TSUE: ofiary phishingu mają szybko odzyskiwać pieniądze

Banki nie mogą odmawiać klientom bezzwłocznego zwrotu kwot nieautoryzowanych transakcji płatniczych, nawet wtedy, gdy rażąco zaniedbają oni ostrożność i obowiązki zgłoszeniowe po kradzieży – tak wynika z czwartkowego wyroku Trybunału Sprawiedliwości Unii Europejskiej w sprawie banku PKO BP. To istotny wyrok dla sektora bankowego i jego klientów, gdyż z Polski kwartalnie wycieka z powodu oszustw ćwierć miliarda złotych – może to zmienić praktyki reklamacyjne, więcej zgłoszeń phishingu będzie też trafiało na policję.

Pytania prejudycjalne do TSUE skierował Sąd Rejonowy w Koszalinie w sprawie banku PKO BP S.A., który został pozwany o zwrot środków wypłaconych w skutek nieautoryzowanej transakcji płatniczej. Sprawa dotyczyła kobiety, która posiadała rachunek w tym banku, który wykorzystywała do rozliczania transakcji na znanym portalu aukcyjnym. Padła jednak ofiarą oszustwa internetowego (phishingu). Osoba trzecia, podając się za nabywcę, przesłała jej wprowadzający w błąd link odwzorowujący interfejs portalu, a następnie interfejs banku. W wyniku wprowadzenia w błąd skarżąca podała swoje dane logowania, umożliwiając w ten sposób oszustowi wyczyszczenie jej rachunku bankowego z kwoty 3000 zł.

Po zorientowaniu się następnego dnia, że doszło do oszustwa, niezwłocznie powiadomiła o tym bank i policję, oszusta nie udało się jednak zidentyfikować. Bank odmówił zwrotu spornej kwoty. Uznał, że nieostrożna klientka w wyniku rażącego zaniedbania uchybiła ciążącemu na niej obowiązkowi przechowywania instrumentu płatniczego z zachowaniem należytej staranności oraz nieudostępniania go osobom nieuprawnionym.

Opóźnienie możliwe tylko wyjątkowo

Sprawa trafiła więc na wokandę. W uzasadnieniu powództwa kobieta podniosła, że zasada bezzwłocznego zwrotu kwoty nieautoryzowanej transakcji winna być wyłączona tylko w jednej sytuacji (opisanej w art. 73 dyrektywy 2015/2366/UE), czyli gdy dostawca usług płatniczych ma uzasadnione podstawy, aby podejrzewać oszustwo płatnika i poinformuje o tych podstawach odpowiedni organ krajowy. Jeżeli takie podstawy nie zachodzą – jak w niniejszej sprawie – dostawca powinien bezzwłocznie (jednak nie później niż do końca następnego dnia roboczego) zwrócić kwotę nieautoryzowanej transakcji płatnikowi. Dopiero po takim zwrocie i przeprowadzeniu postępowania wyjaśniającego okoliczności zdarzenia wskazany dostawca mógłby domagać się od płatnika poniesienia strat wywołanych rażącym zaniedbaniem płatnika. W razie odmowy zwrotu kwoty nieautoryzowanej przez płatnika transakcji dany bank winien wystąpić na drogę sądową z żądaniem zapłaty.

Pytania dotyczyły wykładni przepisów dyrektywy 2015/2366/UE, dotyczącej systemu odpowiedzialności z tytułu nieautoryzowanych transakcji płatniczych. Polski sąd pytał, w jakich okolicznościach dostawca usług płatniczych może odmówić bezzwłocznego zwrotu kwoty takich transakcji, powołując się na rażące zaniedbanie płatnika w zakresie obowiązków ciążących na nim na mocy art. 69 dyrektywy, w kontekście oszustwa polegającego na wyłudzeniu informacji, którego występowanie w Unii Europejskiej stale wzrasta. W prawie krajowym implementacją tej dyrektywy jest art. 46 ustawy z 19 sierpnia 2011 r. o usługach płatniczych (Dz. U. z 2026 r. poz. 623). Przewiduje on, że w przypadku wystąpienia nieautoryzowanej transakcji płatniczej dostawca usług płatniczych niezwłocznie (nie później jednak niż do końca dnia roboczego następującego po dniu stwierdzenia wystąpienia nieautoryzowanej transakcji, którą został obciążony rachunek płatnika, lub po dniu otrzymania stosownego zgłoszenia) zwraca kwotę nieautoryzowanej transakcji płatniczej.  Wyjątkiem jest przypadek, gdy bank ma uzasadnione i należycie udokumentowane podstawy, aby podejrzewać oszustwo. Musi on wtedy poinformować o tym w formie pisemnej organy powołane do ścigania przestępstw.

Narastający problem polskiej bankowości

Nieautoryzowane transakcje płatnicze to również wzrastający problem w Polsce. Z danych Narodowego Banku Polskiego wynika, że w pierwszym kwartale br. było niemal 39,2 tysiąca takich przypadków o rekordowej wartości prawie ćwierć miliarda złotych. W ciągu roku liczba oszukańczych przelewów wzrosła ponad dwukrotnie. Zmienia się też charakter tych przestępstw – rzadko chodzi o techniczne włamania, a coraz częściej o manipulację ofiarą metodą na fałszywego pracownika banku, fałszywego kupującego czy fałszywego brokera. Z tych utraconych niemal 246 milionów złotych traconych kwartalnie przez system finansowy i jego klientów, banki pokryły ok. 27 milionów zł, czyli jedynie ok. 11 proc. Resztę strat ponieśli posiadacze rachunków. Sprawa ta stanowiła więc dla TSUE okazję do sprecyzowania, jak powinno wyglądać równoważenie interesów klienta i banku, a może mieć znaczący wpływ zarówno na podział ryzyka, jak i na poziom ochrony.

Karolina Pilawska, adwokat z kancelarii Pilawska Zorski Adwokaci podkreśla, że dotychczasowa praktyka reklamacyjna w większości przypadków wygląda inaczej niż wynikałoby to z przepisów.

Klient zgłasza oszustwo, a bank odpowiada, że klient sam podał dane, zainstalował aplikację albo nie zabezpieczył telefonu. Bywa, że bank zapowiada powrót do sprawy dopiero po zakończeniu postępowania karnego lub prawomocnym wyroku. Poszkodowany, który już stracił oszczędności, musi wtedy sam sfinansować proces i czekać na rozstrzygnięcie latami – tłumaczy mec. Pilawska.

Pilawska wskazuje, że w 2024 r. Urząd Ochrony Konkurencji i Konsumentów (UOKiK) zarzucił kilkunastu bankom m.in. brak zwrotu lub zwrot spóźniony, tzw. zwroty warunkowe, w przypadku których pieniądze wracają na rachunek na czas reklamacji, a potem są automatycznie pobierane, gdy bank uzna klienta za winnego, oraz odrzucanie reklamacji wyłącznie dlatego, że transakcja została prawidłowo uwierzytelniona.

Taka argumentacja pomija, że operacji mógł dokonać ktoś inny, bez wiedzy klienta. Kilka tygodni temu (jeszcze przed wyrokiem TSUE, ale już po prokonsumenckiej opinii rzecznika generalnego) cztery z tych postępowań zakończyły się decyzjami zobowiązującymi. Banki mają zmienić praktyki i ponownie przeanalizują zgłoszenia, które wcześniej rozpatrzyły negatywnie. Dziesięć postępowań wobec innych dużych banków wciąż się jednak jeszcze toczy – zaznacza mec. Pilawska licząc, że czwartkowy wyrok TSUE rozwieje ostanie wątpliwości w tych kwestiach i uporządkuje tez niejednolite do tej pory orzecznictwo polskich sądów w takich sprawach.

Najpierw trzeba oddać, potem wyjaśniać

TSUE uznał, że przepisy dyrektywy 2015/2366/UE  należy interpretować w ten sposób, że dostawca usług płatniczych nie może odmówić płatnikowi bezzwłocznego zwrotu kwoty nieautoryzowanej transakcji płatniczej w związku z tym, że ów płatnik miał umożliwić dokonania tej transakcji wskutek rażącego zaniedbania z naruszeniem obowiązków ciążących na nim na mocy art. 69 dyrektywy 2015/2366. Od tej zasady dyrektywa przewiduje tylko jeden wyjątek - bank może wstrzymać zwrot, jeżeli ma uzasadnione podstawy, aby podejrzewać oszustwo ze strony klienta, i poinformuje o nich na piśmie właściwy organ krajowy. Samo przekonanie banku, że klient dopuścił się rażącego zaniedbania, np. nie chroniąc należycie swoich danych uwierzytelniających, nie zwalnia go z obowiązku bezzwłocznego zwrotu pieniędzy. Dlaczego? Gdyż dyrektywa rozróżnia obowiązek bezzwłocznego zwrotu środków od kwestii ostatecznej odpowiedzialności za straty. Bank musi najpierw zwrócić pieniądze, a następnie może dochodzić od klienta pokrycia strat, jeżeli udowodni, że wynikają one z umyślnego lub rażąco niedbałego naruszenia przez niego obowiązków.

TSUE podkreśla, że takie rozwiązanie służy zapewnieniu wysokiego poziomu ochrony konsumentów. Odmowa zwrotu środków wyłącznie na podstawie zarzutu rażącego zaniedbania po stronie klienta zmuszałaby klienta do samodzielnego dochodzenia swoich praw, narażając go na związane z tym koszty i niedogodności.

Takiej czwartkowej sentencji spodziewał się Związek Banków Polskich, gdyż jest ona zgodna z wydaną kilka miesięcy wcześniej opinią rzecznika generalnego.

W ostatnich latach większość banków podejmowała działania dostosowawcze praktyki zwrotu środków do oczekiwań KNF oraz Prezesa UOKIK, które wskazywały na obowiązek niezwłocznego zwrotu środków także w przypadkach rażącego niedbalstwa klienta - podkreśla ZBP w swoim komunikacie wydanym po ogłoszeniu wyroku TSUE.

Wyrok cieszy dr. Michała Ziemiaka, Rzecznika Finansowego. 

TSUE potwierdza to, o co apelowałem od dawna. Bank ma obowiązek niezwłocznie zwrócić środki utracone w wyniku nieautoryzowanej transakcji. Zasada D+1 powinna być regułą, a nie wyjątkiem. Klient zgłaszający oszustwo jest poszkodowany i fakt, że padł ofiarą manipulacji nie oznacza, że można przypisać mu winę i odmówić zwrotu pieniędzy. Bank nie może być sędzią we własnej sprawie, a zarzut rażącego niedbalstwa nie może być domyślnym uzasadnieniem odmowy zwrotu środków. Rolą banku jako profesjonalisty jest ochrona klienta przed utratą środków, a nie obarczanie go winą klienta i szukanie podstaw do odmowy zwrotu skradzionych pieniędzy – podkreśla Ziemiak.

W przyszłości ryzyko może być rozłożone inaczej

Wyrok TSUE zapadł w okresie, gdy w Brukseli trwają prace nad nowymi przepisami. Związek Banków Polskich (ZBP) podkreśla, że projektowane rozporządzenie Payment Services Regulation (PSR) przewiduje już możliwość odstąpienia od bezzwłocznego zwrotu środków, jeżeli bank ma obiektywnie uzasadnione podejrzenie rażącego niedbalstwa po stronie klienta. Z projektowanego art. 56 wynika, że odpowiedzialność banków za nieautoryzowane transakcje płatnicze może być znacznie ograniczona w porównaniu z obecnym stanem prawnym (zwłaszcza w przypadkach tzw. spoofingu, czyli podszywania się przez oszustów za kogoś innego). Banki dostaną też więcej czasu na przeanalizowanie nieautoryzowanej transakcji. Ponadto będzie więcej mechanizmów zabezpieczających.

Rozwiązanie to pokazuje, że unijny prawodawca dostrzega potrzebę zapewnienia odpowiedniej równowagi między ochroną użytkowników usług płatniczych a ich odpowiedzialnością za przestrzeganie zasad bezpieczeństwa.  Sektor bankowy chciałby też, aby wprowadzić szeroką odpowiedzialność branży telekomunikacyjnej – weryfikacje i współodpowiedzialność w razie skutecznego podszywania się pod pracowników banku. ZBP podkreśla, że zasadniczym wyzwaniem pozostaje skuteczne przeciwdziałanie przestępczości finansowej i ograniczanie skali oszustw płatniczych. Banki stale rozwijają systemy bezpieczeństwa i mechanizmy przeciwdziałania wyłudzeniom. Skuteczna ochrona środków wymaga jednak również zachowania odpowiedniej staranności przez klientów oraz współpracy wszystkich uczestników rynku - czytamy w komunikacie Związku Banków Polskich.

Wyrok TSUE z 15 października 2026 r., C-70/25