„Właśnie się okradłaś”. Rzecznik Finansowy krytykuje kampanię banków

Przy nieautoryzowanej transakcji bank powinien co do zasady zwrócić pieniądze bezzwłocznie, najpóźniej do końca następnego dnia roboczego po jej stwierdzeniu lub zgłoszeniu. Może od razu badać okoliczności, ale samo podejrzenie rażącego niedbalstwa klienta nie pozwala odroczyć zwrotu. Ewentualnego zwrotu od klienta może dochodzić później. W praktyce część banków odwracała tę kolejność, co zakwestionował UOKiK. Teraz o odpowiedzialność za skutki oszustw spierają się dwa obozy. Rzecznik Finansowy Michał Ziemiak krytykuje kampanię Związku Banków Polskich, której jeden z filmów, jak relacjonuje Rzecznik, kończy się zdaniem „Właśnie się okradłaś”. Jego zdaniem kampania wpędza ofiary w poczucie winy. Według Rzecznika ZBP tłumaczy, że kampania ma szokować, by skłonić do refleksji.

Spór o reklamę jest tylko wierzchołkiem większego konfliktu. Chodzi o to, kto płaci, gdy klient da się zmanipulować przestępcy: klient czy bank. W ciągu kilku tygodni na to pytanie odpowiedzieli już Trybunał Sprawiedliwości UE i Prezes UOKiK, a dane NBP pokazują, o jakie pieniądze chodzi.

Co Rzecznikowi Finansowemu nie podoba się w kampanii ZBP?

ZBP i agencja Molecular pokazały pod koniec września kolejną odsłonę kampanii przeciwko cyberoszustwom. To sześć krótkich filmów o najczęstszych metodach wyłudzania pieniędzy i danych. Pierwsza edycja nosiła hasło „Nie pomagaj się okraść”. Myśl przewodnia nowej jest podobna: kto bezrefleksyjnie wykonuje polecenia przestępców, sam umożliwia oszustwo. W rozmowie z serwisem XYZ Rzecznik Finansowy opisał, że w najnowszej odsłonie bohaterka zakłada na głowę pończochę, atrybut złodzieja, a film kończy się stwierdzeniem „Właśnie się okradłaś”.

Ziemiak uważa, że taki przekaz stygmatyzuje ofiary. Jak mówi, rozmawiał o tym z ZBP i nie przekonuje go argument, że kampania ma szokować. Wskazuje, że wielu poszkodowanych nie zgłasza sprawy ani w banku, ani na policji, często ze wstydu. Zamiast wzmacniać poczucie winy, banki powinny jego zdaniem uczyć prawidłowej reakcji: odebrałeś podejrzany telefon albo kliknąłeś w dziwny link, to natychmiast poinformuj bank i powiedz o tym bliskiej osobie. Rzecznik ujmuje to krótko: „ofiara oszustwa nie jest sprawcą kradzieży”. ZBP przy prezentacji kampanii podkreślał, że edukacja musi nadążać za zmieniającymi się metodami przestępców, a celem jest wyrobienie nawyku zatrzymania się i sprawdzenia, kto naprawdę prosi o pieniądze, dane lub działanie.

Co orzekł TSUE w sprawie C-70/25?

Dla sporu o odpowiedzialność ważniejszy od kampanii jest wyrok z 15 października 2026 r. Sprawa dotyczyła klientki polskiego banku, która przy sprzedaży przedmiotu w internecie kliknęła w link oszustów i wpisała dane logowania na fałszywej stronie banku. Przestępca przelał z jej konta równowartość około 700 euro. Klientka zgłosiła to następnego dnia, a bank odmówił zwrotu, uznając, że rażąco zaniedbała ochronę danych.

Trybunał orzekł, że bank jest co do zasady zobowiązany do bezzwłocznego zwrotu kwoty nieautoryzowanej transakcji. W zakresie rozpatrywanego wyjątku może się od tego uchylić wtedy, gdy ma uzasadnione podstawy, by podejrzewać oszustwo samego klienta, i zawiadomi o tym na piśmie właściwy organ. Podejrzenie rażącego niedbalstwa nie uprawnia banku do odmowy natychmiastowego zwrotu. Bank może później dochodzić od klienta zwrotu strat, ale to on musi udowodnić, że klient działał umyślnie lub z rażącym niedbalstwem.

Polskie przepisy mówią to samo od lat. Ustawa o usługach płatniczych nakazuje zwrot najpóźniej do końca dnia roboczego następującego po zgłoszeniu nieautoryzowanej transakcji. Wyjątkiem jest uzasadnione i udokumentowane podejrzenie oszustwa, zgłoszone na piśmie organom ścigania. Rażącego niedbalstwa w tym katalogu nie ma. Jak zauważa Rzecznik, może ono być co najwyżej podstawą, by po czasie żądać od klienta oddania zwróconych pieniędzy. Rażące niedbalstwo to według niego nieumyślność granicząca z umyślnością, jak zapisanie PIN-u na karcie. Nie każda nieostrożność, a zwłaszcza nie każde zmanipulowanie klienta, spełnia tę definicję.

Co zrobił UOKiK z bankami, które odmawiały zwrotu?

Na początku września Prezes UOKiK zakończył po niemal czterech latach postępowania wobec czterech banków: Alior Banku, mBanku, BNP Paribas i Banku Millennium. Wydał decyzje zobowiązujące, w których banki zgodziły się zmienić praktyki i ponownie rozpatrzyć wcześniej odrzucone reklamacje dotyczące nieautoryzowanych transakcji. Urząd zarzucał im m.in., że zwroty bywały warunkowe i później cofane, a samo prawidłowe uwierzytelnienie w aplikacji banki traktowały jak autoryzację transakcji przez klienta. Prezes UOKiK Tomasz Chróstny podsumował to zdaniem: „Autoryzacja i uwierzytelnienie to nie to samo”. Według komunikatu UOKiK z 7 września postępowania wobec 10 kolejnych banków nadal trwały.

Te decyzje mają już wymiar finansowy. mBank w raporcie za III kwartał 2026 r. ujawnił, że w związku z decyzją zobowiązującą utworzył rezerwy w łącznej wysokości 35 mln zł, z czego 14 mln zł obciążyło wynik ostatniego kwartału. Bank przystąpił do wykonywania warunków decyzji, obejmujących ponowną analizę reklamacji w zakresie wskazanym w decyzji. Ponowna analiza nie oznacza jednak automatycznego zwrotu. Każda sprawa ma być oceniona na nowo. Klienci czterech banków objętych decyzjami, którym wcześniej odmówiono zwrotu, powinni więc sprawdzić, czy ich reklamacja trafi do ponownego rozpatrzenia.

Ile Polacy tracą na oszustwach i kto za to płaci?

Rzecznik w wywiadzie wskazuje na kwartalne straty rzędu ćwierć miliarda złotych. PKO BP, przytaczając dane NBP za I kwartał 2026 r., podaje niemal 246 mln zł wartości oszukańczych poleceń przelewu. W tej kwocie 152,3 mln zł stanowiły operacje wynikające z nakłonienia zmanipulowanej osoby do przelewu. Ta statystyka opisuje skalę oszustw, a nie liczbę spraw spełniających prawną definicję transakcji nieautoryzowanej. Nie przesądza też, kto ostatecznie poniósł stratę po reklamacjach i procesach.

Te proporcje trzeba czytać ostrożnie. Nie każdy przelew wykonany pod wpływem manipulacji jest w świetle prawa transakcją nieautoryzowaną. Jeśli klient sam zlecił przelew na konto oszusta, banki często uznają, że go autoryzował, i wtedy obowiązek zwrotu z ustawy nie działa. Granica między tymi sytuacjami jest właśnie przedmiotem sporu, który rozstrzygają UOKiK, sądy i TSUE. W latach 2016–2025 do Rzecznika Finansowego wpłynęło ponad 10 tys. wniosków o interwencję w sprawach nieautoryzowanych transakcji i 425 wniosków o tzw. istotny pogląd w sprawach sądowych. Według Ziemiaka to tylko wycinek problemu.

Co banki chcą ugrać, a co naprawdę robią?

Banki nie stoją z założonymi rękami. Według raportu ZBP infoDOK w III kwartale 2026 r. zablokowały 16 316 prób wyłudzenia kredytu na łączną kwotę 457,9 mln zł. Część z nich wdraża rozwiązania wykrywające, że klient korzysta z aplikacji, rozmawiając jednocześnie przez telefon, i ostrzega go, że rozmówca nie jest pracownikiem banku. Po wyroku TSUE ZBP zapewnił, że orzeczenie nie było dla sektora zaskoczeniem, a większość banków dostosowała już praktykę zwrotów do oczekiwań KNF i UOKiK.

W tej samej reakcji ZBP zwrócił jednak uwagę na projektowane unijne rozporządzenie o usługach płatniczych (PSR). Według ZBP uzgodniony tekst PSR ma dopuszczać odstąpienie od natychmiastowego zwrotu, gdy istnieje obiektywnie uzasadnione podejrzenie rażącego niedbalstwa klienta. Rada UE i Parlament Europejski zawarły porozumienie polityczne w sprawie PSR pod koniec listopada 2025 r., formalne przyjęcie rozporządzenia wciąż trwa. To jeden z istotnych kierunków projektowanych zmian. Projektowany wyjątek nie oznacza dowolnej odmowy: przewidziano m.in. obiektywne podstawy podejrzenia, pisemne uzasadnienie oraz postępowanie wyjaśniające z udziałem klienta i terminem 15 dni roboczych. Wyrok TSUE zamknął im drogę do odmowy zwrotu na podstawie obecnych przepisów, ale nowe unijne regulacje mogą ją częściowo otworzyć. Rzecznik podkreśla, że do tego czasu operujemy na projekcie. Według niego rozporządzenie ma zostać przyjęte w grudniu 2026 r. i miałoby być stosowane po 21 miesiącach. Tekst kompromisowy Rady UE precyzuje, że zasadniczo chodzi o 21 miesięcy od wejścia w życie, następującego 20 dni po publikacji, z wyjątkami dla wybranych przepisów. Jest to przedstawiane przez Rzecznika oczekiwanie co do harmonogramu, a nie ogłoszona data stosowania. Wejście w życie i rozpoczęcie stosowania przepisów to odrębne terminy.

Projekt PSR przewiduje też nowe obowiązki dla banków i innych uczestników rynku. Według opisu projektowanych rozwiązań przedstawionego przez Rzecznika, przy spełnieniu przewidzianych w projekcie warunków, jeśli oszust podszyje się pod bank, używając jego numeru telefonu, adresu e-mail lub strony, a klient zgłosi sprawę bankowi i policji, bank ma zwrócić całą kwotę. Jeżeli nie wstrzyma przelewu budzącego uzasadnione podejrzenie oszustwa, nie będzie mógł obciążyć stratą klienta. Platformy internetowe mają sprawdzać, czy reklamodawca usług finansowych ma zezwolenie, a operatorzy telekomunikacyjni przeciwdziałać podszywaniu się pod numery.

Jakie zmiany proponuje Rzecznik Finansowy?

Ziemiak przedstawia pięć rozwiązań, które banki mogłyby wdrożyć bez zmiany prawa. Pierwsze to przycisk alarmowy w aplikacji lub skrót na infolinii, który natychmiast blokuje środki na rachunku i kartach. Drugie to osoba zaufana, do której bank zadzwoni, gdy wykryje nietypowe operacje, bo zmanipulowany klient często nie słucha już pracownika banku. Trzecie to „money lock”, czyli zamrożona część oszczędności, której nie da się ruszyć bez wizyty w oddziale. Czwarte to 24 godziny karencji przy kredycie zaciąganym jednym kliknięciem w aplikacji, aby klient mógł ochłonąć, a bank sprawdzić, czy kredyt jest naprawdę jego decyzją. Piąte to uproszczona wersja aplikacji dla najbardziej narażonych, np. seniorów, bez możliwości zaciągania kredytów.

Rzecznik nie postuluje, by wprowadzać je ustawą. Część z nich mogłaby być opcją, z której klient sam decyduje się skorzystać. Na dłuższą metę Ziemiak proponuje model, w którym poszkodowany zawsze dostaje pieniądze od swojego banku, a bank ma prawo regresu wobec operatora telekomunikacyjnego lub platformy społecznościowej, jeśli to po ich stronie leżała przyczyna. Taki regres wymagałby jednak ustawy.

W ocenie redakcji chf24.pl spór o hasło „Właśnie się okradłaś” dotyczy również tego, czy poszkodowany szybko zgłosi zdarzenie. Edukacja powinna zachęcać do kontaktu z bankiem, zamiast wzmacniać wstyd. Trzeba jednak oddzielić przekaz reklamy od przesłanek prawnych: wyrok TSUE dotyczy nieautoryzowanych transakcji i nie gwarantuje zwrotu każdego przelewu wykonanego pod wpływem oszusta. Uwierzytelnienie operacji nie dowodzi samo w sobie zgody klienta. Najbardziej praktyczny wniosek z propozycji Rzecznika to możliwość ograniczenia szkody jeszcze przed rozstrzygnięciem sporu — przez szybką blokadę, limity i dodatkowy czas na decyzję. Warto sprawdzić, które takie funkcje oferuje własny bank.

Klient, który padł ofiarą oszustwa, powinien od razu zgłosić sprawę w banku. Ustawa wymaga zgłoszenia niezwłocznie, a co do zasady po 13 miesiącach od obciążenia rachunku roszczenia dotyczące nieautoryzowanej transakcji wygasają. Ustawa przewiduje wyjątek związany z niedopełnieniem przez dostawcę obowiązków informacyjnych. Następnie sprawę trzeba zgłosić na policji i wziąć zaświadczenie o zgłoszeniu. Jeśli bank odmówi zwrotu, przysługuje mu reklamacja, którą bank ma co do zasady rozpatrzyć w 15 dni roboczych; w szczególnie skomplikowanych przypadkach termin może wynosić 35 dni roboczych, po wymaganym wyjaśnieniu przyczyny opóźnienia. Gdy to nie pomoże, może zwrócić się do Rzecznika Finansowego albo pójść do sądu. Po wyroku C-70/25 samo powołanie się banku na rażące niedbalstwo nie jest podstawą, by wstrzymać zwrot pieniędzy z nieautoryzowanej transakcji.