Nieautoryzowane transakcje bankowe – prawa klienta i obowiązki banku w świetle aktualnych przepisów

Nieautoryzowane transakcje bankowe – problem, który dotyka coraz większej liczby klientów

Dynamiczny rozwój bankowości elektronicznej i usług płatniczych niewątpliwie zwiększył wygodę korzystania z rachunków bankowych. Jednocześnie stworzył jednak nowe możliwości działania dla cyberprzestępców, którzy coraz częściej wykorzystują zaawansowane metody oszustw internetowych, prowadzące do utraty środków zgromadzonych na rachunkach bankowych klientów.

W ostatnich latach obserwujemy wyraźny wzrost liczby zgłoszeń dotyczących nieautoryzowanych transakcji płatniczych. Klienci banków zgłaszają przypadki wykonania przelewów, płatności kartą czy wypłat gotówki, których sami nie inicjowali i na które nigdy nie wyrazili zgody.

W praktyce kancelarii coraz częściej spotykamy się z sytuacjami, w których bank odmawia zwrotu utraconych środków, powołując się na rzekome naruszenie zasad bezpieczeństwa przez klienta. Tymczasem obowiązujące przepisy przyznają konsumentom daleko idącą ochronę.

Czym jest nieautoryzowana transakcja?

Transakcja jest uznawana za autoryzowaną wyłącznie wtedy, gdy użytkownik wyraził zgodę na jej wykonanie w sposób określony w umowie zawartej z dostawcą usług płatniczych, najczęściej bankiem.

Nieautoryzowana transakcja to operacja płatnicza dokonana bez zgody użytkownika uprawnionego do korzystania z rachunku bankowego.

Kluczowe pozostaje jedno pytanie: czy klient rzeczywiście wyraził zgodę na wykonanie konkretnej transakcji?

Jeżeli nie – co do zasady odpowiedzialność za skutki finansowe spoczywa na dostawcy usług płatniczych.

Autoryzacja a uwierzytelnienie – dwa pojęcia

W sporach dotyczących nieautoryzowanych transakcji płatniczych niezwykle istotne jest rozróżnienie dwóch pojęć, które w praktyce często są błędnie traktowane jako synonimy – uwierzytelnienia i autoryzacji.

Uwierzytelnienie ma charakter techniczny. Jest to proces stosowany przez bank lub inną instytucję płatniczą w celu potwierdzenia tożsamości użytkownika albo sprawdzenia, czy osoba korzystająca z danego instrumentu płatniczego posługuje się prawidłowymi danymi dostępowymi. W praktyce uwierzytelnienie może polegać na wpisaniu loginu i hasła, zatwierdzeniu operacji kodem SMS, wykorzystaniu aplikacji mobilnej czy zastosowaniu danych biometrycznych.

Sam fakt prawidłowego przejścia procedury uwierzytelnienia nie oznacza jednak automatycznie, że użytkownik wyraził zgodę na wykonanie konkretnej transakcji.

Autoryzacja odnosi się bowiem do zupełnie innej kwestii. Jest świadomym i dobrowolnym wyrażeniem zgody na dokonanie określonej operacji płatniczej. Innymi słowy, autoryzacja odpowiada na pytanie, czy posiadacz rachunku rzeczywiście chciał zrealizować dany przelew, płatność kartą lub inną operację finansową.

Różnica ta ma fundamentalne znaczenie prawne. Uwierzytelnienie pozwala jedynie stwierdzić, że wykorzystano określone dane lub mechanizmy bezpieczeństwa przypisane użytkownikowi. Nie przesądza natomiast o tym, że użytkownik świadomie i dobrowolnie zaakceptował transakcję.

Z tego względu bank nie może ograniczać się wyłącznie do wykazania, że podczas realizacji operacji użyto poprawnych danych logowania lub kodu autoryzacyjnego.

Zgodnie z orzecznictwem:

,,Autoryzacja transakcji oznacza wyrażenie zgody na dokonanie transakcji płatniczej, czyli stanowi oświadczenie woli użytkownika składane z zamiarem i świadomością wywołania określonych skutków prawnych, tj. dokonania transakcji płatniczej. Sposób wyrażenia zgody (czyli sposób autoryzacji transakcji) jest uzależniony od rodzaju transakcji płatniczej, wykorzystywanego instrumentu płatniczego czy sposobu zlecania usługi płatniczej (w formie papierowej czy drogą elektroniczną).’’ (tak: wyrok Sądu Okręgowego w Warszawie z dnia 11 sierpnia 2021 r., sygn. akt: XXVII Ca 1352/21; wyrok Sądu Rejonowego w Gdyni z dnia 13 grudnia 2022 r., sygn. akt: I C 439/22; wyrok Sądu Rejonowego w Gdyni z dnia 11 czerwca 2024 r., sygn. akt: I C 33/22).

Ponadto zwrócić należy również uwagę, że:

„Wykazanie uwierzytelnienia transakcji płatniczej nie jest równoznaczne z wykazaniem jej autoryzacji. (…) O ile autoryzacja to zgoda na wykonanie transakcji płatniczej wyrażona przez płatnika w sposób przewidziany w umowie, o tyle uwierzytelnienie to procedura umożliwiająca dostawcy usług (bankowi) na weryfikację tożsamości użytkownika lub ważności stosowania konkretnego instrumentu płatniczego, łącznie ze stosowaniem indywidualnych danych uwierzytelniających tego użytkownika.” (tak: wyrok Sądu Najwyższego – Izby Cywilnej z dnia 15 września 2023 r., sygn. akt: II CSKP 1013/22).

,,Transakcję płatniczą uważa się za autoryzowaną tylko wówczas, jeżeli płatnik wyraził zgodę na jej wykonanie, przy czym zlecenie płatnicze nie może zostać odwołane od chwili jego otrzymania przez bank. (…) Autoryzacja to zatem nic więcej jak wyrażenie zgody na wykonanie transakcji, przy czym sposoby autoryzacji określa umowa łącząca posiadacza rachunku i bank.’’ (tak: wyrok Sądu Apelacyjnego w Warszawie z dnia 19 lipca 2018 r., sygn. akt: I ACa 348/17).

Na gruncie powyższego, pod pojęciem nieautoryzowanej transakcji rozumieć należy działania płatnika, który nie składa świadomego oświadczenia woli i w związku z tym nie obejmuje swoją wolą okoliczności wywołania określonych skutków prawnych, tj. dokonania danej transakcji płatniczej. Tym samym płatnik nie jest świadomy konsekwencji podejmowanych działań.

Najczęstsze metody wykorzystywane przez oszustów

Cyberprzestępcy stale doskonalą swoje metody działania. Do najczęściej spotykanych należą:

• phishing – wyłudzanie danych logowania za pomocą fałszywych wiadomości e-mail lub SMS;
• spoofing telefoniczny – podszywanie się pod pracowników banków, policji lub innych instytucji;
• przejęcie danych kart płatniczych;
• instalowanie złośliwego oprogramowania na urządzeniach klientów;
• przejmowanie sesji bankowości internetowej;
• oszustwa inwestycyjne;
• fałszywe platformy sprzedażowe i aukcyjne;
• wyłudzenia kodów BLIK;
• oszustwa wykorzystujące komunikatory internetowe i media społecznościowe.

Coraz częściej przestępcy wykorzystują również sztuczną inteligencję do generowania wiadomości i rozmów telefonicznych, które do złudzenia przypominają kontakt z prawdziwym konsultantem banku.

Obowiązek banku zwrotu środków

Jednym z najważniejszych uprawnień klienta jest prawo do niezwłocznego zwrotu kwoty nieautoryzowanej transakcji.

Zgodnie z art. 46 ustawy o usługach płatniczych bank powinien zwrócić klientowi środki nie później niż do końca następnego dnia roboczego po zgłoszeniu nieautoryzowanej transakcji lub po jej stwierdzeniu.

Wyjątek stanowią sytuacje, gdy bank dysponuje uzasadnionymi i należycie udokumentowanymi podstawami do podejrzenia oszustwa po stronie klienta oraz zawiadomi o tym właściwe organy ścigania.

W praktyce oznacza to, że sam fakt wykonania przelewu z prawidłowym użyciem loginu, hasła czy kodu SMS nie przesądza jeszcze o odpowiedzialności klienta.

Jednakże, istotne znaczenie dla sporów dotyczących nieautoryzowanych transakcji płatniczych ma również sprawa skierowana do TSUE przez polski sąd (C-70/25, Tukowiecka przeciwko PKO BP). W opinii z 5 marca 2026 r. Rzecznik Generalny TSUE wskazał, że bank co do zasady powinien niezwłocznie zwrócić klientowi kwotę nieautoryzowanej transakcji, nawet jeżeli podejrzewa jego rażące niedbalstwo. Ocena zachowania klienta i ewentualne dochodzenie roszczeń przez bank powinny następować w odrębnym postępowaniu, a nie stanowić podstawy automatycznej odmowy zwrotu środków. Stanowisko to wzmacnia ochronę użytkowników usług płatniczych i potwierdza, że obowiązek zwrotu środków przewidziany w ustawie o usługach płatniczych ma charakter zasadniczy.

Kto musi udowodnić autoryzację transakcji?

To jedna z najważniejszych kwestii w sporach z bankami. Wbrew powszechnemu przekonaniu ciężar dowodu nie spoczywa na kliencie.

Zgodnie z art. 45 ustawy o usługach płatniczych, ciężar udowodnienia, że transakcja płatnicza była autoryzowana przez płatnika lub że została wykonana prawidłowo, spoczywa na banku.

Wobec tego, to bank musi wykazać, że transakcja została prawidłowo uwierzytelniona, odpowiednio zarejestrowana oraz że nie doszło do awarii lub innych nieprawidłowości po stronie systemu płatniczego.

Samo wykazanie wykorzystania prawidłowych danych logowania nie oznacza jeszcze, że klient autoryzował transakcję.

Stanowisko to znajduje odzwierciedlenie zarówno w przepisach ustawy o usługach płatniczych, jak również w licznych rozstrzygnięciach sądów oraz analizach Rzecznika Finansowego.

Kiedy klient może ponosić odpowiedzialność?

Przepisy przewidują możliwość obciążenia użytkownika w określonych przypadkach, przede wszystkim gdy:

• umyślnie doprowadził do utraty danych uwierzytelniających;
• dopuścił się oszustwa;
• rażąco naruszył obowiązki związane z ochroną instrumentów płatniczych.

Pojęcie „rażącego niedbalstwa” jest przedmiotem licznych sporów sądowych. Nie każde zachowanie klienta można uznać za rażąco niedbałe.

Bank powinien wykazać, że zachowanie użytkownika w sposób oczywisty i poważny odbiegało od elementarnych zasad ostrożności.

Czy podanie kodu SMS zawsze oznacza winę klienta?

Nie zawsze.

Wiele współczesnych oszustw opiera się na zaawansowanej manipulacji psychologicznej. Klienci działają pod wpływem silnej presji, przekonani, że kontaktują się z pracownikiem banku lub organów ścigania.

W takich przypadkach konieczna jest szczegółowa analiza okoliczności sprawy. Sam fakt podania kodu autoryzacyjnego nie oznacza automatycznie utraty prawa do zwrotu środków.

Każda sprawa wymaga indywidualnej oceny.

Jak postępować po wykryciu nieautoryzowanej transakcji?

Jeżeli zauważysz podejrzaną operację na swoim rachunku:

1. Niezwłocznie skontaktuj się z bankiem.
2. Zablokuj dostęp do rachunku i kart płatniczych.
3. Złóż reklamację dotyczącą nieautoryzowanej transakcji.
4. Zachowaj wszelką korespondencję i historię zdarzeń.
5. Złóż zawiadomienie na policji.
6. W przypadku odmowy zwrotu środków skonsultuj sprawę z profesjonalnym pełnomocnikiem.

Szybka reakcja może mieć istotne znaczenie dla dalszego postępowania reklamacyjnego i ewentualnego procesu sądowego.

Rosnąca liczba sporów sądowych z bankami

W ostatnich latach zauważalny jest wzrost liczby postępowań sądowych dotyczących nieautoryzowanych transakcji płatniczych.

Coraz częściej sądy podkreślają, że banki jako profesjonalni uczestnicy rynku finansowego powinny zapewniać wysoki poziom bezpieczeństwa systemów płatniczych oraz skutecznie przeciwdziałać oszustwom.

Nie można automatycznie przerzucać całego ryzyka cyberprzestępczości na klientów.

Każda sprawa wymaga dokładnej analizy sposobu działania sprawcy, zastosowanych zabezpieczeń oraz zachowania obu stron stosunku prawnego.

Podsumowanie

Nieautoryzowane transakcje bankowe stanowią obecnie jedno z najpoważniejszych zagrożeń dla uczestników rynku finansowego. Wbrew powszechnym obawom klient nie pozostaje jednak bez ochrony.

Przepisy prawa krajowego i unijnego przewidują daleko idącą odpowiedzialność instytucji finansowych za bezpieczeństwo świadczonych usług płatniczych. W wielu przypadkach klient ma prawo domagać się pełnego zwrotu utraconych środków, nawet jeśli bank początkowo odmawia uznania reklamacji.

Jeżeli padłeś ofiarą nieautoryzowanej transakcji, warto jak najszybciej podjąć działania prawne i zweryfikować, czy stanowisko banku jest zgodne z obowiązującymi przepisami.

Potrzebujesz pomocy?

Jeżeli doszło do nieautoryzowanej transakcji na Twoim rachunku bankowym, skontaktuj się z kancelarią. Przeanalizujemy okoliczności sprawy, ocenimy zasadność stanowiska banku oraz pomożemy dochodzić zwrotu utraconych środków zarówno na etapie reklamacyjnym, jak i sądowym.