संक्षेप में
- 6 जुलाई 2017 के RBI परिपत्र के तहत, अगर आप बैंक का अलर्ट मिलने से 3 कार्य-दिवस के भीतर अनधिकृत इलेक्ट्रॉनिक लेन-देन की सूचना देते हैं, या गलती बैंक या किसी तीसरे पक्ष की है, तो आपका दायित्व शून्य है।
- 4 से 7 कार्य-दिवस में सूचना देने पर खाते के प्रकार के अनुसार आपका नुकसान ₹5,000 से ₹25,000 तक सीमित रहता है।
- बैंक को 10 कार्य-दिवस में राशि अस्थायी रूप से खाते में वापस डालनी होगी और 90 दिनों में शिकायत का निपटारा करना होगा।
- “OTP से सत्यापित” होना बैंक का पूरा बचाव नहीं है (हरे राम सिंह बनाम RBI, दिल्ली उच्च न्यायालय)। मना होने पर RBI लोकपाल या उपभोक्ता आयोग जाएँ।
अपडेट (17 अक्टूबर 2026): 1 जनवरी 2027 या उसके बाद के इलेक्ट्रॉनिक बैंकिंग लेन-देन के लिए, RBI (वाणिज्यिक बैंक – उत्तरदायी व्यावसायिक आचरण) तृतीय संशोधन निर्देश, 2026 तीसरे पक्ष के फ्रॉड में शून्य दायित्व के लिए 3 कार्य-दिवस की सीमा को 5 कैलेंडर दिनों से बदलते हैं, और छोटे फ्रॉड के लिए एकमुश्त मुआवज़ा जोड़ते हैं (₹50,000 तक के नुकसान पर शुद्ध नुकसान का 85% या ₹25,000, जो भी कम हो), बशर्ते 5 दिनों के भीतर 1930/cybercrime.gov.in और बैंक, दोनों को सूचना दी जाए। नीचे दिए नियम 31 दिसंबर 2026 तक के लेन-देन पर लागू हैं।
आपका फ़ोन बजता है। अलर्ट आता है: ₹15,000 कट गए। यह लेन-देन आपने नहीं किया। आप बैंक को फ़ोन करते हैं। बीस मिनट इंतज़ार के बाद अधिकारी कहता है: “लेन-देन OTP से सत्यापित था, हम कुछ नहीं कर सकते। पुलिस में शिकायत कर दीजिए।”
भारत में हर दिन हज़ारों लोगों के साथ ऐसा होता है। ज़्यादातर लोग इसे मान लेते हैं। उन्हें ऐसा नहीं करना चाहिए। RBI के बाध्यकारी परिपत्र और उपभोक्ता अदालतों, उच्च न्यायालयों व सर्वोच्च न्यायालय के फ़ैसलों पर आधारित भारतीय कानून हर बैंक ग्राहक को एक स्पष्ट और लागू करने योग्य सुरक्षा देता है: अगर आप तीन कार्य-दिवस में कार्रवाई करें, तो अनधिकृत कार्ड और बैंकिंग लेन-देन पर शून्य दायित्व। (अगर आपका कार्ड नहीं, बल्कि पूरा खाता किसी और के फ्रॉड के सिलसिले में फ़्रीज़ हो गया है, तो वह अलग समस्या है; उसके लिए हमारा अंग्रेज़ी लेख फ़्रीज़ खाता खुलवाने पर देखें।)
ग्राहक दायित्व पर RBI का परिपत्र क्या कहता है?
भारतीय रिज़र्व बैंक ने 6 जुलाई 2017 को एक व्यापक और बाध्यकारी परिपत्र जारी किया (संख्या RBI/2017-18/15 DBR.No.Leg.BC.78/09.07.005/2017-18), जिसका शीर्षक है “ग्राहक संरक्षण: अनधिकृत इलेक्ट्रॉनिक बैंकिंग लेन-देन में ग्राहकों का दायित्व सीमित करना”। यह भारत के हर अनुसूचित वाणिज्यिक बैंक, लघु वित्त बैंक, पेमेंट बैंक और प्रीपेड भुगतान साधन जारीकर्ता पर लागू होता है। परिपत्र दायित्व के तीन स्तर तय करता है:
- शून्य दायित्व: (क) फ्रॉड बैंक की अपनी लापरवाही या किसी तीसरे पक्ष की चूक से हुआ हो और ग्राहक की उसमें कोई भूमिका न हो; या (ख) ग्राहक लेन-देन के बारे में बैंक का संदेश मिलने के 3 कार्य-दिवस के भीतर सूचना दे।
- सीमित दायित्व: ग्राहक 4 से 7 कार्य-दिवस में सूचना दे। आपको अधिकतम कितना वहन करना होगा: बेसिक बचत खाते में ₹5,000; अन्य बचत खातों और प्रीपेड साधनों में ₹10,000; ₹5 लाख से ज़्यादा सीमा वाले क्रेडिट कार्ड में ₹25,000।
- पूरा दायित्व (नुकसान ग्राहक उठाए): केवल तब, जब (क) नुकसान पूरी तरह ग्राहक की अपनी लापरवाही से हुआ हो, जैसे बिना किसी बहकावे के ख़ुद क्रेडेंशियल साझा करना; और (ख) ग्राहक 7 कार्य-दिवस के बाद भी सूचना न दे।
सबसे ज़रूरी बात: 3 कार्य-दिवस बैंक का संदेश मिलने की तारीख़ से गिने जाते हैं, उस दिन से नहीं जब आपको ख़ुद फ्रॉड का पता चला। अगर बैंक ने SMS अलर्ट भेजा है, तो घड़ी वहीं से चलने लगती है। सूचना देने के बाद RBI परिपत्र के अनुसार बैंक को 10 कार्य-दिवस में विवादित राशि अस्थायी रूप से आपके खाते में डालनी होती है और 90 दिनों में जाँच पूरी करनी होती है।
अगर आपने OTP बता दिया था, तो अदालतें क्या कहती हैं?
बैंकों का सबसे आम जवाब होता है: “लेन-देन OTP से सत्यापित था, इसलिए आपने ही इसकी अनुमति दी।” भारतीय अदालतें इस तर्क को विशेष रूप से ख़ारिज कर चुकी हैं।
दिल्ली उच्च न्यायालय ने हरे राम सिंह बनाम भारतीय रिज़र्व बैंक व अन्य [W.P.(C) 13497/2022] में कहा कि जब फ्रॉड जटिल सोशल इंजीनियरिंग, जैसे फ़िशिंग कॉल, विशिंग या तकनीकी हेरफेर से हुआ हो, तो बैंक केवल OTP बनने को पूरा बचाव नहीं बना सकते। ग्राहक की लापरवाही साबित करने का बोझ बैंक पर है, आप पर नहीं।
सर्वोच्च न्यायालय ने भारतीय स्टेट बैंक बनाम पल्लभ भौमिक व अन्य, SLP (C) No. 30677 of 2024, आदेश दिनांक 03.01.2025 में और आगे जाकर कहा कि बैंकों को अनधिकृत लेन-देन पकड़ने और रोकने के लिए सर्वोत्तम उपलब्ध तकनीक का इस्तेमाल करना चाहिए। बैंक की ज़िम्मेदारी OTP भेजने पर ख़त्म नहीं होती।
एक और सुरक्षा जिसे ज़्यादातर लोग नहीं जानते: सूचना देने से पहले आपकी अपनी लापरवाही रही हो तब भी, सूचना देते ही उसके बाद होने वाले सभी नुकसानों के लिए आपका दायित्व शून्य हो जाता है। सूचना देना आपके जोखिम को तुरंत रोक देता है।
रूपम कुमार बनाम SBI कार्ड्स एंड पेमेंट सर्विसेज़ प्रा. लि. [ज़िला उपभोक्ता विवाद निवारण आयोग, चंडीगढ़, 6 फ़रवरी 2026] में आयोग ने बैंक को विवादित राशि लौटाने, शिकायतकर्ता का नाम CIBIL रिकॉर्ड से हटाने और मुआवज़ा देने का निर्देश दिया, सीधे शून्य दायित्व के सिद्धांत को लागू करते हुए।
कार्ड फ्रॉड होते ही तुरंत क्या करें?
जल्दी और सही क्रम में कदम उठाना ही तय करता है कि आपका पैसा वापस मिलेगा या नहीं।
- तुरंत बैंक को फ़ोन करें। कार्ड ब्लॉक कराएँ। शिकायत संख्या, तारीख़ और समय नोट करें।
- 3 कार्य-दिवस में लिखित शिकायत भेजें। बैंक की आधिकारिक ईमेल आईडी पर भेजा गया ईमेल पक्का समय-प्रमाण बनाता है। लिखें: “मैं RBI परिपत्र संख्या RBI/2017-18/15 DBR.No.Leg.BC.78/09.07.005/2017-18 दिनांक 6 जुलाई 2017 के तहत शून्य दायित्व का दावा करता/करती हूँ।”
- सभी सबूत सुरक्षित रखें। लेन-देन अलर्ट के स्क्रीनशॉट, शिकायत संख्या, सारे ईमेल, और फ्रॉड कॉल या SMS।
- लिखित में फ़ॉलो-अप करें। बैंक को 10 कार्य-दिवस में राशि अस्थायी रूप से वापस डालनी है। ऐसा न हो, तो उसकी चुप्पी ख़ुद सेवा में कमी है।
- बैंक मना करे तो आगे बढ़ें: RBI बैंकिंग लोकपाल (cms.rbi.org.in, एकीकृत लोकपाल योजना, 2021) — निःशुल्क और तेज़; ज़िला उपभोक्ता आयोग/NCDRC (उपभोक्ता संरक्षण अधिनियम, 2019) — रिफ़ंड, मुआवज़ा और मुकदमे का ख़र्च; राष्ट्रीय साइबर अपराध पोर्टल (cybercrime.gov.in), ख़ासकर अगर फ्रॉड में किसी का रूप धारण, फ़िशिंग या विशिंग हुई हो।
क्या बैंक आपको CIBIL में डिफ़ॉल्टर दिखा सकता है?
अगर आप किसी फ्रॉड लेन-देन को विवादित कर रहे हैं और विवादित राशि नहीं चुकाई है, तो विवाद लंबित रहते बैंक उस राशि के लिए आपको क्रेडिट ब्यूरो में डिफ़ॉल्टर नहीं दिखा सकता। साबित फ्रॉड के मामलों में अदालतें लगातार बैंकों को शिकायतकर्ताओं का नाम CIBIL डिफ़ॉल्टर सूची से हटाने का निर्देश देती रही हैं। पहले दिन से अपनी शिकायत में यह माँग लिखित और स्पष्ट रूप से करें।
निष्कर्ष
RBI परिपत्र की 3 दिन की सीमा कोई एहसान नहीं, बल्कि भारत के हर अनुसूचित बैंक पर लागू होने वाला कानूनी दायित्व है। बैंक के पहले इनकार को स्वीकार न करें। लिखित शिकायत भेजें, RBI परिपत्र का नंबर और तारीख़ लिखें, और क्रम से आगे बढ़ें। कानूनी साधन मौजूद हैं; सवाल केवल इतना है कि आप उनका इस्तेमाल करना जानते हैं या नहीं। साइबर फ्रॉड की सूचना कैसे दें, इसके लिए हमारा पेज साइबर अपराध वकील, नोएडा देखें।
अक्सर पूछे जाने वाले प्रश्न
अनधिकृत लेन-देन के लिए RBI का “शून्य दायित्व” नियम क्या है?
6 जुलाई 2017 के RBI परिपत्र के अनुसार, अगर कोई अनधिकृत बैंकिंग लेन-देन बैंक की लापरवाही या किसी तीसरे पक्ष की चूक से हुआ है और आप 3 कार्य-दिवस के भीतर इसकी सूचना देते हैं, तो आपका दायित्व शून्य है। बैंक को पूरी अनधिकृत राशि वापस करनी होगी।
पूरा पैसा वापस पाने के लिए कार्ड फ्रॉड की सूचना कितने दिनों में देनी होती है?
लेन-देन के बारे में बैंक का संदेश मिलने से 3 कार्य-दिवस के भीतर। 4 से 7 कार्य-दिवस में सूचना देने पर खाते के प्रकार के अनुसार आपका दायित्व ₹5,000 से ₹25,000 तक सीमित रहता है। 7 कार्य-दिवस के बाद बैंक की बोर्ड-स्वीकृत नीति के अनुसार दायित्व तय होता है।
अगर ग़लती से OTP बता दिया, तो क्या फिर भी शून्य दायित्व का दावा हो सकता है?
कई मामलों में अदालतों ने कहा है कि सोशल इंजीनियरिंग से हुए फ्रॉड में बैंक केवल OTP के आधार पर दायित्व से इनकार नहीं कर सकता। सूचना देने से पहले क्रेडेंशियल साझा हुए हों तब भी, सूचना देने के बाद के अनधिकृत लेन-देन के लिए RBI ढाँचे के तहत आपका दायित्व आमतौर पर शून्य माना जाता है, मामले के तथ्यों के अधीन।
अगर बैंक पैसा लौटाने से मना कर दे, तो क्या करें?
RBI परिपत्र संख्या RBI/2017-18/15 दिनांक 6 जुलाई 2017 का हवाला देते हुए लिखित शिकायत दें। 10 कार्य-दिवस में हल न हो, तो RBI एकीकृत लोकपाल, उपभोक्ता संरक्षण अधिनियम, 2019 के तहत ज़िला उपभोक्ता आयोग, या राष्ट्रीय साइबर अपराध पोर्टल पर जाएँ।
क्या विवादित फ्रॉड राशि न चुकाने पर बैंक मुझे CIBIL डिफ़ॉल्टर सूची में डाल सकता है?
जहाँ लेन-देन को वास्तव में फ्रॉड बताकर विवादित किया गया है, वहाँ अदालतों ने उचित मामलों में बैंकों को ग़लत क्रेडिट रिपोर्टिंग सुधारने या हटाने का निर्देश दिया है। अपनी लिखित शिकायत में क्रेडिट इतिहास की सुरक्षा और ग़लत रिपोर्टिंग सुधारने की माँग स्पष्ट रूप से करें। हटाने का आदेश तथ्यों और विवाद के परिणाम पर निर्भर करता है।
स्रोत
- RBI परिपत्र संख्या RBI/2017-18/15 DBR.No.Leg.BC.78/09.07.005/2017-18 दिनांक 6 जुलाई 2017
- Hare Ram Singh v. Reserve Bank of India & Ors., W.P.(C) 13497/2022 (दिल्ली उच्च न्यायालय)
- State Bank of India v. Pallabh Bhowmick & Ors., SLP (C) No. 30677 of 2024, आदेश दिनांक 3 जनवरी 2025
- रिज़र्व बैंक – एकीकृत लोकपाल योजना, 2021
- उपभोक्ता संरक्षण अधिनियम, 2019
- RBI (Commercial Banks – Responsible Business Conduct) Third Amendment Directions, 2026
यह लेख सामान्य कानूनी जानकारी है, आपके मामले के लिए कानूनी सलाह नहीं। कानून और प्रक्रिया बदलती रहती है; कोई कदम उठाने से पहले किसी अधिवक्ता से सलाह लें।
