Alior Bank, mBank, BNP Paribas oraz Bank Millennium zmienią sposób rozpatrywania zgłoszeń dotyczących nieautoryzowanych transakcji płatniczych. Prezes UOKiK wydał wobec tych instytucji cztery decyzje zobowiązujące, które kończą trwające blisko cztery lata postępowania. Banki mają także ponownie przeanalizować część zgłoszeń klientów, które wcześniej odrzuciły.
Sprawa dotyczy sytuacji, w których klient zgłasza bankowi, że pieniądze z jego rachunku zostały pobrane w ramach transakcji, której nie autoryzował. Przepisy określają, kiedy bank powinien zwrócić środki, ale UOKiK zakwestionował sposób, w jaki część instytucji stosowała te zasady.
Zastrzeżenia dotyczyły m.in. opóźniania zwrotów, warunkowego oddawania pieniędzy oraz utożsamiania prawidłowego uwierzytelnienia klienta z jego zgodą na konkretną operację.
Cztery banki ponownie przejrzą odrzucone zgłoszenia
Decyzje dotyczą Alior Banku, mBanku, BNP Paribas oraz Banku Millennium. Banki przedstawiły propozycje zmian odpowiadające oczekiwaniom UOKiK. Zmiany obejmą przyszłe postępowanie z reklamacjami, ale na tym się nie kończą. Instytucje zobowiązały się również do ponownego rozpatrzenia zgłoszeń klientów, które wcześniej zakończyły się odmową zwrotu pieniędzy.
– Trzeba przy tym podkreślić, że decyzja zobowiązująca nie jest kompromisem – możemy ją wydać tylko wtedy, gdy z przedsiębiorcą uda się wypracować mechanizmy, które w pełni usuwają naruszenia i ich skutki – mówi prezes UOKiK Tomasz Chróstny.
Cztery zakończone postępowania nie zamykają całej sprawy. W toku jest jeszcze 10 innych postępowań, w których banki usłyszały analogiczne zarzuty.
Bank nie zawsze zwracał pieniądze na czas
Jednym z zarzutów UOKiK był sposób stosowania ustawowego terminu zwrotu pieniędzy. Co do zasady bank powinien niezwłocznie oddać klientowi kwotę zgłoszonej nieautoryzowanej transakcji. Najpóźniej powinien zrobić to do końca następnego dnia roboczego po stwierdzeniu takiej operacji albo po otrzymaniu zgłoszenia od klienta.
Ustalono jednak, że banki nie zawsze przestrzegały tego terminu. W części przypadków środki wracały na rachunek tylko warunkowo – na czas rozpatrywania reklamacji. Jeżeli później bank uznawał, że klient autoryzował transakcję albo ponosi za nią odpowiedzialność, wycofywał zwrot i ponownie obciążał rachunek.
Autoryzacja i uwierzytelnienie to dwie różne rzeczy
UOKiK zakwestionował także przypadki, w których odmowę zwrotu bank uzasadniał tym, że operacja została prawidłowo uwierzytelniona.
W języku bankowym uwierzytelnienie oznacza potwierdzenie tożsamości użytkownika albo ważności użycia instrumentu płatniczego. Może to być np. użycie karty, wpisanie kodu lub potwierdzenie operacji w aplikacji. Autoryzacja to coś innego: świadoma zgoda klienta na wykonanie konkretnej transakcji.
Więc samo prawidłowe przejście procedury uwierzytelnienia nie jest równoznaczne z tym, że konsument rzeczywiście zgodził się na daną operację.
Zwrot pieniędzy nie przesądza ostatecznie, kto ponosi odpowiedzialność
Obowiązek szybkiego zwrotu pieniędzy nie oznacza, że bank w każdym przypadku definitywnie bierze na siebie stratę. Przepisy przewidują wyjątki. Odmowa natychmiastowego zwrotu może się pojawić m.in. wtedy, gdy bank ma uzasadnione i odpowiednio udokumentowane podstawy, by podejrzewać oszustwo ze strony płatnika, a o swoich podejrzeniach poinformuje organy ścigania. Może także później dochodzić od klienta zwróconej wcześniej kwoty, jeśli wykaże, że do nieautoryzowanej transakcji doszło wskutek jego umyślnego działania albo rażącego niedbalstwa.
Spór dotyczył więc sposobu, w jaki bank powinien postępować bezpośrednio po zgłoszeniu nieautoryzowanej operacji.
Cztery lata rozmów z sektorem bankowym
Postępowania wobec czterech banków trwały blisko cztery lata. W tym czasie UOKiK prowadził rozmowy z sektorem finansowym oraz współpracował m.in. z Komisją Nadzoru Finansowego i Ministerstwem Finansów.
– Kwestia nieautoryzowanych transakcji płatniczych jest dla nas niezwykle istotna. Zakończone postępowania trwały blisko cztery lata i towarzyszył im intensywny dialog z sektorem bankowym, a także z innymi instytucjami, w tym KNF i Ministerstwem Finansów – mówi Tomasz Chróstny.
Prezes UOKiK dodaje, że efektem tych działań były także zmiany w zabezpieczeniach stosowanych przez banki. Urząd w 2024 r. opublikował zalecenia dla dostawców usług płatniczych. Na ich podstawie część instytucji wdrożyła rozwiązania mające ograniczać ryzyko kradzieży pieniędzy z rachunków.
Sztuczna inteligencja, biometria i „panic button”
Wśród stosowanych obecnie mechanizmów są systemy wykorzystujące sztuczną inteligencję oraz biometrię behawioralną. Ta ostatnia analizuje sposób zachowania użytkownika – np. sposób korzystania z urządzenia – i pomaga wychwytywać nietypowe działania.
Banki wprowadzały także tzw. cooling period. To celowe opóźnienie wykonania transakcji, które daje dodatkowy czas na wychwycenie potencjalnej próby oszustwa. Innym rozwiązaniem jest możliwość szybkiego zgłoszenia nieautoryzowanej operacji oraz tzw. panic button, czyli funkcja pozwalająca natychmiast zablokować wykonywanie transakcji.
Według UOKiK takie mechanizmy mają ograniczać ryzyko, że pieniądze znikną z rachunku, zanim klient albo bank zdążą zareagować.
Jeżeli konsument zauważy transakcję, której nie wykonał, powinien zgłosić ją bankowi. Od tego momentu uruchamiają się zasady dotyczące nieautoryzowanych transakcji płatniczych. Bank powinien zwrócić środki najpóźniej do końca następnego dnia roboczego, chyba że zachodzi jeden z ustawowych wyjątków.
Nowe decyzje UOKiK mają sprawić, że cztery objęte nimi banki będą stosować te zasady w sposób zgodny z interpretacją Urzędu, a część klientów, którzy wcześniej usłyszeli odmowę, dostanie szansę na ponowne rozpatrzenie swojej sprawy.