PKO BP nie czeka na wyrok TSUE. Co ze zwrotem pieniędzy po oszustwie?

Gdy z konta znikają pieniądze, bo oszust przejął dane do bankowości internetowej, prawo daje klientowi mocne narzędzie. Transakcję, której nie zlecił, nazywa się nieautoryzowaną, a bank, po jej zgłoszeniu, ma obowiązek oddać pieniądze do końca następnego dnia roboczego. W praktyce wiele banków przez lata odpowiadało jednak odmową: klient sam podał login, hasło czy kod SMS, więc dopuścił się rażącego niedbalstwa i za stratę odpowiada sam. Kto chciał odzyskać pieniądze, musiał iść do sądu.

Ten model sprawdzi w czwartek Trybunał Sprawiedliwości UE. 15 października o 9:30 ma ogłosić wyrok w sprawie C-70/25, w której klientka pozwała PKO BP. Dzień przed wyrokiem największy polski bank zadeklarował, że nie czeka na rozstrzygnięcie. Jak napisała Karolina Wysota w money.pl, PKO BP przekazało, że już stosuje podejście zgodne z marcową opinią rzecznika generalnego TSUE. Bank nie podał jednak, od kiedy.

O co chodzi w sprawie C-70/25?

Klientka PKO BP sprzedawała rzeczy na portalu aukcyjnym. Rzekomy kupujący przesłał jej link do strony udającej bank, a ona podała tam dane do logowania. Oszust wykonał z jej rachunku transakcję na ok. 3 tys. zł. Klientka zgłosiła to bankowi następnego dnia, ale bank odmówił zwrotu, uznając, że rażąco zaniedbała ochronę swoich danych. Sprawa trafiła do Sądu Rejonowego w Koszalinie, który w lutym 2025 r. skierował pytanie do Luksemburga.

Sąd chce wiedzieć, czy bank musi niezwłocznie zwrócić pieniądze także wtedy, gdy uważa, że klient zawinił w sposób rażący, czy może taki zarzut postawić od razu i na tej podstawie odmówić zwrotu. Według money.pl sąd zwrócił też uwagę na praktykę rynku: banki nie pozywają klientów o oddanie zwróconych pieniędzy, tylko odmawiają zwrotu, więc ciężar sporu w praktyce przenoszony jest na konsumentów.

Co powiedział rzecznik generalny, a czego jeszcze nie wiemy?

5 marca 2026 r. opinię w tej sprawie przedstawił rzecznik generalny Athanasios Rantos. Według komunikatu TSUE uznał on, że bank nie może odmówić niezwłocznego zwrotu kwoty nieautoryzowanej transakcji z powodu rażącego niedbalstwa klienta. Dyrektywa przewiduje tylko jeden wyjątek: bank może wstrzymać zwrot, jeśli ma uzasadnione powody, by podejrzewać oszustwo, i poinformuje o tym na piśmie właściwy organ. Innych wyjątków, zdaniem rzecznika, nie ma.

Nie oznacza to, że bank zawsze ponosi stratę. Rzecznik wskazał, że zwrot nie przesądza sprawy. Jeśli bank ustali, że klient umyślnie lub przez rażące niedbalstwo naruszył swoje obowiązki, może żądać pokrycia straty, a gdy klient odmówi, to bank musi wystąpić do sądu. Różnica jest fundamentalna: dziś to klient bez pieniędzy pozywa bank, według opinii role miałyby się odwrócić.

Czy bank może sam zabrać zwrócone pieniądze z konta?

To pytanie zadaje wielu klientów, którym bank najpierw oddał pieniądze, a po kilku tygodniach ponownie obciążył rachunek, uznając, że transakcja jednak była autoryzowana albo że klient zawinił. Taką praktykę, obok opóźnionych zwrotów i uznawania poprawnie wpisanego kodu SMS za wystarczający dowód zgody, kwestionował w swoich postępowaniach UOKiK. Rzecznik generalny w sprawie C-70/25 również nie zostawił tu bankom furtki. Jak relacjonuje money.pl, odrzucił propozycję rządu Włoch, by bank mógł po zwrocie sam ściągnąć kwotę z konta klienta. Według opinii, jeśli klient nie odda pieniędzy dobrowolnie, bank musi uzyskać je wyrokiem sądu, a w sporze to on musi udowodnić rażące niedbalstwo.

Trzeba jednak wyraźnie zaznaczyć, że opinia rzecznika nie wiąże Trybunału. Sędziowie często podzielają jej kierunek, ale nie zawsze. Wiążąca wykładnia przepisów pojawi się dopiero w wyroku, który ma zapaść w czwartek. Do tego czasu wnioski rzecznika są argumentem, a nie rozstrzygnięciem.

Co mówi polska ustawa o zwrocie pieniędzy po oszustwie?

Dyrektywa o usługach płatniczych PSD2 została przeniesiona do ustawy o usługach płatniczych. Jej art. 46 nakazuje bankowi zwrócić kwotę nieautoryzowanej transakcji niezwłocznie, nie później niż do końca dnia roboczego następującego po jej stwierdzeniu lub zgłoszeniu. Wyjątkiem jest uzasadnione podejrzenie oszustwa, o którym bank zawiadamia na piśmie organy ścigania. Ten sam przepis mówi, że klient odpowiada do równowartości 50 euro, a w pełnej wysokości, gdy do transakcji doprowadził umyślnie albo przez rażące niedbalstwo.

Ustawa przesądza też dwie rzeczy, które w sporach z bankami mają duże znaczenie. To bank musi udowodnić, że transakcja była autoryzowana, a samo użycie instrumentu płatniczego, np. poprawne wpisanie kodu SMS, nie wystarcza jako dowód. Klient z kolei powinien zgłosić nieautoryzowaną transakcję niezwłocznie, a najpóźniej w ciągu 13 miesięcy od obciążenia rachunku. Spór dotyczy więc nie tego, czy rażące niedbalstwo ma znaczenie, ale kiedy i w jakim trybie bank może się na nie powołać.

Sam zrobiłeś przelew oszustowi? To inna sytuacja

Wyrok w sprawie C-70/25 dotyczy transakcji wykonanej przez oszusta, który przejął dostęp do konta. Inaczej wygląda sytuacja, gdy klient, zmanipulowany przez fałszywego pracownika banku, policjanta czy kupującego, sam zleca przelew albo zatwierdza płatność w aplikacji. Taka transakcja co do zasady jest traktowana jako autoryzowana, bo klient wyraził na nią zgodę, nawet jeśli działał w błędzie. Wtedy mechanizm zwrotu do końca następnego dnia roboczego nie działa, a odzyskanie pieniędzy zależy głównie od tego, czy uda się je zablokować na koncie odbiorcy, i od postępowania karnego. Skala jest duża: według danych NBP przywołanych przez money.pl w pierwszym kwartale 2026 r. oszustwa przy użyciu przelewów sięgnęły blisko 246 mln zł, a w ponad 60 proc. przypadków ofiary same wykonały przelew lub przekazały dane. Granica między „sam zleciłem” a „oszust zlecił za mnie” bywa w praktyce sporna, dlatego każdą odmowę warto przeanalizować, zanim uzna się sprawę za przegraną.

PKO BP: stosujemy już podejście z opinii. Od kiedy?

Deklaracja PKO BP ma znaczenie, bo pochodzi od strony tego sporu i od największego banku w kraju. W odpowiedzi dla money.pl bank podkreślił, że przestępcy działają coraz sprawniej, ofiarą oszustwa może paść także ostrożny klient, a każdy przypadek jest analizowany indywidualnie, zgodnie z przepisami. Podał też, że jego systemy wykrywają ponad 95 proc. ataków.

W odpowiedzi zabrakło jednak informacji kluczowych dla klientów. Bank nie podał daty, od której zmienił praktykę, ani nie wyjaśnił, czy wraca do reklamacji odrzuconych wcześniej z powodu rażącego niedbalstwa. Nie wiadomo też, czy zmiana oznacza zwrot w terminie D+1 w każdej sprawie bez podejrzenia oszustwa, czy tylko inne podejście w części przypadków.

Co z klientami, którym bank odmówił wcześniej?

To pytanie dotyczy nie tylko PKO BP. We wrześniu, jak przypomina money.pl, cztery banki: Alior Bank, mBank, BNP Paribas i Bank Millennium, zobowiązały się wobec UOKiK zmienić praktyki i ponownie rozpatrzyć wcześniej odrzucone reklamacje. Według tej samej relacji podobne postępowania wobec dziesięciu kolejnych podmiotów wciąż trwają. Rzecznik Finansowy w latach 2022–2025 otrzymał ponad 10 tys. wniosków o pomoc w sprawach odmowy zwrotu.

Wyrok TSUE nie przywróci automatycznie pieniędzy osobom, którym bank odmówił. Wykładnia Trybunału co do zasady wyjaśnia, jak przepisy należało rozumieć od początku, więc może być argumentem także w sporach o dawne transakcje, ale każdą sprawę trzeba ocenić osobno. Znaczenie będą miały termin zgłoszenia transakcji, przedawnienie roszczenia i to, czy sprawa nie zakończyła się już prawomocnym wyrokiem. Osoba, która zgłosiła transakcję w terminie i dostała odmowę, może złożyć ponowną reklamację, wniosek do Rzecznika Finansowego albo pozew.

Bank odmówił zwrotu. Ile ma czasu na odpowiedź i co dalej?

Przy usługach płatniczych bank musi odpowiedzieć na reklamację w ciągu 15 dni roboczych, a w szczególnie skomplikowanych sprawach najpóźniej w ciągu 35 dni roboczych, o ile wcześniej wyjaśni klientowi przyczynę opóźnienia. Jeśli tego nie zrobi, reklamację uważa się za rozpatrzoną zgodnie z wolą klienta. Po odmowie można złożyć do Rzecznika Finansowego wniosek o postępowanie interwencyjne albo polubowne. Według Rzecznika w latach 2022–2025 trafiło do niego ponad 10 tys. takich wniosków, a w sprawach, które doszły do sądu, sądy odrzucały argument rażącego niedbalstwa, gdy bank nie oddał pieniędzy w terminie D+1. Ostatecznym krokiem jest pozew. Jeśli czwartkowy wyrok potwierdzi opinię rzecznika generalnego, w takim sporze bankowi trudniej będzie bronić samej odmowy zwrotu, choć nadal będzie mógł próbować wykazać rażące niedbalstwo klienta.