15 października 2026 roku TSUE wyda wyrok w sprawie C-70/25, który może zmienić sytuację tysięcy klientów banków okradzionych przez internetowych oszustów. Trybunał odpowie na pytanie, czy bank może odmówić natychmiastowego zwrotu pieniędzy utraconych w nieautoryzowanej transakcji tylko dlatego, że sam uznał zachowanie klienta za rażąco niedbałe. Od odpowiedzi zależy, kto będzie finansował wieloletni spór: ofiara przestępstwa czy bank.

Oszustów przybywa, a straty ponoszą głównie klienci.

Dane Narodowego Banku Polskiego nie pozostawiają wątpliwości: liczba oszukańczych przelewów rośnie w tempie, jakiego dotąd nie notowano. W IV kwartale 2024 roku NBP odnotował 16,8 tys. takich transakcji o wartości 135,4 mln PLN. Rok później było ich już 33,2 tys., a w I kwartale 2026 roku niemal 39,2 tys. o rekordowej wartości 245,9 mln PLN. W ciągu pięciu kwartałów liczba oszukańczych przelewów wzrosła więc ponad dwukrotnie.

Zmienił się też charakter tych przestępstw. Coraz rzadziej chodzi o techniczne włamanie, coraz częściej o manipulację ofiarą metodą na fałszywego pracownika banku, fałszywego kupującego czy fałszywego brokera. W I kwartale 2026 roku oszustwa oparte na manipulacji stanowiły niemal 34 tys. transakcji o wartości ponad 152 mln PLN. Najbardziej wymowna jest jednak inna liczba. Z niemal 246 mln PLN utraconych w I kwartale 2026 roku banki pokryły nieco ponad 27 mln PLN, czyli ok. 11 %. Resztę straty ponieśli posiadacze rachunków.

Praktyka banków: odmowa, zwrot warunkowy, odesłanie do sądu.

Przepisy są jasne. Zgodnie z art. 46 Ustawy o usługach płatniczych bank zwraca kwotę nieautoryzowanej transakcji niezwłocznie, nie później niż do końca dnia roboczego następującego po dniu zgłoszenia. Może się od tego uchylić tylko wtedy, gdy ma uzasadnione i należycie udokumentowane podejrzenie, że oszustem jest sam płatnik, i poinformuje o tym na piśmie organy ścigania.

Praktyka wygląda inaczej. W lutym 2024 roku UOKiK poinformował, że prowadzi już działania wobec 15 banków. Urząd zarzucił im m.in. brak zwrotu lub zwrot spóźniony, tzw. zwroty warunkowe, w przypadku których pieniądze wracają na rachunek na czas reklamacji, a potem są automatycznie pobierane, gdy bank uzna klienta za winnego, oraz odrzucanie reklamacji wyłącznie dlatego, że transakcja została prawidłowo uwierzytelniona. Taka argumentacja pomija, że operacji mógł dokonać ktoś inny, bez wiedzy klienta. We wrześniu 2026 roku cztery z tych postępowań (wobec Alior Banku, mBanku, BNP Paribas i Banku Millennium) zakończyły się decyzjami zobowiązującymi. Banki zmienią praktyki i ponownie przeanalizują zgłoszenia, które wcześniej rozpatrzyły negatywnie. Dziesięć postępowań wobec innych dużych banków wciąż się toczy.

W praktyce naszej kancelarii schemat powtarza się niemal zawsze. Klient zgłasza oszustwo, a bank odpowiada, że klient sam podał dane, zainstalował aplikację albo nie zabezpieczył telefonu. Bywa, że bank zapowiada powrót do sprawy dopiero po zakończeniu postępowania karnego lub prawomocnym wyroku. Poszkodowany, który już stracił oszczędności, musi wtedy sam sfinansować proces i czekać na rozstrzygnięcie latami.

Polskie sądy coraz częściej po stronie ofiar.

Orzecznictwo od lat wskazuje, że to bank musi udowodnić winę klienta. Już w wyroku z 18 stycznia 2018 roku (sygn. akt V CSK 141/17) Sąd Najwyższy orzekł, że bank ma oddać klientce ponad 60 tys. PLN wyprowadzone po ataku phishingowym, bo nie wykazał jej rażącego niedbalstwa. W wyroku z 15 września 2023 roku (sygn. akt II CSKP 1013/22) SN podkreślił różnicę między autoryzacją a uwierzytelnieniem: autoryzacja to zgoda płatnika na transakcję, a uwierzytelnienie jedynie procedura weryfikacji tożsamości. Samo wykazanie, że użyto prawidłowego loginu i kodu, nie dowodzi więc, że klient na transakcję się zgodził.

Sądy powszechne coraz częściej przyjmują też, że uleganie wyrafinowanej socjotechnice to co najwyżej zwykła nieostrożność, a nie rażące niedbalstwo. Rażące niedbalstwo wymaga oczywistego zlekceważenia podstawowych zasad bezpieczeństwa, gdy ryzyko oszustwa było wyraźnie dostrzegalne (wyrok SA w Łodzi z 30 czerwca 2023 roku, sygn. akt I ACa 785/22). W kwietniu 2026 roku uprawomocnił się wyrok Sądu Rejonowego w Poznaniu (sygn. akt I C 209/22) nakazujący bankowi zwrot ok. 58 tys. PLN klientce, która weszła w link z fałszywego SMS-a o zaległym rachunku za prąd.

Podobnie było w jednej z prowadzonych przez nas spraw. Klient, nakłoniony przez fałszywego brokera do zainstalowania aplikacji zdalnego dostępu, odkrył, że oszust zaciągnął w jego imieniu pożyczkę na niemal 79 tys. PLN. Bank przez cztery lata żądał spłaty rat. W lipcu 2026 roku Sąd Okręgowy w Warszawie nieprawomocnym wyrokiem ustalił, że umowa w ogóle nie została zawarta, a klient nie działał rażąco niedbale.

Orzecznictwo nie jest jednak jednolite. Zdarzają się wyroki, w których sąd przyjmuje, że transakcji dokonała osoba trzecia, a mimo to oddala powództwo, bo uznaje, że klient nie wyjaśnił, w jaki sposób przestępcy uzyskali dostęp do jego konta. Tymczasem ustawa takiego obowiązku na klienta nie nakłada.

Sprawa z Koszalina i opinia rzecznika generalnego

Sprawa C-70/25 dotyczy klientki PKO BP S.A., która sprzedawała przedmiot w internecie. Rzekomy kupujący przesłał jej link do strony podszywającej się pod bank. Kobieta wpisała tam dane logowania, a przestępcy wyprowadzili z jej rachunku 3000 PLN. Transakcję zgłosiła następnego dnia. Bank odmówił zwrotu, uznając, że ujawniając dane, dopuściła się rażącego niedbalstwa. Sąd Rejonowy w Koszalinie zapytał TSUE, czy taki zarzut pozwala bankowi wstrzymać zwrot przewidziany w art. 73 Dyrektywy PSD2.

5 marca 2026 roku rzecznik generalny Athanasios Rantos odpowiedział, że nie. Jego zdaniem prawo Unii zobowiązuje bank w pierwszej kolejności do bezzwłocznego zwrotu kwoty nieautoryzowanej transakcji. Jedynym wyjątkiem jest uzasadnione podejrzenie oszustwa ze strony płatnika, zgłoszone na piśmie właściwemu organowi. Innych wyjątków dyrektywa nie przewiduje.

Zwrot nie jest przy tym ostateczny. Jeżeli bank wykaże, że klient umyślnie lub w wyniku rażącego niedbalstwa naruszył swoje obowiązki, w szczególności dotyczące zabezpieczenia danych, może zażądać pokrycia straty. Jeśli klient odmówi, bank musi dochodzić pieniędzy przed sądem.

Czego możemy się spodziewać?

Opinia rzecznika generalnego nie wiąże Trybunału, ale TSUE w większości spraw podąża za jej kierunkiem. Jeżeli tak będzie i tym razem, wyrok potwierdzi, że sam zarzut rażącego niedbalstwa nie uprawnia banku do wstrzymania zwrotu. Najpierw zwrot, potem ewentualny spór o winę. Nie chodzi przy tym o nowe prawa dla konsumentów, ale o realne wykonywanie obowiązków, które wynikają z ustawy już dziś. Klienci nie zostaną zwolnieni z odpowiedzialności. Rażące niedbalstwo nadal może oznaczać obowiązek pokrycia całej straty. Zmieni się jednak kolejność działań i to, kto musi iść do sądu. Ciężar finansowania sporu nie będzie już od początku spoczywał na ofierze przestępstwa, lecz na banku, który uważa, że klient zawinił. A ciężar dowodu rażącego niedbalstwa i tak spoczywa na banku na podstawie art. 45 Ustawy o usługach płatniczych.

Wyrok będzie miał znaczenie także dla spraw, które już się toczą, w tym na etapie apelacji. Może przesądzać o tym, od kiedy bank pozostaje w opóźnieniu ze zwrotem, a więc od kiedy należą się klientowi odsetki. Może też wpłynąć na trwające postępowania UOKiK i na to, jak banki będą ponownie rozpatrywać odrzucone wcześniej reklamacje.

Osobom, które padły ofiarą oszustwa, warto przypomnieć o dwóch sprawach. Nieautoryzowaną transakcję trzeba zgłosić bankowi niezwłocznie, a najpóźniej w ciągu 13 miesięcy od obciążenia rachunku. Odmowa banku nie zamyka sprawy. To jedynie jego własna ocena zachowania klienta, którą musi jeszcze udowodnić przed sądem.

Materiał opracowany przez mec. Karolinę Pilawską