Nieautoryzowane transakcje płatnicze – odpowiedzialność banku i zwrot pieniędzy (UUP)

Pierwsza publikacja: Maj 2025 · Aktualizacja: Marzec 2026

W dobie powszechnej bankowości elektronicznej ryzyko nieautoryzowanej transakcji staje się realnym problemem. Co, gdy z konta znikają pieniądze bez Twojej zgody? Jakie obowiązki ma bank, a jakie prawa przysługują Ci na gruncie ustawy o usługach płatniczych (UUP)?

W tym artykule omawiamy kluczowe przepisy art. 45 i 46 UUP, najnowszą opinię Rzecznika Generalnego TSUE z 5 marca 2026 r. (sprawa C-70/25 — polska klientka, phishing) oraz praktyczny poradnik — co zrobić krok po kroku po wykryciu nieautoryzowanej transakcji.

1. Opinia TSUE C-70/25 — bank musi zwrócić, nawet przy rażącym niedbalstwie klienta

Kluczowa teza opinii: Bank nie może odmówić bezzwłocznego zwrotu kwoty nieautoryzowanej transakcji z powodu rażącego niedbalstwa klienta. Zwrot ten nie jest jednak ostateczny — po jego dokonaniu bank może zażądać od klienta pokrycia strat, jeżeli umyślnie lub w wyniku rażącego niedbalstwa nie dochował swoich obowiązków.

Rzecznik Generalny stwierdził, że prawo unijne zobowiązuje bank do bezzwłocznego zwrotu kwoty nieautoryzowanej transakcji, chyba że ma uzasadnione powody, by podejrzewać oszustwo ze strony samego klienta — o czym musi poinformować na piśmie właściwy organ. Od tej zasady nie przewidziano żadnych innych wyjątków, a prawodawca unijny nie pozostawił państwom członkowskim swobody działania w tym zakresie.

2. Nasza sprawa — spoofing, BLIK, 28 000 zł

W styczniu 2025 r. doszło do nieautoryzowanych transakcji na rachunku naszej klientki. Sprawca, podając się za pracownika banku, nakłonił ją do zainstalowania aplikacji na telefonie, co umożliwiło mu dostęp do rachunku. Sprawcy kontaktowali się z numeru oznaczonego jako „Bank" i wysyłali SMS-y w tym samym wątku co wcześniejsza korespondencja z bankiem (tzw. spoofing).

Sprawca dokonał szeregu nieautoryzowanych transakcji — przelewów i wypłat BLIK — na łączną kwotę ponad 28 000 zł. Klientka niezwłocznie (tego samego dnia) skontaktowała się z bankiem przez infolinię, odwiedziła dwie placówki, prosząc o wstrzymanie transakcji, które nie były jeszcze zakończone. Bank zignorował zgłoszenie i nie wstrzymał przetwarzania. Reklamacja złożona następnego dnia została odrzucona.

Sprawa naszej klientki jest wzorcowym przykładem spełnienia wymogu zgłoszenia „bez zbędnej zwłoki" — w kontekście wyroku TSUE C-665/23, który potwierdził, że terminowość zgłoszenia ma kluczowe znaczenie dla zachowania prawa do zwrotu.

3. Art. 45 UUP — ciężar dowodu na banku

Zgodnie z art. 45 ust. 1 i 2 UUP (Dz.U. 2025 poz. 611):

To najsilniejszy oręż konsumenta w sporze z bankiem. Konsument musi jedynie zgłosić, że transakcja była nieautoryzowana — nie musi przedstawiać żadnych dowodów. To bank musi wykazać, że klient świadomie wyraził zgodę. Samo zarejestrowanie użycia instrumentu płatniczego nie jest wystarczającym dowodem autoryzacji (wyrok SN z 18 stycznia 2018 r., V CSK 141/17; wyrok SN z 15 września 2023 r., II CSKP 1013/22).

Jeśli bank chce się zwolnić z odpowiedzialności, argumentując rażące niedbalstwo klienta (art. 42 UUP), to również na banku ciąży obowiązek udowodnienia tych okoliczności.

4. Autoryzacja ≠ uwierzytelnienie

Sądy konsekwentnie potwierdzają tę linię:

• SO w Warszawie (II C 334/16, 19.06.2017) — bank nie udowodnił autoryzacji mimo uwierzytelnienia loginem i kodem SMS.
• SA w Łodzi (I ACa 1511/18, 17.01.2020) — bank nie zapewnił bezpieczeństwa instrumentu płatniczego; samo użycie instrumentu nie dowodzi autoryzacji.
• SO w Sieradzu (I C 648/20, 10.02.2022) — dostawca musi udowodnić okoliczności wskazujące na autoryzację lub rażące niedbalstwo.
• SO w Piotrkowie Trybunalskim (II Ca 361/24, 8.07.2024) — brak autoryzacji należy rozumieć szeroko, obejmuje każdą sytuację, gdy płatnik nie miał woli dokonania rozporządzenia.

5. Art. 46 UUP — zwrot D+1 i mechanizm „najpierw zwróć"

Zgodnie z art. 46 UUP, bank ma obowiązek zwrócić pieniądze do końca następnego dnia roboczego po zgłoszeniu (termin D+1). To obowiązek bezwzględny.

Kluczowy mechanizm potwierdzony przez opinię TSUE C-70/25: bank najpierw musi zwrócić środki (D+1), a dopiero potem może dochodzić ich od klienta, jeśli wykaże umyślne działanie lub rażące niedbalstwo. Bank nie może od razu odmówić zwrotu, powołując się na winę klienta.

Bank może odmówić zwrotu D+1 wyłącznie w dwóch przypadkach:

1. Zgłoszenie po upływie 13 miesięcy od transakcji.
2. Bank zawiadomił policję lub prokuraturę o uzasadnionym podejrzeniu oszustwa ze strony samego klienta (fałszywe zgłoszenie).

Limit 50 EUR i odpowiedzialność na zasadzie ryzyka

Konsument odpowiada za nieautoryzowane transakcje max. do 50 EUR, jeśli wynikały z utraty lub kradzieży instrumentu płatniczego. W sprawie naszej klientki ten limit nie ma zastosowania — nie ukradziono jej karty, lecz uzyskano dostęp do aplikacji wskutek socjotechniki. Odpowiedzialność banku jest w takim przypadku odpowiedzialnością na zasadzie ryzyka.

6. Orzecznictwo 2023–2026

Szczególnie istotny jest wyrok SR dla Warszawy-Mokotowa (I C 3854/21) — sąd ocenił, że zainstalowanie aplikacji pod wpływem rozmowy z osobą podszywającą się pod pracownika banku to niedbalstwo, ale nie o charakterze rażącym. To bezpośredni precedens dla sprawy naszej klientki.

7. Co zrobić po wykryciu nieautoryzowanej transakcji — krok po kroku

8. Obowiązki konsumenta (art. 42 UUP) — kiedy tracisz ochronę?

UUP chroni konsumenta, ale nakłada też obowiązki. Tracisz ochronę, gdy:

• Świadomie ujawniłeś dane uwierzytelniające osobom trzecim (nie pod wpływem oszustwa — to istotne rozróżnienie).
• Nie zgłosiłeś transakcji bez zbędnej zwłoki po jej wykryciu (wymóg z TSUE C-665/23 — niezależny od terminu 13 miesięcy).
• Przekroczyłeś termin 13 miesięcy na zgłoszenie.

9. PSD3/PSR — nadchodzące zmiany (2027/2028)

W dniu 27 listopada 2025 r. Parlament Europejski i Rada UE osiągnęły porozumienie w sprawie PSD3 (dyrektywa — wymaga implementacji) i PSR (rozporządzenie — bezpośrednio stosowalne). Stosowanie po 18–24-miesięcznym okresie przejściowym (~2027/2028).

Kluczowe zmiany dla nieautoryzowanych transakcji:

• Weryfikacja nazwy do IBAN (name-to-IBAN check) — bank musi sprawdzić, czy nazwa odbiorcy zgadza się z numerem konta.
• Monitorowanie behawioralne w czasie rzeczywistym — banki zobowiązane do wykrywania podejrzanych wzorców transakcji.
• PSR przewiduje wzmocnioną ochronę przy tzw. APP fraud (manipulacja płatnikiem) — banki będą zobowiązane do weryfikacji transakcji i monitorowania behawioralnego. Szczegółowe zasady odpowiedzialności przy spoofingu będą doprecyzowane w akcie delegowanym.
• Jeśli bank nie wdroży mechanizmów zapobiegania oszustwom — ponosi odpowiedzialność za straty klientów.

Rzecznik Finansowy postuluje dodatkowo wprowadzenie 24-godzinnej karencji na uruchomienie kredytu w transakcjach na odległość — to propozycja legislacyjna, która mogłaby ograniczyć skutki wielu oszustw. Więcej o sporach z bankami na stronie prawo bankowe i sprawy frankowe. O kosztach niecelowej egzekucji po odzyskaniu pieniędzy piszemy w artykule Niecelowa egzekucja — kogo obciążają koszty?.

10. Najczęstsze pytania