TSUE: Banki muszą zwracać środki ofiarom phishingu niezwłocznie, nawet w przypadku niedbalstwa klienta

Orzeczenie

Trybunał Sprawiedliwości Unii Europejskiej orzekł w czwartek, 15 października 2026 r., że bank musi niezwłocznie zwrócić środki utracone w wyniku nieautoryzowanej transakcji, nawet jeśli zarzuca klientowi rażące niedbalstwo. Wyrok stanowi odpowiedź na pytanie polskiego sądu dotyczące przypadków takich jak phishing, w których skradzione dane logowania służą do wyprowadzenia pieniędzy z rachunku. Zgodnie z rozumowaniem Trybunału, zwrot powinien nastąpić do końca następnego dnia roboczego po wykryciu lub zgłoszeniu transakcji. Bank może wstrzymać płatność tylko wtedy, gdy ma uzasadnione podstawy, by podejrzewać, że to klient dopuścił się oszustwa, i nawet wtedy musi powiadomić o tym na piśmie organ krajowy.

Polska sprawa

Spór dotyczył klientki polskiego banku, która wystawiła przedmiot na sprzedaż w internecie. Osoba podająca się za kupującego wysłała jej link prowadzący do fałszywej strony przypominającej witrynę banku, gdzie kobieta wpisała swoje dane logowania. Oszust wykorzystał je do wykonania przelewu na kwotę około 700 euro, jak podają pb.pl i Handelsblatt, podczas gdy Rzeczpospolita wskazała kwotę 3000 złotych i wymieniła PKO Bank Polski jako instytucję. Klientka zgłosiła przelew następnego dnia, ale bank odmówił zwrotu, argumentując, że dopuściła się rażącego niedbalstwa w ochronie danych logowania. Sprawa trafiła do sądu rejonowego w Koszalinie, który skierował pytanie do TSUE. Rzeczpospolita podała, że polski sędzia uzasadnił, iż ryzyko nieautoryzowanych transakcji spoczywa w całości na dostawcach usług płatniczych zgodnie z dyrektywą 2015/2366 oraz prawem krajowym.

Co bank może zrobić później

Wyrok rozdziela obowiązek szybkiej wypłaty od kwestii tego, kto ostatecznie ponosi stratę. Bank, który później udowodni, że transakcja była wynikiem rażącego niedbalstwa klienta, może dochodzić roszczeń, przy czym ciężar dowodu spoczywa na banku. Według Rzeczpospolitej Trybunał uznał, że bank nie jest uprawniony do samodzielnej oceny, czy klient był niedbały i nie może wykorzystywać takiej oceny do odmowy zwrotu. VRT NWS poinformowało, że sądy w Belgii wydały już podobne orzeczenia, a prawo unijne ma pierwszeństwo przed orzecznictwem krajowym, co nadaje wyrokowi znaczenie wykraczające poza samą kwotę sporu. Klienci nadal muszą zgłaszać nieautoryzowane transakcje bez zbędnej zwłoki, a biuro Rzecznika Finansowego wyjaśniło, że roszczenia wygasają, jeśli zgłoszenie nie zostanie dokonane w ciągu 13 miesięcy od obciążenia rachunku.

Rzecznik Finansowy i organizacje konsumenckie

Michał Ziemiak, Rzecznik Finansowy w Polsce, skomentował orzeczenie i podkreślił, że klient jest ofiarą oszustwa.

Klient, który zgłasza oszustwo, jest ofiarą, a fakt, że dał się zmanipulować, nie oznacza, że można go obwiniać i odmawiać mu zwrotu pieniędzy.

Biuro Rzecznika podało, że w latach 2022–2025 otrzymało ponad 10 000 wniosków dotyczących nieautoryzowanych transakcji płatniczych od osób, którym banki lub instytucje płatnicze odmówiły zwrotu, często powołując się na rażące niedbalstwo. Ekspert z niemieckiego stowarzyszenia ochrony konsumentów (vzbv) stwierdził, że podobną praktykę można zaobserwować w Niemczech. Konsumenci poświęcają tam wiele wysiłku na spory, rezygnują, akceptują niekorzystne ugody lub unikają sądów ze względu na ryzyko kosztów procesowych.