Czy bank może odmówić zwrotu środków, jeżeli klient padł ofiarą phishingu wskutek własnego rażącego niedbalstwa?
W wyroku z 15 października 2026 r. w sprawie C-70/25 (Tukowiecka) Trybunał Sprawiedliwości UE wyjaśnił relację między obowiązkiem zwrotu kwoty nieautoryzowanej transakcji a możliwością dochodzenia przez bank roszczeń od klienta.
Sprawa dotyczyła klientki, która, korzystając z linku przesłanego przez osobę zainteresowaną zakupem wystawionego przez nią przedmiotu, trafiła na fałszywą stronę banku i podała dane do logowania. Osoba trzecia wykorzystała je do wykonania przelewu z rachunku klientki. Bank odmówił zwrotu środków, powołując się na rażące niedbalstwo klientki.
TSUE uznał, że samo podejrzenie rażącego niedbalstwa klienta nie uzasadnia odmowy niezwłocznego zwrotu kwoty nieautoryzowanej transakcji. Obowiązek ten wynika z art. 73 ust. 1 dyrektywy PSD2. Przewidziany w przepisach wyjątek związany z uzasadnionym podejrzeniem oszustwa popełnionego przez płatnika nie może być utożsamiany z samym zarzutem rażącego niedbalstwa.
Wyrok nie oznacza, że klient zawsze pozostaje zwolniony z odpowiedzialności za skutki swojego zachowania. Trybunał wskazał, że po dokonaniu zwrotu bank może dochodzić naprawienia poniesionej straty, jeżeli istnieją ku temu odpowiednie podstawy prawne.
W polskim porządku prawnym znaczenie ma w szczególności art. 46 ust. 3 ustawy o usługach płatniczych. Przewiduje on odpowiedzialność płatnika za nieautoryzowane transakcje w pełnej wysokości, jeżeli doprowadził do nich umyślnie albo wskutek umyślnego lub będącego skutkiem rażącego niedbalstwa naruszenia obowiązków określonych w art. 42 ustawy.
Nie oznacza to jednak automatycznego prawa banku do obciążenia klienta kwotą zwróconych środków. Konieczna jest odrębna ocena okoliczności zdarzenia, podstawy roszczenia oraz dowodów potwierdzających przesłanki odpowiedzialności klienta.
Wyrok C-70/25 powinien skłonić banki do weryfikacji procedur dotyczących reklamacji nieautoryzowanych transakcji, zwłaszcza związanych z phishingiem i wyłudzeniem danych do bankowości elektronicznej.
W szczególności warto sprawdzić, czy procedury prawidłowo rozdzielają obowiązek zwrotu środków od późniejszej oceny odpowiedzialności klienta. Istotne jest również dokumentowanie przebiegu zdarzenia, sposobu uwierzytelnienia transakcji, komunikatów przekazanych klientowi oraz okoliczności mogących świadczyć o naruszeniu przez niego obowiązków bezpieczeństwa.
Samo zarejestrowanie użycia instrumentu płatniczego nie przesądza o autoryzacji transakcji ani o rażącym niedbalstwie klienta. Bank powinien zatem gromadzić materiał dowodowy pozwalający osobno ocenić zasadność reklamacji i ewentualnego roszczenia wobec klienta.
Wyrok TSUE przypomina, że obowiązek zwrotu środków klientowi i możliwość dochodzenia przez bank roszczeń to dwa odrębne zagadnienia. Dla banków oznacza to konieczność prawidłowego wykonywania obowiązków reklamacyjnych, a jednocześnie odpowiedniego dokumentowania spraw, w których mogą istnieć podstawy do dochodzenia naprawienia poniesionej straty.
