UOKiK nakazuje kolejnym bankom zwrot pieniędzy i ponowną weryfikację odrzuconych reklamacji

Prezes UOKiK Tomasz Chróstny wydał wiążące decyzje wobec czterech kolejnych instytucji finansowych: ING Banku Śląskiego, Banku Ochrony Środowiska, Nest Banku oraz Plus Banku. Wskazane banki zostały zobowiązane do natychmiastowej zmiany wewnętrznych procedur rozpatrywania zgłoszeń dotyczących nieautoryzowanych transakcji płatniczych oraz do ponownej analizy odrzuconych reklamacji konsumentów. Wszyscy poszkodowani, którzy utracili środki w wyniku cyberataków, kradzieży tożsamości czy phishingu, a ich wnioski zostały po 15 listopada 2022 r. oddalone, zyskali realną szansę na odzyskanie skradzionych pieniędzy.

Rozstrzygnięcia te stanowią kontynuację systemowych działań polskiego urzędu antymonopolowego. Wcześniej podobne decyzje zobowiązujące objęły Alior Bank, mBank, BNP Paribas oraz Bank Millennium. Urząd konsekwentnie eliminuje z rynku praktyki polegające na automatycznym zrzucaniu przez sektor bankowy odpowiedzialności za straty finansowe na ofiary internetowych oszustów.

Automatyczna odmowa i przerzucanie winy: praktyki pod lupą urzędu

Podstawą interwencji Prezesa UOKiK stała się powszechna praktyka polegająca na automatycznym odrzucaniu reklamacji klientów, z których kont zniknęły pieniądze. Instytucje finansowe wychodziły z założenia, że jeśli przelew lub płatność zostały technicznie uwierzytelnione – na przykład poprzez wprowadzenie kodu PIN, autoryzację w aplikacji mobilnej czy podanie hasła SMS – to jest to równoznaczne ze świadomą autoryzacją transakcji przez właściciela rachunku bądź stanowi przejaw jego rażącego niedbalstwa.

Banki bezpodstawnie przerzucały pełen ciężar dowodu na poszkodowanego konsumenta, zmuszając go do udowadniania braku winy, a w odmownych odpowiedziach wskazywały, że odzyskanie środków zależy wyłącznie od efektów śledztwa prowadzonego przez policję i prokuraturę.

– Prawo jasno określa obowiązki banków w przypadku cyberataku lub utraty środków przez klientów. Instytucje finansowe nie mogą unikać odpowiedzialności poprzez automatyczne odrzucanie reklamacji i przerzucanie całego ciężaru udowodnienia winy na poszkodowanego konsumenta. Samo wykazanie przez bank, że transakcja została poprawnie uwierzytelniona to za mało, by odmówić zwrotu pieniędzy. Bank musi udowodnić, że to klient samodzielnie i świadomie autoryzował operację lub dopuścił się rażącego niedbalstwa. Kolejne cztery banki muszą zmienić procedury i ponownie przeanalizować sprawy, w których niezgodnie z prawem odmówiły klientom zwrotu pieniędzy – podkreśla Prezes UOKiK Tomasz Chróstny.

Zasada D+1 i przełomowy wyrok TSUE w sprawie C-70/25 (Tukowiecka)

Zgodnie z przepisami ustawy o usługach płatniczych, wdrażającej unijną dyrektywę PSD2, po zgłoszeniu nieautoryzowanej transakcji bank ma prawny obowiązek niezwłocznego przywrócenia stanu konta do poziomu sprzed incydentu. Przelew zwrotny musi zostać zrealizowany najpóźniej do końca następnego dnia roboczego po otrzymaniu zgłoszenia – jest to tzw. zasada D+1. Jedynymi ustawowymi wyjątkami od tej reguły są sytuacje, w których od transakcji upłynęło ponad 13 miesięcy bądź instytucja posiada udokumentowane podejrzenie, że to sam konsument próbuje dopuścić się oszustwa, co obliguje bank do natychmiastowego zawiadomienia organów ścigania.

Stanowisko polskiego organu zostało w pełni podzielone przez europejski wymiar sprawiedliwości. W październiku 2026 r. Trybunał Sprawiedliwości Unii Europejskiej wydał wyrok w sprawie C-70/25 (Tukowiecka), który przeciął dotychczasową linię obrony sektora finansowego. TSUE jednoznacznie orzekł, że samo podejrzenie rażącego niedbalstwa ze strony klienta (np. wpadnięcia w pułapkę phishingową) nie zwalnia banku z obowiązku natychmiastowego zwrotu środków w terminie D+1.

Trybunał przypomniał o nadrzędnej regule „najpierw zwrot, potem ewentualny spór”. Bank nie ma prawa stawiać się w roli arbitra we własnej sprawie. Jeżeli instytucja uważa, że konsument dopuścił się rażącego niedbalstwa, musi najpierw oddać pieniądze na konto, a dopiero później dochodzić ich zwrotu na drodze cywilnej przed sądem, gdzie to na banku spoczywa pełen ciężar udowodnienia winy użytkownika.

Zobowiązania banków: procedury, harmonogram i numery decyzji

Na mocy wydanych przez Prezesa UOKiK decyzji administracyjnych – Decyzja Nr RWR-7/2026, Decyzja Nr RWR-8/2026, Decyzja Nr RGD-16/2026 oraz Sentencja decyzji Nr RKR-4/2026 – cztery instytucje finansowe muszą wdrożyć precyzyjne środki zaradcze:

1. Nowe procedury wewnętrzne – banki wprowadzą zasady weryfikacji, w których sam fakt technicznego uwierzytelnienia nie może stanowić wyłącznej przesłanki do odrzucenia reklamacji.
2. Ponowna weryfikacja spraw obecnych klientów – instytucje powtórnie zbadają wszystkie negatywne odpowiedzi na reklamacje udzielone od 16 listopada 2022 r. W przypadkach, w których odmowa nastąpiła z naruszeniem prawa, banki zwrócą utracone kwoty najpóźniej do 31 grudnia 2027 r.
3. Obsługa byłych klientów – osoby, które zgłosiły nieautoryzowane transakcje po 15 listopada 2022 r., a obecnie nie posiadają już rachunku w danym banku, otrzymają indywidualne powiadomienia ze wskazaniem trybu złożenia wniosku o powtórne rozpatrzenie sprawy.
4. Komunikacja i nadzór – banki opublikują informacje o rozstrzygnięciach UOKiK na swoich stronach internetowych oraz w aplikacjach mobilnych. Sprawozdanie z wykonania wszystkich nałożonych obowiązków musi trafić na biurko Prezesa UOKiK do 30 kwietnia 2028 r.

Systemowa ochrona konsumentów na rynku finansowym

Opisywane rozstrzygnięcia wpisują się w szeroką i bezkompromisową politykę regulacyjną urzędu antymonopolowego wobec sektora bankowego. Prezes UOKiK regularnie weryfikuje zachowania rynkowe banków pod kątem naruszania zbiorowych interesów konsumentów oraz stosowania klauzul abuzywnych, czego wyrazem były rozstrzygnięcia o karach UOKiK dla banków nakładanych za nieuprawnione jednostronne modyfikacje umów.

Klienci ING Banku Śląskiego, Banku Ochrony Środowiska, Nest Banku oraz Plus Banku, którzy w minionych latach padli ofiarą cyberprzestępczości i spotkali się z odmową zwrotu skradzionych środków, powinni monitorować oficjalne komunikaty w bankowości elektronicznej. Osoby, które zamknęły już rachunki w tych instytucjach, mogą natomiast samodzielnie wystąpić z wnioskiem o ponowne zbadanie ich sprawy, powołując się na zobowiązania nałożone w decyzjach Prezesa UOKiK.