Nieautoryzowane transakcje ·
Wyrok TSUE C-70/25 (Tukowiecka): bank musi najpierw zwrócić pieniądze z oszustwa – analiza i co dalej
Autor: Michał Zawadzki ·
15 października 2026 r. Trybunał Sprawiedliwości UE rozstrzygnął sprawę, która dotyczy potencjalnie każdego, kto korzysta z bankowości internetowej. W wyroku C-70/25 (Tukowiecka) TSUE uznał, że bank nie może odmówić bezzwłocznego zwrotu pieniędzy z nieautoryzowanej transakcji tylko dlatego, że zarzuca klientowi rażące niedbalstwo. To nie jest wyrok o kredytach, ale o relacji klienta z bankiem w sporze, który od lat trafia do Rzecznika Finansowego, UOKiK i sądów. Poniżej opisujemy, co orzeczono, jak to rozumiemy i co z tego wynika w praktyce.
Najważniejsze w skrócie
- Bank ma niezwłocznie zwrócić pieniądze z nieautoryzowanej transakcji, co do zasady najpóźniej do końca następnego dnia roboczego.
- Zarzut rażącego niedbalstwa klienta nie jest podstawą do odmowy takiego zwrotu.
- Wyjątek dotyczy tylko uzasadnionego podejrzenia, że oszustwa dopuścił się sam klient, i wymaga pisemnego zawiadomienia organu krajowego.
- Bank może po zwrocie dochodzić pieniędzy od klienta, ale to on musi udowodnić umyślność lub rażące niedbalstwo.
- Wyrok nie wskazuje, które zachowania są rażącym niedbalstwem, i nie wznawia automatycznie prawomocnie zakończonych spraw.
Sprawa z Koszalina: od fałszywego linku do Luksemburga
Spór zaczął się od oszustwa znanego użytkownikom portali aukcyjnych. Klientka PKO BP wystawiła przedmiot na sprzedaż, a rzekomy kupujący przesłał jej link „do potwierdzenia transakcji”. Odnośnik prowadził do strony łudząco podobnej do witryny banku. Kobieta podała login i hasło do bankowości internetowej, a następnie kod SMS. Przestępca wykonał przelew na 3 tys. zł. Następnego dnia klientka zorientowała się, że padła ofiarą oszustwa, i zawiadomiła bank oraz policję.
PKO BP odmówił zwrotu. Uznał, że klientka rażąco naruszyła obowiązki, ujawniając dane do bankowości, więc odpowiada za stratę. Kobieta pozwała bank przed Sądem Rejonowym w Koszalinie. Sędzia Marta Knotz zawiesiła postępowanie w styczniu 2025 r. i zapytała TSUE, czy bank musi bezzwłocznie zwrócić pieniądze nawet wtedy, gdy uważa, że klient był rażąco niedbały. W uzasadnieniu zwróciła uwagę na układ sił: przed sądami toczy się wiele spraw klientów przeciwko bankom, a brakuje pozwów banków przeciwko klientom, więc ciężar procesu spada na konsumentów.
5 marca 2026 r. opinię przedstawił rzecznik generalny Athanasios Rantos. Uznał, że samo ujawnienie danych do bankowości nie wystarcza do odmowy zwrotu. Odrzucił też pomysł, by bank po zwrocie mógł sam pobrać pieniądze z rachunku klienta bez kierowania sprawy do sądu. Wyrok potwierdził kierunek wskazany w opinii.
Co dokładnie orzekł TSUE
Trybunał dokonał wykładni art. 73 ust. 1 i art. 74 ust. 1 dyrektywy 2015/2366 (PSD2). Pierwszy przepis nakazuje bankowi bezzwłocznie zwrócić kwotę nieautoryzowanej transakcji, co do zasady nie później niż do końca następnego dnia roboczego. Drugi reguluje odpowiedzialność użytkownika, także w razie umyślności lub rażącego niedbalstwa. W polskim prawie odpowiadają im art. 46 ust. 1 i ust. 3 ustawy o usługach płatniczych.
| Pytanie | Odpowiedź według wyroku C-70/25 |
|---|---|
| Czy bank może odmówić zwrotu z powodu rażącego niedbalstwa klienta? | Nie. Zarzut rażącego niedbalstwa nie jest podstawą do odmowy niezwłocznego zwrotu |
| W jakim terminie bank zwraca pieniądze? | Niezwłocznie, co do zasady najpóźniej do końca następnego dnia roboczego od stwierdzenia transakcji lub zgłoszenia |
| Czy istnieje wyjątek? | Tak: uzasadnione podejrzenie oszustwa popełnionego przez samego klienta, o którym bank pisemnie informuje właściwy organ krajowy |
| Czy bank może później żądać zwrotu od klienta? | Tak, jeśli wykaże umyślność lub rażące niedbalstwo |
| Kto dowodzi rażącego niedbalstwa? | Bank (art. 72 ust. 2 PSD2) |
| Czy wyrok mówi, co jest rażącym niedbalstwem? | Nie. Ocenia to sąd krajowy w okolicznościach sprawy |
Według analizy opublikowanej na eGospodarka.pl Trybunał podkreślił, że przyjęcie wykładni banku pozbawiłoby ochronę z dyrektywy skuteczności. Konsument zamiast zwrotu w ustawowym terminie musiałby samodzielnie wszczynać proces, ponosić jego koszty i czekać na rozstrzygnięcie nawet latami.
Analiza: dwa mechanizmy zamiast jednego
Najważniejsza zmiana nie dotyczy tego, kto ostatecznie poniesie stratę, ale tego, w jakiej kolejności ma się to rozstrzygać. Prawo unijne zawiera dwa odrębne mechanizmy. Pierwszy służy szybkiemu przywróceniu środków na rachunku poszkodowanego. Drugi pozwala ustalić, kto powinien ponieść ostateczny koszt. Dotychczas banki w praktyce łączyły je w jeden etap: jeśli uznały klienta za rażąco niedbałego, nie zwracały pieniędzy. Trybunał je rozdzielił. Pierwszy etap jest obowiązkiem, drugi sporem.
Poniższe zestawienie jest naszym uproszczeniem na podstawie opisów praktyki w sprawie Koszalina i komentarzy Rzecznika Finansowego:
| Etap | Praktyka opisywana przed wyrokiem | Model po wyroku C-70/25 |
|---|---|---|
| Decyzja o zwrocie | Bank ocenia zachowanie klienta i może odmówić | Bank zwraca środki niezwłocznie |
| Kto pozywa | Klient, jeśli chce odzyskać pieniądze | Bank, jeśli chce odzyskać pieniądze od klienta |
| Kto dowodzi niedbalstwa | W praktyce klient musi wykazać, że nie był niedbały | Bank musi wykazać rażące niedbalstwo |
| Kto finansuje spór w trakcie | Klient bez swoich pieniędzy | Klient ma pieniądze, a bank ponosi ryzyko procesu |
Nasza ocena: wyrok zmienia ekonomię sporu, a nie jego treść. Te same pytania o staranność klienta nadal będą zadawane, ale ryzyko finansowe i procesowe przechodzi z osoby fizycznej na profesjonalistę. Radca prawny Wojciech Bochenek ujął to w rozmowie z money.pl tak, że dotychczas często wystarczyło odmówić, aby ciężar dalszych działań spoczął na konsumencie.
Jedyny wyjątek: podejrzenie oszustwa klienta
PSD2 przewiduje jedną sytuację, w której bank może wstrzymać zwrot: ma uzasadnione podstawy, by podejrzewać, że oszustwa dopuścił się sam klient, i pisemnie informuje o tym właściwy organ krajowy. TSUE wyraźnie odróżnił dwie sytuacje. Przestępca oszukuje klienta, który nieświadomie podaje dane (phishing), albo klient próbuje wyłudzić pieniądze. Samo stwierdzenie, że klient kliknął link, podał login albo potwierdził kod SMS, nie uprawnia banku do skorzystania z wyjątku.
Nasza ocena: ten wyjątek powinien pozostać wąski. Wymaga formalnego kroku (zawiadomienia organu), a jego nadużycie niosłoby ryzyko prawne i wizerunkowe dla banku. Jeśli mimo to usłyszysz, że bank wstrzymuje zwrot „z powodu podejrzenia”, poproś na piśmie o informację, czy zawiadomił organ, i o uzasadnienie. Bank nie może zastąpić wyjątku zwykłą odmową opartą na ocenie Twojej ostrożności.
Kto musi udowodnić rażące niedbalstwo
Rażące niedbalstwo nie znika z systemu. Klient może ponosić pełną odpowiedzialność, jeśli doprowadził do straty umyślnie albo wskutek rażącego naruszenia obowiązków, m.in. obowiązku ochrony danych uwierzytelniających. Zmienia się natomiast to, kto musi to wykazać. Ciężar dowodu spoczywa na banku, a samo uwierzytelnienie transakcji nie jest równoznaczne z dowodem, że klient działał rażąco niedbale.
Wyrok nie rozstrzyga, czy podanie danych na fałszywej stronie to rażące niedbalstwo. Hanna Górska z fundacji Law City zwraca uwagę, że wyrok dotyczy trybu, a nie oceny zachowania klienta. To oznacza, że w pierwszych latach po wyroku możemy zobaczyć rozbieżności w orzecznictwie. Banki będą musiały zbierać dowody, takie jak ostrzeżenia wyświetlone w aplikacji, sposób potwierdzenia transakcji czy zachowanie klienta po sygnałach alarmowych. Dla klienta z kolei znaczenie ma dokumentowanie wszystkiego od chwili zdarzenia (patrz niżej).
Czy banki będą pozywać klientów? Trzy scenariusze
Money.pl postawił pytanie, czy banki będą „równie chętnie pozywać konsumentów, jak dotychczas odmawiały im zwrotu pieniędzy”. Wojciech Bochenek spodziewa się wzrostu zainteresowania dochodzeniem roszczeń przez konsumentów oraz potencjalnego wzrostu pozwów banków, ale wątpi, czy nastąpi to na masową skalę, bo proces wymaga dowodów, nakładów i ryzyka przegranej, a przy niewielkich kwotach bywa nieopłacalny. Poniżej nasze scenariusze, które są oceną, a nie prognozą opartą na danych:
| Scenariusz | Opis | Co oznacza dla klienta |
|---|---|---|
| Zwrot i selektywne pozwy | Bank zwraca pieniądze, a pozywa tylko w sprawach z mocnymi dowodami, np. gdy klient zignorował wyraźne ostrzeżenia | Większość poszkodowanych odzyskuje środki szybko, a ryzyko procesu dotyczy mniejszości |
| Zaostrzenie zabezpieczeń | Banki ograniczają straty przez dodatkowe potwierdzenia, ostrzeżenia w aplikacji, limity lub weryfikację nowych odbiorców | Większa uciążliwość korzystania z konta, ale mniejsze ryzyko oszustwa |
| Spory o dowody | Brak jednolitej definicji rażącego niedbalstwa prowadzi do rozbieżnych wyroków | Wynik zależy od sądu i jakości dokumentacji, dlatego warto zbierać dowody od pierwszej godziny |
Drugi scenariusz jest zgodny z deklaracjami banków: PKO BP przekazał money.pl, że stale rozwija zabezpieczenia, a skuteczność wykrywania ataków przekracza 95 proc. (to deklaracja banku). Jednocześnie rośnie skala prób wyłudzeń.
Oszust opróżnił konto: co zrobić krok po kroku
- Zgłoś bankowi niezwłocznie. Zablokuj dostęp do konta i kart, zapisz godzinę, numer zgłoszenia i dane rozmówcy.
- Złóż zgłoszenie na piśmie i zażądaj zwrotu. Powołaj się na art. 46 ust. 1 ustawy o usługach płatniczych i wyrok C-70/25. Gotowy tekst przygotujesz w generatorze reklamacji do banku.
- Zawiadom policję i zachowaj dowody: wiadomości od oszusta, linki, zrzuty ekranu, potwierdzenia transakcji i korespondencję z bankiem. Listę dokumentów znajdziesz w checkliście dokumentów.
- Pilnuj terminów. Zgłoś transakcję niezwłocznie, najpóźniej w ciągu 13 miesięcy od obciążenia rachunku.
- Jeśli bank odmawia, złóż reklamację i zwróć się do Rzecznika Finansowego o bezpłatną pomoc. Przy roszczeniu do 12 000 zł rozważ Arbitra Bankowego, a gdy to nie pomoże, sąd. Którą drogę wybrać, pomoże ocenić porównywarka wariantów.
| Co | Termin |
|---|---|
| Zgłoszenie nieautoryzowanej transakcji | Niezwłocznie, nie później niż 13 miesięcy od obciążenia rachunku |
| Zwrot pieniędzy przez bank | Niezwłocznie, najpóźniej do końca następnego dnia roboczego po stwierdzeniu transakcji lub zgłoszeniu |
| Odpowiedź na reklamację | Zależy od rodzaju usługi; sprawdź w regulaminie banku |
| Przedawnienie roszczeń | Ocenia się indywidualnie, dlatego nie zwlekaj z działaniem |
Odmowy z przeszłości: czy można do nich wrócić
Money.pl zwraca uwagę, że wyrok może pomóc także osobom, którym bank odmówił zwrotu rok czy dwa lata temu, ale znaczenie mają termin zgłoszenia i przedawnienie. Sam upływ 13 miesięcy od kradzieży nie zamyka drogi do sądu, jeśli transakcję zgłoszono w terminie. Dla osób, które już procesują się z bankiem, argumentacja TSUE powinna być wykorzystana w toczącej się sprawie. Trudniejsza jest sytuacja po prawomocnym wyroku, bo wyrok TSUE nie powoduje automatycznego wznowienia postępowania, a ewentualne dalsze kroki trzeba ocenić indywidualnie.
Nasza ocena prawna ogólna: orzeczenie TSUE wyjaśnia, jak rozumieć przepisy unijne, więc sądy krajowe stosują tę wykładnię także w sprawach dotyczących zdarzeń sprzed wyroku, o ile nie są zakończone prawomocnie. Przed podjęciem działań zweryfikuj to w swojej sprawie, najlepiej z prawnikiem (zobacz jak wybrać kancelarię).
Skala problemu i działania UOKiK
- Według NBP w I kwartale 2026 r. wartość oszustw przelewowych sięgnęła blisko 246 mln zł, o połowę więcej niż rok wcześniej. Ponad 60 proc. tej kwoty to przypadki, w których przestępcy nakłonili ofiary do przelewu lub przekazania danych.
- W latach 2022–2025 do Rzecznika Finansowego wpłynęło ponad 10 tys. wniosków o pomoc w sprawach nieautoryzowanych transakcji.
- 7 września 2026 r. prezes UOKiK zakończył cztery postępowania. Alior Bank, mBank, BNP Paribas i Bank Millennium zobowiązały się zmienić sposób rozpatrywania zgłoszeń i ponownie przeanalizować wcześniej odrzucone reklamacje. Wobec dziesięciu kolejnych banków podobne sprawy trwają.
- UOKiK zarzucał bankom m.in. brak zwrotu w terminie, uzależnianie wypłaty od dodatkowych warunków, samodzielne pobieranie wcześniej zwróconych kwot i uznawanie poprawnie wpisanego kodu za wystarczający dowód zgody klienta.
- Związek Banków Polskich ocenił, że wyrok nie jest zaskoczeniem, bo większość banków dostosowała w ostatnich latach praktykę zwrotów, a bezzwłoczny zwrot nie zwalnia klienta z odpowiedzialności za rażące niedbalstwo.
Wyrok nie zastępuje ostrożności
Wyrok chroni przed koniecznością „pożyczania od siebie” bankowi na czas sporu, ale nie oznacza, że zachowanie klienta przestało mieć znaczenie. Bank może dochodzić zwrotu, a Ty poniesiesz ryzyko procesu, jeśli sąd uzna rażące niedbalstwo. Dlatego nadal warto:
- logować się do banku tylko przez własną aplikację lub ręcznie wpisany adres, nigdy przez link z wiadomości;
- nigdy nie podawać kodów SMS ani haseł osobom trzecim, także gdy ktoś przedstawia się jako pracownik banku;
- zwracać uwagę na treść komunikatu przy potwierdzaniu transakcji i na kwotę oraz odbiorcę;
- włączyć powiadomienia o operacjach i ustawić limity przelewów;
- po wykryciu oszustwa działać natychmiast, bo czas zgłoszenia ma znaczenie.
Najczęstsze pytania
Czy bank musi oddać pieniądze, jeśli sam podałem dane na fałszywej stronie?
Zasadniczo tak. Według wyroku C-70/25 bank najpierw zwraca środki z nieautoryzowanej transakcji, a dopiero potem może dochodzić od klienta pokrycia straty, jeśli wykaże umyślność lub rażące niedbalstwo. Czy podanie danych na sfałszowanej stronie jest rażącym niedbalstwem, oceni sąd w okolicznościach konkretnej sprawy.
W jakim terminie bank powinien zwrócić pieniądze?
Niezwłocznie, co do zasady najpóźniej do końca następnego dnia roboczego po stwierdzeniu nieautoryzowanej transakcji lub otrzymaniu zgłoszenia. Podstawą są art. 73 dyrektywy PSD2 i art. 46 ust. 1 ustawy o usługach płatniczych.
Co zrobić, jeśli bank mimo wyroku odmawia zwrotu?
Złóż pisemną reklamację i powołaj się na wyrok C-70/25. Jeśli bank ją odrzuci, możesz zwrócić się do Rzecznika Finansowego o bezpłatną pomoc, a przy roszczeniu do 12 000 zł rozważyć Arbitra Bankowego. Ostatnim etapem jest sąd.
Czy bank może sam pobrać pieniądze z mojego konta po dokonaniu zwrotu?
Według relacji money.pl rzecznik generalny TSUE odrzucił propozycję, by bank po zwrocie mógł samodzielnie obciążyć rachunek klienta. Jeśli bank uważa, że klient ponosi odpowiedzialność, powinien dochodzić swoich racji na drodze sądowej.
Czy wyrok pomoże, jeśli bank odmówił zwrotu rok lub dwa lata temu?
Może pomóc, ale sprawę trzeba ocenić indywidualnie. Znaczenie mają termin zgłoszenia transakcji (niezwłocznie, nie później niż 13 miesięcy od obciążenia rachunku) i przedawnienie roszczeń. Wyrok nie wznawia automatycznie postępowań zakończonych prawomocnie.
Czy banki zaczną masowo pozywać klientów?
Nie można tego wykluczyć, ale radca prawny Wojciech Bochenek w rozmowie z money.pl wątpi w masową skalę. Proces wymaga dowodów, nakładów i ryzyka przegranej, a przy niewielkich kwotach bywa dla banku nieopłacalny.
Źródła
- money.pl: Przełomowy wyrok TSUE. Banki będą pozywać klientów? (15 października 2026)
- money.pl: Banki mogą mieć problem. Ten wyrok TSUE zmieni wszystko? (14 października 2026)
- GazetaPrawna.pl: Wyrok TSUE z 15 października 2026 r. o zwrocie pieniędzy skradzionych z konta
- eGospodarka.pl: Przełomowy wyrok TSUE – analiza sprawy C-70/25 (16 października 2026)
- Bankier.pl: Przełomowy wyrok TSUE dla ofiar oszustów (komentarze Rzecznika Finansowego i ZBP)
Artykuł ma charakter informacyjny i nie stanowi porady prawnej. Opisuje wyrok TSUE C-70/25 z 15 października 2026 r. na podstawie publicznych doniesień i komentarzy prawników. Fragmenty oznaczone jako „nasza ocena” są naszą interpretacją, a nie ustalonym stanem prawnym. W sprawie dotyczącej konkretnej transakcji skonsultuj się z prawnikiem albo Rzecznikiem Finansowym.