Klient dał się nabrać oszustom, a bank i tak musi oddać pieniądze. TSUE wydał wyrok

Najpierw zwrot, potem spór. TSUE odpowiedział na pytanie polskiego sądu

Sprawa, która trafiła do Luksemburga (C-70/25), wygląda jak setki podobnych historii zgłaszanych co roku do polskich banków. Klientka sprzedawała przedmiot przez internetową platformę ogłoszeniową; rzekomy kupujący podesłał jej odnośnik, który miał posłużyć do „potwierdzenia transakcji” (to schemat dobrze znany choćby jako oszustwo na OLX).

Strona do złudzenia przypominała serwis jej banku, więc podała na niej dane do bankowości elektronicznej – a oszust szybko przelał z jej rachunku równowartość ok. 700 euro, czyli blisko 3 tys. zł. Kobieta zgłosiła sprawę dzień później, ale bank odmówił oddania pieniędzy, wskazując, że sama rażąco zaniedbała ochronę swoich danych.

Zasada D+1: bank oddaje pieniądze w ciągu jednego dnia roboczego

Trybunał uznał takie podejście za sprzeczne z unijną dyrektywą PSD2 i podzielił tym samym stanowisko, które w marcu przedstawił rzecznik generalny Athanasios Rantos. Zasada jest prosta: jeśli klient bez zbędnej zwłoki zgłosi nieautoryzowaną transakcję, bank oddaje pieniądze w ciągu jednego dnia roboczego (tzw. zasada D+1). Wstrzymać się ze zwrotem może tylko wtedy, gdy ma uzasadnione powody, aby sądzić, że oszustem jest sam klient – i poinformuje o tym na piśmie właściwe organy. Przekonanie, że klient był po prostu nieostrożny, nie wystarczy.

Banki latami działały w odwrotnej kolejności. Ten argument właśnie upadł

Trzeba przyznać, że sama zasada D+1 nie jest niczym nowym; wynika zarówno z dyrektywy, jak i z polskiej ustawy o usługach płatniczych. O ile jednak przepisy od lat mówiły o szybkim zwrocie pieniędzy za nieautoryzowane transakcje, o tyle praktyka wielu banków wyglądała zupełnie inaczej. Najpierw prowadzono postępowanie wyjaśniające, a pieniądze wracały do klienta – jeśli w ogóle – dopiero po jego zakończeniu. Związek Banków Polskich przekonywał nawet publicznie, że żaden przepis nie nakazuje bankom oddawać środków przed wyjaśnieniem okoliczności zdarzenia. Po czwartkowym wyroku trudno będzie dalej bronić takiej interpretacji, bo orzeczenie TSUE wiąże sądy we wszystkich państwach członkowskich.

Klient nie zawsze zatrzyma pieniądze. Ale to bank będzie musiał iść do sądu

Wyrok nie oznacza, że oszukany klient w każdej sytuacji zachowa odzyskane środki. Bank wciąż może domagać się od niego zwrotu straty, jeśli wykaże, że klient działał umyślnie albo dopuścił się rażącego niedbalstwa, np. nie chroniąc swoich danych logowania. Kluczowe jest jednak to, kto musi wykonać pierwszy ruch. Do tej pory przy kradzieży pieniędzy przez internet to poszkodowany musiał składać reklamacje, pisać do Rzecznika Finansowego i ewentualnie pozywać bank; teraz inicjatywa i ciężar dowodu przechodzą na instytucję finansową.

W praktyce część takich spraw może w ogóle nie trafić do sądu. Przy kwotach rzędu kilku tysięcy złotych koszty procesu i ryzyko przegranej mogą skutecznie zniechęcać banki – zwłaszcza że „rażące niedbalstwo” nie ma ustawowej definicji, a sądy oceniały je dotąd bardzo różnie. Podanie danych na stronie łudząco podobnej do bankowej nie zawsze było uznawane za rażące zaniedbanie, skoro fałszywe witryny bywają trudne do odróżnienia od prawdziwych.

Nieautoryzowaną transakcję trzeba zgłosić niezwłocznie

Ochrona ma jednak swoje warunki. TSUE już w sierpniu 2025 r. przesądził (w sprawie C-665/23), że nieautoryzowaną transakcję płatniczą trzeba zgłosić niezwłocznie po jej wykryciu, a nie po prostu w ciągu 13 miesięcy; zwlekanie może kosztować utratę prawa do zwrotu.

Czwartkowy wyrok wzmacnia więc pozycję klientów, którzy reagują szybko. Można się domyślać, że banki będą musiały teraz przebudować swoje procedury reklamacyjne – a klienci zyskali mocny argument, na który mogą się powołać już przy pierwszym zgłoszeniu.

Obserwuj nas w Google Discover

Podobają Ci się nasze treści?

Google Discover

Obserwuj