TSUE C-70/25: czy bank może wstrzymać zwrot pieniędzy, zarzucając klientowi rażące niedbalstwo?

Bank nie może odmówić bezzwłocznego zwrotu nieautoryzowanej transakcji tylko dlatego, że zarzuca klientowi rażące niedbalstwo. Tak TSUE rozstrzygnął 15 października 2026 r. sprawę C-70/25. To ważne dla osób czekających na odzyskanie pieniędzy po phishingu, ale zwrot nie zamyka późniejszego sporu o odpowiedzialność za stratę.

We wrześniu opisywaliśmy decyzje UOKiK dotyczące ponownej analizy reklamacji w czterech bankach. Problem obejmował między innymi odmowy zwrotu i traktowanie prawidłowego uwierzytelnienia jako dowodu zgody klienta. Tamte decyzje dotyczyły praktyk wskazanych instytucji.

Teraz pojawił się wyrok TSUE C-70/25. Zwrot pieniędzy i późniejsze rozliczenie odpowiedzialności zostały w nim wyraźnie rozdzielone. Trybunał wyjaśnił przepisy unijnej dyrektywy o usługach płatniczych, czyli PSD2. Nie ustanowił natomiast zasady, że każda osoba oszukana w internecie bezwarunkowo odzyska pieniądze.

Co dokładnie rozstrzygnął TSUE w sprawie C-70/25?

Sprawa zaczęła się od sprzedaży przedmiotu przez internet. Oszust podszył się pod kupującego i wysłał klientce PKO BP odnośnik do fałszywej strony. Kobieta podała dane do bankowości elektronicznej, a sprawca uzyskał również kod potwierdzający. Z rachunku wykonano przelew na 3000 zł. Następnego dnia klientka zgłosiła zdarzenie bankowi i policji, ale bank odmówił zwrotu, zarzucając jej rażące zaniedbanie ochrony danych.

Spór trafił do Sądu Rejonowego w Koszalinie, który zapytał TSUE o interpretację art. 73 ust. 1 i art. 74 ust. 1 PSD2. W sentencji wyroku z 15 października 2026 r. Trybunał wykluczył odmowę bezzwłocznego zwrotu z powodu zarzutu, że płatnik umożliwił nieautoryzowaną transakcję przez rażące zaniedbanie swoich obowiązków.

To wyrok prejudycjalny: wyjaśnia prawo UE, natomiast konkretny spór rozstrzyga sąd krajowy. Nie jest decyzją przyznającą określoną kwotę wszystkim klientom PKO BP ani wszystkich pozostałych banków.

Dlaczego zarzut rażącego niedbalstwa nie zatrzymuje zwrotu?

Najważniejsza jest kolejność dwóch etapów. Pierwszy dotyczy szybkiego przywrócenia środków po nieautoryzowanej transakcji. Drugi odpowiada na pytanie, kto ostatecznie ponosi stratę. Bank nie może przenieść całego sporu o zachowanie klienta do pierwszego etapu i z tego powodu zatrzymać pieniędzy.

Trybunał wskazał, że przeciwne podejście pozbawiałoby obowiązek szybkiego zwrotu praktycznego znaczenia. Poszkodowany pozostawałby bez środków i musiałby sam rozpoczynać postępowanie, ponosić niedogodności oraz ewentualne koszty dochodzenia swoich praw. Ochrona wynikająca z PSD2 działałaby dopiero po zakończeniu sporu, zamiast w momencie utraty pieniędzy.

Nie znaczy to, że można ignorować bezpieczeństwo danych. Obowiązki użytkownika nadal istnieją. Zmienia się odpowiedź na pytanie, czy samo powołanie się przez bank na ich rażące naruszenie wystarczy do odmowy szybkiego zwrotu. Zgodnie z wyrokiem: nie.

Kiedy upływa termin D+1 i jak szybko zgłosić transakcję?

Art. 46 ust. 1 ustawy o usługach płatniczych wymaga zwrotu niezwłocznie, najpóźniej do końca następnego dnia roboczego po stwierdzeniu nieautoryzowanej transakcji przez dostawcę albo po otrzymaniu odpowiedniego zgłoszenia. To właśnie D+1. Nie jest to dodatkowy termin liczony dopiero od zakończenia reklamacji.

Klient również powinien działać niezwłocznie po wykryciu operacji. Zasadniczo brak zgłoszenia w ciągu 13 miesięcy od obciążenia rachunku powoduje wygaśnięcie roszczeń z tego tytułu. Ustawa przewiduje wyjątek, jeżeli dostawca nie udostępnił wymaganej informacji o transakcji. Granica 13 miesięcy nie oznacza, że można bez konsekwencji odkładać zgłoszenie po zauważeniu kradzieży.

Przykładowo, jeżeli bank otrzyma zgłoszenie w poniedziałek, a wtorek jest dla niego kolejnym dniem roboczym, maksymalny termin upływa we wtorek. To ilustracja sposobu liczenia, nie dodatkowa zwłoka, z której bank zawsze może korzystać: przepis w pierwszej kolejności wymaga działania niezwłocznego.

Kiedy podejrzenie oszustwa klienta pozwala wstrzymać zwrot?

Inaczej traktowana jest sytuacja, w której bank ma podstawy podejrzewać oszustwo samego płatnika. Nie chodzi o samo stwierdzenie, że klient padł ofiarą przestępcy. Wyjątek ma dotyczyć podejrzenia nieuczciwego działania osoby występującej o zwrot.

Polski przepis wymaga uzasadnionych i należycie udokumentowanych podstaw podejrzenia oraz pisemnego poinformowania organów ścigania. Te warunki muszą wystąpić łącznie. Samo użycie w odpowiedzi reklamacyjnej słowa „oszustwo” albo „niedbalstwo” nie zastępuje ich spełnienia.

Nie należy też utożsamiać zawiadomienia złożonego policji przez ofiarę z realizacją obowiązku banku, który powołuje się na ten wyjątek. To różne czynności i różne podejrzenia. Wyrok nie pozwala bankowi automatycznie zamienić zarzutu nieostrożnego podania danych w podejrzenie oszustwa klienta.

Czy bank może później zażądać oddania pieniędzy?

Tak. Dokonanie zwrotu zgodnie z D+1 nie rozstrzyga ostatecznej odpowiedzialności. Bank może następnie dochodzić zwróconej kwoty, jeżeli wykaże podstawy odpowiedzialności klienta, w szczególności umyślne lub wynikające z rażącego niedbalstwa naruszenie obowiązków dotyczących bezpieczeństwa instrumentu płatniczego.

Ciężar udowodnienia tych okoliczności spoczywa na dostawcy usług płatniczych. Sam zapis użycia instrumentu, prawidłowy login czy kod nie wystarczają do automatycznego wykazania autoryzacji albo rażącego niedbalstwa. Oceny wymaga rzeczywisty przebieg zdarzenia i materiał dowodowy.

Dla poszkodowanego praktyczny skutek jest więc podwójny: ma mocny argument przeciw odmowie szybkiego zwrotu opartej wyłącznie na niedbalstwie, lecz powinien zachować dokumenty również po odzyskaniu środków. W razie późniejszego roszczenia banku spór może nadal wymagać indywidualnej oceny, a nawet rozstrzygnięcia sądowego.

Dlaczego nie każdy przelew do oszusta podlega tej zasadzie?

Wyrok dotyczy transakcji nieautoryzowanej, czyli takiej, na którą płatnik nie udzielił zgody. Nie każda strata związana z oszustwem automatycznie spełnia to kryterium. Jeżeli ktoś świadomie zlecił konkretny przelew, ale uwierzył fałszywej obietnicy inwestycji lub nieuczciwemu sprzedawcy, trzeba osobno ocenić podstawy odzyskania pieniędzy. Sam przestępczy zamiar odbiorcy nie przesądza o braku autoryzacji.

Z drugiej strony techniczne zatwierdzenie operacji nie zamyka analizy. Istotne jest, na co klient rzeczywiście wyraził zgodę i co potwierdzają dowody. Odrębnym zagadnieniem jest także skuteczność umowy kredytu zawartej pod wpływem manipulacji. Omawialiśmy je w materiale Oszust zaciągnął kredyt na Twoje dane? Rzecznik Finansowy: sam kod lub kliknięcie nie zawsze oznacza zgodę. C-70/25 nie unieważnia automatycznie takich umów.

Co zrobić z wcześniejszą odmową opartą na niedbalstwie?

Odszukaj odpowiedź banku i sprawdź jej rzeczywiste uzasadnienie. Jeżeli odmowa szybkiego zwrotu została oparta wyłącznie na zarzucie rażącego niedbalstwa przy nieautoryzowanej transakcji, w reklamacji lub dalszej korespondencji można powołać wyrok TSUE z 15 października 2026 r., C-70/25, oraz art. 46 ust. 1 ustawy. Wskaż konkretną operację i datę pierwotnego zgłoszenia, zamiast ograniczać się do ogólnego stwierdzenia, że doszło do oszustwa.

• Zachowaj historię rachunku, potwierdzenie zgłoszenia i odpowiedzi banku.
• Zabezpiecz wiadomości od sprawcy, komunikaty bankowe i dokumentację zawiadomienia policji.
• Oddziel żądanie niezwłocznego zwrotu od ewentualnego sporu o odpowiedzialność za stratę.
• Jeżeli droga reklamacyjna nie rozwiąże sprawy, rozważ pomoc Rzecznika Finansowego lub dochodzenie roszczenia przed sądem.

Nowy wyrok nie jest automatycznym przelewem dla wszystkich osób z wcześniejszą odmową i sam nie otwiera na nowo każdej prawomocnie zakończonej sprawy. Daje jednak konkretne rozstrzygnięcie najważniejszego problemu: bank nie może uzależniać szybkiego zwrotu nieautoryzowanej płatności od tego, aż klient najpierw wygra spór o zarzut rażącego niedbalstwa.

Sprawdź podobne artykuły