Nieautoryzowana płatność to taka, na którą właściciel konta się nie zgodził. Typowy przykład: oszust podsyła link do fałszywej strony banku, klient wpisuje tam login i hasło, a przestępca loguje się na jego konto i wysyła pieniądze na swój rachunek. Prawo, zarówno unijna dyrektywa PSD2, jak i polska ustawa o usługach płatniczych, każe bankowi taką kwotę szybko oddać. W praktyce banki często odmawiały, tłumacząc, że klient sam zawinił, bo podał dane do logowania, a to rażące niedbalstwo.
15 października 2026 r. Trybunał Sprawiedliwości UE rozstrzygnął, że takie tłumaczenie nie wystarcza, by zatrzymać pieniądze. W wyroku C-70/25 uznał, że bank najpierw musi zwrócić środki, a dopiero potem może próbować wykazać winę klienta i odzyskać od niego pieniądze. Wyrok zapadł w polskiej sprawie i dotyczy wprost polskich klientów banków. Trybunał poszedł w tym samym kierunku, który w marcu 2026 r. zaproponował w swojej opinii rzecznik generalny.
Co się stało w sprawie, którą rozstrzygał TSUE?
Klientka polskiego banku wystawiła przedmiot na sprzedaż w serwisie internetowym. Odezwał się rzekomy kupujący i przysłał link, który miał służyć do „potwierdzenia sprzedaży”. Link prowadził do strony łudząco podobnej do strony jej banku. Kobieta wpisała tam dane logowania do bankowości elektronicznej. Przestępca wykorzystał je i przelał z jej konta około 700 euro na rachunek, którym dysponował. Klientka zgłosiła to bankowi już następnego dnia. Bank odmówił zwrotu, twierdząc, że umożliwiła transakcję przez rażące niedbalstwo, bo nie chroniła swoich danych uwierzytelniających. Sprawa trafiła do polskiego sądu, a ten zapytał Trybunał, czy bank może w takiej sytuacji odmówić natychmiastowego zwrotu.
Co orzekł Trybunał?
TSUE odpowiedział, że bank musi zwrócić kwotę nieautoryzowanej transakcji niezwłocznie, najpóźniej do końca pierwszego dnia roboczego po tym, jak dowiedział się o transakcji lub został o niej poinformowany. Warunkiem jest to, by klient zgłosił sprawę bez zbędnej zwłoki. Od tej reguły dyrektywa przewiduje tylko jeden wyjątek: bank może wstrzymać zwrot, jeśli ma uzasadnione podstawy, by podejrzewać oszustwo ze strony samego klienta, i na piśmie poinformuje o tych podstawach właściwy organ krajowy.
Przekonanie banku, że klient zachował się rażąco niedbale, do tego wyjątku nie należy. Trybunał rozdzielił sprawę na dwa etapy. Najpierw bank oddaje pieniądze. Potem, jeśli uważa, że strata wynika z umyślnego albo rażąco niedbałego naruszenia obowiązków przez klienta, w szczególności obowiązku chronienia danych do logowania, może dochodzić od niego zwrotu. Ciężar udowodnienia rażącego niedbalstwa spoczywa na banku. Trybunał uzasadnił to wysokim poziomem ochrony konsumentów, który ma zapewniać dyrektywa. Gdyby bank mógł odmawiać z góry, obowiązek szybkiego zwrotu straciłby sens, a klient musiałby iść do sądu, by odzyskać własne pieniądze.
Kiedy bank może odmówić zwrotu nieautoryzowanej płatności?
Krótko: tylko wtedy, gdy ma uzasadnione podejrzenie, że oszustem jest sam klient, i zgłosi to na piśmie. Polska ustawa o usługach płatniczych (art. 46 ust. 1) mówi o „uzasadnionych i należycie udokumentowanych podstawach”, by podejrzewać oszustwo, i o pisemnym zawiadomieniu organów powołanych do ścigania przestępstw. Chodzi o sytuację, w której bank ma podstawy sądzić, że klient na przykład sam wyprowadził pieniądze i udaje ofiarę. Sam fakt, że klient padł ofiarą phishingu, takim podejrzeniem nie jest. W phishingu oszustem jest osoba trzecia, a klient jest pokrzywdzonym.
Ważne jest też, że bank nie może uznać transakcji za autoryzowaną tylko dlatego, że w jego systemach przeszła poprawne logowanie i potwierdzenie. Ustawa wprost stanowi (art. 45 ust. 2), że zarejestrowane użycie instrumentu płatniczego nie wystarcza do udowodnienia, że klient transakcję autoryzował. UOKiK w 2024 r. postawił zarzuty kilku bankom, m.in. za odrzucanie reklamacji z argumentem, że transakcja była prawidłowo uwierzytelniona, bez badania, czy zlecił ją klient. Łącznie urząd prowadził wtedy działania wobec 15 banków. W swoich decyzjach UOKiK podkreśla, że uwierzytelnienie, czyli np. wpisanie kodu SMS czy użycie odcisku palca, to nie to samo co autoryzacja, czyli zgoda klienta na konkretną operację.
Czy bank może potem zażądać pieniędzy z powrotem?
Tak, i to druga połowa wyroku, o której nie wolno zapominać. Zwrot nie zamyka sprawy na zawsze. Według ustawy klient odpowiada za nieautoryzowaną transakcję w pełnej wysokości, jeśli doprowadził do niej umyślnie albo przez umyślne lub rażąco niedbałe naruszenie swoich obowiązków, np. ochrony danych do logowania (art. 46 ust. 3). W innych przypadkach kradzieży lub przywłaszczenia instrumentu płatniczego odpowiedzialność klienta jest ograniczona do równowartości 50 euro (art. 46 ust. 2). Po zgłoszeniu bankowi utraty lub kradzieży danych klient odpowiada już tylko za to, co spowodował umyślnie.
Bank, który chce odzyskać pieniądze, musi więc wykazać rażące niedbalstwo, a nie tylko je zarzucić. To istotna różnica. Rażące niedbalstwo oznacza zachowanie wyraźnie odbiegające od tego, czego można oczekiwać od przeciętnie ostrożnej osoby, a nie każdą nieuwagę. Czy kliknięcie w dobrze przygotowany fałszywy link nim jest, zależy od okoliczności: jak wiarygodnie wyglądała strona, czy pojawiały się ostrzeżenia, co dokładnie klient potwierdził w aplikacji. To ocena w konkretnej sprawie, a w razie sporu rozstrzyga ją sąd. Związek Banków Polskich zareagował na wyrok, podkreślając, że szybki zwrot nie zwalnia klientów z odpowiedzialności za rażące niedbalstwo i że banki zachowują prawo do odzyskania wypłaconych kwot.
Bank oddał pieniądze, a potem je zabrał. Czy tak można?
Część banków stosowała dotąd zwrot warunkowy: oddawała pieniądze na czas rozpatrywania reklamacji, a po uznaniu, że winny jest klient, ponownie obciążała jego konto. UOKiK zakwestionował tę praktykę. 7 września 2026 r. poinformował o zakończeniu postępowań wobec Alior Banku, mBanku, BNP Paribas i Banku Millennium decyzjami zobowiązującymi. Banki nie dostały kar, ale muszą zmienić procedury i jeszcze raz przejrzeć reklamacje, które wcześniej odrzuciły. Wobec dziesięciu innych instytucji postępowania wciąż trwają.
Wyrok C-70/25 wzmacnia stanowisko klienta w takim sporze. Skoro to bank musi udowodnić rażące niedbalstwo, nie wystarczy, że sam uzna klienta za winnego. Jeśli bank żąda zwrotu pieniędzy albo ponownie obciąża rachunek, a klient się z tym nie zgadza, warto złożyć reklamację i zażądać wskazania, na jakich dowodach bank opiera zarzut rażącego niedbalstwa. Gdy spór się nie zakończy, rozstrzygnąć go może sąd, a ciężar dowodu nadal będzie po stronie banku.
Bank odrzucił reklamację przed wyrokiem. Czy można wrócić do sprawy?
Wyrok TSUE nie zmienia przepisów, tylko wyjaśnia, jak należało je rozumieć od początku. Obowiązek zwrotu do końca następnego dnia roboczego był w polskiej ustawie także wcześniej. Osoba, której bank odmówił zwrotu wyłącznie z powodu rzekomego rażącego niedbalstwa, może więc ponownie zażądać pieniędzy i powołać się na wyrok C-70/25. Klienci Aliora, mBanku, BNP Paribas i Millennium mogą dodatkowo zapytać, czy ich sprawa jest objęta ponownym przeglądem wynikającym z decyzji UOKiK, bo urząd nie podał, z jakiego okresu reklamacje banki mają sprawdzić. Przy starszych sprawach pojawia się pytanie o przedawnienie roszczenia, w którym orzecznictwo nie jest jednolite. Dlatego im dawniejsza transakcja, tym bardziej opłaca się działać od razu, a w razie odmowy skonsultować sprawę z prawnikiem lub Rzecznikiem Finansowym.
Przelew zlecony oszustowi to inna sytuacja
Wyrok C-70/25 nie dotyczy przelewów, które klient zlecił sam, nawet jeśli został do tego nakłoniony podstępem. Gdy ktoś podaje się za pracownika banku i przekonuje do przelania oszczędności na „bezpieczne konto”, gdy klient wpłaca pieniądze na fałszywą inwestycję albo przelewa je „wnuczkowi” czy „policjantowi”, transakcja jest co do zasady autoryzowana. Klient wiedział, że wysyła pieniądze, i chciał to zrobić, choć działał pod wpływem oszustwa. Wtedy przepisy o obowiązkowym zwrocie do końca następnego dnia roboczego nie mają zastosowania, a odzyskanie pieniędzy zależy od innych dróg: zawiadomienia organów ścigania, ewentualnej blokady środków na rachunku odbiorcy czy roszczeń wobec sprawcy.
Granica bywa jednak cienka. Jeśli oszust zdobył dane do logowania i sam zlecił przelew, płatność jest nieautoryzowana. Jeśli klient sam wpisał przelew, zwykle jest autoryzowana. Najtrudniejsze są przypadki pośrednie, na przykład gdy klient potwierdza w aplikacji operację, nie wiedząc, że to przelew na konto przestępcy. Wtedy liczą się szczegóły: co dokładnie wyświetlała aplikacja i na co klient rzeczywiście się zgodził. Podobne spory dotyczą kodów BLIK przekazanych oszustowi. Banki zwykle traktują zatwierdzenie takiej operacji jako zgodę klienta, ale i tu ocena zależy od tego, czy klient wiedział, jaką płatność zatwierdza. Unia pracuje też nad rozporządzeniem PSR, które może zmienić część tych zasad, ale na razie obowiązują przepisy dyrektywy PSD2 i polskiej ustawy.
Co zrobić, gdy z konta zniknęły pieniądze?
Najważniejszy jest czas. Transakcję trzeba zgłosić bankowi niezwłocznie, najlepiej od razu telefonicznie i w aplikacji, i jednocześnie zablokować dostęp do bankowości. Ustawa przewiduje na zgłoszenie maksymalnie 13 miesięcy od obciążenia rachunku, ale wyrok TSUE wiąże obowiązek szybkiego zwrotu ze zgłoszeniem bez zbędnej zwłoki, więc nie warto z tym czekać. Warto też złożyć zawiadomienie na policji lub w prokuraturze i zachować wszystkie ślady: wiadomości od oszusta, link, zrzuty ekranu, historię operacji.
Jeśli do końca następnego dnia roboczego po zgłoszeniu pieniądze nie wrócą, a bank nie powołuje się na podejrzenie oszustwa ze strony klienta zgłoszone organom ścigania, można złożyć reklamację, wskazując wprost na art. 46 ust. 1 ustawy o usługach płatniczych i wyrok TSUE w sprawie C-70/25. Przy reklamacjach dotyczących usług płatniczych bank ma na odpowiedź 15 dni roboczych, a w szczególnie skomplikowanych sprawach, po wyjaśnieniu przyczyny opóźnienia, najwyżej 35 dni roboczych (art. 15a ustawy o usługach płatniczych). Po odmowie można zwrócić się do Rzecznika Finansowego albo skierować sprawę do sądu. Gdy pieniądze wrócą, warto zachować całą dokumentację: jeśli bank później zażąda zwrotu, to on będzie musiał udowodnić rażące niedbalstwo, a klient będzie miał czym się bronić.
Wyrok w skrócie Sprawa: C-70/25 (Tukowiecka), wyrok TSUE z 15 października 2026 r., pytanie polskiego sądu. Przepis: art. 73 ust. 1 dyrektywy PSD2 (w Polsce art. 46 ust. 1 ustawy o usługach płatniczych). Zasada: zwrot nieautoryzowanej płatności najpóźniej do końca następnego dnia roboczego. Jedyny wyjątek: uzasadnione podejrzenie oszustwa popełnionego przez klienta, zgłoszone na piśmie właściwemu organowi. Rażące niedbalstwo: nie usprawiedliwia odmowy zwrotu, ale bank może je później wykazać i dochodzić pieniędzy od klienta. Ciężar dowodu: po stronie banku. Nie dotyczy: przelewów świadomie zleconych przez klienta oszustowi. |
Źródła: komunikat prasowy TSUE nr 147/26 z 15 października 2026 r. w sprawie C-70/25; ustawa z 19 sierpnia 2011 r. o usługach płatniczych (art. 15a, art. 44 ust. 2, art. 45, art. 46); dyrektywa (UE) 2015/2366 (PSD2); komunikat UOKiK z 14 lutego 2024 r. o postępowaniach wobec banków; komunikat UOKiK z 7 września 2026 r. o decyzjach zobowiązujących wobec Alior Banku, mBanku, BNP Paribas i Banku Millennium; stanowisko Związku Banków Polskich z 15 października 2026 r. (za BANK.pl).
Artykuł ma charakter informacyjny. Opisuje wyrok TSUE na podstawie komunikatu Trybunału; pełna treść wyroku publikowana jest na stronie curia.europa.eu. Ocena, czy transakcja była autoryzowana i czy doszło do rażącego niedbalstwa, zależy od okoliczności konkretnej sprawy. Tekst nie stanowi porady prawnej. Stan na 22 października 2026 r.
