TSUE: nieautoryzowaną transakcję bank zwraca w D+1, a rażące niedbalstwo musi udowodnić w sądzie

2026.10.20 Autor: Robert Nogacki

15 października 2026 r. Trybunał Sprawiedliwości Unii Europejskiej orzekł w sprawie C-70/25 (Tukowiecka), że bank nie może odmówić bezzwłocznego zwrotu kwoty nieautoryzowanej transakcji płatniczej tylko dlatego, że w jego ocenie klient umożliwił ją wskutek rażącego niedbalstwa. Najpierw zwrot, najpóźniej do końca następnego dnia roboczego. Dopiero potem bank może żądać od klienta zwrotu pieniędzy, a jeśli klient nie zapłaci dobrowolnie, musi go pozwać i udowodnić umyślność albo rażące niedbalstwo. Pytanie zadał Sąd Rejonowy w Koszalinie w sprawie o 3 000 zł, które oszust przelał z rachunku klientki PKO BP po tym, jak wpisała dane logowania na podrobionej stronie banku. Stawka jest wyższa niż te 3 000 zł: według NBP w samym I kwartale 2026 r. oszukańcze przelewy w Polsce sięgnęły 245,9 mln zł, a banki pokryły z tej kwoty około 11 proc. Reszta sporu toczy się już nie w Luksemburgu, lecz w Brukseli, gdzie w projekcie rozporządzenia PSR zapisano wyjątek, którego Trybunał właśnie odmówił bankom.

Co orzekł Trybunał o zwrocie nieautoryzowanej transakcji (sprawa C-70/25)

Klientka banku sprzedawała przedmiot na portalu aukcyjnym. Rzekomy kupujący przesłał jej link, który miał potwierdzić sprzedaż, a prowadził na stronę skopiowaną ze strony banku. Wpisała tam dane logowania do bankowości elektronicznej. Z tymi danymi sprawca zalogował się na jej prawdziwy rachunek i zlecił przelew 3 000 zł (około 705 euro) na swoje konto, a kod SMS do zatwierdzenia transakcji bank wysłał na skutek tego samego wprowadzenia w błąd. Następnego dnia klientka zawiadomiła bank i policję. Sprawcy nie ustalono. Bank odmówił zwrotu: jego zdaniem klientka rażąco zaniedbała obowiązek ochrony danych uwierzytelniających i sama odpowiada za stratę. Tak stan faktyczny opisuje wyrok Trybunału (pierwsza izba) z 15 października 2026 r., C-70/25, ECLI:EU:C:2026:852, pkt 14 do 20.

Sąd Rejonowy w Koszalinie zapytał Trybunał, czy art. 73 ust. 1 w związku z art. 74 ust. 1 dyrektywy Parlamentu Europejskiego i Rady (UE) 2015/2366 z dnia 25 listopada 2015 r. w sprawie usług płatniczych w ramach rynku wewnętrznego (Dz.Urz. UE L 337 z 23.12.2015, s. 35; dalej PSD2) pozwala dostawcy usług płatniczych odmówić bezzwłocznego zwrotu, gdy płatnik poniósł stratę wskutek rażącego zaniedbania obowiązków z art. 69 tej dyrektywy (wniosek z 3 lutego 2025 r., Dz.Urz. UE C/2025/2516). Odpowiedź Trybunału brzmi: nie.

Jeden wyjątek, nie dwa

Art. 73 ust. 1 PSD2 przewiduje jeden wyjątek od obowiązku zwrotu do końca następnego dnia roboczego: dostawca ma uzasadnione podstawy, by podejrzewać oszustwo, i informuje o nich na piśmie właściwy organ krajowy (pkt 33). Chodzi o podejrzenie, że to płatnik działa w nieuczciwych zamiarach, co potwierdza motyw 71 dyrektywy (pkt 39). Rażące niedbalstwo nie jest drugim wyjątkiem i państwa członkowskie nie mogą go dopisać, bo dyrektywa harmonizuje tę materię w pełni (art. 107 ust. 1 PSD2, pkt 49).

Trybunał sięgnął też po genezę przepisu. Art. 60 dyrektywy 2007/64/WE (PSD1) nie przewidywał wprost żadnego wyjątku od obowiązku zwrotu, a wyjątek dotyczący podejrzenia oszustwa pojawił się dopiero w toku prac nad PSD2 (pkt 48 i 49). Prawodawca, który dopisuje jeden wyjątek, nie dopisuje w domyśle drugiego.

Dwa etapy: zwrot, potem rozliczenie

Art. 73 i art. 74 PSD2 regulują odrębne aspekty tej samej procedury. Art. 73 nakłada obowiązek bezzwłocznego zwrotu. Art. 74 rozstrzyga, kto ostatecznie poniesie stratę, i to na późniejszym etapie (pkt 42). Jeśli bank uważa, że klient umyślnie lub rażąco niedbale naruszył obowiązki, może po dokonaniu zwrotu żądać od niego pokrycia strat za pomocą środków prawnych przewidzianych w tym celu (pkt 38 i 46). Ciężar dowodu rażącego niedbalstwa spoczywa na dostawcy (art. 72 ust. 2 PSD2, pkt 40). Odczytanie art. 74 jako zwolnienia z obowiązku zwrotu pozbawiłoby ten obowiązek skuteczności i zmusiłoby konsumenta do inicjowania procesu na własny koszt, co Trybunał uznał za trudne do pogodzenia z celem wysokiego poziomu ochrony konsumentów (pkt 45). Tak samo ujmuje to komunikat prasowy TSUE nr 147/26: prawo Unii pozwala oddzielić kwestię zwrotu od kwestii tego, kto ostatecznie poniesie stratę.

Trybunał odrzucił argument rządów czeskiego i włoskiego, że taka wykładnia obchodzi system pozasądowego rozstrzygania sporów z art. 102 PSD2. Mechanizm ADR obejmuje wszystkie spory z tytułów III i IV dyrektywy i nie zastępuje obowiązku zwrotu (pkt 50 i 51). Zwrócił również uwagę, że nic nie wskazuje, by Polska skorzystała z możliwości ograniczenia odpowiedzialności płatnika przewidzianej w art. 74 ust. 1 akapit czwarty (pkt 36); ta możliwość dotyczy płatnika, który nie działał w nieuczciwych zamiarach ani nie naruszył obowiązków umyślnie, obejmuje więc także rażące niedbalstwo. Spór o 3 000 zł rozstrzygnie teraz sąd w Koszalinie, związany tą wykładnią; Trybunał nie zasądza.

Wyrok podąża za opinią rzecznika generalnego Athanasiosa Rantosa z 5 marca 2026 r.. W pkt 47 i 48 opinii rzecznik odrzucił także propozycję rządu włoskiego, by bank po zwrocie mógł sam ponownie obciążyć rachunek klienta: taki mechanizm stawiałby płatnika w sytuacji, jakby zwrotu nie było, i zmuszał go do pozwu. W przypisie odnotował, że w wielu państwach członkowskich dostawcy przyjęli odmowę zwrotu jako praktykę domyślną. Trybunał nie wypowiedział się o ponownym obciążeniu wprost, ale sformułowanie o środkach prawnych przewidzianych w tym celu trudno pogodzić z jednostronnym ponownym obciążeniem rachunku. Tę samą praktykę, zwrot warunkowy cofany po zakończeniu reklamacji, zakwestionował we wrześniu Prezes UOKiK.

Dlaczego to pytanie zadał sąd z Koszalina

Sąd odsyłający opisał Trybunałowi polską praktykę w dwóch zdaniach, które powinny trafić do podręczników. Do sądów polskich nie wpłynęły powództwa banków przeciwko konsumentom o zwrot kwoty nieautoryzowanej transakcji z powodu rażącego niedbalstwa. Wpłynęły za to liczne powództwa konsumentów przeciwko bankom o odmowę zwrotu (pkt 23). Sąd wyciągnął wniosek, że odstępstwo od obowiązku zwrotu stało się regułą postępowania, a ciężar sporu, opłaty sądowej, dowodów i pism przerzucono na płatnika, zwykle konsumenta (pkt 24 i 26).

Ta obserwacja ma prostą ekonomię. Bank, który odmawia, ryzykuje niewiele: przegraną z odsetkami w sprawie, którą klient musi najpierw wnieść, i, w dłuższym horyzoncie, zainteresowanie UOKiK. Klient, który chce odzyskać 3 000 zł, musi zapłacić opłatę sądową, zebrać dowody z systemów, których nie kontroluje, i czekać na wyrok. Znaczna część poszkodowanych rezygnuje po pierwszej odmowie; to wniosek z praktyki, nie z pomiaru. Odmowa jest więc tańsza niż proces o zwrot, nawet gdy zarzut rażącego niedbalstwa jest słaby. Wyrok zmienia ten rachunek: od teraz to bank, jeśli chce zatrzymać pieniądze, musi wnieść pozew, zapłacić opłatę i udowodnić winę klienta.

Skala sporu jest duża. Rzecznik Finansowy w latach 2022 do 2025 otrzymał ponad 10 tys. wniosków o pomoc w sprawach odmowy zwrotu, jak podał money.pl. Prezes UOKiK prowadził działania wobec 15 banków; we wrześniu 2026 r. wydał cztery decyzje zobowiązujące (komunikat z 7 września) wobec Alior Banku, mBanku, BNP Paribas Bank Polska i Banku Millennium, które kończą blisko czteroletnie postępowania. Banki mają zmienić praktyki i ponownie rozpatrzyć zgłoszenia wcześniej odrzucone na warunkach określonych w decyzjach; sam mBank ma przeanalizować ponad 20 tys. reklamacji, jak podała jego dyrektor zarządzająca Agnieszka Jadczyszyn, w tym zgłoszenia złożone po 15 listopada 2022 r., a ponowne rozpatrzenie nie jest obietnicą zwrotu. Dziesięć postępowań z analogicznymi zarzutami trwa. Urząd kwestionował trzy praktyki: brak zwrotu w terminie D+1, zwrot warunkowy cofany po rozpatrzeniu reklamacji oraz uznawanie poprawnego uwierzytelnienia za autoryzację (decyzja RWR 3/2026 wobec Alior Banku, RKR-3/2026 wobec BNP Paribas, RGD-7/2026 wobec Banku Millennium).

Liczby NBP pokazują, o co toczy się gra. W I kwartale 2026 r. banki zaraportowały 39,2 tys. oszukańczych poleceń przelewu o wartości 245,9 mln zł; z tego blisko 34 tys. przypadków i ponad 152 mln zł to skutek zmanipulowania płatnika, a ta kategoria obejmuje zarówno wyłudzenie danych, jak i przelew wykonany przez samą ofiarę. Straty banków wyniosły nieco ponad 27 mln zł, czyli 11 proc. całości; dominującą część reszty ponieśli, według NBP, posiadacze rachunków.

Pozwany bank dzień przed wyrokiem oświadczył money.pl, że stosuje już podejście zgodne z opinią rzecznika generalnego i że jego systemy wykrywają ponad 95 proc. ataków. Nie podał jednak, od kiedy zmienił praktykę ani czy wraca do odrzuconych reklamacji.

Rażące niedbalstwo przy nieautoryzowanej transakcji: pojęcie rozciągnięte do granic

Polska ustawa z dnia 19 sierpnia 2011 r. o usługach płatniczych (t.j. Dz.U. z 2026 r. poz. 623; dalej u.u.p.) transponuje art. 73 i 74 PSD2 w art. 46. Ust. 1 nakazuje zwrot w terminie D+1, z jedynym wyjątkiem uzasadnionego i należycie udokumentowanego podejrzenia oszustwa, zgłoszonego pisemnie organom ścigania. Ust. 3 obciąża płatnika pełną odpowiedzialnością, jeżeli doprowadził do transakcji umyślnie albo wskutek umyślnego lub rażąco niedbałego naruszenia obowiązków z art. 42 (korzystanie z instrumentu zgodnie z umową, ochrona danych uwierzytelniających, zgłaszanie utraty). Art. 45 ust. 1 i 2 u.u.p. kładzie ciężar dowodu autoryzacji na dostawcy i przesądza, że zarejestrowane użycie instrumentu, w tym poprawne uwierzytelnienie, nie wystarcza, by wykazać autoryzację ani rażące niedbalstwo. Trybunał nie zmienił tych przepisów. Zmienił kolejność, w jakiej się je stosuje.

Samo pojęcie pozostaje nieostre. W prawie cywilnym rażące niedbalstwo to kwalifikowana postać winy nieumyślnej: naruszenie elementarnych reguł ostrożności, które narzucają się każdemu, graniczące z umyślnością. Zwykłe niedbalstwo, czyli błąd, jaki popełniłby także rozsądny człowiek w stresie i pod presją czasu, to nie to samo. Rzecznik Finansowy od lat podkreśla, że rażące niedbalstwo konsumenta jest przypadkiem rzadkim. Ofiara, która w pośpiechu nie zauważa, że loguje się na stronie do złudzenia podobnej do strony banku, w mojej ocenie tej definicji zwykle nie spełnia.

Sąd Najwyższy pokazał, jak trudna jest ta ocena. W wyroku z 15 września 2023 r., II CSKP 1013/22 (OSNC 2024, nr 6, poz. 61) rozpoznawał sprawę klienta firmowego: rachunek instytucjonalny, umowa z 2015 r. wyłączająca na podstawie art. 33 u.u.p. między innymi art. 45 i art. 46 ust. 2 do 5, a zdarzenie z 15 marca 2018 r., czyli sprzed wejścia w życie polskich przepisów wdrażających PSD2. To ogranicza doktrynalną wagę tego wyroku, lecz nie jego lekcję dowodową. Klient, próbując zalogować się do bankowości, wpisał na fałszywej stronie login, hasło i dwa kolejne kody SMS. Pierwszy kod posłużył sprawcy do zalogowania na prawdziwe konto, drugi do zdefiniowania „zaufanego odbiorcy”, do którego przelewy nie wymagały już żadnej autoryzacji bez względu na kwotę. Tego samego dnia trzema przelewami po blisko 40 tys. zł wyprowadzono z rachunku blisko 120 tys. zł; klient nie dostał w tym czasie żadnego powiadomienia, a tylko ostatni przelew udało się zabezpieczyć i odzyskać. Sądy obu instancji zasądziły od banku zwrot utraconej kwoty: uznały, że użycie kodu z SMS do logowania nie było rażącym niedbalstwem, a przelewy do zaufanego odbiorcy bez limitu i bez dodatkowej autoryzacji są rozwiązaniem niebezpiecznym dla płatników. Sąd Najwyższy potwierdził, że wykazanie uwierzytelnienia nie jest wykazaniem autoryzacji, i oceny o niebezpiecznym rozwiązaniu nie zakwestionował, ale wyrok uchylił: ocena staranności klienta była zbyt powierzchowna, a sąd apelacyjny nie określił nawet reżimu odpowiedzialności banku ani nie rozważył przyczynienia z art. 362 Kodeksu cywilnego. Trzeba było zbadać treść wiadomości z kodami i to, jak czytelnie bank przypominał, by porównywać opis czynności w SMS z tym, co klient faktycznie robi. Drugi SMS brzmiał bowiem: „Modyfikacja bazy odbiorców (…), kod nr 2 (…). Pamiętaj, aby NIKOMU nie udostępniać kodu”, a klient użył go do ponownej próby logowania; taki opis, zauważył Sąd Najwyższy, tym mniej kojarzy się z autoryzacją logowania. Lekcja jest dowodowa: o rażącym niedbalstwie rozstrzygają szczegóły konkretnej wymiany komunikatów między klientem a systemem, przede wszystkim to, czy opis czynności w SMS zgadzał się z tym, co klient sądził, że robi, a nie hasło „sam podał kod”.

Dochodzi warstwa, o której sądy wiedzą coraz więcej. Współczesne oszustwo jest skryptem napisanym na podstawie psychologii społecznej, coraz częściej z pomocą sztucznej inteligencji, obliczonym na wyłączenie czujności w ciągu kilku minut. Pisałem o tym w tekście o doktrynie wad oświadczenia woli (Oszustwa internetowe. Błąd, podstęp, groźba w epoce socjotechniki) oraz w serwisie ostrzezenia-publiczne.pl (Mózg w pułapce: dlaczego padamy ofiarą oszustw finansowych?; Sztuczna inteligencja w rękach oszustów: nowa era cyfrowych przekrętów). Z perspektywy wyroku ważne jest jedno. Po 15 października 2026 r. o tym, czy dane zachowanie było rażącym niedbalstwem, bank będzie przekonywał sąd jako powód, z pełnym ciężarem dowodu, a nie jako adresat reklamacji, który pisze odmowę.

Czego wyrok nie załatwia: przelew, który ofiara wykonała sama

Trybunał rozstrzygał o transakcji nieautoryzowanej, czyli zleconej przez sprawcę po przejęciu danych. Tymczasem znaczna część pieniędzy ginie dziś inaczej. Klient, zmanipulowany przez fałszywego pracownika banku, „policjanta”, „kupującego” albo „doradcę inwestycyjnego”, sam, wiedząc, co robi, zleca przelew na wskazany mu rachunek. Taki przelew jest w świetle art. 40 ust. 1 u.u.p. autoryzowany, bo płatnik wyraził zgodę na tę właśnie płatność w sposób przewidziany umową, choć działał w błędzie co do odbiorcy i celu. Mechanizm D+1 go nie obejmuje, a wyrok C-70/25 nic tu nie zmienia. Na tej granicy rozgrywa się dziś najwięcej sporów, bo granica bywa cienka: oszust zdalnie steruje telefonem ofiary, ofiara wpisuje kod SMS „do anulowania przelewu”, który w rzeczywistości go zatwierdza, albo akceptuje operację w aplikacji, nie widząc, co akceptuje. Prezes UOKiK konsekwentnie przypomina, że uwierzytelnienie to nie autoryzacja, a zgoda musi dotyczyć konkretnej transakcji. Mechanizmy tych rozmów opisałem w tekstach Oszustwa telefoniczne: jak oszuści skłaniają ofiary do przelania pieniędzy? i Kiedy państwo dzwoni po Twoje pieniądze. Anatomia oszustwa doskonałego.

Unijny ustawodawca uznał ten problem tylko częściowo. Uzgodniony tekst rozporządzenia PSR przewiduje odpowiedzialność banku za przelew wykonany przez klienta pod wpływem podszywania się pod sam bank (spoofing), pod określonymi warunkami, między innymi zgłoszenia na policję. Podszywanie się pod policję, prokuraturę, urząd albo członka rodziny pozostaje poza tym przepisem, co Związek Banków Polskich nazwał podejściem racjonalnym. Ofiara „oszustwa na policjanta” nie dostanie więc po PSR prawa do zwrotu z tego przepisu. Zyska co najwyżej podstawę pośrednią: PSR czyni monitoring transakcji obowiązkiem dostawcy i wiąże jego zaniedbanie z odpowiedzialnością za stratę (art. 83 uzgodnionego tekstu), a o wyniku zdecyduje to, co bank zrobił lub zaniechał przed wykonaniem przelewu. Poza tym pozostaje droga karna, próba zablokowania środków na rachunku odbiorcy i, w mojej ocenie, konieczna aktualizacja doktryny wad oświadczenia woli, o której pisałem w maju.

Druga granica: ochrona z art. 46 u.u.p. dotyczy rachunku płatniczego u dostawcy usług płatniczych. Nie obejmuje pieniędzy, które klient sam wpłacił na „platformę inwestycyjną”, ani kryptoaktywów powierzonych giełdzie; przelew nieautoryzowany na rachunek takiej platformy to inna sprawa, tam D+1 działa jak zwykle. Na platformie i na giełdzie nie ma D+1 ani banku, który oddaje pieniądze następnego dnia, są co najwyżej wolniejsze i słabsze podstawy odpowiedzialności, w tym odpowiedzialność depozytariusza kryptoaktywów z art. 75 ust. 8 rozporządzenia MiCA (Fałszywe platformy inwestycyjne: jak działają i jak się przed nimi bronić; Odzyskiwanie pieniędzy utraconych w oszustwach finansowych: jakie są realne szanse?).

Sektor bankowy: „bez zaskoczenia” i wyjątek, który czeka w PSR

Związek Banków Polskich zareagował jeszcze tego samego dnia komunikatem zatytułowanym „Bez zaskoczenia po wyroku TSUE”. Sektor, jak czytamy, od dłuższego czasu dostosowywał praktykę zwrotu do oczekiwań KNF i Prezesa UOKiK, a wyrok jedynie potwierdza ten kierunek. Czwarty punkt komunikatu jest najciekawszy: projektowane rozporządzenie PSR dopuszcza odstąpienie od bezzwłocznego zwrotu, gdy bank ma obiektywnie uzasadnione podejrzenie rażącego niedbalstwa klienta. Innymi słowy, to, czego Trybunał właśnie odmówił bankom na gruncie PSD2, zostało już wynegocjowane na przyszłość.

Tak jest w istocie. W uzgodnionym tekście PSR z 17 kwietnia 2026 r. (dokument Rady 8221/26) art. 56 utrzymuje zwrot bezzwłoczny, ale pozwala dostawcy go wstrzymać, jeżeli ma obiektywnie uzasadnione powody, by podejrzewać, że płatnik umyślnie lub wskutek rażącego niedbalstwa nie dopełnił obowiązków dotyczących instrumentu płatniczego i danych uwierzytelniających, i poinformuje o tym płatnika na piśmie. Dostawca ma wtedy 15 dni roboczych, by zwrócić środki albo uzasadnić odmowę i wskazać organy, do których klient może się zwrócić. Ciężar dowodu nadal spoczywa na dostawcy. Tak opisała to dyrektor Zespołu Prawno-Legislacyjnego ZBP Katarzyna Urbańska w wywiadzie dla Miesięcznika Finansowego BANK i tak samo czyta tekst europejska organizacja poszkodowanych EFRI, która po wyroku wezwała Parlament i Radę do dostosowania art. 56 do linii Trybunału przed ostatecznym przyjęciem.

Harmonogram: porozumienie polityczne zapadło 27 listopada 2025 r., teksty końcowe opublikowano 23 kwietnia 2026 r., komisja ECON Parlamentu Europejskiego zatwierdziła je 5 maja 2026 r. Formalne przyjęcie i publikacja w Dzienniku Urzędowym są spodziewane na przełomie 2026 i 2027 r., a PSR ma być stosowane 21 miesięcy po wejściu w życie, czyli realnie w 2028 r. Daty opieram na zapowiedziach, nie na akcie; to poziom „prawdopodobne”, nie „pewne”.

Co z tego wynika. Po pierwsze, standard z wyroku C-70/25 obowiązuje dziś w całej Unii i, jeśli kalendarz się utrzyma, będzie obowiązywał przez około dwa lata. Po drugie, PSR nie przywraca starej praktyki wprost: bank nie będzie mógł odmówić milczeniem, dostanie zegar 15 dni roboczych, obowiązek pisemnego uzasadnienia i wskazania drogi odwoławczej, a w sporze nadal będzie musiał udowodnić rażące niedbalstwo. Po trzecie, spór przeniesie się z pytania „czy bank może wstrzymać zwrot” na pytanie „co jest obiektywnie uzasadnionym powodem”. Ta formuła będzie interpretowana w świetle wyroku C-70/25, bo Trybunał już powiedział, jaki jest cel systemu. Po czwarte, i to moja ocena, 15 dni roboczych to dokładnie termin odpowiedzi na reklamację w sprawach usług płatniczych z art. 15a u.u.p. PSR legalizuje więc w znacznej mierze model, który UOKiK kwestionował: zwrot jako wynik postępowania reklamacyjnego, nie jako jego punkt wyjścia. Tyle że z zaostrzonymi wymogami i pod kontrolą orzecznictwa, które dopiero powstanie.

Czytanie instytucji przez ich interesy pozwala streścić to krócej. Sektor przegrał w Luksemburgu bitwę, którą wcześniej wygrał w Brukseli. Komunikat „bez zaskoczenia” jest w tym świetle precyzyjny.

Jak zrobili to Brytyjczycy

W Wielkiej Brytanii regulacja 76 Payment Services Regulations 2017 przewiduje tę samą architekturę co PSD2: zwrot nieautoryzowanej transakcji do końca następnego dnia roboczego, z jedynym wyjątkiem uzasadnionego podejrzenia oszustwa. Brytyjczycy poszli jednak dalej tam, gdzie Unia się zatrzymała. Od 7 października 2024 r. obowiązuje obowiązkowy zwrot także za przelewy wykonane przez ofiarę pod wpływem oszustwa (authorised push payment fraud), w krajowych płatnościach w systemach Faster Payments i CHAPS: do 85 000 funtów na sprawę, z udziałem własnym do 100 funtów, kosztem dzielonym po połowie między bank nadawcy i bank odbiorcy, co do zasady w pięć dni roboczych, a najpóźniej do 35. dnia roboczego od zgłoszenia. Wyjątkiem jest oszustwo samego klienta i jego rażące niedbalstwo rozumiane jako naruszenie „standardu ostrożności konsumenta”, ale ciężar dowodu spoczywa na banku, a wobec klientów wrażliwych wyjątek w ogóle nie działa. Brytyjski regulator przyjął założenie, że to bank ma narzędzia, by zatrzymać oszustwo, więc to bank ma nosić ryzyko. PSR w wersji uzgodnionej przyjmuje to założenie tylko dla podszywania się pod sam bank.

Zwrot nieautoryzowanej transakcji w praktyce

Dla klienta banku: jak odzyskać pieniądze

Zgłoś transakcję natychmiast, w kanale, który zostawia ślad (nagrywana infolinia, formularz, wiadomość w aplikacji), i zablokuj dostęp do bankowości. Art. 44 u.u.p. wymaga zgłoszenia niezwłocznie; 13 miesięcy to tylko granica zewnętrzna. W wyroku z 1 sierpnia 2025 r., C-665/23 Veracash, wydanym jeszcze na gruncie dyrektywy 2007/64, której regułę zgłoszenia PSD2 powtarza, Trybunał przesądził, że kto umyślnie lub rażąco niedbale zwleka ze zgłoszeniem, może utracić prawo do zwrotu nawet przed upływem 13 miesięcy, z oceną każdej transakcji z osobna.
Zawiadom policję lub prokuraturę. Zawiadomienie służy ściganiu sprawcy i blokadzie środków na rachunku odbiorcy, a przy okazji dokumentuje, że działasz uczciwie.
Żądaj zwrotu w terminie D+1 na podstawie art. 46 ust. 1 u.u.p., powołując wyrok C-70/25. Odmowa uzasadniona wyłącznie rażącym niedbalstwem jest po 15 października 2026 r. sprzeczna z wykładnią, która wiąże sądy krajowe.
Jeśli bank odmawia, złóż reklamację. Bank ma 15 dni roboczych na odpowiedź, w sprawach szczególnie skomplikowanych 35 (art. 15a u.u.p.); brak odpowiedzi w terminie oznacza uznanie reklamacji zgodnie z wolą klienta, choć według uchwały Sądu Najwyższego z 13 czerwca 2018 r., III CZP 113/17, bank może jeszcze w procesie wykazywać, że roszczenie nie przysługuje, tyle że z ciężarem dowodu po swojej stronie. Następny krok to wniosek do Rzecznika Finansowego o interwencję albo pozew.
Nie zwlekaj z pozwem. Orzecznictwo nie jest jednolite co do terminu przedawnienia roszczeń o zwrot nieautoryzowanej transakcji; część sądów rozważa dwuletni termin z art. 731 Kodeksu cywilnego dla roszczeń ze stosunku rachunku bankowego, więc bezpieczniej założyć wariant najkrótszy.
Zachowaj dowody: link, zrzuty ekranu, SMS z kodami i ich treść, godziny zdarzeń, nagrania rozmów. To one rozstrzygają o rażącym niedbalstwie, jak pokazał Sąd Najwyższy.
Uważaj na drugą falę. Po oszustwie zgłaszają się „kancelarie” i „firmy odzyskujące pieniądze”, czasem z podpisem instytucji unijnych. To recovery scam, wtórne oszustwo wobec poszkodowanych.

Jeśli bank zwrócił pieniądze, a potem pozwał cię o ich zwrot, pamiętaj: to bank musi udowodnić rażące niedbalstwo, a poprawne wpisanie kodu nie jest dowodem (art. 45 ust. 2 u.u.p.). Bank musi też wykazać związek między naruszeniem a stratą, a za transakcje po zgłoszeniu i za transakcje wykonane bez silnego uwierzytelnienia klient nie odpowiada, chyba że działał umyślnie (art. 46 ust. 4 i 4a u.u.p.). W tym procesie liczą się treść komunikatów banku, czytelność ostrzeżeń, działanie systemów antyfraudowych i to, czy bank zareagował na nietypową transakcję.

Dla banków

Pozew o 3 000 zł przeciwko konsumentowi rzadko się opłaca, więc w sprawach o nieautoryzowane transakcje można oczekiwać trzech strategii: zwrot bez dochodzenia w drobnych sprawach, selektywne pozwy w sprawach dużych i dobrze udokumentowanych (klient ignorujący wyraźne ostrzeżenia, wielokrotne udostępnianie kodów) oraz przesunięcie środków na prewencję. Banki już wdrażają opóźnione księgowanie i tzw. cooling period, limity, potwierdzanie nowych odbiorców, a PSR uczyni obowiązkowym sprawdzanie zgodności nazwy odbiorcy z numerem rachunku. Hipoteza do obserwacji: część banków sięgnie częściej po jedyny dozwolony wyjątek, czyli podejrzenie oszustwa zgłoszone organom ścigania. To jednak zarzut popełnienia przestępstwa przez klienta, wymagający „uzasadnionych i należycie udokumentowanych podstaw”. Użyty rutynowo, jako narzędzie odwlekania zwrotu, stanie się łatwym celem dla UOKiK i sądów.

Dla spraw w toku i dawnych odmów

Wykładnia Trybunału wyjaśnia, jak przepis o zwrocie nieautoryzowanej transakcji należało rozumieć od początku, więc wiąże sądy w sprawach w toku i jest argumentem w sporach o wcześniejsze odmowy. Trzy zastrzeżenia: transakcja musiała być zgłoszona w terminie, roszczenie nie może być przedawnione, a prawomocnie zakończonych spraw wyrok automatycznie nie otwiera. Klienci czterech banków objętych decyzjami UOKiK mogą liczyć na ponowne rozpatrzenie zgłoszeń na warunkach z decyzji, co jest ponowną oceną, nie obietnicą zwrotu; pozostali powinni złożyć ponowną reklamację z powołaniem na C-70/25, a po odmowie zwrócić się do Rzecznika Finansowego lub do sądu.

Wnioski

Wyrok C-70/25 nie rozstrzyga, kto ma rację w sporze o rażące niedbalstwo przy nieautoryzowanej transakcji. Rozstrzyga, kto ma zacząć spór i kto w czasie jego trwania jest bez pieniędzy. To różnica większa, niż wygląda, bo w sprawach o kilka tysięcy złotych sam obowiązek wniesienia pozwu przesądza o wyniku częściej niż przepisy o winie. Trybunał przesunął koszt niepewności ze słabszej strony na silniejszą: z konsumenta na instytucję, która ma dane, systemy i prawników.

Trzy rzeczy pozostają otwarte. Pierwsza to definicja rażącego niedbalstwa, która będzie się teraz kształtować w procesach wytaczanych przez banki, a więc przy lepszym materiale dowodowym niż dotychczas. Druga to granica między transakcją nieautoryzowaną a autoryzowaną pod wpływem manipulacji; tu wyrok milczy, PSR odpowiada tylko dla podszywania się pod bank, a polska doktryna wad oświadczenia woli wciąż traktuje ofiarę jak płatnika, który chciał zapłacić. Trzecia to los art. 56 PSR, który w 2028 r. może oddać bankom pierwszy ruch, choć na nowych, ostrzejszych warunkach.

Dla poszkodowanego wniosek praktyczny jest jeden. W pierwszej rozmowie z prawnikiem trzeba ustalić, czy przelew zlecił sprawca, czy ofiara. Od tej odpowiedzi zależy wszystko, co nastąpi później.

Kancelaria Prawna Skarbiec reprezentuje poszkodowanych w sporach z bankami o nieautoryzowane transakcje oraz w sprawach oszustw internetowych i inwestycyjnych (Oszustwa inwestycyjne: pomoc prawna). Serwis ostrzezenia-publiczne.pl dokumentuje schematy oszustw i mechanizmy manipulacji (Oszustwa finansowe: jak je rozpoznać i jak się bronić).

Nieautoryzowane transakcje i oszustwa internetowe: dalsze publikacje

Robert Nogacki

Robert Nogacki jest radcą prawnym, założycielem i partnerem zarządzającym Kancelarii Prawnej Skarbiec, działającej nieprzerwanie od 2006 roku.

Prawo jest równe dla wszystkich, ale strony rzadko są równe: po jednej stoi organizacja, która ma czas, pieniądze i prawników, po drugiej człowiek, który ma jedną firmę, jedne oszczędności i jedno życie.

Klienci rzadko przychodzą do niego z problemem prawnym. Przychodzą z problemem, który ma także stronę prawną: z kontrolą, która zaczęła się od jednej faktury, z pieniędzmi powierzonymi komuś, kto zniknął, z firmą, którą trzeba przekazać dalej, zanim będzie za późno. Większość takich spraw rozstrzyga się na długo przed pierwszym pismem, w decyzjach podjętych bez pytania i w terminach, o których nikt nie pamiętał. Dlatego zaczyna od pytania, jak klient trafił w to miejsce, a nie od tego, co powinien był zrobić.

Doradza przedsiębiorcom i rodzinom z kilkunastu krajów, także tym, którym fiskus właśnie zajął konto i którzy nie wiedzą, co robić jutro rano. Broni ich w kontrolach podatkowych i celno-skarbowych, w sporach z organami podatkowymi i w sprawach karnych skarbowych. Reprezentuje poszkodowanych w oszustwach inwestycyjnych i piramidach finansowych. Pomaga rodzinom zakładać fundacje rodzinne i planować sukcesję, żeby dorobek życia przetrwał dłużej niż jedno pokolenie.

Nie każdą sprawę da się wygrać. Każdą da się prowadzić tak, żeby klient wiedział, na czym stoi. Od 2006 roku reprezentuje pokrzywdzonych w sprawie WGI (Warszawskiej Grupy Inwestycyjnej), jednej z najdłuższych spraw karnych w historii polskiego rynku finansowego, bo są rzeczy, których nie wolno zostawić w połowie, nawet jeśli trwają dwie dekady. W sprawie upadłej giełdy kryptowalut Zonda (Zondacrypto, operator BB Trade Estonia OÜ) reprezentuje kilkuset poszkodowanych w postępowaniu prowadzonym przez Prokuraturę Krajową i w estońskim postępowaniu upadłościowym.

Kancelaria Prawna Skarbiec jest notowana w rankingach największych firm doradztwa podatkowego Dziennika Gazety Prawnej i Rzeczpospolitej, a w latach 2015 do 2018 czterokrotnie otrzymała Medal Europejski Business Centre Club i Europejskiego Komitetu Ekonomiczno-Społecznego. Robert Nogacki publikuje regularnie, w prasie i na stronie kancelarii, dla ludzi, którzy mają problem, a nie dyplom prawnika, bo opinia prawna, której klient nie rozumie, chroni tylko prawnika.

Wierzy, że najlepsza porada prawna to ta, dzięki której klient nigdy nie musi stanąć przed sądem.