Trybunał Sprawiedliwości Unii Europejskiej (TSUE, Court of Justice of the European Union) znacząco wzmacnia prawa klientów banków po atakach phishingowych. Wyrokiem z 15 października 2026 r. (sygn. C-70/25) wyjaśnił, że banki lub inni dostawcy usług płatniczych nie mogą odmawiać zwrotu środków z tytułu nieautoryzowanych transakcji płatniczych, powołując się na to, że klient umożliwił oszustwo wskutek rażącego niedbalstwa.
Dla poszkodowanych oznacza to istotne wzmocnienie ich pozycji prawnej: bank co do zasady musi najpierw dokonać zwrotu. To, czy klient ostatecznie sam musi ponieść powstałą szkodę, jest kwestią odrębną.
Phishing za pośrednictwem fałszywej strony banku
U podstaw orzeczenia TSUE w sprawie C-70/25 leżał typowy przypadek phishingu.
Klientka polskiego banku wystawiła przedmiot na sprzedaż na internetowej platformie sprzedażowej. Rzekomy zainteresowany zakupem przesłał jej link, który sprawiał wrażenie, że pochodzi z platformy sprzedażowej i służy potwierdzeniu sprzedaży. W rzeczywistości link prowadził do oszukańczej strony internetowej, wzorowanej na stronie jej banku.
Klientka wprowadziła na oszukańczej stronie swoje dane dostępowe do bankowości internetowej. Oszuści mogli następnie wykorzystać te dane, aby przelać pieniądze z rachunku klientki na własny rachunek.
Bank odmawia zwrotu
Klientka zgłosiła incydent swojemu bankowi już następnego dnia. Bank odmówił jednak zwrotu, uzasadniając to tym, że klientka umożliwiła nieautoryzowaną transakcję płatniczą wskutek rażącego niedbalstwa, ponieważ nie chroniła w wystarczającym stopniu swoich spersonalizowanych danych uwierzytelniających.
Czy bank mógł odmówić niezwłocznego zwrotu?
Polski sąd odsyłający chciał ustalić przed TSUE, czy dostawca usług płatniczych może odmówić zwrotu kwoty nieautoryzowanej transakcji płatniczej z tego powodu.
TSUE odpowiedział przecząco. Rażące niedbalstwo klienta nie uprawnia banku do odmowy zwrotu, który zgodnie z prawem Unii co do zasady jest należny niezwłocznie. Kwestia tego, kto ostatecznie ma ponieść stratę finansową, podlega raczej odrębnej ocenie.
Skutek orzeczenia nie ogranicza się do Polski, ponieważ TSUE dokonuje wiążącej dla wszystkich państw członkowskich wykładni dyrektywy w sprawie usług płatniczych (UE) 2015/2366 (Payment Services Directive 2, PSD2). Wyrok ma zatem znaczenie również w Niemczech.
Obowiązek zwrotu po stronie banku
Zgodnie z art. 73 ust. 1 dyrektywy w sprawie usług płatniczych (UE) 2015/2366 dostawca usług płatniczych w przypadku nieautoryzowanej transakcji płatniczej jest co do zasady zobowiązany do niezwłocznego zwrotu płatnikowi kwoty tej transakcji. Zwrot musi nastąpić najpóźniej do końca dnia roboczego następującego po dniu, w którym dostawca powziął wiedzę o transakcji płatniczej albo otrzymał jej zgłoszenie. Wyjątek ma zastosowanie w szczególności wtedy, gdy dostawca usług płatniczych ma uzasadnione podstawy, by podejrzewać, że to sam płatnik dopuścił się oszustwa, i zgłosi te podstawy na piśmie właściwemu organowi krajowemu.
Rażące niedbalstwo
Bank nie może natomiast odmówić zwrotu wyłącznie dlatego, że zarzuca klientowi rażąco niedbałe naruszenie obowiązków wynikających z art. 69 dyrektywy.
Przepis ten zobowiązuje użytkowników usług płatniczych między innymi do należytej ochrony ich spersonalizowanych danych uwierzytelniających. Naruszenie tych obowiązków może mieć konsekwencje w zakresie odpowiedzialności. Nie znosi jednak uprzedniego obowiązku zwrotu ciążącego na dostawcy usług płatniczych.
TSUE rozdziela dwie prawnie odmienne kwestie
TSUE rozdziela tym samym dwie prawnie odmienne kwestie:
-
Obowiązek zwrotu: Czy bank musi najpierw zwrócić kwotę nieautoryzowanej transakcji płatniczej?
-
Ostateczne poniesienie straty: Czy bank może następnie żądać, aby klient ponownie zwrócił wypłaconą kwotę z powodu umyślnego lub rażąco niedbałego naruszenia obowiązków?
Kluczowa nowość polega na wiążącym rozdzieleniu tych dwóch etapów oceny. Bank nie może po prostu oddalić roszczenia o zwrot, wskazując, że klient zachował się rażąco niedbale przy korzystaniu ze swoich danych dostępowych.
Konsekwencje wyroku TSUE dla klientów banków
W praktyce banki często odmawiają zwrotu po atakach phishingowych, uzasadniając to tym, że klient działał rażąco niedbale, przekazując dane dostępowe, wpisując kod TAN na fałszywej stronie internetowej albo potwierdzając rzekomo legalną transakcję.
Zgodnie z wyrokiem TSUE taka argumentacja nie wystarcza, aby odmówić niezwłocznego zwrotu.
Dla poszkodowanych klientów banków ma to istotne znaczenie. Nawet jeśli pojawia się podejrzenie rażąco niedbałego naruszenia obowiązków, bank musi najpierw wykonać swój obowiązek zwrotu. Nie może przyspieszać badania ostatecznego rozkładu odpowiedzialności, aby uniemożliwić zwrot pieniędzy.
§ 675u BGB ma znaczenie
Dla prawa niemieckiego szczególne znaczenie ma § 675u BGB (German Civil Code). Zgodnie z nim dostawca usług płatniczych w przypadku nieautoryzowanej transakcji płatniczej jest co do zasady zobowiązany do niezwłocznego zwrotu kwoty transakcji płatniczej oraz, w razie potrzeby, do przywrócenia obciążonego rachunku płatniczego do stanu, w jakim znajdowałby się, gdyby obciążenie nie nastąpiło.
Posiadacz rachunku nie jest co do zasady zwolniony z odpowiedzialności
Wyrok TSUE nie oznacza, że po każdym ataku phishingowym klienci są w każdych okolicznościach ostatecznie zwolnieni z odpowiedzialności finansowej.
Art. 74 ust. 1 dyrektywy przewiduje pod określonymi warunkami odpowiedzialność płatnika za nieautoryzowane transakcje płatnicze, jeżeli umyślnie lub wskutek rażącego niedbalstwa naruszył on określone obowiązki.
Bank może zatem po dokonaniu zwrotu co do zasady próbować dochodzić od klienta zwrotu powstałej straty. Musi jednak wykazać i udowodnić przesłanki odpowiedniego roszczenia.
Odpowiedzialność klienta banku na podstawie § 675v BGB
W prawie niemieckim należy przy tym uwzględnić w szczególności § 675v BGB. Przepis ten reguluje odpowiedzialność płatnika w razie nieuprawnionego użycia instrumentu płatniczego i różnicuje ją między innymi według stopnia winy.
Zgodnie z nim odpowiedzialność płatnika za całą powstałą szkodę może wchodzić w grę, jeżeli umożliwił on nieautoryzowaną transakcję płatniczą w zamiarze oszukańczym albo naruszył swoje obowiązki umyślnie lub wskutek rażącego niedbalstwa. TSUE wyjaśnił, że dostawca usług płatniczych może później żądać od klienta zwrotu strat wynikających z jego rażącego niedbalstwa. Pieniądze zwrócone w pierwszej kolejności mogą więc zostać ponownie zażądane w drodze regresu, przy czym przesłanki tego roszczenia należy wykazać odrębnie.
Żądanie zwrotne stanowi zatem samodzielny, późniejszy etap postępowania: bank musi najpierw zwrócić szkodę i dopiero potem może dochodzić tej kwoty odrębną drogą. W tym celu musi jednak udowodnić klientowi niewłaściwe zachowanie. Ciężar dowodu umyślności lub rażącego niedbalstwa spoczywa więc w tym drugim kroku na banku, podczas gdy klient w międzyczasie dysponuje zwróconą kwotą.
Dla praktyki oznacza to: kwestia, czy klient rzeczywiście działał rażąco niedbale, pozostaje istotna. Nie decyduje jednak już o tym, czy bank może odmówić zwrotu należnego w pierwszej kolejności, lecz może mieć znaczenie dla późniejszego rozłożenia szkody.
Konieczna ocena konkretnego przypadku
Należy przy tym zawsze badać konkretny stan faktyczny. Nie każde wpisanie danych dostępowych na fałszywej stronie internetowej automatycznie stanowi rażące niedbalstwo. Należy uwzględnić na przykład wygląd oszukańczego serwisu internetowego, sposób nawiązania kontaktu, możliwe ostrzeżenia, konkretną autoryzację transakcji oraz rozpoznawalność wprowadzenia w błąd.
Wyrok interesujący również dla starszych przypadków phishingu
Wyrok jest interesujący także dla klientów banków, których żądanie zwrotu zostało odrzucone już przed 15 października 2026 r.
Osoby, które po ataku phishingowym otrzymały odmowę opartą zasadniczo na zarzucie rażącego niedbalstwa, powinny zlecić zbadanie, czy nadal można dochodzić roszczeń.
TSUE w swoim orzeczeniu nie zarządził czasowego ograniczenia skutków wyroku. Co do zasady przemawia to za tym, że wykładnia prawa Unii powinna być uwzględniana również w sporach, które nadal pozostają otwarte.
Nie wszystkie sprawy można wznowić
Nie oznacza to jednak, że wszystkie zakończone sprawy mogą zostać automatycznie ponownie otwarte. To, czy ponowne dochodzenie roszczeń jest możliwe, zależy między innymi od przedawnienia, prawomocności orzeczeń sądowych, ewentualnych ugód oraz pozostałych okoliczności konkretnego przypadku.
W przypadku starszych spraw należy zatem zbadać w szczególności, czy roszczenie jest jeszcze możliwe do wyegzekwowania oraz jakie kroki prawne zostały już podjęte.
Dotyczy to zwłaszcza starszych przypadków phishingu, które zostały odrzucone wyłącznie z powołaniem się na rażące niedbalstwo, o ile nie są przedawnione ani prawomocnie rozstrzygnięte. Ponowne dochodzenie dodatkowej zapłaty od dostawcy usług płatniczych wchodzi następnie w grę w szczególności wtedy, gdy odmowa opierała się wyłącznie na zarzucie winy, a sama transakcja bezspornie nie była autoryzowana.
Ważny krok na korzyść ofiar phishingu
Wyrokiem z 15 października 2026 r. w sprawie C-70/25 TSUE wzmacnia pozycję klientów banków, którzy stali się ofiarami nieautoryzowanych transakcji płatniczych.
Główne przesłanie brzmi: bank nie może odmówić niezwłocznego zwrotu wyłącznie argumentując, że klient umożliwił oszustwo wskutek rażącego niedbalstwa.
Zapobiega to uzależnianiu zwrotu w pierwszej kolejności od często złożonej i spornej oceny winy.
Wyrok nie oznacza jednak, że każdy zwrot musi ostatecznie pozostać u klienta. Umyślne lub rażąco niedbałe naruszenie obowiązków może nadal, przy spełnieniu ustawowych przesłanek, prowadzić do odpowiedzialności klienta. Kwestię tę należy jednak badać odrębnie od istniejącego w pierwszej kolejności obowiązku zwrotu.
Ocena MTR Legal
Cyfrowe ataki na rachunki bankowe regularnie dotykają zagadnień z zakresu prawa bankowego i prawa usług płatniczych, często związanych z wymagającymi rozgraniczeniami dotyczącymi autoryzacji i podziału ryzyka. MTR Legal Rechtsanwälte wspiera klientów, gdy w związku z niejasnymi obciążeniami rachunku, incydentami dostępu lub zablokowanym dostępem do bankowości internetowej pojawiają się kwestie prawne, i oferuje doradztwo prawne w zakresie prawa bankowego.
