Wyrok Trybunału Sprawiedliwości UE z 15 października 2026 r. w sprawie C‑70/25 Tukowiecka wzmacnia ochronę osób, które padły ofiarą nieautoryzowanych transakcji płatniczych, w tym phishingu. TSUE przesądził, że bank nie może wstrzymać zwrotu pieniędzy wyłącznie dlatego, że uważa, iż klient dopuścił się rażącego niedbalstwa – na przykład podał dane logowania na fałszywej stronie internetowej.
Co do zasady bank powinien niezwłocznie przywrócić rachunek do stanu, w jakim znajdowałby się bez nieautoryzowanej transakcji. W polskich przepisach regułę tę wyraża art. 46 ust. 1 ustawy o usługach płatniczych. Jedyny wskazany wyjątek dotyczy sytuacji, w której bank ma uzasadnione podstawy, by podejrzewać oszustwo po stronie klienta, i zawiadomi o tych podstawach na piśmie właściwy organ krajowy.
Czy bank musi oddać skradzione pieniądze? Wyrok TSUE C-70/25 a nieautoryzowane transakcje płatnicze
Przypomnieć należy, iż dnia 5 maja 2026 r. Rzecznik Generalny TSUE wydał opinię w sprawie C-70/25 (Tukowiecka), zgodnie z którą banki mają obowiązek bezzwłocznego zwrotu środków skradzionych klientowi w pierwszej kolejności (w przypadku nieautoryzowanej transakcji), a dopiero później weryfikacji ewentualnego rażącego niedbalstwa po stronie konsumenta.
Wyrok TSUE z dnia 15 października 2026 r., w sprawie C 70/25 wprost stwierdził, że w przypadku nieautoryzowanej transakcji płatniczej dostawca usług płatniczych jest co do zasady zobowiązany dobezzwłocznego zwrotu kwoty tej transakcji, najpóźniej do końca pierwszego dnia roboczego następującego po dniu,w którym się o niej dowiedział lub został o niej poinformowany, pod warunkiem, że klient bez zbędnej zwłoki poinformujeo tym dostawcę usług płatniczych(tzw. zasada D+1).
Zarówno opinia Rzecznika Generalnego TSUE jak i wyrok TSUE w sprawie C-70/25 zmieniają ciężar dowodu w sprawach oszustw finansowych oraz sposób ich prowadzenia i znacząco wzmacniają prawa konsumentów w przypadku skradzionych pieniędzy.
Bank powinien bowiem dokonać niezwłocznego zwrotu skradzionych pieniędzy. TSUE przyjął korzystną dla konsumentów wykładnię przepisów dotyczących nieautoryzowanych transakcji płatniczych – dostawca usług płatniczych nie może odmówić płatnikowi bezzwłocznego zwrotu kwoty nieautoryzowanej transakcji płatniczej wzwiązku ztym, że ów płatnik miał umożliwić dokonanie tej transakcji wskutek rażącego zaniedbania znaruszeniem obowiązków ciążących na nim na mocy art.69 dyrektywy 2015/2366.
Innymi słowy: bank nie powinien wstrzymywać zwrotu skradzionych środków wyłącznie dlatego, że podejrzewa, iż klient mógł dopuścić się rażącego niedbalstwa, na przykład podając dane logowania na stronie przygotowanej przez oszustów.
Nieautoryzowana transakcja a autoryzacja – co to oznacza w praktyce?
Nieautoryzowana transakcja płatnicza jest operacją na którą płatnik nie wyraził świadomej zgody. Transakcje te dotyczą bardzo często przelewów wykonywanych przez oszustów po uzyskaniu dostępu do bankowości elektronicznej, płatności dokonywanych kartą płatniczą bez wiedzy posiadacza rachunku czy też transakcji wykonanych przy wykorzystaniu wyłudzonych danych uwierzytelniających.
Z kolei autoryzacja danej transakcji to nic innego jak techniczne potwierdzenie transakcji zgodnie z procedurą obowiązującą w banku, która ma na celu weryfikację tożsamości użytkownika. Autoryzację stanowi zatem potwierdzenie transakcji kodem SMS, zatwierdzenie powiadomienia w aplikacji mobilnej czy też logowanie do bankowości elektronicznej.
Autoryzacja nie oznacza jednak, że to faktycznie klient ją autoryzował. W przypadku oszustw bardzo często dochodzi bowiem do nieświadomego przekazania danych oszustom, którzy wykorzystują te dane do wykonania niepożądanej operacji na naszym rachunku.
Uwierzytelnienie nie jest równoznaczne z autoryzacją transakcji (która musi być świadoma).
Obowiązek banku zwrotu środków w pierwszej kolejności. Zasada D+1
Zasadą która wynika z art. 46 ust. 1 ustawy z dnia 19 sierpnia 2011 r. o usługach płatniczych jest obowiązek dostawcy usług płatniczych (banku), do niezwłocznego zwrotu kwoty nieautoryzowanej transakcji. Zwrot powinien nastąpić najpóźniej do końca dnia roboczego następującego po dniu stwierdzenia transakcji albo otrzymania zgłoszenia klienta (Zasada D+1).
Jeżeli transakcja obciążyła rachunek bankowy, bank powinien przywrócić rachunek do stanu, jaki istniałby, gdyby nie doszło do nieautoryzowanej operacji. Data waluty w odniesieniu do uznania rachunku płatniczegopłatnika nie może być późniejsza od daty obciążenia tą kwotą.
Innymi słowy – zasadą jest, że bank nie powinien uzależniać zwrotu skradzionych pieniędzy od przeprowadzenia własnego postępowania reklamacyjnego. Obowiązkiem banku jest bowiem zwrot skradzionych pieniędzy – co oczywiście nie wyłącza uprawnienia banku do badania okoliczności samego zdarzenia, z tym zastrzeżeniem, że badanie to (weryfikacja) nie może odsuwać w czasie obowiązku wspomnianego zwrotu.
Rażące niedbalstwo a zwrot skradzionych pieniędzy z konta
Wyrok TSUE C -70/25 rozdziela dwie kwestie: 1) obowiązku dokonania zwrotu skradzionych pieniędzy; 2) ewentualną odpowiedzialność klienta za spowodowanie szkody.
O czym była już mowa w niniejszym artykule bank powinien najpierw dokonać zwrotu skradzionych środków, także w sytuacji gdy w jego ocenie klient mógł naruszyć obowiązek ochrony danych uwierzytelniających.
Dopiero w dalszej kolejności bank może dochodzić od klienta wyrównania poniesionej straty i udowadniać, że klient doprowadził do danej transakcji umyślnie lub w wyniku rażącego niedbalstwa. Ciężar dowodu spoczywa zatem na banku, który musi wykazać konkretne okoliczności świadczące o tym, że transakcja była autoryzowana przez klienta bądź też klient doprowadził do niej umyślnie lub w wyniku rażącego niedbalstwa.
Bank nie może poprzestać na samym stwierdzeniu, iż doszło do udostępnienia danych lub użycia prawidłowego instrumentu płatniczego. Co więcej, rażące niedbalstwo nie oznacza każdego błędu czy nieuwagi. Rażące niedbalstwo oznacza kwalifikowane naruszenie podstawowych zasad ostrożności, oceniane z uwzględnieniem całokształtu okoliczności sprawy. Sam fakt, że klient kliknął w link albo podał dane na fałszywej stronie, nie może automatycznie przesądzać o utracie prawa do zwrotu skradzionych pieniędzy.
Kiedy bank może odmówić natychmiastowego zwrotu? Wyjątek od obowiązku zwrotu skradzionych pieniędzy
Ustawa o usługach płatniczych przewiduje jeden wyjątek od obowiązku niezwłocznego zwrotu. Bank może wstrzymać zwrot, jeżeli ma uzasadnione i należycie udokumentowane podstawy do podejrzenia oszustwa po stronie klienta oraz poinformuje o tych podstawach na piśmie właściwe organy powołane do ścigania przestępstw. Wynika ta wprost z 46 ust. 1 ustawy o usługach płatniczych.
Aby odmówić zwrotu skradzionych pieniędzy bank musi zatem wskazać na konkretne okoliczności, które uzasadniają podejrzenie oszustwa po stronie płatnika i zawiadomić organy ścigania. Nie jest tutaj wystarczające ogólnikowe powołanie się na regulamin banku czy okoliczność prawidłowego zalogowania się do aplikacji mobilnej.
Skradzione pieniądze z konta – obowiązek natychmiastowego działania
W przypadku nieautoryzowanej transakcji płatniczej obowiązkiem klienta jest niezwłoczne powiadomienie banku o jej stwierdzeniu.
Jeżeli nie dokonamy powiadomienia, w terminie 13 miesięcy od dnia obciążenia rachunku płatniczego albo od dnia,w którym transakcja miała być wykonana, roszczenia względem banku wygasają.
Wskazany 13-miesięczny termin nie oznacza jednak, że możemy zwlekać z powiadomienie banku o nieautoryzowanej transakcji płatniczej. W przypadku wykrycia oszustwa powinniśmy dokonać następujących czynności:
– skontaktować się (natychmiast) z bankiem i zgłosić nieautoryzowaną transakcję;
– zablokować dostęp do bankowości elektronicznej;
– uzyskać potwierdzenie odpowiedniego zgłoszenia ze strony banku;
– zachować wszelkie wiadomości SMS, e-maile, linki, numery telefonów, zrzuty ekranu i potwierdzenia przelewów, które dotyczą lub mogą dotyczyć oszustwa
– rozważyć złożenie zawiadomienie o podejrzeniu popełnienia przestępstwa
– złożyć zgłoszenie do CERT.
W ostatnim kroku należy złożyć reklamację do banku jeżeli ten nie zwróci nam skradzionych środków zgodnie z zasadą D+1.
Czy bank musi oddać skradzione pieniądze? Najważniejszy wniosek dla klientów płynący z wyroku TSUE C-70/25
Zgodnie z wyrokiem TSUE C-70/25 bank powinien w pierwszej kolejności przywrócić klientowi środki utracone w wyniku nieautoryzowanej transakcji i ewentualnie w dalszej kolejności domagać się od klienta zwrotu tychże środków na drodze postępowania sądowego.
Wyrok nie oznacza jednak, że bank ponosi ostateczny ciężar każdej zakwestionowanej transakcji. Po dokonaniu zwrotu może dochodzić od klienta wyrównania straty, jeżeli wykaże, że klient umyślnie albo wskutek rażącego niedbalstwa naruszył swoje obowiązki, w szczególności obowiązek ochrony indywidualnych danych uwierzytelniających. Ciężar udowodnienia tych okoliczności spoczywa jednak na dostawcy usług płatniczych (banku), a nie na poszkodowanym kliencie.
W praktyce to ważna zmiana praktyczna: zgłoszenie nieautoryzowanej transakcji powinno prowadzić przede wszystkim do szybkiego zwrotu środków, a nie do długiego oczekiwania na wynik wewnętrznego postępowania reklamacyjnego czy następnie postępowania sądowego. Warto niezwłocznie zawiadomić bank oraz zabezpieczyć dowody, takie jak wiadomości, linki, zrzuty ekranu i potwierdzenie zgłoszenia.
Zapraszamy do kontaktu z Kancelarią osoby które padły ofiarami oszustw bankowych. Dokonujemy bezpłatnej analizy sprawy pod kątem możliwości domagania się od banku zwrotu skradzionych w wyniku oszustwa pieniędzy.
