Prawo płatnicze w ogniu pytań. Nasze wnioski z XII Kongresu Prawa Bankowego 2026
Klient loguje się do bankowości mobilnej, przechodzi przez dwuskładnikowe uwierzytelnienie, zatwierdza przelew powiadomieniem push. Wszystko przebiega bez zarzutu, a jednak za chwilę wyda się, że jego pieniądze trafiły do przestępcy. Kto za to zapłaci? I na jakiej podstawie?
To są dziś realne wyzwania, z którymi mierzy się branża. Banki żyją bowiem w stanie permanentnej zmiany – regulacyjnej, technologicznej, operacyjnej i zarządczej. Kolejne wyroki TSUE wyznaczają nowe granice odpowiedzialności, a unijne rozporządzenia zmieniają reguły gry, zanim sektor zdąży je w pełni wdrożyć i zaadaptować. Dlatego potrzebne są takie wydarzenia jak Kongres Prawa Bankowego. Po to by zderzyć się z wyzwaniami i w gronie praktyków i ekspertów projektować skuteczne rozwiązania.
Autoryzacja ≠ uwierzytelnienie. Rozróżnienie, które rozstrzyga o milionach
Odpowiedzialność za nieautoryzowane transakcje płatnicze to kwestia pozornie tylko techniczna. W praktyce wciąż szukamy najlepszej odpowiedzi na to, kto pokryje finansowe skutki rosnącej fali przestępczych ataków na rachunki bankowe.
Wróćmy na chwilę do opisanego powyżej scenariusza: klient wykonuje wszystkie czynności poprawnie – loguje się, przechodzi przez silne uwierzytelnienie, autoryzuje operację. Nie wie jednak, że padł ofiarą przestępcy, który podszył się pod infolinię banku i przekierował autoryzację na zupełnie inną transakcję. W systemie banku brak jest informacji o awarii czy błędach, zapis jest poprawny, a mimo to klient żąda zwrotu. W czym leży źródło problemu?
Chodzi tutaj o fundamentalne rozróżnienie: autoryzacja to nie to samo, co uwierzytelnienie.
Uwierzytelnienie to jedynie procedura techniczna, która pozwala dostawcy usług płatniczych (w tym konkretnym przypadku bankowi) na potwierdzenie tożsamości płatnika (tj. klienta) lub ważności samego instrumentu płatniczego.
Autoryzacja to coś więcej. To świadoma i swobodna zgoda płatnika na konkretną transakcję. Odpowiedzialność banku dotyczy zaś wyłącznie tych operacji, które były nieautoryzowane.
Jeśli zatem dana operacja została zainicjowana przy wykorzystaniu danych płatnika i z jego konta, ale przez inny podmiot niż on sam, transakcja jest nieautoryzowana, niezależnie od tego, jak perfekcyjnie wyglądało uwierzytelnienie i jak wieloskładnikowe by ono nie było.
Inaczej wygląda zaś sytuacja, gdy to sam płatnik inicjuje daną płatność, jednak za namową osób trzecich. Wówczas taka transakcja uznawana jest za prawidłowo autoryzowaną, zaś sama ,,wymuszona” zgoda pozostaje skuteczna prawnie.
Jakie są zatem praktyczne konsekwencje rozróżnienia na autoryzację i uwierzytelnienie? Jak zostało to już zasygnalizowane powyżej, jest nią odpowiedzialność dostawcy usług płatniczych (lub jej brak) za daną transakcję. Warto przy tym nadmienić, że Bank odpowiada za samo zdarzenie wykonania nieautoryzowanej transakcji bez zgody klienta, a nie za własny błąd czy zaniedbanie. Nie może więc zwolnić się z tej odpowiedzialności, powołując się np. na zachowanie należytej staranności ani na prawidłowość wewnętrznych procedur, w tym prawidłowe uwierzytelnienie.
Zasada D+1 – prosta reguła, skomplikowany spór
Prawo nakłada na bank obowiązek zwrotu środków z tytułu nieautoryzowanej transakcji najpóźniej do końca następnego dnia roboczego po jej stwierdzeniu. Brzmi jasno. W praktyce jednak reguła D+1 jest jednym z najgorętszych pól sporu w polskim prawie bankowym.
Po jednej stronie prezes UOKiK i Rzecznik Finansowy optują za bezwarunkowym zwrotem, w którym bank oddaje środki bez pogłębionej analizy (chyba że ma udokumentowane i uzasadnione podstawy, aby podejrzewać oszustwo i poinformuje o tym organy powołane do ścigania przestępstw).
Po drugiej stronie występuje zaś część doktryny i orzecznictwa wskazując, że zwrot powinien obejmować jedynie tę transakcję płatniczą, za którą płatnik nie ponosi żadnej odpowiedzialności. Jeżeli zatem dostawca dysponuje dostatecznymi dowodami na to, że płatnik poprzez swoje umyślne lub też rażąco niedbałe zachowanie naruszył ciążące na nim obowiązki albo też umyślnie doprowadził do wykonania danej operacji płatniczej, dostawca jest zwolniony z odpowiedzialności względem niego i nie musi dokonywać zwrotu na rzecz klienta (biorąc jednocześnie na siebie ryzyko zapłaty odsetek, jeśli finalnie okaże się on zobowiązany do świadczenia).
Ten spór stał się także kanwą dwóch orzeczeń płynących z Luksemburga.
Opinia Rzecznika Generalnego Trybunału Sprawiedliwości Unii Europejskiej z dnia 5 marca 2026 r. w sprawie C-70/25 (Tukowiecka) opowiada się za stanowiskiem pierwszym, powołując się na wykładnię celowościową i historyczną PSD2. Sprawa czeka jeszcze na werdykt samego Trybunału.
Z kolei zaś wyrok TSUE z dnia 1 sierpnia 2025 r. w sprawie C-665/23 (IL v. Veracash) doprecyzował konsekwencje niewywiązania się przez płatnika z obowiązku niezwłocznego zgłaszania dostawcy usług płatniczych zaistnienia nieautoryzowanych transakcji, uznając brak niezwłocznego powiadomienia za odrębną przesłankę wygaśnięcia roszczenia.
Oba te orzeczenia będą kształtować polskie orzecznictwo przez kolejne lata.
PSR: nowa architektura odpowiedzialności
Na horyzoncie pojawiła się jednak zmiana, która w jeszcze większym stopniu zrewolucjonizuje rynek usług płatniczych. Mowa tutaj o rozporządzeniu PSR, które nada nowy kierunek wykładni przepisów unijnych. Wciąż pozostaje ono na etapie prac legislacyjnych, ale już teraz wiadomo, że gruntownie przebuduje zasady odpowiedzialności za nieautoryzowane transakcje płatnicze.
Najważniejsze zmiany, które przyniesie PSR:
- Rozszerzony wyjątek od D+1. PSR w wersji kompromisowej pozwala bankowi wstrzymać natychmiastowy zwrot nie tylko przy podejrzeniu oszustwa, ale również wtedy, gdy istnieją obiektywnie uzasadnione podstawy, by sądzić, że klient działał umyślnie lub rażąco niedbale. Bank będzie miał 15 dni roboczych na weryfikację i wydanie decyzji dotyczącej zwrotu albo uzasadnionej odmowy ze wskazaniem ścieżek dalszego dochodzenia roszczeń
- Obowiązkowy dialog z klientem. Zanim bank wyda niekorzystną decyzję, będzie musiał zaprosić klienta do przedstawienia swojej wersji wydarzeń i uwzględnić ją we własnym werdykcie. Co więcej, brak odpowiedzi ze strony klienta nie będzie mógł sam w sobie przesądzać o odmowie zwrotu
- Odrębny reżim dla spoofingu. PSR tworzy specjalną, całkowicie odrębną podstawę dochodzenia przez płatnika zwrotu kwoty transakcji, która nastąpiła na skutek podszywania się przez oszustów pod bank, jednak pod warunkiem niezwłocznego zgłoszenia sprawy organom ścigania i powiadomienia o tym banku. W tych sprawach ciężar wykazania oszustwa lub rażącego niedbalstwa klienta w dalszym ciągu będzie spoczywał na dostawcy. To ważna zmiana systemowa, bo właśnie tu, PSR wprowadza odpowiedzialność dostawcy za transakcje, które należałoby uznać za prawidłowo autoryzowane
- Weryfikacja IBAN i danych odbiorcy. Banki zostaną zobowiązane do bezpłatnego sprawdzenia zgodności numeru rachunku z danymi odbiorcy przed autoryzacją przelewu. Niezapewnienie takiej usługi będzie rodzić odpowiedzialność banku, nawet jeśli klient samodzielnie zatwierdził transakcję
- Dłuższy termin na zgłoszenie roszczenia. Do tej pory płatnik miał 13 miesięcy na zgłoszenie nieautoryzowanej transakcji. PSR wydłuża go do aż 18 miesięcy
Kto płaci i co musi udowodnić?
Niezależnie od tego, czy mówimy o obecnym, czy przyszłym reżimie prawnym, jedno pozostaje: ciężar dowodu spoczywa na banku. To bowiem bank musi wykazać, że transakcja była autoryzowana, lub też że klient naruszył obowiązki bezpieczeństwa (i że to naruszenie miało charakter kwalifikowany) oraz że zachodził związek przyczynowy między tym naruszeniem a transakcją.
Polskie sądy przez lata interpretowały zarzut rażącego niedbalstwa bardzo wąsko, przyznając ochronę konsumentom nawet przy poważnych zaniedbaniach. Obserwujemy jednak stopniową zmianę tej tendencji, albowiem orzecznictwo zaczyna coraz surowiej oceniać przypadki, w których klient ignorował wielokrotne ostrzeżenia banku lub umożliwił oszustwo mimo powszechnej już wiedzy o danym typie ataku.
Branża w gotowości
XII Kongres Prawa Bankowego pokazał, że branża jest świadoma skali i złożoności wyzwań, które majaczą na horyzoncie: od rosnącej fali fraudów, przez rewolucję orzeczniczą w TSUE, po fundamentalną przebudowę europejskiego prawa płatniczego.
W takim otoczeniu zdolność do sprawnego poruszania się i wyprzedzania zmian stają się realną przewagą.
Masz pytania? Skontaktuj się z nami
