UOKiK nakazuje czterem bankom zwrot pieniędzy klientom

Cztery banki muszą zmienić procedury obsługi reklamacji i ponownie rozpatrzyć sprawy klientów, którym odmówiono zwrotu środków skradzionych przez cyberprzestępców. Taką decyzję wydał prezes Urzędu Ochrony Konkurencji i Konsumentów.

UOKiK nakazuje czterem bankom zmianę procedur

Prezes Urzędu Ochrony Konkurencji i Konsumentów Tomasz Chróstny zobowiązał ING Bank Śląski, BOŚ, Nest Bank i Plus Bank do zmiany wewnętrznych procedur dotyczących nieautoryzowanych transakcji płatniczych oraz do ponownego rozpatrzenia reklamacji klientów, którym wcześniej odmówiono zwrotu skradzionych środków.

Decyzja dotyczy sytuacji, w których pieniądze zostały pobrane z kont klientów bez ich zgody i wiedzy, na przykład w wyniku cyberataku lub kradzieży danych. Zgodnie z obowiązującym prawem bank ma obowiązek zwrócić skradzione środki najpóźniej do końca następnego dnia roboczego po zgłoszeniu nieautoryzowanej transakcji. Wyjątek stanowią przypadki, gdy istnieją udokumentowane podstawy do podejrzenia oszustwa ze strony samego klienta lub gdy od transakcji minęło więcej niż trzynaście miesięcy.

Banki przerzucały odpowiedzialność na klientów

Zdaniem UOKiK wymienione instytucje w wielu przypadkach bezpodstawnie odmawiały zwrotu środków. Banki sugerowały, że prawidłowe uwierzytelnienie transakcji, takie jak wpisanie kodu PIN czy potwierdzenie operacji w aplikacji mobilnej, automatycznie oznacza, że klient wyraził na nią zgodę. Przerzucały też ciężar dowodu na konsumentów i twierdziły, że odzyskanie pieniędzy jest możliwe wyłącznie za pośrednictwem organów ścigania.

Prezes Chróstny zaznaczył, że samo wykazanie przez bank poprawnego uwierzytelnienia transakcji nie jest wystarczającą podstawą do odmowy zwrotu. Bank musi udowodnić, że klient świadomie i samodzielnie autoryzował operację lub dopuścił się rażącego niedbalstwa.

Co muszą zrobić banki i do kiedy

Na mocy decyzji UOKiK banki są zobowiązane do zaktualizowania procedur wewnętrznych tak, by prawidłowe uwierzytelnienie transakcji nie było jedyną podstawą do uznania, że klient ją autoryzował. Instytucje muszą ponownie zweryfikować reklamacje obecnych klientów obejmujące okres od 16 listopada 2022 roku. W uzasadnionych przypadkach zwroty środków mają nastąpić najpóźniej do 31 grudnia 2027 roku.

Banki zostały również zobowiązane do poinformowania byłych klientów, których reklamacje złożone po 15 listopada 2022 roku zostały odrzucone, o możliwości i sposobie złożenia wniosku o ponowną weryfikację sprawy. Informacje o decyzjach muszą zostać opublikowane na stronach internetowych banków oraz przekazane za pośrednictwem aplikacji mobilnych. Raport z realizacji nałożonych obowiązków banki mają przekazać prezesowi UOKiK do 30 kwietnia 2028 roku.

Wyrok TSUE potwierdza stanowisko UOKiK

W październiku 2026 roku Trybunał Sprawiedliwości Unii Europejskiej wydał wyrok, który w pełni potwierdził stanowisko polskiego regulatora. Zgodnie z orzeczeniem TSUE bank ma bezwzględny obowiązek natychmiastowego zwrotu środków w przypadku nieautoryzowanych transakcji, na przykład będących skutkiem phishingu. Zasłanianie się rażącym zaniedbaniem konsumenta w celu odmowy wypłaty zostało uznane za działanie bezprawne.

Trybunał orzekł, że jeśli bank uważa, iż klient dopuścił się rażącego niedbalstwa, musi najpierw zwrócić pieniądze, a dopiero potem dochodzić ich zwrotu przed sądem, gdzie to na instytucji finansowej spoczywa pełny ciężar dowodu. Jedyną legalną podstawą do wstrzymania zwrotu jest uzasadnione podejrzenie, że to sam konsument próbuje wyłudzić środki, co bank musi niezwłocznie zgłosić organom ścigania.