Nieautoryzowana transakcja to przelew lub płatność, na którą klient banku nie wyraził zgody: oszust przejmuje dane do logowania, podsuwa fałszywą stronę banku albo podpina kartę ofiary do swojego telefonu. Co do zasady bank powinien zwrócić kwotę niezwłocznie, najpóźniej do końca następnego dnia roboczego po stwierdzeniu transakcji lub otrzymaniu zgłoszenia. Ustawa przewiduje warunki i wyjątki. Zastrzeżenia UOKiK dotyczyły m.in. utożsamiania prawidłowego uwierzytelnienia ze zgodą klienta na transakcję. 4 listopada 2026 r. UOKiK opublikował decyzje wobec czterech kolejnych banków: ING Banku Śląskiego, Banku Ochrony Środowiska, Nest Banku i Plus Banku. Banki mają zmienić procedury i ponownie rozpatrzyć objęte decyzjami reklamacje. W tych rozstrzygnięciach nie nałożono kar pieniężnych za wskazane praktyki. Razem z wrześniowymi decyzjami wobec Alior Banku, mBanku, BNP Paribas i Banku Millennium to łącznie osiem banków objętych podobnymi decyzjami zobowiązującymi. Nie oznacza to identycznych warunków dla każdego klienta. Poniżej analizujemy szczegóły czterech listopadowych decyzji: zakres ponownej weryfikacji, terminy i wyłączenia, bez gwarantowania indywidualnego zwrotu.
Dlaczego UOKiK nie ukarał banków?
Wszystkie cztery listopadowe rozstrzygnięcia to decyzje zobowiązujące na podstawie art. 28 ustawy o ochronie konkurencji i konsumentów. Po uprawdopodobnieniu naruszenia i przedstawieniu zobowiązań przez przedsiębiorcę Prezes UOKiK może nałożyć obowiązek ich wykonania. Nie jest to ugoda cywilna ani zwykła wymiana „obietnic za brak kary”. Art. 28 ust. 4 wyłącza w tym trybie stosowanie decyzji z art. 26–27 oraz kary z art. 106 ust. 1 pkt 4, z ustawowym zastrzeżeniem. Nie oznacza to bezterminowej ochrony przed konsekwencjami niewykonania zobowiązań.
Zarzuty dotyczyły dwóch praktyk. Pierwsza to niezwracanie pieniędzy w terminie z art. 46 ust. 1 ustawy o usługach płatniczych, mimo braku jednego z dwóch wyjątków: udokumentowanego podejrzenia oszustwa ze strony samego klienta zgłoszonego organom ścigania albo zgłoszenia po upływie 13 miesięcy. Druga to odpowiedzi na reklamacje sugerujące, że samo poprawne uwierzytelnienie wyłącza obowiązek zwrotu. W decyzji wobec Plus Banku chodziło o informowanie klientów, że „użycie PIN świadczy o autoryzacji operacji”.
Co zmienia wyrok TSUE C-70/25?
UOKiK powołuje się na wyrok Trybunału Sprawiedliwości UE z 15 października 2026 r. w sprawie C-70/25 (Tukowiecka). Sprawa trafiła do Luksemburga z polskiego sądu. Klientka sprzedawała rzecz w internecie, kliknęła w fałszywy link od rzekomego kupującego i podała dane do bankowości na stronie podszywającej się pod bank. Bank odmówił zwrotu, zarzucając jej rażące niedbalstwo. W decyzji wobec BOŚ urząd streścił rozstrzygnięcie tak:
„(…) przepisy art. 73 ust. 1 i art. 74 ust. 1 dyrektywy PSD2 należy interpretować w ten sposób, że dostawca usług płatniczych nie może odmówić płatnikowi bezzwłocznego zwrotu kwoty nieautoryzowanej transakcji płatniczej w związku z tym, że ów płatnik miał umożliwić dokonanie tej transakcji wskutek rażącego zaniedbania z naruszeniem obowiązków ciążących na nim na mocy art. 69 tejże dyrektywy”.
Wyrok rozdziela obowiązek szybkiego zwrotu od ostatecznej odpowiedzialności za stratę. Sam zarzut rażącego niedbalstwa nie uzasadnia odmowy bezzwłocznego zwrotu. Według komunikatu prasowego TSUE bank musi najpierw oddać pieniądze, a dopiero potem może dochodzić ich zwrotu, jeśli udowodni, że klient działał umyślnie lub z rażącym niedbalstwem. Ciężar dowodu spoczywa na banku. Wyjątek od tego obowiązku natychmiastowego zwrotu dotyczy uzasadnionego podejrzenia oszustwa po stronie klienta, zgłoszonego na piśmie właściwemu organowi. Osobno trzeba ocenić, czy zgłoszono rzeczywiście nieautoryzowaną transakcję i czy spełniono ustawowe zasady powiadomienia banku.
Po czym bank pozna „uzasadniony przypadek”?
W komunikacie UOKiK mowa o zwrocie pieniędzy „w uzasadnionych przypadkach”. Szczegółowych warunków trzeba szukać w decyzji właściwej dla danego banku. Omawiane niżej ścieżki dotyczą szczególnego ponownego rozpatrzenia wcześniejszych odmów, a nie zastąpienia ustawowej zasady D+1. Po pierwsze, ustalenie, że transakcja była autoryzowana, „nie będzie opierało się wyłącznie na wykazaniu prawidłowego uwierzytelnienia”, a bank musi ustalić, że klient zatwierdził ją samodzielnie, bez ingerencji osób trzecich. Decyzje wprost wyliczają sytuacje, których bank nie potraktuje jako autoryzowanych: przekazanie oszustowi danych do logowania lub danych karty, aktywowanie aplikacji banku na cudzym urządzeniu czy udostępnienie pulpitu przez aplikację do zdalnej obsługi.
Po drugie, w ponownej weryfikacji bank przypisze każdą sprawę do jednej z kilku ścieżek. Najważniejsze jest to, że nawet ustalenie rażącego niedbalstwa nie kończy sprawy odmową. Bank może wtedy oddać pieniądze od razu albo wysłać klientowi szczegółowe pismo z opisem swoich ustaleń i terminem na odpowiedź, nie krótszym niż 30 dni. Jeżeli klient w odpowiedzi zażąda zwrotu, bank oddaje pieniądze w ciągu 15 dni roboczych i dopiero potem może dochodzić ich w sądzie. W decyzji wobec ING Banku Śląskiego zapisano też wprost, co się stanie, gdy klient nie odpowie:
„(…) nieustosunkowanie się przez konsumenta do przedmiotowej komunikacji i niepodtrzymanie żądania zwrotu kwoty skutkować będzie niezwróceniem kwoty roszczenia przez Bank”.
Podobnie jest, gdy bank uzna, że ma dowody autoryzacji. Musi je wtedy pokazać klientowi i wezwać go do odniesienia się. Jeśli klient zaprzeczy autoryzacji, bank albo zwraca pieniądze w ciągu 15 dni roboczych, albo składa zawiadomienie o podejrzeniu próby oszustwa. Podobne ścieżki przewidują cztery listopadowe decyzje. Ich zakres oraz tryb dla poszczególnych grup klientów wymagają jednak sprawdzenia w konkretnym dokumencie. Odpowiedź na pismo ma istotne znaczenie w tej szczególnej procedurze. Nie jest jednak gwarancją zwrotu ani samodzielnym rozstrzygnięciem o wszystkich prawach klienta.
Kiedy klienci odzyskają pieniądze?
Trzeba odróżnić terminy względne od wskazanych dat kalendarzowych. Wdrożenie procedur ma nastąpić w ciągu sześciu miesięcy od prawomocności. Inne obowiązki mają daty graniczne, m.in. 31 grudnia 2027 r. i 30 kwietnia 2028 r. Samo ogłoszenie 4 listopada nie potwierdza prawomocności. Poniższy harmonogram dotyczy szczególnej weryfikacji dawnych odmów, nie nowych terminów dla każdej transakcji.
| Data | Co się dzieje |
|---|---|
| 16 listopada 2022 r. | początek okresu, z którego reklamacje zostaną ponownie rozpatrzone |
| wrzesień 2026 r. | decyzje wobec Alior Banku, mBanku, BNP Paribas i Banku Millennium |
| 15 października 2026 r. | wyrok TSUE w sprawie C-70/25 |
| 3 listopada 2026 r. | decyzje wobec ING Banku Śląskiego, BOŚ, Nest Banku i Plus Banku (ogłoszone 4 listopada) |
| do 6 miesięcy od uprawomocnienia | wdrożenie nowych procedur w bankach |
| do 31 sierpnia 2027 r. | pisma do byłych klientów (wg decyzji wobec BOŚ) |
| do 31 grudnia 2027 r. | ponowne rozpatrzenie objętych decyzją reklamacji; późniejsza odpowiedź klienta może uruchamiać osobny termin zwrotu |
| do 31 marca 2028 r. | okno na odniesienie się do ustaleń w procedurze wskazanej w pkt XVI sentencji ING: termin z pkt XIV przedłużony o 3 miesiące; nie jest to jedna data dla wszystkich czynności klienta |
| do 30 kwietnia 2028 r. | raport banków dla UOKiK z wykonania decyzji |
Harmonogram pozwala na ponowną ocenę części odmów z końca 2022 r. dopiero do końca 2027 r. To odległa data graniczna, nie prognoza czasu oczekiwania każdego klienta. Obowiązek sprawozdania do 30 kwietnia 2028 r. nie dowodzi, że UOKiK nie uzyska wcześniej żadnych informacji. Komunikat i jawne dokumenty nie pozwalają określić pełnej liczby spraw oraz łącznej kwoty przyszłych zwrotów; część danych została zastrzeżona jako informacje prawnie chronione.
Kto wypada z rewizji UOKiK?
W czterech analizowanych listopadowych decyzjach podstawowy zakres ponownego rozpatrzenia odnosi się do zgłoszeń od 16 listopada 2022 r. Poszczególne grupy i daty końcowe opisano jednak oddzielnie. Warto zwrócić uwagę na szczegół: według sentencji decyzji liczy się data złożenia reklamacji, a nie data odpowiedzi banku, jak można zrozumieć z komunikatu prasowego. Decyzje nie wyjaśniają, skąd wzięła się akurat ta data. Starsze zgłoszenie może pozostawać poza tym programem, ale nie przesądza to wygaśnięcia wszystkich roszczeń. Oddzielnie trzeba ocenić ustawę, terminy oraz dostępne sposoby dochodzenia praw.
Decyzje wyłączają też kilka innych grup. Rewizją nie zostaną objęte zgłoszenia złożone później niż 13 miesięcy od obciążenia rachunku, sprawy, w których klient do dnia wdrożenia nowych procedur wniósł już pozew do sądu, zgłoszenia wycofane, sprawy, w których bank zawiadomił organy ścigania o podejrzeniu przestępstwa klienta, oraz reklamacje osób, które oddały bankowi zwrócone wcześniej pieniądze albo skorzystały z prawa do usunięcia danych osobowych. Wyłączenie z tej procedury spraw objętych pozwem nie oznacza obowiązku prowadzenia procesu aż do wyroku. Dalsze czynności zależą od sytuacji procesowej i ewentualnego porozumienia stron.
Ważne jest rozróżnienie między aktualnymi i byłymi klientami, przy czym status oraz właściwy okres określa decyzja. Nest Bank, Plus Bank i BOŚ przewidują dla wskazanych aktualnych klientów ponowną weryfikację z inicjatywy banku. Byli klienci otrzymają informację o trybie wnioskowym; bank ma zapewnić na wniosek co najmniej trzy miesiące od poinformowania.
W ING nie wystarczy ogólne hasło „obecni klienci nic nie robią”. Punkt XV sentencji wskazuje zgłoszenia aktualnych klientów z okresu 16 listopada 2022 r.–16 sierpnia 2026 r. Z kolei pkt XXI.5 obejmuje trybem wnioskowym także aktualnych i byłych klientów, których reklamacje zostały rozpatrzone negatywnie od 17 sierpnia 2026 r. do wdrożenia procedur. Pierwszy zapis odnosi się do dat zgłoszeń, drugi do dat negatywnego rozpatrzenia. Sprawdź obie daty i treść otrzymanej komunikacji.
Jeśli dane kontaktowe są nieaktualne, zaktualizuj je bezpiecznym kanałem banku. Pisma do byłych klientów kierowane są na ostatnie znane dane; nie zakładaj, że powiadomienie dotrze automatycznie po zmianie adresu.
Uwaga na terminy ustawowe: art. 44 nakazuje niezwłoczne powiadomienie banku i co do zasady przewiduje wygaśnięcie roszczeń przy braku zgłoszenia w ciągu 13 miesięcy. Art. 44 ust. 4 zawiera wyjątek, gdy dostawca nie udostępnił wymaganej informacji o transakcji. To odrębna kwestia od przedawnienia oraz od okresu objętego ponowną weryfikacją.
Czy decyzja UOKiK zamyka drogę do sądu?
Nie. Decyzje zastrzegają wprost, że rozpatrzenie reklamacji na nowych zasadach „nie wyłącza ani nie ogranicza uprawnienia konsumenta do dochodzenia dalej idących roszczeń na drodze cywilnoprawnej”, a bank nie może powoływać się na decyzję UOKiK jako uzasadnienie odmowy. Rewizja jest więc dodatkową ścieżką, a nie jedyną. Dla osób spoza okresu objętego rewizją, w tym tych, które zgłosiły kradzież przed 16 listopada 2022 r., podstawą pozostaje art. 46 ustawy o usługach płatniczych, a od października 2026 r. także wyrok TSUE C-70/25, na który można powoływać się w sądzie.
Co zrobić, jeśli odrzucono Twoje zgłoszenie?
- Odszukaj datę transakcji, zgłoszenia oraz odpowiedzi banku.
- Sprawdź decyzję dotyczącą swojego banku, status klienta i wyłączenia programu.
- Zachowaj wyciąg, reklamację, odpowiedź i korespondencję. Odróżniaj uwierzytelnienie od zgody na konkretną operację.
- Przeczytaj nowe pismo banku, w tym żądane wyjaśnienia, kanały odpowiedzi i terminy. Zachowaj potwierdzenie wysłania.
- Nie traktuj programu jako powodu do odłożenia nowego zgłoszenia lub sprawdzenia terminów roszczenia.
W ocenie redakcji CHF24 najważniejsze są praktyczne warunki ponownej weryfikacji. Nowa decyzja tworzy dodatkową ścieżkę dla określonych wcześniejszych odmów, ale nie gwarantuje pieniędzy każdemu klientowi i nie zastępuje obowiązków ustawowych. Osobno trzeba rozpatrywać zakres programu, zasadę szybkiego zwrotu i ewentualny dalszy spór o odpowiedzialność.
Więcej kontekstu: kiedy bank zwraca pieniądze po nieautoryzowanej płatności oraz czy bank może dochodzić zwrotu od klienta po wypłacie.
Źródła i zakres weryfikacji
- UOKiK — komunikat z 4 listopada 2026 r.
- Nest Bank — decyzja RWR-7/2026, zwłaszcza sentencja, części B i C
- Plus Bank — decyzja RWR-8/2026
- BOŚ — decyzja RGD-16/2026
- ING — sentencja RKR-4/2026, w tym pkt XIV–XXII
- UOKiK — wrześniowe rozstrzygnięcia dotyczące Alior Banku, mBanku, BNP Paribas i Millennium
- TSUE C-70/25 — komunikat nr 147/26 z 15 października 2026 r.
- Ustawa o usługach płatniczych — art. 44–46
- Ustawa o ochronie konkurencji i konsumentów — art. 28
Analiza szczegółowych warunków dotyczy czterech listopadowych decyzji. Informację o czterech wcześniejszych bankach potwierdza wrześniowy komunikat UOKiK; nie zakładamy identyczności wszystkich ośmiu dokumentów. Nie potwierdziliśmy dat prawomocności. Daty kalendarzowe i terminy liczone od prawomocności należy rozróżniać. Cytaty z decyzji zachowują ich brzmienie; wyróżnienia pochodzą od redakcji.
Stan informacji: 4 listopada 2026 r. Materiał informacyjny, nie indywidualna porada ani gwarancja zwrotu. Ilustracja AI przedstawia fikcyjną scenę, nie rzeczywistego klienta ani dokument konkretnego banku.
