Bank nie może odmówić natychmiastowego zwrotu pieniędzy skradzionych z konta w wyniku nieautoryzowanej transakcji tylko dlatego, że klient dał się oszukać. Tak wynika z wyroku Trybunału Sprawiedliwości Unii Europejskiej z 15 października 2026 roku. Rozstrzygnięcie zapadło w sprawie klientki polskiego banku, która straciła około 700 euro po kliknięciu fałszywego linku. Wyrok TSUE ma znaczenie również dla osób posiadających rachunki w Holandii.
Trybunał wyjaśnił, że przy nieautoryzowanej transakcji bank powinien najpierw zwrócić środki, a dopiero później ewentualnie dochodzić od klienta pokrycia strat, jeśli udowodni jego umyślne działanie lub rażące zaniedbanie. Nie oznacza to jednak, że każda osoba oszukana podczas przelewu automatycznie otrzyma zwrot pieniędzy. Kluczowe pozostaje ustalenie, czy płatność rzeczywiście została wykonana bez autoryzacji właściciela rachunku.
Wyrok TSUE: bank musi szybko zwrócić pieniądze z nieautoryzowanej transakcji
W czwartek 15 października 2026 roku Trybunał Sprawiedliwości UE w Luksemburgu ogłosił wyrok w sprawie C-70/25, znanej jako sprawa Tukowiecka. Dotyczy ona interpretacji przepisów unijnej dyrektywy o usługach płatniczych PSD2.
Zgodnie z art. 73 ust. 1 dyrektywy dostawca usług płatniczych, którym najczęściej jest bank, ma obowiązek bezzwłocznie zwrócić kwotę nieautoryzowanej transakcji. Zwrot powinien nastąpić nie później niż do końca następnego dnia roboczego po wykryciu transakcji lub otrzymaniu zgłoszenia od klienta.
Dotychczas źródłem sporów była sytuacja, w której bank uznawał, że sam klient umożliwił przestępcom dostęp do rachunku, na przykład przez ujawnienie danych logowania. Niektóre instytucje odmawiały wtedy zwrotu już na etapie reklamacji, zarzucając poszkodowanemu rażące niedbalstwo.
TSUE rozstrzygnął, że taki zarzut nie wystarcza, aby wstrzymać wymagany prawem natychmiastowy zwrot. Trybunał wyraźnie oddzielił obowiązek szybkiego oddania pieniędzy od późniejszego ustalenia, kto ostatecznie powinien ponieść stratę.
Wyrok TSUE po oszustwie na portalu sprzedażowym. Klientka banku straciła 700 euro
Sprawa rozpoczęła się od pozornie zwyczajnej sprzedaży przedmiotu na internetowej platformie handlowej. Klientka polskiego banku wystawiła towar na sprzedaż. Skontaktowała się z nią osoba podająca się za potencjalnego kupującego.
Oszust przesłał kobiecie link, który rzekomo służył do potwierdzenia transakcji. Po jego otwarciu klientka trafiła na stronę wyglądającą jak witryna internetowa jej banku. Nie wiedząc, że jest to fałszywa strona, wpisała dane logowania do bankowości elektronicznej.
Przestępca wykorzystał przejęte informacje do wykonania przelewu na własny rachunek. Z konta kobiety zniknęła kwota odpowiadająca około 700 euro.
Następnego dnia poszkodowana zgłosiła transakcję bankowi, domagając się zwrotu środków. Instytucja odmówiła. Argumentowała, że klientka nie zabezpieczyła odpowiednio indywidualnych danych uwierzytelniających i przez rażące zaniedbanie umożliwiła przestępcy dokonanie przelewu.
Kobieta skierowała sprawę do sądu. Sąd Rejonowy w Koszalinie zwrócił się do TSUE z pytaniem, czy bank może odmówić bezzwłocznego zwrotu nieautoryzowanej płatności z powodu zarzucanego klientowi rażącego zaniedbania. Dzisiejszy wyrok odpowiada właśnie na to pytanie prawne.
Wyrok TSUE: kiedy bank może nie zwrócić pieniędzy natychmiast?
Obowiązek natychmiastowego zwrotu nie jest całkowicie bezwarunkowy. Dyrektywa PSD2 przewiduje wyjątek, gdy bank ma uzasadnione podstawy podejrzewać oszustwo popełnione przez samego klienta i przekaże odpowiedniemu organowi krajowemu pisemną informację o tych podejrzeniach.
Nie wystarczy jednak samo stwierdzenie, że klient kliknął podejrzany link, podał dane logowania albo nie zachował należytej ostrożności. Rażące zaniedbanie i oszustwo popełnione przez klienta to odrębne kwestie prawne.
Trybunał zaznaczył również, że późniejsza odpowiedzialność klienta nie zostaje wyłączona. Jeżeli bank udowodni, że straty wynikły z umyślnego naruszenia obowiązków bezpieczeństwa lub rażącego zaniedbania, może domagać się od klienta zwrotu poniesionych kosztów.
To właśnie bank musi przedstawić dowody potwierdzające takie okoliczności. Samo użycie poprawnych danych logowania lub zarejestrowanie technicznego uwierzytelnienia nie musi jeszcze dowodzić, że właściciel rachunku autoryzował konkretny przelew.
Wyrok TSUE a banki w Holandii. Co zmienia dla Polaków?
Choć postępowanie rozpoczęło się w Polsce, wyrok dotyczy interpretacji przepisów obowiązującej w Unii Europejskiej dyrektywy PSD2. Przepisy regulujące nieautoryzowane płatności zostały wdrożone również w Holandii, między innymi do holenderskiego kodeksu cywilnego (Burgerlijk Wetboek).
Oznacza to, że interpretacja TSUE jest istotna także przy sporach klientów z holenderskimi instytucjami finansowymi. Osoby posiadające rachunki w ING, Rabobank, ABN AMRO lub innych bankach działających w Holandii powinny wiedzieć, że zasada szybkiego zwrotu nieautoryzowanych transakcji wynika z prawa unijnego.
W Holandii podobne sprawy trafiają między innymi do Kifid, czyli instytucji rozpatrującej skargi dotyczące usług finansowych. W dotychczasowej praktyce Kifid istotną rolę odgrywała ocena, czy klient autoryzował transakcję i czy dopuścił się rażącego zaniedbania.
Dzisiejszy wyrok TSUE precyzuje kolejność postępowania w przypadku płatności nieautoryzowanej. Bank nie może automatycznie wykorzystywać zarzutu rażącego zaniedbania jako powodu do pominięcia obowiązku bezzwłocznego zwrotu.
Nie oznacza to, że każdy dotychczasowy spór w Holandii zostanie automatycznie rozstrzygnięty na korzyść klienta. Znaczenie mają konkretne okoliczności, kwalifikacja płatności oraz możliwość późniejszego dochodzenia przez bank roszczeń.
Wyrok TSUE a autoryzacja przelewu. Nie każde oszustwo oznacza zwrot pieniędzy
Najważniejsze jest rozróżnienie pomiędzy dwiema sytuacjami: przelewem dokonanym przez przestępcę bez zgody właściciela konta oraz płatnością, którą właściciel rachunku sam autoryzował pod wpływem oszustwa.
Przykład pierwszy: oszust przejmuje dane logowania do banku i samodzielnie zleca przelew bez zgody klienta. Taka sytuacja może stanowić nieautoryzowaną transakcję płatniczą objętą zasadą bezzwłocznego zwrotu.
Przykład drugi: fałszywy pracownik banku przekonuje klienta, aby ten osobiście przelał pieniądze na rzekomo bezpieczne konto. Jeśli klient rzeczywiście autoryzował płatność, jej kwalifikacja prawna może być inna, a obowiązek zwrotu nie wynika automatycznie z dzisiejszego wyroku.
Na różnicę tę zwraca uwagę holenderski Kifid. W czerwcu 2026 roku jego komisja odwoławcza wyjaśniła, że bank co do zasady nie musi rekompensować strat, kiedy klient świadomie wykonuje przelew zgodnie z procedurą bankową, choć został do tego nakłoniony przez oszusta.
Dlatego podczas reklamacji nie należy opierać się wyłącznie na stwierdzeniu, że doszło do oszustwa. Trzeba dokładnie opisać, kto faktycznie zainicjował płatność, jak została zatwierdzona i czy właściciel rachunku wyraził zgodę na konkretną transakcję.
Jak odzyskać pieniądze z banku po phishingu w Holandii?
Holenderska policja zaleca natychmiastowy kontakt z bankiem po wykryciu oszustwa internetowego lub ujawnieniu danych logowania na fałszywej stronie. Szybka reakcja może ograniczyć dalsze straty.
- Skontaktuj się z bankiem: zgłoś podejrzenie phishingu przez oficjalną aplikację, stronę banku lub numer alarmowy. Poproś o zabezpieczenie rachunku i zablokowanie zagrożonych metod płatności.
- Zgłoś nieautoryzowaną transakcję: wskaż kwotę, datę i numer operacji oraz wyraźnie poinformuj, jeśli nie wyraziłeś zgody na wykonanie przelewu.
- Zachowaj dowody: wiadomości, fałszywe linki, zrzuty ekranu, historię transakcji i korespondencję z bankiem.
- Złóż zawiadomienie na policji: w Holandii można to zrobić za pośrednictwem politie.nl lub kontaktując się z policją. Nie odkładaj jednak zgłoszenia bankowego do czasu uzyskania dokumentu z policji.
- W razie sporu złóż reklamację: poproś bank o pisemne stanowisko i powołaj się na art. 73 dyrektywy PSD2 oraz wyrok TSUE w sprawie C-70/25.
Dyrektywa przewiduje obowiązek zgłoszenia nieautoryzowanej transakcji bez zbędnej zwłoki po jej wykryciu, zasadniczo najpóźniej w ciągu 13 miesięcy od obciążenia rachunku. Ten maksymalny okres nie oznacza, że warto czekać ze zgłoszeniem. Im szybciej klient zareaguje, tym łatwiej ograniczyć dalsze straty i zabezpieczyć dowody.
Jeśli holenderski bank odrzuci reklamację, kolejną możliwością może być Kifid, o ile sprawa spełnia warunki rozpatrywania skarg przez tę instytucję. Co do zasady należy wcześniej przejść procedurę reklamacyjną banku. Kifid może również przyjąć skargę, jeżeli bank nie odpowie w ciągu ośmiu tygodni.
Informacje dotyczące procedury znajdują się na oficjalnej stronie Kifid. Instrukcje zgłaszania phishingu udostępnia także holenderska policja.
Wyrok TSUE i zwrot pieniędzy przez bank. Stanowisko Rzecznika Finansowego
Polski Rzecznik Finansowy ocenił dzisiejsze rozstrzygnięcie jako potwierdzenie zasad ochrony klientów, których od lat domagał się w sporach z instytucjami finansowymi.
Według Rzecznika kluczowa jest zasada określana jako D+1. Oznacza ona, że zwrot kwoty nieautoryzowanej transakcji powinien nastąpić niezwłocznie, najpóźniej do końca kolejnego dnia roboczego po otrzymaniu zgłoszenia lub stwierdzeniu takiej operacji.
Rzecznik podkreślił, że bank może później badać odpowiedzialność klienta i w odpowiednich okolicznościach dochodzić roszczeń. Nie powinien jednak przerzucać całego ciężaru oczekiwania na wyjaśnienie sprawy na osobę zgłaszającą nieautoryzowaną płatność.
We wrześniu 2026 roku UOKiK informował już o decyzjach dotyczących praktyk czterech banków: Alior Banku, mBanku, BNP Paribas i Banku Millennium. Instytucje zobowiązały się do zmian w obsłudze zgłoszeń nieautoryzowanych transakcji i ponownej analizy części wcześniej odrzuconych reklamacji.
Dzisiejszy wyrok TSUE stanowi kolejny istotny punkt odniesienia dla interpretowania obowiązków banków wynikających z przepisów PSD2.
Wyrok TSUE: bank i zwrot skradzionych pieniędzy – 3 pytania
Czy wyrok TSUE oznacza, że bank musi zwrócić skradzione pieniądze?
W przypadku nieautoryzowanej transakcji płatniczej bank co do zasady musi zwrócić środki bezzwłocznie, najpóźniej do końca następnego dnia roboczego. Istnieje wyjątek dotyczący uzasadnionego podejrzenia oszustwa popełnionego przez samego klienta, zgłoszonego właściwemu organowi. Bank może również później dochodzić roszczeń, jeśli udowodni umyślne działanie lub rażące zaniedbanie klienta.
Czy wyrok TSUE o zwrocie pieniędzy obejmuje banki w Holandii?
Tak, wyrok interpretuje unijne przepisy o nieautoryzowanych płatnościach, które obowiązują również w holenderskim systemie prawnym. Ma więc znaczenie dla sporów klientów z bankami w Holandii, choć wynik konkretnej sprawy zależy od jej okoliczności i charakteru transakcji.
Czy po wyroku TSUE bank może odmówić zwrotu, jeśli podałem oszustowi hasło?
Samo ujawnienie danych logowania nie uprawnia banku do automatycznego wstrzymania bezzwłocznego zwrotu nieautoryzowanej transakcji. Bank może później próbować wykazać rażące zaniedbanie i dochodzić rekompensaty poniesionych strat. Nie każda pomyłka klienta jest jednak równoznaczna z rażącym zaniedbaniem w rozumieniu prawa.
Źródła: TSUE – oficjalny komunikat prasowy nr 147/26, wyrok C-70/25 z 15 października; Dyrektywa PSD2 – art. 71–74; Rzecznik Finansowy – komentarz do wyroku; UOKiK – praktyki polskich banków; Kifid – różnica między płatnością autoryzowaną i nieautoryzowaną; Politie – postępowanie po phishingu.
Stan informacji: 15 października 2026 r. Artykuł przedstawia ogólne zasady wynikające z wyroku TSUE i nie stanowi indywidualnej porady prawnej.
