Nieautoryzowana transakcja TSUE Rybnik – czy bank zawsze musi oddać pieniądze po cyberataku?
Sprawy dotyczące nieautoryzowanych transakcji, najczęściej związanych z phishingiem, spoofingiem czy innymi formami cyberoszustw, od lat budzą kontrowersje. 20 marca 2025 r. Sąd Okręgowy w Rybniku skierował do TSUE pytanie prejudycjalne dotyczące obowiązku zwrotu środków po nieautoryzowanej transakcji. Postępowanie to pokazało jeden z najważniejszych problemów pojawiających się w sporach klientów z bankami po cyberprzestępstwach.
O co toczy się spór?
Sprawa wydaje się prosta: klient zgłosił nieautoryzowaną transakcję płatniczą, a bank odmówił zwrotu pieniędzy, argumentując, że doszło do niej wskutek rażącego niedbalstwa klienta. Sąd pierwszej instancji tę ocenę podzielił. W apelacji klient podniósł jednak kluczowy argument: obowiązek zwrotu środków powinien poprzedzać ocenę zachowania użytkownika.
Zgodnie z dyrektywą PSD2 i art. 46 ustawy o usługach płatniczych bank najpierw powinien zwrócić środki po nieautoryzowanej transakcji, a dopiero później – jeżeli uzna to za zasadne – dochodzić własnego roszczenia wobec klienta.
W praktyce pojawiało się jednak także podejście odwrotne: że rażące niedbalstwo klienta może od razu wyłączyć obowiązek zwrotu. W takim modelu to klient musi pozywać bank, aby odzyskać środki, a spór o jego zachowanie jest rozstrzygany jeszcze przed wykonaniem obowiązku zwrotu.
Kluczowe pytanie: czy bank zawsze musi najpierw oddać pieniądze?
Sąd Okręgowy w Rybniku zapytał TSUE w istocie, czy bank ma obowiązek zwrotu środków po nieautoryzowanej transakcji, jeżeli:
- transakcja nie została autoryzowana przez klienta,
- została zgłoszona bez zbędnej zwłoki i w terminie 13 miesięcy,
- bank nie ma uzasadnionych podstaw do podejrzenia oszustwa popełnionego przez klienta,
- klient dopuścił się co najwyżej rażącego niedbalstwa, ale nie działał w nieuczciwych zamiarach.
Problem sprowadzał się do ustalenia, czy rażące niedbalstwo może już na tym etapie zwolnić bank z obowiązku bezzwłocznego zwrotu, czy też odpowiedzialność klienta powinna zostać rozliczona później, w ramach odrębnego roszczenia banku.
Pytanie z Rybnika dotyczyło więc nie tylko tego, kto ostatecznie powinien ponieść ekonomiczny ciężar straty, lecz również kolejności rozliczenia: najpierw zwrot klientowi czy najpierw spór o jego rażące niedbalstwo.
Dlaczego ta kwestia jest tak ważna?
W dobie zaawansowanych cyberataków ocena zachowania przeciętnego użytkownika jest wyjątkowo trudna.
Oszuści potrafią dokładnie odwzorować komunikaty bankowe, podszyć się pod infolinię, przejąć numer telefonu albo nakłonić użytkownika do instalacji oprogramowania umożliwiającego zdalny dostęp do urządzenia.
Pytanie Sądu Okręgowego w Rybniku pokazało również znaczenie rozbieżności występujących w orzecznictwie. Przy podobnych stanach faktycznych sądy mogły odmiennie oceniać, czy bank powinien najpierw zwrócić pieniądze, czy też mógł powołać się na zachowanie klienta i odmówić zwrotu.
Wyrok C-70/25 rozstrzygnął zasadniczy problem
Gdy powstawał ten artykuł, pytanie Sądu Okręgowego w Rybniku pozostawało bez odpowiedzi. Sytuacja zmieniła się 15 października 2026 r., kiedy Trybunał Sprawiedliwości wydał wyrok w sprawie C-70/25.
Sprawa C-70/25 nie była postępowaniem z Rybnika. Pytanie prejudycjalne skierował Sąd Rejonowy w Koszalinie. Dotyczyło ono jednak tego samego zasadniczego problemu: czy rażące niedbalstwo klienta pozwala bankowi odmówić natychmiastowego zwrotu kwoty nieautoryzowanej transakcji.
TSUE odpowiedział przecząco.Rażące niedbalstwo klienta nie zwalnia dostawcy usług płatniczych z obowiązku bezzwłocznego zwrotu kwoty nieautoryzowanej transakcji. Bank powinien najpierw dokonać zwrotu, a następnie – jeżeli wykaże odpowiednie przesłanki – może dochodzić od klienta naprawienia straty wynikającej z jego rażącego niedbalstwa.
Oznacza to, że zasadniczy problem prawny przedstawiony również przez Sąd Okręgowy w Rybniku doczekał się wykładni Trybunału. Sam zarzut rażącego niedbalstwa nie może być traktowany przez bank jako wystarczająca podstawa do zatrzymania pieniędzy i odmowy wykonania obowiązku bezzwłocznego zwrotu.
Nie oznacza to jednak, że rażące niedbalstwo klienta przestało mieć znaczenie. Może ono wpływać na ostateczne rozliczenie stron, ale bank musi wykazać okoliczności uzasadniające odpowiedzialność klienta i dochodzić własnego roszczenia.
Szczegółowo omawiamy to rozstrzygnięcie w artykule: TSUE: bank musi najpierw zwrócić środki po nieautoryzowanej transakcji – wyrok C-70/25.
Co nadal musi ocenić sąd?
Wyrok C-70/25 nie oznacza, że każda osoba, która utraciła pieniądze w wyniku cyberoszustwa, automatycznie wygra spór z bankiem. Nadal zasadnicze znaczenie ma ustalenie, czy konkretna transakcja rzeczywiście była nieautoryzowana.
W konkretnej sprawie trzeba ustalić między innymi:
- kto faktycznie zainicjował transakcję;
- czy klient świadomie wyraził zgodę na konkretną operację;
- jak przebiegało uwierzytelnienie;
- jakie komunikaty bank wyświetlał klientowi;
- kiedy transakcja została zgłoszona;
- jakie dowody bank przedstawia na potwierdzenie autoryzacji;
- czy istnieją podstawy do przypisania klientowi odpowiedzialności za rażące niedbalstwo.
Rozdzielenie obowiązku zwrotu od późniejszej odpowiedzialności klienta nie usuwa więc potrzeby dokładnego badania przebiegu cyberataku. Zmienia natomiast kolejność, w jakiej bank i klient powinni zostać rozliczeni.
Podsumowanie
Pytanie prejudycjalne skierowane przez Sąd Okręgowy w Rybniku dobrze pokazało problem, który przez długi czas prowadził do rozbieżności w sprawach dotyczących nieautoryzowanych transakcji: czy zarzut rażącego niedbalstwa pozwala bankowi od razu odmówić zwrotu pieniędzy.
Wyrok TSUE z 15 października 2026 r. w sprawie C-70/25 przesądził zasadniczą kwestię. Samo rażące niedbalstwo klienta nie zwalnia banku z obowiązku bezzwłocznego zwrotu kwoty nieautoryzowanej transakcji. Ewentualna odpowiedzialność klienta powinna być oceniana odrębnie.
Nadal kluczowe pozostaje ustalenie, czy konkretna transakcja rzeczywiście była nieautoryzowana, jak przebiegało uwierzytelnienie, kiedy została zgłoszona oraz jakie dowody bank przedstawia na poparcie swoich twierdzeń.
Kontakt z Kancelarią
