Wyrok TSUE w sprawie C-70/25 (Tukowiecka): najpierw zwrot środków, potem spór o rażące niedbalstwo

Bank nie może odmówić bezzwłocznego zwrotu kwoty nieautoryzowanej transakcji płatniczej tylko dlatego, że uważa, iż klient umożliwił ją wskutek rażącego zaniedbania. Tak orzekł Trybunał Sprawiedliwości Unii Europejskiej w wyroku z 15 października 2026 r. w sprawie C-70/25 (Tukowiecka). Bank zachowuje jednak prawo, by w drugim kroku dochodzić od klienta zwrotu strat, jeżeli udowodni mu rażące zaniedbanie.

I. Stan faktyczny i pytanie prejudycjalne

Sprawa dotyczyła klientki polskiego banku, która padła ofiarą phishingu przy sprzedaży przedmiotu na platformie internetowej. Osoba podająca się za kupującego przesłała jej fałszywy link, rzekomo służący do potwierdzenia sprzedaży. Link prowadził do strony łudząco podobnej do strony banku, na której klientka wpisała dane logowania do bankowości elektronicznej.

Przy ich użyciu sprawca przelał z jej rachunku kwotę odpowiadającą około 700 euro (ok. 3000 zł). Klientka zgłosiła transakcję bankowi następnego dnia. Bank odmówił zwrotu, uznając, że klientka z rażącego zaniedbania uchybiła obowiązkowi ochrony swoich indywidualnych danych uwierzytelniających.

Klientka wniosła powództwo do sądu. Sąd zapytał Trybunał, czy art. 73 ust. 1 w związku z art. 74 ust. 1 dyrektywy (UE) 2015/2366 (PSD2) należy rozumieć w ten sposób, że dostawca usług płatniczych może odmówić płatnikowi bezzwłocznego zwrotu kwoty nieautoryzowanej transakcji, jeżeli płatnik poniósł stratę wskutek rażącego zaniedbania obowiązków określonych w art. 69 dyrektywy.

II. Rozstrzygnięcie Trybunału

Trybunał odpowiedział, że bank nie może odmówić bezzwłocznego zwrotu z powołaniem się na rażące zaniedbanie klienta. Innymi słowy: obowiązek zwrotu istnieje także wtedy, gdy bank uważa zachowanie klienta za rażąco niedbałe.

1. Zasada: w przypadku nieautoryzowanej transakcji dostawca usług płatniczych jest co do zasady zobowiązany zwrócić jej kwotę bezzwłocznie, najpóźniej do końca pierwszego dnia roboczego po dniu, w którym stwierdził transakcję lub został o niej powiadomiony (art. 73 ust. 1 PSD2). Warunkiem jest zgłoszenie transakcji przez klienta bez zbędnej zwłoki, nie później niż w ciągu 13 miesięcy od obciążenia rachunku (art. 71 PSD2).
2. Jedyny wyjątek: Bank może wstrzymać zwrot tylko wtedy, gdy ma uzasadnione podstawy, by podejrzewać oszustwo popełnione przez samego płatnika i poinformuje o tych podstawach na piśmie właściwy organ krajowy.
3. Rażące zaniedbanie nie jest wyjątkiem: okoliczność, że klient – zdaniem banku – umożliwił transakcję, nie chroniąc należycie swoich danych uwierzytelniających, nie uprawnia do odmowy zwrotu. Ofiara oszustwa osoby trzeciej to nie to samo co płatnik podejrzewany o oszustwo.

III. Dwa etapy: zwrot, a potem ewentualne roszczenie banku

Zdaniem Trybunału prawo Unii pozwala oddzielić kwestię zwrotu kwoty nieautoryzowanej transakcji od kwestii, kto ostatecznie ponosi stratę. Wynika z tego następująca kolejność:

1. Najpierw zwrot: Bank przywraca rachunek do stanu sprzed nieautoryzowanej transakcji w terminie z art. 73 ust. 1 PSD2.
2. Później ewentualne roszczenie: Bank może, w stosownych przypadkach, dochodzić od klienta zwrotu poniesionych strat, jeżeli udowodni, że klient umyślnie lub wskutek rażącego zaniedbania uchybił swoim obowiązkom, w szczególności obowiązkowi ochrony indywidualnych danych uwierzytelniających (art. 74 ust. 1 PSD2). Jeśli klient dobrowolnie nie zapłaci, bank musi wystąpić na drogę sądową.

Ciężar dowodu rażącego zaniedbania spoczywa na banku. Nie jest to nowość – wynika to już z art. 72 ust. 2 PSD2, zgodnie z którym samo zarejestrowanie użycia instrumentu płatniczego nie wystarcza do wykazania rażącego zaniedbania. Wyrok zmienia natomiast kolejność: to nie klient musi pozywać bank, by odzyskać pieniądze, lecz bank – jeśli chce je odzyskać – musi wykazać winę klienta.

Trybunał uzasadnił to celem dyrektywy, czyli wysokim poziomem ochrony konsumentów. Gdyby bank mógł odmówić zwrotu z góry, obowiązek bezzwłocznego zwrotu zostałby pozbawiony skuteczności (effet utile), a klient musiałby sam wszczynać postępowanie, ponosząc związane z tym koszty i niedogodności.

IV. Praktyczne konsekwencje i granice wyroku

Prawo polskie: Art. 73 i 74 PSD2 wdraża w Polsce art. 46 ustawy o usługach płatniczych: ust. 1 przewiduje obowiązek zwrotu do końca następnego dnia roboczego, a ust. 3 – pełną odpowiedzialność płatnika za transakcje, do których doprowadził umyślnie albo wskutek umyślnego lub rażąco niedbałego naruszenia obowiązków. Po wyroku bank nie może odmówić wykonania ust. 1 tylko dlatego, że jego zdaniem zachodzą przesłanki z ust. 3.

Reklamacje: Odmowa zwrotu uzasadniona wyłącznie zarzutem rażącego niedbalstwa jest niezgodna z wykładnią przepisów przyjętą przez Trybunał. Wyrok wiąże sąd w Koszalinie, a w praktyce także inne sądy krajowe orzekające w podobnych sprawach; to one, nie TSUE, rozstrzygają konkretne spory.

Odpowiedzialność klienta pozostaje: wyrok nie zwalnia klientów z obowiązku ostrożności. To, czy podanie danych na fałszywej stronie było rażącym zaniedbaniem, oceni w razie sporu sąd w konkretnej sprawie – nie bank w postępowaniu reklamacyjnym.

Perspektywa legislacyjna: Wyrok dotyczy PSD2. Według Związku Banków Polskich projektowane rozporządzenie w sprawie usług płatniczych ma dopuszczać odstąpienie od bezzwłocznego zwrotu, gdy bank ma obiektywnie uzasadnione podejrzenie rażącego niedbalstwa klienta. Po jego przyjęciu ocena może się więc zmienić. ZBP wskazuje też, że większość banków już wcześniej dostosowywała praktykę do oczekiwań KNF i Prezesa UOKiK.

Podsumowanie

Wyrok w sprawie C-70/25 przesądza o kolejności: najpierw bank zwraca kwotę nieautoryzowanej transakcji, a dopiero potem może próbować wykazać przed sądem rażące zaniedbanie klienta. Ryzyko ostatecznie może nadal obciążyć klienta, ale bank nie może przesądzać o tym jednostronnie, odmawiając zwrotu.