Problem odpowiedzialności za nieautoryzowane transakcje płatnicze pozostaje jednym z kluczowych zagadnień sporów pomiędzy bankami a klientami. W ostatnich latach obserwujemy dynamiczny wzrost liczby spraw dotyczących oszustw typu phishing lub spoofing, w których klienci – w wyniku manipulacji – ujawniają dane uwierzytelniające umożliwiające dokonanie transakcji z ich rachunków.
Praktyka sądowa w Polsce często koncentruje się na ochronie konsumenta oraz szerokiej interpretacji obowiązku zwrotu środków przez bank. Warto jednak zauważyć, że orzecznictwo oraz stanowiska instytucji unijnych nie zawsze prowadzą do wniosków korzystnych dla konsumenta.
5 marca 2026 r. Rzecznik GeneralnyTrybunału Sprawiedliwości UE w sprawie C-70/25 wypowiedział się w sprawie obowiązku zwrotu środków po dokonaniu nieautoryzowanej transakcji.
Stan faktyczny sprawy C-70/25
Postępowanie prejudycjalne przed Trybunałem Sprawiedliwości UE zostało zainicjowane w sporze pomiędzy klientką banku a PKO BP.
Klientka wystawiła przedmiot na sprzedaż na portalu aukcyjnym. Wkrótce otrzymała wiadomość od osoby podszywającej się pod potencjalnego kupującego, która przesłała link prowadzący do strony imitującej portal sprzedażowy oraz interfejs bankowości elektronicznej. Po przejściu na tę stronę klientka zalogowała się i podała dane umożliwiające wykonanie przelewu z jej rachunku.
Następnego dnia zgłosiła zdarzenie bankowi oraz organom ścigania, domagając się zwrotu utraconych środków. Bank odmówił uznając, że klientka dopuściła się rażącego niedbalstwa poprzez podanie danych logowania na stronie niebędącej stroną banku oraz brak zachowania należytej staranności w ochronie instrumentu płatniczego.
Klientka wniosła powództwo o zapłatę. Sąd krajowy skierował do Trybunału Sprawiedliwości UE pytanie prejudycjalne dotyczące interpretacji przepisów dyrektywy PSD2.
Kluczowy problem prawny
Sednem sporu jest interpretacja przepisów dyrektywy (UE) 2015/2366 (PSD2), w szczególności art. 73 – przewidującego obowiązek niezwłocznego zwrotu kwoty nieautoryzowanej transakcji oraz art. 74 – regulującego odpowiedzialność płatnika za takie transakcje. W toku rozpatrywania sprawy, sąd krajowy powziął wątpliwość, czy bank może odmówić natychmiastowego zwrotu środków, jeżeli uzna, że klient dopuścił się rażącego niedbalstwa.
Dwa możliwe modele interpretacji PSD2
W sporze pojawiły się dwa konkurencyjne sposoby interpretacji dyrektywy. Pierwsza możliwa interpretacja to tzw. model bankowy Zgodnie z tym podejściem bank może samodzielnie ocenić zachowanie klienta, uznać je za rażąco niedbałe, na tej podstawie odmówić zwrotu środków.
Drugie podejście tzw. model konsumencki zakłada, że bank zawsze musi najpierw zwrócić środki klientowi, a dopiero później może dochodzić ich zwrotu, jeżeli wykaże, że klient dopuścił się rażącego niedbalstwa.
Stanowisko rzecznika generalnego TSUE
Rzecznik generalny Athanasios Rantos opowiedział się za drugim z przedstawionych modeli.
W opinii wskazano, że obowiązek zwrotu z art. 73 PSD2 stanowi zasadę podstawową, od której przewidziano jedynie jeden wyjątek – gdy istnieją uzasadnione podstawy do podejrzenia oszustwa po stronie klienta.
Rażące niedbalstwo klienta nie uchyla zatem obowiązku natychmiastowego zwrotu środków, lecz dotyczy rozliczenia odpowiedzialności pomiędzy stronami.
Zdaniem rzecznika art. 73 i 74 dyrektywy regulują dwa odrębne etapy:
- w pierwszej kolejności następuje zwrot środków klientowi,
- dopiero następnie ustalana jest ostateczna odpowiedzialność za powstałą stratę.
Opinia Rzecznika nie stanowi jednak rozstrzygnięcia i sprawę będzie rozpoznawał TSUE .
Wnioski istotne dla sektora bankowego
Analiza opinii pozwala wskazać kilka elementów szczególnie istotnych z perspektywy banków.
-
Odpowiedzialność klienta za rażące niedbalstwo pozostaje aktualna
Rzecznik jednoznacznie potwierdził, że klient może ponosić pełną odpowiedzialność za powstałą stratę, jeżeli naruszył obowiązki dotyczące ochrony danych uwierzytelniających – umyślnie lub wskutek rażącego niedbalstwa.
Oznacza to, że bank zachowuje możliwość dochodzenia zwrotu wypłaconych środków.
-
Ciężar dowodu spoczywa na banku
Opinia potwierdza również, że zgodnie z PSD2 to bank musi wykazać:
- że transakcja została prawidłowo uwierzytelniona,
- oraz że klient dopuścił się rażącego niedbalstwa.
-
Rosnące znaczenie procedur fraudowych
W praktyce szczególnego znaczenia nabierają:
- dokumentacja procesu uwierzytelnienia transakcji,
- analiza zachowania użytkownika,
- komunikaty bezpieczeństwa kierowane do klientów.
Przykład z polskiej praktyki sądowej – wyrok Sądu Rejonowego dla Warszawy-Mokotowa
Na tle tych zagadnień warto zwrócić uwagę na wyrok Sądu Rejonowego dla Warszawy-Mokotowa w Warszawie z 1 grudnia 2025 r. (II C 1528/23), dotyczący odpowiedzialności banku za środki utracone w wyniku oszustwa phishingowego związanego ze sprzedażą internetową.
Powódka wystawiła przedmiot na sprzedaż na platformie handlowej i została przekierowana na stronę imitującą formularz płatności. W przekonaniu, że wykonuje czynności konieczne do otrzymania zapłaty za sprzedawany przedmiot, podała dane swojej karty płatniczej, w tym numer karty, datę ważności oraz kod CVV.
Dane te zostały następnie wykorzystane przez osoby trzecie do dokonania transakcji bez fizycznego użycia karty, co doprowadziło do obciążenia rachunku powódki.
Po zgłoszeniu zdarzenia bank odmówił zwrotu środków, wskazując, że transakcje zostały dokonane przy użyciu prawidłowych danych karty, a ich ujawnienie nastąpiło z winy klientki.
Sąd oddalił powództwo w całości. W uzasadnieniu wskazano, że zgodnie z art. 42 ustawy o usługach płatniczych użytkownik instrumentu płatniczego jest zobowiązany do korzystania z niego zgodnie z umową oraz do podejmowania działań zapobiegających naruszeniu indywidualnych zabezpieczeń instrumentu płatniczego.
W ocenie sądu powódka naruszyła ten obowiązek, ujawniając dane karty płatniczej – w tym kod CVV – na stronie internetowej, która nie była oficjalną stroną banku ani autoryzowanego operatora płatności.
Sąd uznał, że ujawnienie kodu CVV osobie trzeciej narusza elementarne i powszechnie znane zasady bezpieczeństwa, a zatem stanowi rażące niedbalstwo w rozumieniu przepisów ustawy o usługach płatniczych.
Podkreślono również, że w toku postępowania nie wykazano naruszenia systemów informatycznych banku ani przełamania stosowanych zabezpieczeń.
Wyrok ten pokazuje, że fakt padnięcia ofiarą oszustwa phishingowego nie wyłącza automatycznie odpowiedzialności klienta, jeżeli jego zachowanie narusza podstawowe zasady bezpieczeństwa korzystania z instrumentów płatniczych. Na dzień publikacji niniejszego artykułu wyrok nie jest prawomocny.
Podsumowanie
Jak wynika z powyższego, samo wystąpienie fraudowej (oszukańczej) transakcji nie powoduje powstania po stronie banku nieograniczonej odpowiedzialności wobec klienta. Sąd każdorazowo powinien badać przesłanki ustawowe do przypisania tej odpowiedzialności instytucji finansowej.
