Bank najpierw oddaje pieniądze, potem bada winę klienta. Ważny wyrok po phishingu

Wyrok nie tworzy nowego programu rekompensat i nie oznacza, że bank zapłaci za każde internetowe oszustwo. Potwierdza natomiast zasadę obecną już w polskiej ustawie o usługach płatniczych. Nowością jest jednoznaczne rozstrzygnięcie, że sam zarzut rażącego niedbalstwa klienta nie pozwala bankowi wstrzymać zwrotu. Rzecznik Finansowy streszcza tę zasadę krótko: „najpierw zwrot, potem wyjaśnianie sprawy”.

Fałszywy link, utracone dane i około 700 euro

Sprawa zaczęła się od sprzedaży przedmiotu na platformie internetowej. Osoba podająca się za zainteresowanego kupującego przesłała sprzedającej link, który miał służyć do potwierdzenia transakcji. Strona wyglądała jak serwis bankowości elektronicznej, dlatego kobieta wpisała na niej swoje dane do logowania.

Oszuści użyli przejętych danych, aby przelać z rachunku równowartość około 700 euro. Klientka następnego dnia zawiadomiła bank, ale nie otrzymała pieniędzy. Instytucja uznała, że wskutek rażącego niedbalstwa sama umożliwiła przestępcom dostęp do rachunku.

Spór trafił do Sądu Rejonowego w Koszalinie, który zwrócił się do TSUE o wykładnię unijnego prawa. Chodziło o ustalenie, czy podejrzenie rażącego niedbalstwa pozwala bankowi zatrzymać pieniądze do zakończenia postępowania wyjaśniającego. Trybunał odpowiedział, że sam taki zarzut nie wystarcza do wstrzymania zwrotu.

Problem nie jest jednostkowy. W latach 2022–2025 do Biura Rzecznika Finansowego wpłynęło bowiem ponad 10 tys. wniosków o interwencję w sporach dotyczących nieautoryzowanych transakcji. We wrześniu 2026 roku UOKiK poinformował natomiast, że cztery banki zmienią swoje praktyki i ponownie przeanalizują część odrzuconych wcześniej zgłoszeń. UOKiK prowadzi jeszcze podobne postępowania wobec dziesięciu innych banków.
 

Najpierw zwrot, później spór o niedbalstwo

Zasada D+1 oznacza, że bank powinien niezwłocznie przywrócić rachunek do poprzedniego stanu, najpóźniej do końca dnia roboczego następującego po wykryciu transakcji lub otrzymaniu zgłoszenia klienta. Bank nie może wydłużyć tego terminu tylko po to, aby najpierw rozstrzygnąć, czy poszkodowany zachował należytą ostrożność.

Od obowiązku szybkiego zwrotu istnieje wyjątek. Bank może wstrzymać pieniądze, jeżeli ma uzasadnione i należycie udokumentowane podstawy, aby podejrzewać oszustwo ze strony samego klienta oraz pisemnie zawiadomi o tym organy ścigania. Chodzi więc o podejrzenie próby wyłudzenia pieniędzy od banku, a nie o samo przekonanie, że ofiara phishingu postąpiła nierozważnie.

Zwrot nie kończy jednak sprawy. Bank może później wykazywać, że klient umyślnie albo wskutek rażącego niedbalstwa naruszył obowiązek ochrony danych uwierzytelniających. Jeżeli to udowodni, może domagać się oddania wypłaconej wcześniej kwoty. Ciężar wykazania rażącego niedbalstwa spoczywa jednak na banku, a nie na poszkodowanym.

Co ważne, nie istnieje lista zachowań uznawanych za rażące niedbalstwo. Każdą sprawę ocenia się indywidualnie. Znaczenie mogą mieć sposób przekazania danych, komunikaty widoczne na ekranie, zachowanie klienta oraz metody zastosowane przez oszustów.

Istotna jest także różnica między uwierzytelnieniem a autoryzacją. Prawidłowe użycie loginu, kodu SMS, karty lub aplikacji potwierdza, że system rozpoznał uzgodnione dane. Nie przesądza jeszcze, że właściciel rachunku świadomie zgodził się na konkretną płatność. UOKiK od lat zwraca uwagę, że tych dwóch pojęć nie można traktować zamiennie.

Nie każde oszustwo oznacza automatyczny zwrot

Wyrok dotyczy transakcji nieautoryzowanych, czyli takich, na które właściciel rachunku nie wyraził zgody. Nie daje automatycznej gwarancji odzyskania pieniędzy w każdej sprawie związanej z phishingiem, fałszywą inwestycją czy oszustwem np. „na pracownika banku”. Jeżeli klient sam zlecił przelew, bank może twierdzić, że transakcja została autoryzowana. Każdy przypadek wymaga wtedy oceny sposobu działania przestępców i treści zgody udzielonej przez klienta.

Różnicę najlepiej pokazują dwa przykłady. Jeżeli oszust przejął dane do logowania i sam zlecił przelew, o którym właściciel rachunku nie wiedział, mamy do czynienia z typowym przykładem transakcji nieautoryzowanej. Inaczej może być, gdy klient osobiście zlecił przelew na rachunek wskazany przez przestępcę, ponieważ uwierzył w fałszywą inwestycję albo konieczność przeniesienia pieniędzy na „bezpieczne konto”. Wówczas przedmiotem sporu może być to, czy mimo manipulacji klient świadomie zgodził się na konkretną operację. Samo użycie kodu BLIK lub zatwierdzenie płatności w aplikacji nie rozstrzyga tej kwestii automatycznie.

Co zrobić, gdy pieniądze znikną z konta?

Po zauważeniu podejrzanej operacji liczy się czas. Należy skontaktować się z bankiem przez oficjalną infolinię lub aplikację, zablokować kartę albo dostęp do rachunku, zmienić dane logowania i wyraźnie zgłosić transakcję jako nieautoryzowaną wraz z żądaniem zwrotu. Warto zachować wiadomości, numery telefonów, adres fałszywej strony oraz potwierdzenia operacji.

Zgłoszenia nie należy odkładać. Co do zasady roszczenia wobec banku wygasają, jeżeli klient zawiadomi go później niż 13 miesięcy po obciążeniu rachunku.

Jeżeli bank nie zwróci środków w terminie wynikającym z zasady D+1, należy zażądać pisemnego uzasadnienia jego stanowiska i zachować reklamację, odpowiedź banku oraz całą pozostałą korespondencję.

Sprawę warto również zgłosić policji i przekazać bankowi potwierdzenie zawiadomienia. Nie jest to jednak warunek zwrotu pieniędzy w trybie D+1. Jeżeli bank wstrzymuje zwrot z powodu uzasadnionego podejrzenia oszustwa ze strony klienta, to na nim spoczywa obowiązek pisemnego zawiadomienia organów ścigania. Jeżeli instytucja odmówi oddania pieniędzy, klient może zwrócić się o interwencję do Rzecznika Finansowego, a ostatecznie dochodzić roszczeń przed sądem.

Postępowanie interwencyjne przed Rzecznikiem Finansowym jest bezpłatne i nie zamyka klientowi drogi do późniejszego dochodzenia roszczeń przed sądem. Wcześniej trzeba jednak wyczerpać procedurę reklamacyjną w banku.

Wyrok TSUE nie zwalnia użytkowników bankowości z ostrożności i nie przesądza, kto ostatecznie poniesie stratę. Zmienia jednak kolejność działań: co do zasady bank najpierw przywraca środki na rachunku, a dopiero potem – przedstawiając dowody – może dochodzić odpowiedzialności klienta.