6.11.2026
BANK MUSI NIEZWŁOCZNIE ZWRÓCIĆ KLIENTOWI PIENIĄDZE UTRACONE W WYNIKU OSZUSTWA
O CO CHODZIŁO W SPRAWIE?
W sprawie C-70/25 (Tukowiecka) kobieta padła ofiarą oszustwa polegającego na wyłudzeniu danych do rachunku bankowego przez osobę podszywającą się pod potencjalnego nabywcę produktu wystawionego przez nią na sprzedaż na portalu ogłoszeniowym (phishing).
Oszust przesłał kobiecie link rzekomo służący do potwierdzenia sprzedaży. Przekierował ją do strony internetowej wyglądającej jak strona jej banku, więc wprowadziła tam swoje dane do logowania. Oszust przelał dzięki temu z konta bankowego klientki banku środki w wysokości 3 000 zł, a transakcję zatwierdził kodem SMS przesłanym przez bank.
Następnego dnia kobieta zgłosiła sprawę bankowi i Policji. Policja nie ustaliła jednak sprawcy.
Co na to bank?
Bank (PKO BP S.A.) odmówił kobiecie zwrotu utraconych środków, twierdząc, że poprzez rażące zaniedbanie umożliwiła dokonanie tej transakcji i nie dopełniła obowiązku ochrony swoich indywidualnych danych uwierzytelniających. Bank posłużył się więc w istocie uzasadnieniem typowym dla odmów reklamacji – „nie powinna była Pani klikać w link, a tym bardziej podawać swoich danych”.
Ofiara pozwała bank
Kobieta wniosła do Sądu Rejonowego w Koszalinie powództwo o zasądzenie od PKO BP S.A. zapłaty kwoty 3 000 zł. Powstały spór skłonił Sąd do skierowania pytania do Trybunału Sprawiedliwości Unii Europejskiej (TSUE), które sprowadzało się do tego, czy bank jest zobowiązany do bezzwłocznego zwrotu kwoty nieautoryzowanej transakcji, nawet jeśli uznaje, że klient dopuścił się rażącego zaniedbania.
TSUE stanął po stronie klientki BANKU
TSUE orzekł, że samo w sobie podejrzenie rażącego niedbalstwa ze strony klienta nie uprawnia banku do odmowy zwrotu pieniędzy. Bank najpierw ma dokonać zwrotu, niezwłocznie, nie później niż do końca dnia roboczego następującego po dniu stwierdzenia wystąpienia nieautoryzowanej transakcji lub po dniu otrzymania stosownego zgłoszenia. Dopiero w dalszej kolejności może dochodzić od klienta zwrotu poniesionych strat, jeżeli udowodni, że wynikają one z faktu, że klient, umyślnie lub w wyniku rażącego zaniedbania, uchybił ciążącym na nim obowiązkom, w szczególności obowiązkowi zapewnienia bezpieczeństwa swoich indywidualnych danych uwierzytelniających. Ostatecznie więc to bank musi wykazać rażące zaniedbanie po stronie klienta, przy czym samo zarejestrowane użycie danych do logowania czy kodu SMS nie będzie wystarczające dla udowodnienia winy klienta.
Bank może odmówić zwrotu tylko w jednym przypadku
Zgodnie z ustawą o usługach płatniczych, jedynym odstępstwem od obowiązku zwrotu jest dysponowanie przez bank uzasadnionymi i należycie udokumentowanymi podstawami, by podejrzewać oszustwo popełnione przez samego klienta, a następnie zawiadomienie o tym na piśmie właściwego organu ścigania. W analizowanej sprawie bank jednak błędnie przyjął, że może ocenić winę klienta samodzielnie.
Jestem ofiarą oszustwa – co zrobić?
Kontakt z infolinią banku w celu zgłoszenia incydentu oraz złożenie zawiadomienia na Policji to pierwsze kroki, które należy podjąć w każdym przypadku tego typu. Następnie należy możliwie najszybciej zwrócić się do banku o zwrot utraconych pieniędzy (uwaga: przepisy przewidują termin 13 miesięcy na dokonanie zgłoszenia – po jego upływie klient banku traci możliwość dochodzenia zwrotu środków). Bank co do zasady obowiązany jest do udzielenia odpowiedzi na reklamację w ciągu 15 dni roboczych (a 35 w szczególnie skomplikowanych przypadkach). Jeżeli bank nie uwzględni reklamacji, etap postępowania sądowego poprzedzić może złożenie wniosku o rozpatrzenie sprawy do Rzecznika Finansowego, który wraz
z instytucjami krajowymi, takimi jak UOKiK czy KNF od lat podejmuje w tym zakresie działania zgodne ze stanowiskiem TSUE. Transakcje nieautoryzowane są problemem społecznym o olbrzymiej skali, jednak wszystkie te sprawy, dzięki omówionej, zyskują silniejszą podstawę prawną niż kiedykolwiek wcześniej.
Rozstrzygnięcie jest zbieżne z opinią Rzecznika Generalnego TSUE, przedstawioną
w przedmiotowej sprawie w marcu 2026 r. Wyroki TSUE są wiążące dla sądów wszystkich państw członkowskich.
