Wyrok Trybunału Sprawiedliwości Unii Europejskiej C-70/25: sam zarzut rażącego niedbalstwa klienta nie przesądza o odmowie zwrotu po nieautoryzowanej transakcji

Krótki termin na zwrot pieniędzy po nieautoryzowanej transakcji nie powinien tracić znaczenia tylko dlatego, że dostawca usług płatniczych – w typowej sprawie bank – zarzuca klientowi rażące niedbalstwo.

Wyrok Trybunału Sprawiedliwości Unii Europejskiej z 15 października 2026 r. w sprawie C-70/25 dotyczy relacji między obowiązkiem niezwłocznego zwrotu środków a późniejszą oceną odpowiedzialności płatnika. Zasada zwrotu ma charakter ogólny, ale podlega warunkom i wyjątkom przewidzianym w ustawie o usługach płatniczych.

Wyrok TSUE w sprawie C-70/25 – najważniejsza teza.

W wyroku z dnia 15 października 2026 r. w sprawie C-70/25 Trybunał Sprawiedliwości Unii Europejskiej rozstrzygnął, że dostawca usług płatniczych nie może odmówić niezwłocznego zwrotu kwoty nieautoryzowanej transakcji wyłącznie dlatego, że uważa klienta za rażąco niedbałego. W typowej sprawie takim dostawcą będzie bank, ale ustawowe zasady odnoszą się do dostawcy płatnika, niezależnie od jego formy organizacyjnej.

Chodzi o sytuację, w której osoba trzecia wykonuje przelew lub inną operację bez skutecznej zgody posiadacza rachunku. Nieautoryzowana transakcja to transakcja, na którą płatnik nie wyraził zgody w sposób przewidziany przez umowę i przepisy prawa. Ostateczna ocena, czy transakcja była autoryzowana oraz kto ponosi odpowiedzialność, wymaga uwzględnienia okoliczności konkretnej sprawy.

Trybunał wskazał, że dostawca powinien rozdzielić dwie kwestie:

• obowiązek niezwłocznego zwrotu kwoty nieautoryzowanej transakcji;
• późniejszą ocenę odpowiedzialności klienta za powstanie szkody.

Dostawca nie powinien zatem uzależniać zwrotu środków od wcześniejszego zakończenia sporu dotyczącego tego, czy klient należycie chronił login, hasło, kod SMS albo inne dane uwierzytelniające. Samo przekonanie dostawcy o rażącym niedbalstwie nie jest jeszcze równoznaczne z wykazaniem ustawowych przesłanek odpowiedzialności.

Najpierw zwrot pieniędzy, później spór o odpowiedzialność.

Zgodnie z art. 46 ust. 1 ustawy z dnia 19 sierpnia 2011 r. o usługach płatniczych dostawca płatnika powinien co do zasady zwrócić kwotę nieautoryzowanej transakcji niezwłocznie, nie później niż do końca następnego dnia roboczego po dniu stwierdzenia wystąpienia nieautoryzowanej transakcji albo po dniu otrzymania stosownego zgłoszenia od płatnika. Zasada ta obowiązuje z zastrzeżeniem art. 44 ust. 2 tej ustawy oraz ustawowego wyjątku dotyczącego podejrzenia oszustwa.

W praktyce oznacza to model określany jako D+1. Dostawca powinien podjąć działania prowadzące do zwrotu najpóźniej do końca następnego dnia roboczego, licząc od dnia stwierdzenia wystąpienia nieautoryzowanej transakcji albo od dnia otrzymania zgłoszenia – zależnie od tego, które zdarzenie jest właściwe w danej sprawie. Zwrot powinien przywrócić stan rachunku, jaki istniałby, gdyby nie doszło do nieautoryzowanej transakcji, z uwzględnieniem zasad określonych w ustawie.

Art. 44 ust. 2 ustawy przewiduje ponadto graniczny termin na powiadomienie dostawcy. Użytkownik powinien zgłosić nieautoryzowaną transakcję niezwłocznie, a co do zasady jego roszczenia wygasają, jeżeli nie zawiadomi dostawcy w terminie 13 miesięcy od dnia obciążenia rachunku albo od dnia, w którym transakcja miała być wykonana. Ustawa przewiduje wyjątki od tej zasady, dlatego nie warto zwlekać ze zgłoszeniem ani z zabezpieczeniem dowodów.

Rażące niedbalstwo klienta nadal ma znaczenie.

Wyrok TSUE nie oznacza, że klient nigdy nie odpowiada za nieautoryzowane operacje. Trybunał nie wyłączył stosowania przepisów dotyczących rażącego niedbalstwa, lecz odniósł je do właściwej kolejności działań i do obowiązku niezwłocznego zwrotu środków.

Art. 42 ustawy o usługach płatniczych nakłada na użytkownika instrumentu płatniczego między innymi obowiązek:

• korzystania z instrumentu płatniczego zgodnie z umową;
• podejmowania niezbędnych działań służących ochronie indywidualnych danych uwierzytelniających;
• niezwłocznego informowania dostawcy o utracie, kradzieży lub nieuprawnionym użyciu instrumentu płatniczego.

Jeżeli użytkownik umyślnie doprowadził do nieautoryzowanej transakcji albo umyślnie lub wskutek rażącego niedbalstwa naruszył co najmniej jeden z tych obowiązków, może ponosić pełną odpowiedzialność za stratę wynikającą z transakcji. Wynika to z art. 46 ust. 3 ustawy o usługach płatniczych. Dla takiej odpowiedzialności nie wystarcza jednak ogólny zarzut niewystarczającej ostrożności – konieczne jest wykazanie ustawowych przesłanek.

Rażące niedbalstwo oznacza kwalifikowane naruszenie podstawowych reguł ostrożności. Nie chodzi o każde niedopatrzenie ani zwykłą nieuwagę. Ocena zawsze wymaga uwzględnienia konkretnych okoliczności sprawy, w tym sposobu działania oszusta, treści komunikatów, zabezpieczeń oraz zachowania użytkownika przed transakcją i po jej stwierdzeniu.

Trybunał nie przesądził, czy podanie loginu, hasła albo kodu SMS na fałszywej stronie internetowej automatycznie stanowi rażące niedbalstwo. Ocena zależy od całokształtu okoliczności sprawy, a w razie sporu podlega kontroli sądu.

Art. 45 ustawy przewiduje, że w zakresie określonym w przepisach dostawca powinien wykazać autoryzację transakcji oraz inne okoliczności istotne dla odpowiedzialności płatnika. Samo zarejestrowane użycie instrumentu płatniczego, loginu, hasła czy kodu SMS nie przesądza jeszcze ani o autoryzacji, ani o rażącym niedbalstwie klienta.

Jeden wyjątek: podejrzenie oszustwa po stronie klienta.

Dostawca może odmówić niezwłocznego zwrotu środków w szczególnej sytuacji przewidzianej w art. 46 ust. 1 ustawy. Musi mieć uzasadnione i należycie udokumentowane podstawy do podejrzenia, że użytkownik dopuścił się oszustwa, a następnie powinien pisemnie poinformować o tym właściwe organy ścigania. Samo powołanie się na podejrzenie bez wskazania i udokumentowania jego podstawy nie powinno zastępować spełnienia tych warunków.

Podejrzenie oszustwa po stronie klienta nie jest tym samym co zarzut naruszenia zasad ostrożności lub rażącego niedbalstwa. Nie wystarcza więc samo twierdzenie, że klient np.:

• przechowywał dane logowania w niewłaściwy sposób;
• podał kod autoryzacyjny osobie trzeciej;
• kliknął link przesłany przez oszusta;
• nie zachował dostatecznej ostrożności.

Takie zachowania mogą podlegać ocenie z punktu widzenia rażącego niedbalstwa. Nie są jednak automatycznie równoznaczne z podejrzeniem oszustwa popełnionego przez klienta. W szczególności samo kliknięcie linku lub przekazanie danych w wyniku działania oszusta nie przesądza jeszcze o kwalifikacji prawnej zachowania ani o obowiązku zwrotu środków.

Różnica ma istotne znaczenie praktyczne. Dostawca nie powinien utożsamiać niedbalstwa z oszustwem tylko po to, aby skorzystać z wyjątku pozwalającego na wstrzymanie niezwłocznego zwrotu pieniędzy.

Czy bank może później żądać pieniędzy od klienta?

Tak, ale dokonanie zwrotu środków nie przesądza jeszcze ostatecznie, że ekonomiczny ciężar transakcji zawsze ponosi dostawca. Po zwrocie dostawca płatnika może dochodzić od klienta roszczeń, jeżeli wykaże, że klient umyślnie doprowadził do transakcji albo umyślnie lub wskutek rażącego niedbalstwa naruszył obowiązki określone w ustawie.

Dostawca powinien wykazać wszystkie przesłanki odpowiedzialności klienta. Nie może ograniczyć się do stwierdzenia, że transakcję wykonano przy użyciu prawidłowych danych uwierzytelniających. Sposób dochodzenia ewentualnych roszczeń zależy od okoliczności sprawy i nie oznacza, że dostawca zawsze musi prowadzić odrębne postępowanie sądowe.

W praktyce dostawca może być zobowiązany do:

• dokonania szybkiego zwrotu pieniędzy, jeżeli nie zachodzi ustawowy wyjątek;
• zabezpieczenia i przedstawienia dowodów dotyczących przebiegu transakcji;
• wykazania naruszenia przez klienta konkretnych obowiązków ustawowych;
• udowodnienia, że naruszenie miało charakter umyślny albo rażąco niedbały;
• podjęcia właściwych działań w celu dochodzenia roszczeń, jeżeli klient dobrowolnie nie spełni świadczenia.

Art. 45 ustawy ogranicza możliwość automatycznego przerzucenia ciężaru dowodu na klienta. Sam fakt poprawnego użycia loginu, hasła, kodu lub innego instrumentu nie przesądza jeszcze o autoryzacji operacji ani o odpowiedzialności płatnika.

Wyrok TSUE ma szczególne znaczenie dla postępowań reklamacyjnych dotyczących nieautoryzowanych transakcji. Dostawca nie powinien odmawiać zwrotu wyłącznie dlatego, że w decyzji reklamacyjnej powołał się na własną ocenę rażącego niedbalstwa klienta. Ocena odpowiedzialności wymaga wskazania konkretnych faktów, obowiązków i dowodów.

W reklamacji dotyczącej nieautoryzowanej transakcji warto przede wszystkim:

• wskazać datę, kwotę i rodzaj zakwestionowanej operacji;
• wyraźnie oświadczyć, że transakcja nie była autoryzowana;
• zażądać zwrotu środków w terminie wynikającym z art. 46 ust. 1 ustawy;
• opisać, kiedy użytkownik powziął informację o transakcji i kiedy zawiadomił dostawcę;
• zgłosić transakcję niezwłocznie, pamiętając o co do zasady 13-miesięcznym terminie z art. 44 ust. 2;
• zabezpieczyć wiadomości SMS, e-maile, historię logowania, dane urządzeń i korespondencję z dostawcą;
• zażądać wskazania konkretnej podstawy prawnej i faktycznej odmowy.

Dostawca nie powinien ograniczać się do ogólnego stwierdzenia, że klient nie zachował należytej ostrożności. Taka argumentacja nie wyjaśnia jeszcze, jakie konkretne zachowanie miało miejsce, jaki obowiązek został naruszony, jakie dowody to potwierdzają i dlaczego naruszenie można zakwalifikować jako rażące niedbalstwo.

Wyrok TSUE a praktyka banków.

Orzeczenie przemawia za rozdzieleniem w praktyce dwóch etapów postępowania: szybkiego wykonania ustawowego obowiązku zwrotu środków oraz szczegółowego badania odpowiedzialności klienta. W typowej sprawie bank powinien zorganizować postępowanie reklamacyjne tak, aby sama ocena rażącego niedbalstwa nie prowadziła automatycznie do wstrzymania zwrotu.

Nie oznacza to, że dostawca traci możliwość ochrony przed nadużyciami. Jeżeli posiada rzeczywiste, uzasadnione i należycie udokumentowane podstawy do podejrzenia oszustwa po stronie klienta oraz pisemnie zawiadomi o tym właściwe organy ścigania, może powołać się na ustawowy wyjątek. Jeżeli natomiast chodzi wyłącznie o ocenę niedbalstwa, co do zasady powinien najpierw wykonać obowiązek zwrotu, a później dochodzić swoich roszczeń, jeżeli wykaże ich podstawę.

Taki model odpowiada funkcji ochronnej przepisów o usługach płatniczych. Klient nie dysponuje zwykle pełnymi informacjami o systemach bezpieczeństwa dostawcy, sposobie autoryzacji, adresach IP, urządzeniach użytych do logowania ani mechanizmach wykrywania oszustw. Z tego względu istotne znaczenie ma ustawowy obowiązek dostawcy dotyczący wykazania autoryzacji i innych okoliczności przewidzianych w art. 45.

Podsumowanie i wnioski końcowe.

Wyrok TSUE w sprawie C-70/25 nie zwalnia klientów z obowiązku ochrony danych uwierzytelniających ani z obowiązku niezwłocznego zawiadomienia dostawcy o nieautoryzowanej transakcji. Nie pozwala jednak dostawcy płatnika na wstrzymywanie ustawowego zwrotu wyłącznie na podstawie jednostronnej oceny zachowania klienta jako rażąco niedbałego.

Artykuł wygenerowany przez AI, sprawdzony merytorycznie i poprawiony przez radcę prawnego Aleksandra Czure.