Fałszywy link przesłany podczas sprzedaży przedmiotu w internecie, strona wyglądająca jak bankowość elektroniczna i utrata pieniędzy z rachunku. To scenariusz, który każdego dnia może spotkać praktycznie każdego użytkownika bankowości internetowej. Właśnie taka historia doprowadziła jednak do wyroku Trybunału Sprawiedliwości Unii Europejskiej, który może mieć bardzo poważne znaczenie dla sporów klientów z bankami w całej Polsce.
15 października 2026 r. TSUE wydał wyrok w sprawie C-70/25 „Tukowiecka”. Sprawa trafiła do Luksemburga z Sądu Rejonowego w Koszalinie i dotyczyła sporu klientki z PKO Bankiem Polskim. Trybunał przesądził, że bank nie może odmówić bezzwłocznego zwrotu kwoty nieautoryzowanej transakcji tylko dlatego, że uważa zachowanie klienta za rażąco niedbałe.
Zasada jest więc bardzo istotna: najpierw zwrot pieniędzy, dopiero później spór o to, kto ostatecznie powinien ponieść stratę.
Nie oznacza to jednak, że klient może bez konsekwencji podawać hasła, kody czy inne dane bezpieczeństwa. Jeżeli bank później udowodni, że do powstania straty doszło wskutek umyślnego działania klienta albo jego rażącego niedbalstwa, może dochodzić od niego zwrotu pieniędzy. Zmienia się jednak bardzo ważna rzecz: to nie klient ma najpierw przez miesiące albo lata walczyć z bankiem o odzyskanie własnych środków. Bank ma wykonać ustawowy obowiązek zwrotu, a dopiero później może dochodzić swoich racji.
Sprzedawała przedmiot w internecie. Oszust wysłał fałszywy link
Sprawa, która doprowadziła do wyroku TSUE, brzmi wyjątkowo znajomo. Klientka polskiego banku wystawiła przedmiot na internetowej platformie sprzedażowej. Skontaktowała się z nią osoba deklarująca chęć zakupu i przesłała link, który miał służyć do potwierdzenia sprzedaży.
Link prowadził jednak do strony podszywającej się pod serwis bankowości elektronicznej. Kobieta wpisała na niej swoje dane logowania. Przestępca wykorzystał zdobyte w ten sposób informacje i przelał z jej rachunku na własne konto równowartość około 700 euro.
Następnego dnia klientka zgłosiła bankowi, że transakcja była nieautoryzowana. Bank odmówił jednak zwrotu pieniędzy. Uznał, że klientka sama umożliwiła przeprowadzenie operacji, ponieważ wskutek rażącego niedbalstwa nie zabezpieczyła swoich indywidualnych danych uwierzytelniających.
Spór trafił przed Sąd Rejonowy w Koszalinie. Polski sąd zwrócił się do TSUE z pytaniem prejudycjalnym dotyczącym interpretacji art. 73 ust. 1 i art. 74 ust. 1 dyrektywy PSD2: czy rażące niedbalstwo klienta pozwala bankowi odmówić natychmiastowego zwrotu pieniędzy?
Odpowiedź Trybunału jest jednoznaczna: nie.
TSUE rozdzielił dwie rzeczy, które banki często łączyły
Najważniejszą częścią wyroku jest wyraźne rozdzielenie dwóch etapów odpowiedzialności.
Pierwszym jest obowiązek zwrotu pieniędzy po zgłoszeniu nieautoryzowanej transakcji. Drugim – ustalenie, kto ostatecznie powinien ponieść ekonomiczny ciężar oszustwa.
Według TSUE bank co do zasady musi zwrócić pieniądze niezwłocznie, a najpóźniej do końca następnego dnia roboczego po stwierdzeniu transakcji albo otrzymaniu zgłoszenia od klienta. Jest to określana często jako zasada D+1.
Dopiero później bank może analizować, czy klient umyślnie albo wskutek rażącego niedbalstwa naruszył swoje obowiązki dotyczące bezpieczeństwa. Jeżeli chce na tej podstawie obciążyć klienta stratą, musi to wykazać.
TSUE zwrócił uwagę na bardzo praktyczny skutek przeciwnego rozwiązania. Gdyby samo postawienie przez bank zarzutu rażącego niedbalstwa wystarczało do wstrzymania pieniędzy, obowiązek natychmiastowego zwrotu stałby się w praktyce nieskuteczny. To poszkodowany klient musiałby wszczynać postępowanie przeciwko bankowi, ponosić związane z nim koszty i przez długi czas pozostawać bez utraconych środków.
Rażące niedbalstwo nie znika. Zmienia się moment jego rozstrzygania
TSUE nie orzekł, że rażące niedbalstwo klienta nie ma żadnego znaczenia. Ma – i może mieć znaczenie bardzo poważne. Dyrektywa PSD2 przewiduje, że jeżeli klient doprowadził do strat umyślnie albo wskutek rażącego zaniedbania obowiązków związanych między innymi z ochroną danych uwierzytelniających, może ostatecznie odpowiadać za całość powstałej straty.
Wyrok zmienia jednak kolejność. Bank nie może samodzielnie stwierdzić podczas rozpatrywania reklamacji: „kliknąłeś link, więc byłeś rażąco niedbały i niczego nie oddamy”.
Najpierw powinien zrealizować obowiązek zwrotu. Jeśli następnie uważa, że zachowanie klienta spełniało przesłanki rażącego niedbalstwa, może dochodzić od niego zwróconej kwoty. To na banku ciąży obowiązek udowodnienia takich okoliczności.
Bank nie może uznać uwierzytelnienia za automatyczny dowód zgody
To drugi bardzo ważny element polskich przepisów. Uwierzytelnienie i autoryzacja nie są tym samym. Uwierzytelnienie jest technicznym potwierdzeniem tożsamości albo użycia określonego instrumentu – może polegać na podaniu hasła, kodu SMS, kodu PIN czy potwierdzeniu operacji aplikacją. Autoryzacja oznacza natomiast zgodę klienta na wykonanie konkretnej transakcji.
Art. 45 ustawy o usługach płatniczych stanowi, że ciężar udowodnienia autoryzacji transakcji spoczywa na dostawcy usług płatniczych. Co jeszcze ważniejsze, samo wykazanie zarejestrowanego użycia instrumentu płatniczego nie wystarcza do udowodnienia, że użytkownik rzeczywiście autoryzował operację.
Ma to ogromne znaczenie właśnie w przypadku phishingu. Oszust może zdobyć prawdziwy login, hasło czy inne dane użytkownika i następnie prawidłowo przejść techniczny proces uwierzytelnienia. Nie oznacza to jeszcze, że właściciel rachunku wyraził zgodę na przelew wykonany przez przestępcę.
Co dokładnie mówi polska ustawa?
Wyrok TSUE dotyczy art. 73 i 74 unijnej dyrektywy PSD2. W polskiej ustawie z 19 sierpnia 2011 r. o usługach płatniczych odpowiada im przede wszystkim system wynikający z art. 42 oraz art. 44–46.
Art. 42 określa obowiązki użytkownika instrumentu płatniczego. Powinien on korzystać z niego zgodnie z umową, podejmować działania służące ochronie indywidualnych danych uwierzytelniających i niezwłocznie zgłaszać utratę, kradzież, przywłaszczenie lub nieuprawnione użycie instrumentu.
Art. 44 nakazuje niezwłocznie powiadomić dostawcę o wykrytej nieautoryzowanej transakcji. Co do zasady, jeżeli klient nie zrobi tego w ciągu 13 miesięcy od obciążenia rachunku, jego roszczenia z tego tytułu wygasają.
Art. 45 reguluje ciężar dowodu. To bank ma wykazać, że transakcja była autoryzowana albo że klient umyślnie bądź wskutek rażącego niedbalstwa naruszył swoje obowiązki.
Art. 46 ustanawia natomiast zasadę odpowiedzialności za nieautoryzowaną transakcję i obowiązek zwrotu środków. Obecny sposób stosowania tego przepisu, wynikający także z implementacji PSD2, zakłada niezwłoczny zwrot pieniędzy – co do zasady najpóźniej do końca następnego dnia roboczego.
Jest wyjątek. Ale dotyczy podejrzenia oszustwa klienta, a nie tego, że klient dał się oszukać
Bank może wstrzymać natychmiastowy zwrot, gdy ma uzasadnione podstawy, aby podejrzewać oszustwo. Bardzo ważne jest jednak znaczenie tego pojęcia.
Chodzi o podejrzenie oszustwa popełnianego przez klienta wobec banku – na przykład sytuację, w której ktoś próbuje wyłudzić od banku zwrot, choć w rzeczywistości sam dokonał transakcji – a nie o samo stwierdzenie, że klient padł ofiarą oszusta.
TSUE podkreślił, że bank musi mieć rozsądne podstawy takiego podejrzenia i poinformować o nich właściwy organ krajowy. Nie wystarcza zwykła wewnętrzna ocena pracownika banku ani sformułowanie w odpowiedzi reklamacyjnej, że zachowanie klienta było nierozważne.
Również Rzecznik Finansowy wskazuje, że wstrzymanie zwrotu jest dopuszczalne, gdy bank posiada uzasadnione i należycie udokumentowane podstawy podejrzenia oszustwa klienta oraz pisemnie poinformuje organy ścigania.
Wyrok nie oznacza jednak automatycznego zwrotu po każdym scamie
TSUE orzekał o nieautoryzowanej transakcji. Tymczasem współczesne oszustwa bankowe coraz częściej polegają nie na przejęciu rachunku i wykonaniu przelewu przez przestępcę, lecz na zmanipulowaniu właściciela konta tak, aby sam wykonał konkretną operację.
| Przykładowa sytuacja | Znaczenie wyroku C-70/25 |
|---|---|
| Oszust zdobywa login i hasło na fałszywej stronie, następnie sam przelewa pieniądze | Typowy przypadek nieautoryzowanej transakcji. Wyrok ma bezpośrednie znaczenie. |
| Klient przekazuje oszustowi dane lub kod, ale nie wyraża zgody na konkretny przelew, który następnie wykonuje przestępca | Transakcja może pozostać nieautoryzowana. Samo uwierzytelnienie nie dowodzi zgody. |
| Fałszywy „pracownik banku” przekonuje klienta, aby ten sam wykonał przelew na rzekomy „bezpieczny rachunek” | Wyrok nie przesądza automatycznie obowiązku zwrotu. Trzeba zbadać, czy klient rzeczywiście autoryzował konkretną operację. |
| Klient świadomie przelewa pieniądze fałszywemu sprzedawcy lub na oszukańczą inwestycję | Sam fakt późniejszego odkrycia oszustwa nie powoduje automatycznie, że przelew był nieautoryzowany w rozumieniu PSD2. |
To rozróżnienie będzie miało coraz większe znaczenie, ponieważ przestępcy coraz częściej koncentrują się właśnie na socjotechnice. Zamiast technicznie „łamać” zabezpieczenia banku, przekonują człowieka, aby sam zrobił to, czego potrzebują.
Skala problemu idzie już w setki milionów złotych kwartalnie
Wyrok zapadł w bardzo ważnym momencie. Bankowość mobilna stała się w Polsce usługą masową. Według raportu Związku Banków Polskich na koniec pierwszego kwartału 2026 r. z aplikacji bankowych aktywnie korzystało już 27,7 mln osób, a ponad 21 mln klientów korzystało wyłącznie z kanału mobilnego.
Równocześnie rośnie skala oszustw. Według danych NBP w pierwszym kwartale 2026 r. odnotowano około 123,9 tys. oszukańczych transakcji z wykorzystaniem bezgotówkowych instrumentów płatniczych. Ich wartość sięgnęła prawie 267 mln zł – o 46,8 proc. więcej niż kwartał wcześniej.
Szczególnie niepokojące są polecenia przelewu. Wartość oszukańczych transakcji tego rodzaju osiągnęła w pierwszym kwartale około 245,9 mln zł.
Nie oznacza to jednak, że wszystkie te pieniądze obejmuje mechanizm wynikający z wyroku C-70/25. Dane NBP dotyczą szerzej rozumianych transakcji oszukańczych, a nie wyłącznie prawnej kategorii transakcji nieautoryzowanych. Ponad 60 proc. wartości oszukańczych przelewów stanowiły przypadki, w których przestępca manipulował płatnikiem. W części z nich to sama ofiara zlecała przelew.
To pokazuje jednocześnie, dlaczego problem jest tak złożony: skala oszustw rośnie, ale ustalenie odpowiedzialności wymaga rozróżnienia między przejęciem rachunku przez przestępcę a zmanipulowaniem klienta do świadomego zatwierdzenia operacji.
144 tysiące zgłoszeń phishingu w ciągu jednego roku
Jeszcze wyraźniej skalę samego phishingu pokazują dane CERT Polska. W 2025 r. zespół otrzymał 144 320 zgłoszeń dotyczących phishingu hostowanego w polskich sieciach. Dotyczyły one tysięcy adresów URL i domen wykorzystywanych do podszywania się pod legalne serwisy.
Nie należy tej liczby utożsamiać z liczbą ofiar – kilka zgłoszeń może dotyczyć tej samej kampanii albo strony. Pokazuje ona jednak masowość infrastruktury wykorzystywanej przez cyberprzestępców.
CSIRT KNF praktycznie każdego miesiąca identyfikuje kolejne kampanie podszywające się bezpośrednio pod banki, serwisy płatnicze, administrację publiczną, firmy kurierskie czy platformy sprzedażowe. W czerwcu 2026 r. wśród wykrywanych zagrożeń ponownie znajdowały się fałszywe strony bankowości elektronicznej służące do przejmowania loginów, haseł, danych kart i innych informacji klientów.
Ponad 10 tysięcy klientów zwróciło się już o pomoc do Rzecznika Finansowego
Jeszcze bardziej bezpośredni obraz znaczenia wyroku dają dane Rzecznika Finansowego. W latach 2022–2025 do jego biura trafiło ponad 10 tys. wniosków o interwencję w sprawach dotyczących nieautoryzowanych transakcji płatniczych.
To osoby, którym bank albo inna instytucja płatnicza odmówiły zwrotu utraconych środków i które dopiero później szukały pomocy u Rzecznika.
Rzecznik Finansowy od lat prezentował stanowisko zgodne z obecnym wyrokiem TSUE: zwrot w terminie D+1 powinien być zasadą, a spór dotyczący ewentualnego rażącego niedbalstwa powinien następować później.
Zasada D+1 powinna być regułą, a nie wyjątkiem.
Michał Ziemiak, Rzecznik Finansowy
UOKiK już wcześniej zakwestionował praktyki banków
Wyrok TSUE nie pojawia się również w próżni regulacyjnej. Prezes UOKiK od kilku lat bada sposób, w jaki banki rozpatrują reklamacje dotyczące nieautoryzowanych transakcji.
7 września 2026 r. Urząd poinformował o zakończeniu postępowań wobec Alior Banku, mBanku, BNP Paribas Bank Polska oraz Banku Millennium. Banki zobowiązały się zmienić swoje praktyki i ponownie przeanalizować część zgłoszeń klientów, które wcześniej zostały rozpatrzone negatywnie.
Według UOKiK w toku pozostaje jeszcze dziesięć analogicznych postępowań dotyczących innych banków.
Urząd od dawna zajmuje stanowisko, że bank nie może zastępować ustawowej procedury natychmiastowego zwrotu własnym postępowaniem reklamacyjnym zakończonym arbitralnym przypisaniem klientowi rażącego niedbalstwa.
Wyrok TSUE bardzo mocno wzmacnia tę interpretację.
Co wyrok oznacza dla banków?
Dla sektora bankowego najważniejsza konsekwencja jest finansowa i proceduralna. Bank nie może przerzucać na klienta ciężaru długotrwałego dochodzenia roszczenia tylko dlatego, że już na wstępnym etapie uważa zachowanie klienta za skrajnie nieostrożne.
Oznacza to, że instytucja finansowa może być zobowiązana do oddania środków, mimo że jest przekonana, iż później będzie mogła skutecznie wykazać odpowiedzialność klienta.
Z punktu widzenia płynności pojedynczego dużego banku nie jest to oczywiście zagrożenie systemowe. Przy tysiącach spraw zmienia jednak ekonomiczne bodźce. To bank staje się stroną, która po dokonaniu zwrotu musi zdecydować, czy posiada wystarczająco mocne dowody, aby kontynuować spór i dochodzić pieniędzy od klienta.
W praktyce może to także zwiększać motywację banków do inwestowania w systemy wykrywające nietypowe operacje, mechanizmy ostrzegawcze oraz dodatkowe zabezpieczenia transakcji. Im skuteczniej bank zapobiegnie oszustwu przed wykonaniem przelewu, tym mniejsze późniejsze ryzyko sporu o odpowiedzialność.
Co powinien zrobić klient, gdy pieniądze znikną z rachunku?
Pierwszym krokiem powinien być natychmiastowy kontakt z bankiem oficjalnym kanałem – przez aplikację, numer infolinii wskazany na stronie banku albo placówkę. Należy zgłosić nieautoryzowaną transakcję i, jeżeli istnieje takie ryzyko, zablokować kartę, dostęp do bankowości lub inne instrumenty, które mogły zostać przejęte.
W zgłoszeniu warto jednoznacznie wskazać, że klient nie wyrażał zgody na konkretną transakcję i żąda zwrotu na podstawie ustawy o usługach płatniczych. To istotne, ponieważ spór często zaczyna się właśnie od różnicy między technicznym uwierzytelnieniem a świadomą autoryzacją.
Należy również zabezpieczyć wszystkie dowody: wiadomości od oszusta, adres fałszywej strony, SMS-y, historię komunikatora, potwierdzenia operacji, korespondencję z bankiem i godzinę zgłoszenia.
Jeżeli mamy do czynienia z przestępstwem, sprawę warto zgłosić policji. Podejrzane strony i wiadomości phishingowe można również zgłaszać do CERT Polska.
Jeżeli bank odmówi zwrotu, klient może skorzystać między innymi z pomocy Rzecznika Finansowego. Wyrok C-70/25 będzie w takich sporach bardzo ważnym argumentem, jeżeli transakcja rzeczywiście była nieautoryzowana.
Co ze sprawami, w których bank już odmówił?
Jeżeli bank wcześniej odrzucił reklamację, ale sprawa nie została prawomocnie zakończona przez sąd, wyrok TSUE może być bardzo istotnym argumentem przy ponownym dochodzeniu roszczeń, postępowaniu przed Rzecznikiem Finansowym lub w sądzie.
W sprawach już toczących się przed polskimi sądami sytuacja jest jeszcze bardziej jednoznaczna. Orzeczenie prejudycjalne TSUE wiąże sąd, który skierował pytanie, a taka sama wykładnia prawa Unii powinna być stosowana przez inne sądy rozpatrujące analogiczne zagadnienie.
Nie oznacza to natomiast automatycznego wznowienia wszystkich spraw zakończonych prawomocnym wyrokiem. TSUE w swoim wcześniejszym orzecznictwie podkreślał znaczenie powagi rzeczy osądzonej i wskazywał, że prawo Unii co do zasady nie nakazuje automatycznego otwierania zakończonych postępowań wyłącznie dlatego, że później Trybunał przyjął określoną interpretację prawa UE.
Osobną sytuację tworzą decyzje UOKiK dotyczące czterech banków. Alior Bank, mBank, BNP Paribas oraz Bank Millennium zobowiązały się do ponownej analizy części wcześniejszych zgłoszeń klientów na zasadach wynikających z decyzji Urzędu. W takich przypadkach warto sprawdzić indywidualnie, czy konkretna reklamacja jest objęta procedurą ponownego rozpatrzenia.
Wyrok TSUE nie zwalnia nas z ostrożności
Nie wolo natomiast wyciągać z tego wyroku wniosku: „bank i tak odda pieniądze, więc mogę klikać wszystko”. To byłaby bardzo niebezpieczna interpretacja.
Po pierwsze, odzyskanie środków nie zawsze jest oczywiste, bo przedmiotem sporu może być już samo ustalenie, czy transakcja była nieautoryzowana.
Po drugie, rażące niedbalstwo nadal może skutkować ostatecznym obciążeniem klienta całością straty. Bank musi jednak to udowodnić we właściwym trybie zamiast jedynie powołać się na własną ocenę przy odrzucaniu reklamacji.
Po trzecie, współczesne oszustwa coraz częściej polegają na doprowadzeniu ofiary do samodzielnego wykonania przelewu. W takim przypadku ochrona wynikająca z przepisów o nieautoryzowanych transakcjach może okazać się znacznie węższa.
Najważniejsza zmiana: ofiara nie powinna finansować sporu z bankiem
Znaczenie wyroku C-70/25 najlepiej widać nie w abstrakcyjnej dyskusji prawniczej, lecz w sytuacji osoby, której z dnia na dzień znika z rachunku kilka, kilkanaście albo kilkadziesiąt tysięcy złotych.
Do tej pory w praktyce często dochodziło do sytuacji, w której bank odmawiał zwrotu, powołując się na zachowanie klienta. Poszkodowany musiał następnie występować do Rzecznika Finansowego albo sądu i przez wiele miesięcy przekonywać, że padł ofiarą oszustwa.
TSUE odwraca tę logikę. W przypadku nieautoryzowanej transakcji bank nie może traktować własnego zarzutu rażącego niedbalstwa jako automatycznej podstawy do zatrzymania środków.
Ma najpierw wykonać obowiązek zwrotu. Jeżeli uważa, że to klient powinien ostatecznie ponieść stratę, ciężar dalszego działania i dowodzenia przechodzi na instytucję finansową.
Przy obecnej skali phishingu i innych oszustw internetowych może to być jedna z najważniejszych zmian w praktycznej ochronie klientów banków od wielu lat. Nie dlatego, że przenosi całą odpowiedzialność za cyberbezpieczeństwo na banki, lecz dlatego, że uniemożliwia im zastąpienie ustawowej procedury prostym zdaniem: „sam klient był nieostrożny, więc nie zwracamy pieniędzy”.
Źródła
Trybunał Sprawiedliwości UE – komunikat prasowy nr 147/26 dotyczący wyroku w sprawie C-70/25 „Tukowiecka”
CURIA – sprawa C-70/25 „Tukowiecka”, wyrok z 15 października 2026 r., ECLI:EU:C:2026:852
EUR-Lex – dyrektywa PSD2, w szczególności art. 69 oraz art. 72–74
ELI / Dziennik Ustaw – aktualny tekst jednolity ustawy o usługach płatniczych
Rzecznik Finansowy – reakcja na wyrok TSUE z 15 października 2026 r.
UOKiK – cztery banki zmieniają praktyki dotyczące nieautoryzowanych transakcji
UOKiK – zasady dotyczące nieautoryzowanych transakcji płatniczych i obowiązku zwrotu
CSIRT KNF – przegląd oszustw internetowych, czerwiec 2026 r.
CERT Polska – Raport roczny 2025, dane dotyczące phishingu
Związek Banków Polskich – 27,7 mln aktywnych użytkowników bankowości mobilnej w I kwartale 2026 r.
Business Insider Polska – dane NBP o skali transakcji oszukańczych w I kwartale 2026 r.
TSUE – sprawa C-582/21 Profi Credit Polska, zasada powagi rzeczy osądzonej a późniejszy wyrok prejudycjalny
