Czego dowiesz się z artykułu?

• Dlaczego Rzecznik Finansowy skrytykował kampanię ZBP i co ma do tego hasło „Właśnie się okradłaś”.

• Jaki jest obowiązek banku po nieautoryzowanej transakcji – zasada D+1 w ustawie o usługach płatniczych i w prawie UE.

• Co orzekł TSUE w sprawie C-70/25 i dlaczego „rażące niedbalstwo” nie pozwala bankowi odmówić zwrotu.

• Co zrobił UOKiK z bankami, które myliły uwierzytelnienie z autoryzacją.

• Jakie pięć zabezpieczeń proponuje Rzecznik Finansowy i dlaczego banki mogą je wdrożyć od zaraz.

• Co zrobić w ciągu pierwszych 24 godzin po oszustwie, żeby nie stracić prawa do zwrotu.

• Dlaczego ten spór to kolejna odsłona „alternatywnej rzeczywistości”, o której pisaliśmy przy wyrokach TSUE w sprawach kredytów.

„Właśnie się okradłaś” – kampania, która obciąża ofiarę

Pod koniec września 2026 r. Związek Banków Polskich pokazał nową odsłonę kampanii przeciwko cyberoszustwom: sześć krótkich filmów o najczęstszych metodach wyłudzeń. Pierwsza edycja szła pod hasłem „Nie pomagaj się okraść”. W nowej bohaterka zakłada na głowę pończochę – atrybut złodzieja – a film kończy się stwierdzeniem „Właśnie się okradłaś”. Przekaz jest prosty: kto wykonał polecenie przestępcy, sam umożliwił kradzież.

Rzecznik Finansowy dr Michał Ziemiak w wywiadzie prasowym z 28 października 2026 r. powiedział wprost, że taki komunikat stygmatyzuje ofiary i wpędza je w poczucie winy. Rozmawiał o tym z ZBP i nie przekonał go argument, że kampania „ma szokować”. Jego zdanie jest krótkie: ofiara oszustwa nie jest sprawcą kradzieży. Rzecznik zwraca uwagę na praktyczny skutek takiej komunikacji – wielu poszkodowanych ze wstydu w ogóle nie zgłasza sprawy ani w banku, ani na policji. A to właśnie szybkie zgłoszenie decyduje o tym, czy pieniądze wrócą.

Z punktu widzenia konsumenta ważniejsze od samej reklamy jest to, co ona przemilcza. Przepisy nie pytają, czy klient „dał się nabrać”. Pytają, czy transakcja była autoryzowana. Jeśli nie była – bank oddaje pieniądze.

Co naprawdę mówi prawo: bank zwraca pieniądze do końca następnego dnia roboczego

Ustawa o usługach płatniczych (art. 46) wdraża unijną dyrektywę PSD2 (2015/2366). Zasada jest jednoznaczna: w przypadku nieautoryzowanej transakcji płatniczej bank ma obowiązek zwrócić kwotę transakcji niezwłocznie, nie później niż do końca dnia roboczego następującego po dniu stwierdzenia transakcji lub po dniu otrzymania zgłoszenia. To tzw. zasada D+1.

Jedyny wyjątek, jaki przewiduje ustawa, to uzasadnione i należycie udokumentowane podejrzenie, że to sam klient dopuścił się oszustwa – i tylko wtedy, gdy bank poinformuje o tym na piśmie organy ścigania. „Rażącego niedbalstwa” w tym katalogu nie ma. Rażące niedbalstwo może być co najwyżej podstawą, by bank – już po zwrocie – domagał się od klienta oddania pieniędzy w odrębnym postępowaniu, w którym to bank musi wszystko udowodnić.

Zapamiętaj: najpierw zwrot, potem ewentualny spór. Bank, który najpierw „bada okoliczności”, a zwrot odkłada na później, odwraca ustawową kolejność. Dokładnie tę praktykę zakwestionował UOKiK.

TSUE C-70/25: „rażące niedbalstwo” nie zwalnia banku ze zwrotu

15 października 2026 r. Trybunał Sprawiedliwości UE wydał wyrok w polskiej sprawie C-70/25. Klientka banku, sprzedając przedmiot w internecie, kliknęła w link przesłany przez rzekomego kupca i na fałszywej stronie przypominającej stronę banku wpisała dane logowania. Przestępcy przelali z jej konta równowartość ok. 700 euro. Zgłosiła to następnego dnia. Bank odmówił zwrotu, uznając, że „rażąco zaniedbała” ochronę danych.

Trybunał odpowiedział jednoznacznie. Po pierwsze, bank jest co do zasady zobowiązany do bezzwłocznego zwrotu kwoty nieautoryzowanej transakcji – najpóźniej do końca następnego dnia roboczego – jeśli klient zgłosił ją bez zbędnej zwłoki. Po drugie, przekonanie banku, że klient umożliwił transakcję przez rażące niedbalstwo, nie uprawnia do odmowy natychmiastowego zwrotu. Po trzecie, jedyny wyjątek to uzasadnione podejrzenie oszustwa popełnionego przez samego klienta, zgłoszone na piśmie właściwemu organowi. Po czwarte, bank może dopiero później dochodzić od klienta zwrotu strat – ale to bank musi udowodnić umyślność lub rażące niedbalstwo.

Wyrok nie wprowadza nowego prawa. On przypomina bankom prawo, które obowiązuje w Polsce od lat i którego część z nich konsekwentnie nie stosowała. Ciężar dowodu leży po stronie banku, a nie po stronie konsumenta, który ma się tłumaczyć, że „nie pomagał się okraść”.

UOKiK: uwierzytelnienie to nie autoryzacja

Na początku września 2026 r. Prezes UOKiK zakończył trwające niemal cztery lata postępowania wobec czterech banków i wydał decyzje zobowiązujące. Banki zgodziły się zmienić praktyki i ponownie rozpatrzyć wcześniej odrzucone reklamacje dotyczące nieautoryzowanych transakcji. Urząd zarzucał im między innymi, że zwroty bywały warunkowe i później cofane, a samo poprawne zalogowanie do aplikacji traktowały jak zgodę klienta na transakcję. Prezes UOKiK ujął to w jednym zdaniu: autoryzacja i uwierzytelnienie to nie to samo. Według komunikatu urzędu postępowania wobec kolejnych dziesięciu banków nadal trwają.

Pisaliśmy o tym w zestawieniu tegorocznych interwencji regulatorów: Prawie 300 mln zł kar dla banków i kontrolerzy UOKiK w siedzibie BIK. Wniosek jest ten sam: regulatorzy karzą dziś za praktyki, które sektor od lat przedstawiał konsumentom jako „standard rynkowy”.

Jeśli Twoja reklamacja została odrzucona w jednym z banków objętych decyzjami UOKiK, sprawdź, czy sprawa trafiła do ponownego rozpatrzenia. Ponowna analiza nie oznacza automatycznego zwrotu – każdą sprawę bank ma ocenić od nowa, ale już według zasad, które narzucił mu urząd.

Pięć propozycji Rzecznika Finansowego – ochrona, którą banki mogą wdrożyć od zaraz

Rzecznik nie poprzestał na krytyce. Zaproponował bankom pięć rozwiązań, które nie wymagają zmiany ustawy i które mogą realnie ograniczyć szkodę, zanim w ogóle dojdzie do sporu o zwrot:

1. Przycisk alarmowy w aplikacji lub skrót na infolinii, który natychmiast blokuje środki na rachunku i kartach.

2. Osoba zaufana, do której bank zadzwoni, gdy wykryje nietypowe operacje – zmanipulowany klient często nie słucha już pracownika banku, ale posłucha córki czy brata.

3. „Money lock”, czyli zamrożona część oszczędności, której nie da się ruszyć bez wizyty w oddziale.

4. 24 godziny karencji przy kredycie zaciąganym jednym kliknięciem w aplikacji – żeby klient mógł ochłonąć, a bank sprawdzić, czy to naprawdę jego decyzja.

5. Uproszczona wersja aplikacji dla najbardziej narażonych, np. seniorów, bez możliwości zaciągania kredytów.

Na dłuższą metę Rzecznik proponuje model, w którym poszkodowany zawsze dostaje pieniądze od swojego banku, a bank ma prawo regresu wobec operatora telekomunikacyjnego lub platformy społecznościowej, jeśli to po ich stronie leżała przyczyna oszustwa. To wymagałoby ustawy – ale kierunek jest właściwy: ciężar ma spoczywać na instytucjach, które zarabiają na infrastrukturze, a nie na konsumencie.

Czwarty postulat jest nam szczególnie bliski. „Kredyt na klik” wyłudzony przez oszusta to dziś jedna z najbardziej dotkliwych form przestępstwa: ofiara nie tylko traci pieniądze, ale zostaje z umową kredytu konsumenckiego, której nigdy nie chciała. To temat, który łączy się z naszymi działaniami w pracach nad nową ustawą o kredycie konsumenckim – walczymy w Ministerstwie Sprawiedliwości o to, by obowiązki informacyjne i weryfikacyjne banków były realne, a nie fasadowe.

Alternatywna rzeczywistość ZBP – ten sam mechanizm, co przy wyrokach TSUE o kredytach

Dwa tygodnie temu opisaliśmy, jak sektor bankowy przedstawia wyroki TSUE w sprawach kredytów frankowych i złotowych: Alternatywna rzeczywistość – jak banki i ZBP zakłamują wyroki TSUE. Komunikaty ZBP ogłaszały „koniec teorii dwóch kondykcji” czy „potwierdzenie prawidłowego informowania o WIBOR”, podczas gdy Trybunał orzekł coś zupełnie innego. Spór o kampanię „Właśnie się okradłaś” to ten sam mechanizm, tylko w innym obszarze.

Po pierwsze, odpowiedzialność przerzuca się na konsumenta: przy kredytach – „sam podpisał”, przy oszustwach – „sam się okradł”. Po drugie, prawo przedstawia się tak, jakby wyjątek był regułą: przy kredytach „sąd może rozliczyć saldem”, przy oszustwach „bank może najpierw zbadać rażące niedbalstwo”. Po trzecie, gdy TSUE lub UOKiK mówią „nie”, sektor zapewnia, że orzeczenie „nie było zaskoczeniem” i „praktyka jest już dostosowana” – a jednocześnie lobbuje za przepisami, które otworzą furtkę na nowo.

Tą furtką ma być unijne rozporządzenie o usługach płatniczych (PSR). ZBP już zapowiada, że uzgodniony tekst dopuści odstąpienie od natychmiastowego zwrotu przy „obiektywnie uzasadnionym podejrzeniu rażącego niedbalstwa”. Warto pamiętać o dwóch rzeczach. To wciąż projekt – według Rzecznika jego przyjęcie spodziewane jest w grudniu 2026 r., a stosowanie dopiero po 21 miesiącach. I nawet w projekcie wyjątek jest obwarowany: obiektywne podstawy, pisemne uzasadnienie, postępowanie wyjaśniające z udziałem klienta i terminem 15 dni roboczych. Do tego czasu obowiązuje zasada D+1 w kształcie potwierdzonym przez TSUE.

Stanowisko ŻBK i Fundacji: reklama nie jest źródłem prawa. Konsument nie ma obowiązku udowadniać, że „nie pomagał się okraść” – to bank ma obowiązek zwrócić pieniądze, a jeśli chce je odzyskać, musi iść do Sądu i udowodnić umyślność lub rażące niedbalstwo. Przez 11 lat w 3400 sprawach słyszeliśmy od banków, że to nasi Klienci „nadużywają prawa”. 1500 wygranych wyroków, 56 spraw wygranych w Sądzie Najwyższym i 9 postępowań przed TSUE pokazały, kto naprawdę nadużywał.

Padłeś ofiarą oszustwa? Zrób to w ciągu pierwszych 24 godzin

1. Zgłoś natychmiast w banku – telefonicznie, w aplikacji lub w oddziale – i zażądaj blokady rachunku i kart. Ustawa wymaga zgłoszenia niezwłocznie; każda godzina ma znaczenie, bo bank może jeszcze zatrzymać przelew.

2. Wyraźnie wskaż, że to transakcja nieautoryzowana, i powołaj się na art. 46 ustawy o usługach płatniczych oraz wyrok TSUE C-70/25. Zażądaj zwrotu do końca następnego dnia roboczego.

3. Zgłoś sprawę na policji i weź zaświadczenie o przyjęciu zawiadomienia. Przekaż je do banku.

4. Zbierz dowody: zrzuty ekranu SMS-ów i stron, numery telefonów, godziny rozmów, potwierdzenia przelewów. Nie kasuj niczego.

5. Jeśli bank odmówi – złóż reklamację na piśmie. Bank ma na odpowiedź 15 dni roboczych, w szczególnie skomplikowanych sprawach 35 dni roboczych, ale musi to uzasadnić. Brak odpowiedzi w terminie oznacza uznanie reklamacji.

6. Odrzucona reklamacja to nie koniec. Możesz wystąpić do Rzecznika Finansowego o interwencję lub o istotny pogląd w sprawie sądowej, a następnie skierować sprawę do Sądu. Pamiętaj o terminie: co do zasady roszczenia wygasają po 13 miesiącach od obciążenia rachunku.

Jedno ważne zastrzeżenie, które sami podkreślamy wobec naszych Klientów: wyrok TSUE dotyczy transakcji nieautoryzowanych. Jeśli to Ty – zmanipulowany przez oszusta – samodzielnie zleciłeś przelew na jego konto, banki uznają, że transakcja była autoryzowana, i spór toczy się o co innego: o to, czy bank zignorował sygnały ostrzegawcze i czy dopełnił własnych obowiązków. Granica między tymi sytuacjami bywa cienka, dlatego warto, by umowę, regulamin i przebieg zdarzenia ocenił Ekspert, a nie infolinia banku.

Dlaczego piszemy o tym w ŻBK?

Bo mechanizm jest zawsze ten sam. Najpierw sektor tworzy narrację, w której to konsument „sam sobie zawinił”. Potem regulator, Sąd Najwyższy albo TSUE przypominają, jak brzmi prawo. Na końcu banki ogłaszają, że „nic ich nie zaskoczyło” – i szukają nowej furtki w kolejnej ustawie. Widzieliśmy to przy kredytach frankowych, widzimy to przy WIBOR i sankcji kredytu darmowego, a dziś widzimy to przy oszustwach płatniczych. Fundacja Na Rzecz Ochrony Konsumentów Życie Bez Kredytu będzie wspierać Rzecznika Finansowego w tym sporze, bo stawką jest to samo, co zawsze: czy prawo konsumenckie obowiązuje banki w praktyce, czy tylko na papierze.

Nasz apel do kredytobiorców i posiadaczy rachunków jest prosty: nie przyjmujcie reklam ZBP za prawo. Prawo jest po Waszej stronie i ma to na piśmie – od UOKiK, Rzecznika Finansowego i TSUE.

Bezpłatna analiza. Masz wątpliwości, czy bank prawidłowo rozpatrzył Twoją reklamację? Zostałeś z „kredytem na klik”, którego nie zaciągałeś, albo z kredytem gotówkowym, w którym bank doliczył do kwoty kredytu prowizję i naliczał od niej odsetki? Prześlij dokumenty do Konfiguratora ŻBK – 60+ specjalistów sprawdzi, co możesz odzyskać. Dotychczas odzyskaliśmy dla naszych Klientów ponad 490 mln zł.