SMS od rzekomego kuriera z prośbą o dopłatę do paczki, telefon od „pracownika banku” ostrzegającego przed próbą włamania na konto, czy fałszywa strona logowania łudząco przypominająca system bankowości elektronicznej – metody stosowane przez cyberprzestępców są dziś coraz bardziej wyrafinowane i coraz trudniejsze do rozpoznania nawet dla ostrożnego klienta. Gdy z konta znikają oszczędności życia, poszkodowani najczęściej słyszą od banku jedną odpowiedź: „To Państwa wina, podali Państwo dane autoryzacyjne, w związku z czym nie możemy zwrócić środków”. Czy bank rzeczywiście ma prawo tak postąpić? W przeważającej większości przypadków odpowiedź brzmi: nie, i wynika to wprost z przepisów prawa.
Nieautoryzowana transakcja płatnicza
Kwestie odpowiedzialności za nieautoryzowane transakcje płatnicze reguluje ustawa z dnia 19 sierpnia 2011 r. o usługach płatniczych, będąca implementacją unijnej dyrektywy PSD2. Przepisy te chronią konsumentów i w istotnym stopniu przenoszą ciężar odpowiedzialności na dostawcę usług płatniczych, czyli bank.
Zgodnie z art. 40 ust. 1 ustawy, transakcję płatniczą uznaje się za autoryzowaną wyłącznie wtedy, gdy płatnik wyraził na nią zgodę w sposób określony w umowie zawartej z dostawcą usług płatniczych. Jeżeli przestępca podszył się pod klienta, przejął jego dane logowania lub podstępem wyłudził kod autoryzacyjny SMS, nie mamy do czynienia z autoryzacją w rozumieniu ustawy, lecz z przestępstwem, w wyniku którego klient stał się ofiarą oszustwa, a nie stroną świadomie akceptującą transakcję.
Co istotne, art. 45 ust. 1 ustawy nakłada na dostawcę usług płatniczych ciężar dowodu w zakresie wykazania, że dana transakcja została autoryzowana, prawidłowo zapisana w systemach informatycznych obsługujących płatności oraz że nie miała na nią wpływu awaria techniczna ani inna usterka związana ze świadczoną usługą. Innymi słowy, to nie klient musi udowadniać, że nie dokonał przelewu – to bank musi wykazać, że transakcja była w pełni autoryzowana, a samo powołanie się na fakt, że operacja została potwierdzona kodem SMS lub logowaniem do aplikacji mobilnej, nie jest wystarczające dla spełnienia tego obowiązku dowodowego.
Zasada D+1 oraz zakres kwotowy zwrotu
Ustawa przewiduje bardzo krótki, ustawowy termin na zwrot skradzionych środków. Zgodnie z art. 46 ust. 1 ustawy, w przypadku wystąpienia nieautoryzowanej transakcji płatniczej dostawca płatnika jest obowiązany niezwłocznie, nie później jednak niż do końca dnia roboczego następującego po dniu, w którym stwierdził wystąpienie takiej transakcji lub otrzymał od klienta stosowne zgłoszenie, zwrócić płatnikowi pełną kwotę nieautoryzowanej transakcji. Przepis ten nakłada na bank obowiązek nie tylko formalnego oddania pieniędzy, lecz przywrócenia obciążonego rachunku płatniczego do stanu, jaki istniałby, gdyby do nieautoryzowanej transakcji w ogóle nie doszło. Oznacza to, że bank musi zwrócić nie tylko samą kwotę skradzionej transakcji, ale również zrekompensować wszelkie dalsze konsekwencje finansowe, jakie z tego tytułu powstały po stronie klienta, w tym naliczone w międzyczasie odsetki czy opłaty, których klient nie poniósłby, gdyby środki pozostały na rachunku.
Należy przy tym odróżnić obowiązek zwrotu pełnej kwoty nieautoryzowanej transakcji, wynikający z art. 46, od ograniczonej odpowiedzialności finansowej samego płatnika, uregulowanej w art. 45 ust. 2 ustawy. Zgodnie z tym przepisem, w przypadkach gdy do nieautoryzowanej transakcji doszło w wyniku posłużenia się przez sprawcę utraconym lub skradzionym instrumentem płatniczym albo w wyniku przywłaszczenia instrumentu płatniczego i jego nieuprawnionego użycia, płatnik odpowiada wyłącznie do wysokości równowartości 50 euro, przeliczonej według średniego kursu ogłaszanego przez Narodowy Bank Polski obowiązującego w dniu wykonania transakcji. Pozostałą część skradzionej kwoty bank musi zwrócić bezwzględnie. Ten limit kwotowy nie znajduje jednak zastosowania i zostaje w całości zniesiony, jeżeli nieautoryzowana transakcja jest wynikiem umyślnego działania płatnika albo jego rażącego niedbalstwa – w takiej sytuacji odpowiedzialność klienta może objąć pełną utraconą kwotę, co czyni kwalifikację prawną zachowania klienta kluczowym elementem sporu z bankiem.
Kiedy bank może odmówić natychmiastowego zwrotu środków
Bank może odstąpić od obowiązku niezwłocznego zwrotu środków jedynie w ściśle określonych sytuacjach przewidzianych ustawą. Pierwszą z nich jest sytuacja, w której bank dysponuje uzasadnionymi i należycie udokumentowanymi podstawami, by podejrzewać oszustwo po stronie samego klienta, o czym ma obowiązek pisemnie poinformować właściwy organ nadzoru, czyli Komisję Nadzoru Finansowego. Drugą jest sytuacja, w której do nieautoryzowanej transakcji doszło wskutek umyślnego działania klienta lub jego rażącego niedbalstwa. Dodatkowo, na mocy art. 44 ust. 2 ustawy, bank jest zwolniony z obowiązku zwrotu środków, jeżeli klient nie zgłosił nieautoryzowanej transakcji w terminie 13 miesięcy od dnia jej wystąpienia – termin ten należy jednak traktować jako ostateczny, a nie jako usprawiedliwienie dla odmowy zwrotu w sytuacjach, gdy zgłoszenie nastąpiło stosunkowo szybko po wykryciu nieprawidłowości.
To właśnie wokół pojęcia rażącego niedbalstwa koncentruje się zdecydowana większość sporów sądowych pomiędzy poszkodowanymi klientami a bankami.
Pojęcie rażącego niedbalstwa w praktyce orzeczniczej
Banki bardzo chętnie kwalifikują jako rażące niedbalstwo już samo kliknięcie w link przesłany w wiadomości SMS lub podanie kodu BLIK konsultantowi podającemu się za pracownika banku. Sądy powszechne oraz Rzecznik Finansowy oceniają jednak takie sytuacje zdecydowanie inaczej i znacznie bardziej restrykcyjnie definiują samo pojęcie rażącego niedbalstwa.
Rażące niedbalstwo w rozumieniu prawa cywilnego to zachowanie graniczące z działaniem umyślnym – oznacza całkowite zlekceważenie elementarnych, oczywistych dla każdego przeciętnego człowieka zasad ostrożności, a nie zwykłe, usprawiedliwione okolicznościami niedopatrzenie. Współcześni przestępcy dysponują technologią pozwalającą na wyświetlenie na ekranie telefonu ofiary rzeczywistego, autentycznego numeru infolinii banku, znaną jako spoofing numeru. Tworzą również strony internetowe łudząco podobne do prawdziwych systemów bankowości elektronicznej, wraz z identycznymi elementami graficznymi, domenami zbliżonymi do oryginalnych oraz certyfikatami bezpieczeństwa budzącymi fałszywe poczucie autentyczności. W tego rodzaju sytuacjach klient działa pod wpływem błędu wywołanego przez przemyślaną, wyrafinowaną manipulację psychologiczną, określaną jako inżynieria społeczna, a nie w wyniku własnego niedbalstwa.
Orzecznictwo Sądu Najwyższego oraz sądów powszechnych jest w tej kwestii jednoznaczne: fakt padnięcia ofiarą przemyślanego oszustwa i profesjonalnej manipulacji przestępców nie jest równoznaczny z dopuszczeniem się przez klienta rażącego niedbalstwa. Jak wskazano powyżej, to na banku, a nie na kliencie, spoczywa ciężar dowodu w tym zakresie – bank musi przed sądem wykazać konkretne okoliczności świadczące o rażącym niedbalstwie klienta, nie może zaś ograniczyć się jedynie do wskazania, że sporna transakcja została prawidłowo potwierdzona kodem SMS lub w aplikacji mobilnej, ponieważ samo poprawne techniczne potwierdzenie transakcji nie przesądza o istnieniu winy po stronie klienta.
Postępowanie w przypadku zniknięcia środków z konta
Osoba, która padła ofiarą kradzieży środków z rachunku bankowego, powinna niezwłocznie skontaktować się z bankiem za pośrednictwem oficjalnej infolinii w celu zablokowania kart płatniczych oraz dostępu do bankowości elektronicznej, co ma na celu zapobieżenie dalszym nieuprawnionym operacjom. Kolejnym krokiem powinno być zgłoszenie sprawy na policji oraz uzyskanie potwierdzenia złożenia zawiadomienia o możliwości popełnienia przestępstwa, które stanowi istotny dowód w ewentualnym późniejszym postępowaniu przeciwko bankowi. Następnie należy złożyć formalną reklamację w banku, żądając natychmiastowego zwrotu środków na podstawie art. 46 ust. 1 ustawy o usługach płatniczych. Warto podkreślić, że pierwsza odmowna odpowiedź banku bardzo często stanowi jedynie standardową procedurę operacyjną instytucji finansowej, mającą na celu zniechęcenie poszkodowanego do dalszego dochodzenia roszczeń, a nie merytoryczne rozstrzygnięcie sprawy oparte na rzetelnej analizie okoliczności zdarzenia, dlatego nie należy się nią zniechęcać i rezygnować z dalszych działań.
Niniejszy artykuł ma charakter informacyjny i nie jest to porada prawna.
Stan prawny na dzień 12 sierpnia 2026 r.
Autor / Redaktor cyklu:
