Sąd UE: banki muszą zwrócić pieniądze ofiarom oszustw w pierwszej kolejności, nawet jeśli były zaniedbane

Sąd Sprawiedliwości Unii Europejskiej (TSUE) orzekł 15 października 2026 r., że banki i inni dostawcy usług płatniczych nie mogą opóźniać ani odmawiać zwrotu klientowi, który padł ofiarą nieautoryzowanej transakcji, tylko dlatego, że podejrzewają, iż klient był rażąco zaniedbany. Orzeczenie wydano w sprawie C-70/25 N.O. v PKO BP S.A., w następstwie wniosku o wydanie orzeczenia w trybie prejudycjalnym złożonego przez sąd okręgowy w Koszalinie w Polsce w dniu 3 lutego 2025 r.

Co się stało w sprawie

Sprawa zaczęła się od klientki polskiego banku, znana w dokumentach sądowych tylko jako N.O., która padła ofiarą oszusta podającego się za kupującego na internetowej platformie sprzedaży. Oszust wysłał fałszywy link płatniczy przebrany za wiadomość z platformy. Gdy klientka kliknęła link i wpisała swoje dane bankowe na fałszywej stronie logowania, oszust przelał około 700 euro ze swojego konta. Jej bank, PKO BP, odmówił jej zwrotu, argumentując, że była rażąco zaniedbana, wpisując swoje dane na fałszywej stronie.

Jak orzekł Sąd

TSUE orzekł, że prawo UE dotyczące usług płatniczych - Dyrektywa w sprawie usług płatniczych (Dyrektywa 2015/2366, znana jako PSD2) - wymaga, aby bank zwrócił kwotę nieautoryzowanej transakcji niezwłocznie i nie później niż w końcu dnia roboczego następującego po dniu zawiadomienia przez klienta, niezależnie od tego, czy bank uważa, że klient działał z rażącym zaniedbaniem. Sąd stwierdził, że pozwolenie bankom na wstrzymanie zwrotu podczas dochodzenia w sprawie roszczeń o zaniedbanie pozbowiłoby obowiązek zwrotu jego praktycznego skutku i zmusiłoby ofiary do wznowienia sprawy w sądzie tylko po to, aby odzyskać swoje pieniądze.

Orzeczenie nie zabrania bankom późniejszej próby odzyskania zwróconej kwoty. Jeśli bank uważa, że klient celowo lub przez rażące zaniedbanie nie chronił swoich spersonalizowanych danych uwierzytelniających, może wszcząć postępowanie przeciwko klientowi później - ale ciężar dowodu tego zaniedbania spoczywa na banku, zwykle przed sędzią, a nie na kliencie w chwili oszustwa.

Dlaczego to ważne dla całej UE

Ponieważ PSD2 jest dyrektywą UE stosowaną we wszystkich 27 krajach członkowskich, orzeczenie stanowi wiążące wytyczne dla sądów krajowych i organów regulacyjnych na całym obszarze, nie tylko w Polsce. Organizacje konsumenckie twierdzą, że praktyczny skutek jest znaczący, ponieważ wiele banków rutynowo odwracało sekwencję, którą prawo miało na celu: najpierw badało podejrzane zaniedbanie i wyplacało później, jeśli w ogóle. Belgijska organizacja konsumencka Test-Achats/Testaankoop nazwała to orzeczenie przełomowym. Jej rzecznik, Julie Frère, podsumowała obowiązek jako «Les banques doivent payer d'abord, discuter ensuite» («banki muszą najpierw zapłacić, potem dyskutować»), mówiąc, że to potwierdza zasadę, którą banki praktycznie omijały.

The Brussels Times doniosła, że orzeczenie bezpośrednio kwestionuje obecną praktykę belgijskich banków, z których kilka odmówiło niezwłocznego zwrotu podczas gdy badały, czy klient był nieostrożny z danymi logowania lub kodami jednorazowymi. Komentarze prawne do sprawy, w tym analiza opublikowana przez hiszpański portal Ara, wskazują, że odpowiedź Sądu dotyczy konkretnie terminu zwrotu określonego w PSD2, że orzeczenie mówi w kategoriach «dostawców usług płatniczych» ogólnie, a nie tylko banków, i że pozostawia dostawcom swobodę dochodzenia rażącego zaniedbania oddzielnie, po tym jak pieniądze zostały już zwrócone.

Skala problemu

Orzeczenie pojawia się w czasie, gdy straty z oszustw płatniczych rosną na terenie całej UE i Europejskiego Obszaru Gospodarczego. Wspólny raport Europejskiego Urzędu Nadzoru Bankowego i Europejskiego Banku Centralnego wykazał, że całkowite straty z oszustw płatniczych osiągnęły 4,2 miliarda euro w 2024 r., w porównaniu z 3,5 miliarda euro w 2023 r. i 3,4 miliarda euro w 2022 r. - wzrost o około 20% od 2023 do 2024 r. W ramach tej sumy, oszustwa związane z przelewami kredytowymi wzrosły o 16% rok do roku do 2,2 miliarda euro, a oszustwa na kartach wydanych w UE i EOG wzrosły o 29% do około 1,33 miliarda euro. W przypadku oszustw przesyłów kredytowych w szczególności, ten sam raport wykazał, że użytkownicy usług płatniczych ponieśli około 85% wynikających z tego strat, głównie dlatego, że oszustwa zmuszają ludzi do autoryzacji przelewu.

Co pozostaje niejasne

Orzeczenie dotyczy transakcji nieautoryzowanych - przypadków, gdy ktoś inny uzyskał dostęp do pieniędzy klienta lub je przekierował, jak w phishingu. Nie zmienia oddzielnego traktowania prawnego sytuacji, gdy bank ma obiektywne podstawy do podejrzenia, że klient autoryzował płatność sam lub był wspólnikiem oszustwa, co nadal może usprawiedliwiać wstrzymanie zwrotu. Jak szybko poszczególne banki na terenie UE zmienią swoje wewnętrzne procedury zwrotu w odpowiedzi na orzeczenie i czy krajowe organy regulacyjne będą je aktywnie egzekwować, pozostawało do wyjaśnienia w dniu 16 października 2026 r.