Oszustwa „na OLX", „na kuriera" czy „na pracownika banku" kończą się zwykle tak samo: pieniądze znikają z rachunku, a bank odmawia ich zwrotu, powołując się na „prawidłową autoryzację" transakcji albo na „rażące niedbalstwo" klienta. Przepisy i orzecznictwo stawiają jednak sprawę inaczej. Ustawa chroni konsumenta, a ciężar dowodu spoczywa na banku.
Zwrot do końca następnego dnia roboczego
Zgodnie z art. 46 ust. 1 ustawy o usługach płatniczych bank, który otrzymał zgłoszenie nieautoryzowanej transakcji, zwraca jej kwotę niezwłocznie, najpóźniej do końca następnego dnia roboczego. Ustawa przewiduje tylko jeden wyjątek: uzasadnione i należycie udokumentowane podejrzenie oszustwa, o którym bank informuje na piśmie organy ścigania.
W tym samym kierunku idzie opinia Rzecznika Generalnego TSUE z 5 marca 2026 r. w sprawie C‑70/25, wydana na tle pytania polskiego sądu w sprawie klientki oszukanej przy sprzedaży przedmiotu przez internet. Rzecznik przedstawił stanowisko, zgodnie z którym dostawca usług płatniczych musi bezzwłocznie zwrócić kwotę nieautoryzowanej transakcji, a jedynym wyjątkiem jest uzasadnione podejrzenie oszustwa zgłoszone organom. Rażące niedbalstwo płatnika dostawca może według Rzecznika podnosić dopiero później i musi je wykazać, a odmowa zwrotu oparta wyłącznie na takim zarzucie byłaby sprzeczna z art. 73 dyrektywy 2015/2366, któremu w polskiej ustawie odpowiada art. 46 ust. 1. Opinia nie wiąże Trybunału.
Niezależnie od opinii, już z samej ustawy wynika, że to bank musi udowodnić przesłanki, które zwalniają go z obowiązku zwrotu (art. 46 ust. 3).
Ciężar dowodu spoczywa na banku
To bank musi udowodnić, że konsument transakcję autoryzował (art. 45 ust. 1 ustawy). Sąd Najwyższy podkreślił wyjątkowy charakter tej reguły: „w drodze wyjątku od zasady określonej w art. 6 k.c., ciężar udowodnienia, że transakcja płatnicza była autoryzowana przez użytkownika lub że została wykonana prawidłowo, spoczywa na dostawcy tego użytkownika" (wyrok z 18 stycznia 2018 r., V CSK 141/17).
Zgodnie z art. 45 ust. 2 ustawy nie wystarczy wykazać zarejestrowanego użycia instrumentu płatniczego, nawet z zastosowaniem silnego uwierzytelnienia. Bank musi udowodnić inne okoliczności wskazujące na autoryzację albo umyślność lub rażące niedbalstwo konsumenta. Sąd Apelacyjny w Warszawie ujął to następująco: „do zrealizowania tego obowiązku dowodowego nie jest wystarczające wykazanie samego zarejestrowanego użycia instrumentu płatniczego" (wyrok z 19 lipca 2018 r., I ACa 348/17).
Kiedy transakcja nie jest autoryzowana
Art. 40 ust. 1 ustawy wymaga dwóch rzeczy: zgody płatnika na wykonanie transakcji oraz wyrażenia jej w sposób przewidziany w umowie. Sposób wyrażenia zgody jest warunkiem koniecznym, ale nie wystarczającym. Nie zastępuje samej zgody. Gdyby o autoryzacji przesądzało wyłącznie wykonanie czynności opisanych w regulaminie, art. 45 ust. 2 byłby zbędny, a dowód banku sprowadzałby się do przedłożenia logów systemowych. Jak wskazał Sąd Apelacyjny w Warszawie, transakcję płatniczą „uważa się za autoryzowaną tylko wówczas, jeżeli płatnik wyraził zgodę na jej wykonanie" (I ACa 348/17).
Sąd Najwyższy stwierdził wprost: „wykazanie uwierzytelnienia przez dostawcę usług nie jest równoznaczne z wykazaniem autoryzacji". Istnienie zgody ocenił nie przez techniczny skutek czynności konsumenta, lecz przez cel, w jakim posłużył się on narzędziem autoryzacyjnym. Kod z wiadomości SMS „został użyty przez powoda z intencją zalogowania (...), a nie w celu autoryzacji przyszłych przelewów", więc tych przelewów nie autoryzował (wyrok z 15 września 2023 r., II CSKP 1013/22).
Sądy rozpoznające sprawy konsumentów przyjmują szerokie rozumienie braku autoryzacji. Sąd Okręgowy w Piotrkowie Trybunalskim oddalił apelację banku w sprawie, w której płatnik wprowadzony w błąd przez oszusta sam wykonał czynności na fałszywej stronie internetowej. Sąd wskazał: „Brak autoryzacji należy rozumieć szeroko. Chodzi tu o każdą sytuację, w której płatnik nie miał woli dokonać – jak w rozpoznawanej sprawie – rozporządzenia swoimi środkami pieniężnymi na bliżej nie znany rachunek bankowy anonimowego odbiorcy" (wyrok z 8 lipca 2024 r., II Ca 361/24). Sąd Rejonowy Poznań‑Stare Miasto uznał z kolei, że klient „nie autoryzował przelewów (...), gdyż dane potrzebne do logowania i wykonania przelewu zostały od niego uzyskane podstępnie" (wyrok z 8 grudnia 2021 r., I C 648/20).
Odmienne postanowienia regulaminów bankowych nie wiążą w tym zakresie konsumenta. Przepisy o autoryzacji, ciężarze dowodu i odpowiedzialności za nieautoryzowane transakcje można wyłączyć umową wyłącznie wtedy, gdy użytkownik nie jest konsumentem (art. 33 ustawy). Regulaminowa klauzula o „nieodwołalności" dyspozycji odpowiada art. 51 ustawy i dotyczy skutków zlecenia, na które płatnik wyraził zgodę. Nie rozstrzyga natomiast, czy zgoda ta w ogóle została wyrażona.
Banki często argumentują, że nie mogą badać „woli wewnętrznej" klienta i muszą polegać na tym, co zostało wykonane w aplikacji. Ustawodawca rozwiązał ten problem nie przez fikcję zgody, lecz przez rozkład ryzyka. Gdy płatnik nie wyraził zgody, bank zwraca kwotę transakcji (art. 46 ust. 1), a przed skutkami działań nieostrożnego klienta chroni go art. 46 ust. 3, pod warunkiem że udowodni umyślność lub rażące niedbalstwo. Jeżeli konsument działał pod wpływem manipulacji, jego zachowanie ocenia się więc zwykle na płaszczyźnie rażącego niedbalstwa, a nie samej autoryzacji.
Inaczej wygląda sytuacja, gdy konsument świadomie zleca przelew na rzecz wybranego przez siebie odbiorcy i zna jego kwotę, nawet jeśli później okaże się, że został oszukany co do celu płatności, np. przez fałszywego „doradcę inwestycyjnego". Taka transakcja co do zasady pozostaje autoryzowana.
Kiedy można mówić o rażącym niedbalstwie
Bank może uwolnić się od obowiązku zwrotu tylko wtedy, gdy udowodni, że konsument doprowadził do transakcji umyślnie albo wskutek rażącego niedbalstwa (art. 46 ust. 3 ustawy). Próg jest wysoki. Chodzi o zaniedbanie czynności, „której niedopełnienie byłoby czymś absolutnie oczywistym" (wyrok SO w Olsztynie z 25 marca 2024 r., IX Ca 109/24). Sądy zauważają też, że współczesne oszustwa typu phishing i vishing „mogą wprowadzić w błąd nawet osoby ostrożne" (wyrok SR w Kętrzynie z 16 kwietnia 2025 r., I C 878/24).
Sądy nie przypisały rażącego niedbalstwa konsumentowi, który:
- podał login i hasło na fałszywej stronie banku,
- ujawnił dane do logowania, ale nie kody autoryzacyjne,
- padł ofiarą wyłudzenia danych przy sprzedaży przez internet, a potem niezwłocznie zawiadomił bank i policję.
Sądy stwierdziły rażące niedbalstwo w sprawie konsumentki, która nie przeczytała wiadomości SMS jednoznacznie wskazującej przelew na 27 500 zł, a mimo to przepisała zawarty w niej kod (wyrok SO w Poznaniu z 21 stycznia 2025 r., II Ca 2269/23). Podobnie w sprawie konsumenta, który sam korzystał z Apple Pay, otrzymał SMS o aktywacji karty w tej usłudze i mimo to przekazał kod oszustowi (wyrok SO w Gliwicach z 6 lipca 2022 r., III Ca 264/22).
Jakie okoliczności ocenia sąd
- Treść komunikatu autoryzacyjnego. Czy wiadomość SMS lub ekran aplikacji jasno wskazywały, jaką czynność konsument zatwierdza: przelew, kwotę, odbiorcę, dodanie karty? To zwykle okoliczność kluczowa.
- Możliwość zrozumienia komunikatu w realiach zdarzenia: pod presją czasu, w trakcie rozmowy z oszustem, przy określonej formie i języku wiadomości.
- Ostrzeżenia banku. Sąd Najwyższy wskazał, że znaczenie ma, „czy i w jaki sposób (czy wystarczająco czytelny) Bank zwracał uwagę klientów (...) na konieczność każdorazowego upewnienia się co do zgodności między autoryzowaną czynnością wskazaną w wiadomości SMS a czynnością faktycznie dokonywaną" (II CSKP 1013/22). Ogólny komunikat na stronie internetowej to co innego niż ostrzeżenie w samej wiadomości autoryzacyjnej.
- Liczba sygnałów ostrzegawczych oraz czas, jaki konsument miał na zastanowienie.
- Doświadczenie i wiek konsumenta.
- Zachowanie po zdarzeniu: szybkość zgłoszenia, zablokowanie dostępu, zawiadomienie organów ścigania.
- Zachowanie banku. Sądy coraz częściej badają, czy bank powinien był zareagować na nietypową sekwencję operacji, np. nagłą zmianę limitów, dodanie nowego urządzenia i wysoką płatność w krótkim czasie (por. wyrok SO w Częstochowie z 26 listopada 2025 r., VI Ca 737/24, na tle art. 50 Prawa bankowego).
Podsumowanie
Sam fakt, że operację potwierdzono narzędziami przypisanymi konsumentowi, nie przesądza o jego odpowiedzialności. Bank musi wykazać zgodę konsumenta na konkretną transakcję albo jego rażące niedbalstwo. Ocena zależy od okoliczności sprawy, przede wszystkim od tego, co konsument faktycznie widział w chwili zatwierdzania operacji i jak zachował się, gdy dostrzegł oszustwo. Dlatego tak duże znaczenie ma rzetelne odtworzenie przebiegu zdarzenia i zestawienie go z tym, co bank jest w stanie udowodnić.
Najczęstsze pytania
Ile czasu ma bank na zwrot pieniędzy po zgłoszeniu nieautoryzowanej transakcji?
Bank powinien zwrócić kwotę nieautoryzowanej transakcji niezwłocznie, najpóźniej do końca następnego dnia roboczego po otrzymaniu zgłoszenia. Jedynym wyjątkiem przewidzianym w ustawie jest uzasadnione i należycie udokumentowane podejrzenie oszustwa, o którym bank informuje na piśmie organy ścigania.
Czy przepisanie kodu z SMS oznacza, że autoryzowałeś przelew?
Niekoniecznie. Zarejestrowane użycie instrumentu płatniczego, także z silnym uwierzytelnieniem, nie wystarcza do wykazania autoryzacji. Sąd Najwyższy wskazał, że uwierzytelnienie nie jest równoznaczne z autoryzacją, a o zgodzie decyduje cel, w jakim konsument użył kodu.
Czy bank może odmówić zwrotu, powołując się na Twoje rażące niedbalstwo?
Bank może podnieść taki zarzut, ale musi go udowodnić, a próg jest wysoki. Chodzi o zaniedbanie czegoś absolutnie oczywistego, a sądy zauważają, że współczesne oszustwa mogą wprowadzić w błąd nawet osoby ostrożne.
Czy regulamin banku może przewidywać zasady mniej korzystne dla Ciebie?
Nie, jeżeli jesteś konsumentem. Przepisy o autoryzacji, ciężarze dowodu i odpowiedzialności za nieautoryzowane transakcje można wyłączyć umową wyłącznie wtedy, gdy użytkownik nie jest konsumentem.
Jeżeli bank odmówił Ci zwrotu środków po oszustwie, prześlij mi odpowiedź banku i opis zdarzenia. Na podstawie dokumentów ocenię, czy w Twojej sprawie można kwestionować autoryzację albo zarzut rażącego niedbalstwa.
Artykuł ma charakter informacyjny i nie stanowi porady prawnej w konkretnej sprawie.