieszczęsnych Przelewy24 -- zbieram się i zbieram do napisania czegoś na ten temat, ale widzę, że teraz to już muszę) -- tymczasem Nextbike podtyka dane swoich użytkowników innemu przedsiębiorcy -- i nawet nam nie powie dokładnie kto to jest.

Ba, na stronie WorldPay.com w zakładce "Contact Us" nie widzę nawet słowa o adresie, zarządzie, kapitale -- czymkolwiek -- i jakieś sensowne informacje o WorldPay Limited znalazłem dopiero w BusinessWeek.com -- notabene są to inne dane, niż ukazane w UKData.com...

Jest to o tyle ciekawsze, że brytyjski WorldPay Ltd. nie posiada statusu podmiotu prowadzącego działalności agenta rozliczeniowego. Sporządzoną na dzień 1 kwietnia 2011 roku listę dziewiętnastu agentów rozliczeniowych można znaleźć na stronie Narodowego Banku Polskiego -- jest tam BluePay, jest DotPay, jest mPay, jest PayPro, PayU nawet jest i PayTel jest -- ale WorldPay tam nie ma.

Nie mówię, że tak nie można: te usługi (z pewnością) podlegają takim samym regulacjom europejskim jak inne usługi tego rodzaju -- i WorldPay Ltd. podlega (tam u siebie) podobnym przepisom i podobnemu nadzorowi jak nasz NBP i choćby art. 67 EIP (aczkolwiek polskim agentem rozliczeniowym może być tylko spółka akcyjna i to o kapitale nie niższym niż 1 milion euro) -- ale ja się naprawdę zaczynam robić ciekaw jak wygląda umowa zawarta pomiędzy Nextbike Polska sp. z o.o. jako akceptantem a WorldPay Limited jako agentem rozliczeniowym...