TSUE: bank musi najpierw zwrócić środki po nieautoryzowanej transakcji. Wyrok C-70/25
Bank nie może odmówić bezzwłocznego zwrotu pieniędzy tylko dlatego, że zarzuca klientowi rażące niedbalstwo. W wyroku z 15 października 2026 r. w sprawie C-70/25 Trybunał Sprawiedliwości Unii Europejskiej rozdzielił dwa etapy: zwrot kwoty nieautoryzowanej transakcji oraz późniejsze rozliczenie odpowiedzialności klienta.
Co orzekł TSUE w sprawie C-70/25?
Jeżeli transakcja płatnicza była nieautoryzowana, bank powinien zwrócić jej kwotę niezwłocznie, najpóźniej do końca następnego dnia roboczego po stwierdzeniu transakcji albo otrzymaniu zgłoszenia. Własna ocena banku, że klient dopuścił się rażącego niedbalstwa, nie pozwala wstrzymać tego zwrotu.
Bank może następnie dochodzić od klienta naprawienia poniesionej straty, jeżeli wykaże, że klient umyślnie albo wskutek rażącego niedbalstwa naruszył obowiązki związane z bezpiecznym korzystaniem z instrumentu płatniczego. Ciężar udowodnienia tych okoliczności spoczywa na banku.
Najkrócej: najpierw zwrot środków, później – jeżeli bank ma ku temu podstawy – odrębne dochodzenie jego własnego roszczenia wobec klienta.
Trybunał potwierdził tym samym stanowisko przedstawione 5 marca 2026 r. przez rzecznika generalnego Athanasiosa Rantosa, które omawialiśmy we wcześniejszym wpisie: czy bank może odmówić zwrotu pieniędzy po nieautoryzowanej transakcji?
Phishing, fałszywa strona banku i odmowa zwrotu
Sprawa C-70/25 dotyczyła klientki polskiego banku, która wystawiła przedmiot na internetowej platformie sprzedażowej. Osoba podająca się za kupującego przesłała jej link służący rzekomo do potwierdzenia sprzedaży. Link prowadził do strony imitującej serwis banku. Klientka wpisała na niej dane logowania, a sprawca wykorzystał je do wykonania przelewu na kwotę odpowiadającą około 700 euro.
Klientka zgłosiła transakcję następnego dnia. Bank odmówił zwrotu, ponieważ uznał, że udostępnienie danych na fałszywej stronie stanowiło rażące niedbalstwo. Sąd Rejonowy w Koszalinie zapytał TSUE, czy taki zarzut pozwala bankowi pominąć obowiązek bezzwłocznego zwrotu wynikający z art. 73 dyrektywy PSD2.
Zwrot pieniędzy i odpowiedzialność klienta to dwa odrębne etapy
Wyrok porządkuje relację między art. 73 i art. 74 dyrektywy PSD2. Pierwszy z tych przepisów ustanawia obowiązek szybkiego przywrócenia rachunku do stanu sprzed nieautoryzowanej transakcji. Drugi określa, kiedy płatnik ostatecznie ponosi stratę powstałą wskutek takiej transakcji.
Banki łączyły dotąd te regulacje w jeden mechanizm: zarzut rażącego niedbalstwa miał od razu wyłączać roszczenie klienta o zwrot. TSUE przyjął inną kolejność. Obowiązek zwrotu powstaje po stwierdzeniu nieautoryzowanej transakcji i terminowym zgłoszeniu jej bankowi. Odpowiedzialność klienta wymaga późniejszego wykazania przez bank przesłanek określonych w art. 74 PSD2.
Sam zarzut rażącego niedbalstwa nie niweczy więc roszczenia o zwrot kwoty nieautoryzowanej transakcji. Jeżeli bank chce obciążyć klienta poniesioną stratą, powinien sformułować i udowodnić własne roszczenie. Wyrok nie rozstrzyga szczegółowo, w jakiej formie procesowej bank ma go dochodzić. Tę kwestię oceni sąd krajowy zgodnie z prawem krajowym i zasadą skuteczności prawa Unii.
Kiedy bank może wstrzymać bezzwłoczny zwrot?
Art. 73 ust. 1 PSD2 przewiduje jeden wyjątek od obowiązku natychmiastowego zwrotu. Bank musi mieć uzasadnione podstawy do podejrzenia oszustwa popełnionego przez klienta i przekazać te podstawy na piśmie właściwemu organowi krajowemu.
Polski art. 46 ust. 1 ustawy o usługach płatniczych ujmuje ten wyjątek podobnie: dostawca powinien mieć uzasadnione i należycie udokumentowane podstawy do podejrzenia oszustwa oraz pisemnie poinformować organy powołane do ścigania przestępstw.
Podejrzenie oszustwa popełnionego przez płatnika jest czymś innym niż przekonanie banku, że klient zachował się nieostrożnie wobec oszusta. W typowej sprawie phishingowej oszustem jest osoba trzecia, a klient jest celem manipulacji.
Sformułowanie w odpowiedzi reklamacyjnej zarzutu „rażącego niedbalstwa” nie zastępuje ustawowych warunków wyjątku. Bank powinien wykazać zarówno konkretne podstawy podejrzenia oszustwa po stronie klienta, jak i zawiadomienie właściwego organu.
Uwierzytelnienie nadal nie jest tym samym co autoryzacja
Wyrok C-70/25 dotyczy sytuacji, w której transakcja była nieautoryzowana. W każdej sprawie sąd musi więc najpierw ustalić, czy klient rzeczywiście wyraził zgodę na konkretną operację.
Zgodnie z art. 40 ustawy o usługach płatniczych transakcja jest autoryzowana, gdy płatnik wyraził zgodę na jej wykonanie w sposób przewidziany w umowie. Art. 45 tej ustawy stanowi natomiast wprost, że zarejestrowane użycie instrumentu płatniczego nie wystarcza do udowodnienia autoryzacji. Bank powinien wykazać dalsze okoliczności potwierdzające zgodę klienta.
Klient powinien zgłosić nieautoryzowaną transakcję bez zbędnej zwłoki. Ustawa przewiduje ponadto trzynastomiesięczny termin liczony co do zasady od obciążenia rachunku. W praktyce liczą się pierwsze godziny: blokada dostępu, reklamacja oraz zabezpieczenie wiadomości, historii połączeń, zrzutów ekranu i danych dotyczących transakcji.
Więcej o rozpoznawaniu nieautoryzowanych transakcji i zabezpieczaniu dowodów pisaliśmy w poradniku:
nieautoryzowane transakcje – jak odzyskać utracone środki?
Co wyrok zmienia w sporach sądowych z bankami?
Dotychczasowa obrona banków często opierała się na dwóch kolejnych twierdzeniach. Najpierw bank wskazywał, że transakcję prawidłowo uwierzytelniono, więc klient miał ją autoryzować. Na wypadek odmiennej oceny podnosił, że zachowanie klienta było rażąco niedbałe, a zatem bank nie ma obowiązku zwrotu.
Po wyroku C-70/25 druga część tej argumentacji nie może samodzielnie prowadzić do oddalenia roszczenia o zwrot nieautoryzowanej transakcji. Sąd powinien rozdzielić kolejność badania:
- czy klient autoryzował konkretną transakcję;
- czy bank wykonał obowiązek bezzwłocznego zwrotu;
- czy bank dochodzi własnego roszczenia związanego z umyślnym działaniem albo rażącym niedbalstwem klienta i czy udowodnił jego przesłanki.
Rażące niedbalstwo nadal pozostaje kategorią prawną przewidzianą w PSD2 i polskiej ustawie. Zmienia się jego miejsce w konstrukcji rozliczenia. Bank nie może sam rozstrzygnąć, że klient ponosi odpowiedzialność, zatrzymać pieniędzy i przerzucić na niego kosztów dochodzenia zwrotu.
Postępowania zawieszone w oczekiwaniu na wyrok TSUE
Znaczenie rozstrzygnięcia jest już widoczne w sprawach prowadzonych przez naszą Kancelarię. W jednej z nich, toczącej się przed Sądem Rejonowym w Toruniu, klienci dochodzą zwrotu 10 000 zł pobranych w dwóch nieautoryzowanych transakcjach. Bank zaprzeczył brakowi autoryzacji, a ewentualnie powołał się na pełną odpowiedzialność klientów z powodu rażącego niedbalstwa.
Sąd ocenił wstępnie, że zebrany materiał może wskazywać na brak autoryzacji, i 24 marca 2026 r. zawiesił postępowanie do czasu rozstrzygnięcia sprawy C-70/25. W uzasadnieniu sąd dostrzegł, że odpowiedź TSUE zdecyduje, czy zarzut rażącego niedbalstwa może unicestwić roszczenie klientów, czy też stanowi podstawę odrębnego roszczenia banku dochodzonego po dokonaniu zwrotu.
Wyrok z 15 października 2026 r. usuwa przyczynę zawieszenia. Sąd powinien podjąć postępowanie z urzędu. Pełnomocnik może również złożyć wniosek o jego podjęcie i wskazać, jak wykładnia TSUE wpływa na zarzuty zgłoszone przez bank.
Podobny problem prawny pojawił się w pytaniu prejudycjalnym Sądu Okręgowego w Rybniku, które omawialiśmy w tekście:
czy bank zawsze musi oddać pieniądze po cyberataku?
Co wyrok oznacza dla osoby, której bank odmówił zwrotu?
Odpowiedź reklamacyjna oparta na zarzucie rażącego niedbalstwa wymaga ponownej oceny w świetle wyroku C-70/25. Analiza powinna obejmować w szczególności:
- czy transakcja była autoryzowana, czyli czy klient świadomie zgodził się na konkretną operację;
- jak przebiegało uwierzytelnienie i jakie komunikaty bank wyświetlił klientowi;
- kiedy klient zgłosił zdarzenie oraz czy bank zachował termin zwrotu z art. 46 ust. 1 ustawy;
- czy bank rzeczywiście powołał ustawowy wyjątek dotyczący podejrzenia oszustwa klienta i zawiadomił organy ścigania;
- jakie dowody bank przedstawia na poparcie autoryzacji albo własnego roszczenia wobec klienta.
W sprawach już toczących się przed sądem wyrok powinien zostać uwzględniony przy ocenie zarzutów banku. W postępowaniach zawieszonych ze względu na sprawę C-70/25 otwiera drogę do ich podjęcia.
Wyrok C-70/25 – źródła
Bank odmówił zwrotu po nieautoryzowanej transakcji?
Analizujemy sposób wykonania transakcji, treść komunikatów autoryzacyjnych, odpowiedź reklamacyjną banku i dostępne dowody. Oceniamy, czy istnieją podstawy do ponownego wezwania banku, interwencji Rzecznika Finansowego albo dochodzenia zwrotu przed sądem.
