Jeśli doszło do nieautoryzowanej transakcji płatniczej, bank musi oddać skradzione pieniądze, choć nie zawsze się z tego wywiązuje. Prezes UOKiK zobowiązał kolejne cztery instytucje: ING Bank Śląski, Bank Ochrony Środowiska, Nest Bank i Plus Bank do zmiany procedur w sprawach nieautoryzowanych płatności. Wspomniane banki ponownie przeanalizują odrzucone wcześniej reklamacje. Wcześniej podobne decyzje wydano wobec Alior Banku, mBanku, BNP Paribas i Banku Millennium.
Chodzi o sytuacje, w których środki z konta klienta pobrano bez jego zgody i wiedzy. Takie sytuacje mogą mieć miejsce w wyniku cyberataku lub kradzieży danych. Banki nie zawsze poprawnie rozpatrywały zgłoszenia dotyczące takich nieautoryzowanych transakcji.
Sama autoryzacja nie wystarczy do odmowy zwrotu
Jak powinno to wyglądać według prawa? Po zgłoszeniu nieautoryzowanej transakcji bank powinien niezwłocznie – czyli najpóźniej do końca następnego dnia roboczego – zwrócić klientowi skradzioną kwotę. Wyjątki są dwa: od transakcji upłynęło więcej niż 13 miesięcy lub gdy bank ma udokumentowane podstawy, by podejrzewać oszustwo ze strony samego klienta.
W wielu przypadkach ING Bank Śląski, Bank Ochrony Środowiska, Nest Bank i Plus Bank odmawiały zwrotu środków. Banki sugerowały konsumentom, że prawidłowe uwierzytelnienie transakcji, np. poprzez wpisanie kodu PIN lub autoryzację w aplikacji, zwalnia instytucje z odpowiedzialności, bo przecież „konsument sam uwierzytelnił płatność, więc wyraził zgodę na przelew”. Co więcej, to klient miał udowodnić, że tak nie było. Banki twierdziły też, że ewentualne odzyskanie pieniędzy jest możliwe wyłącznie poprzez działania organów ścigania.
– Prawo jasno określa obowiązki banków w przypadku cyberataku lub utraty środków przez klientów. Instytucje finansowe nie mogą unikać odpowiedzialności poprzez automatyczne odrzucanie reklamacji i przerzucanie całego ciężaru udowodnienia winy na poszkodowanego konsumenta. Samo wykazanie przez bank, że transakcja została poprawnie uwierzytelniona to za mało, by odmówić zwrotu pieniędzy. Bank musi udowodnić, że to klient samodzielnie i świadomie autoryzował operację lub dopuścił się rażącego niedbalstwa. Kolejne cztery banki muszą zmienić procedury i ponownie przeanalizować sprawy, w których niezgodnie z prawem odmówiły klientom zwrotu pieniędzy – mówi Prezes UOKiK Tomasz Chróstny.
Klienci mogą odzyskać skradzione pieniądze
Dlatego teraz ING Bank Śląski, Bank Ochrony Środowiska, Nest Bank i Plus Bank zmienią dotychczasowe praktyki. Muszą też usunąć ich negatywne skutki. Prezes UOKiK zobowiązał je do zmiany procedur wewnętrznych. Instytucje wdrożą nowe zasady. Zgodnie z nimi prawidłowe uwierzytelnienie transakcji nie będzie jedyną podstawą, aby uznać autoryzowanie płatności przez klienta.
Oprócz tego banki będą musiały ponownie przeanalizować negatywne odpowiedzi na reklamacje, udzielone od 16 listopada 2022 roku. Co ważne, dotyczy to osób, które nadal są klientami tych banków. W uzasadnionych przypadkach skradzione pieniądze zostaną zwrócone konsumentom najpóźniej do 31 grudnia 2027 r.
Także byli klienci banków mają swoje prawa. Osoby, które już nie korzystają z usług tych banków, a które zgłosiły reklamacje po 15 listopada 2022 r. i zostały one rozpatrzone negatywnie, otrzymają powiadomienie o możliwości i sposobie złożenia wniosku o ponowną weryfikację.
Banki muszą poinformować o decyzjach na swoich stronach internetowych oraz powiadomić klientów w aplikacjach mobilnych. Do 30 kwietnia 2028 r. muszą też poinformować Prezesa UOKiK, jak wywiązały się z tych obowiązków.
TSUE potwierdził obowiązki banków
Tak zdecydowane działania ochrony konsumentów są możliwe dzięki Trybunałowi Sprawiedliwości Unii Europejskiej (TSUE). W październiku 2026 r. wydał wyrok, który w pełni potwierdził stanowisko Prezesa UOKiK w zakresie nieautoryzowanych płatności.
– Wyrok TSUE potwierdził, że banki nie mogą być sędziami we własnej sprawie i nie mają podstaw do masowego odrzucania reklamacji okradzionych klientów. Od lat powtarzaliśmy, że prawo chroni konsumenta, a bank ma bezwzględny obowiązek najpierw oddać skradzione środki, a potem ustalić, po czyjej stronie leży wina. Trybunał w Luksemburgu w pełni podzielił nasze stanowisko. To jasny sygnał dla sektora finansowego: czas skończyć z przerzucaniem odpowiedzialności za cyberataki na barki poszkodowanych konsumentów – mówi Prezes UOKiK Tomasz Chróstny.
Zgodnie z orzeczeniem w sprawie C-70/25 (Tukowiecka), w przypadku nieautoryzowanych transakcji, np. w wyniku phishingu, bank ma bezwzględny obowiązek natychmiastowego zwrotu środków klientowi. Zasłanianie się „rażącym zaniedbaniem” konsumenta, aby odmówić mu wypłaty, jest działaniem bezprawnym. Jeśli bank uważa, że klient dopuścił się rażącego zaniedbania, musi najpierw oddać pieniądze. Dopiero potem może walczyć o ich odzyskanie przed sądem, gdzie to na instytucji finansowej spoczywa pełen ciężar dowodu.
Przeczytaj także:
- Co piąty ma ponad 100 tys. zł, a inni wydają oszczędności na lekarza i jedzenie
- Nad Wisłą mamy mało wody, ale dobry klimat dla centrów danych. AI komplikuje rachunek
- Sprawy przeciwko bankom mają przyspieszyć. Rząd zmienia właściwość sądów
