Okradziony klient nie może być petentem. Kolejne cztery banki zweryfikują odrzucone reklamacje

ING Bank Śląski, Bank Ochrony Środowiska, Nest Bank i Plus Bank zmienią procedury rozpatrywania zgłoszeń nieautoryzowanych transakcji, ponownie przeanalizują odrzucone reklamacje i w uzasadnionych przypadkach zwrócą konsumentom pieniądze — wynika ze środowego komunikatu Urzędu Ochrony Konkurencji i Konsumentów. To kolejne decyzje prezesa UOKiK w tej sprawie, po wcześniejszych rozstrzygnięciach dotyczących Alior Banku, mBanku, BNP Paribas i Banku Millennium.

Uwierzytelnienie to nie autoryzacja

Wątpliwości prezesa UOKiK wzbudziło podejście banków do rozpatrywania zgłoszeń tzw. nieautoryzowanych transakcji — sytuacji, w których środki z konta klienta zostały pobrane bez jego zgody i wiedzy, np. w wyniku cyberataku lub kradzieży danych.

Zgodnie z prawem po zgłoszeniu nieautoryzowanej transakcji bank powinien zwrócić konsumentowi skradzioną kwotę niezwłocznie, najpóźniej do końca następnego dnia roboczego (tzw. zasada D+1). Wyjątkiem są sytuacje, gdy istnieją udokumentowane podstawy, by podejrzewać oszustwo ze strony samego klienta, lub gdy od transakcji minęło więcej niż 13 miesięcy.

Tymczasem — jak ustalił urząd — cztery wymienione banki w wielu przypadkach odmawiały zwrotu środków. Sugerowały konsumentom, że samo prawidłowe uwierzytelnienie transakcji, np. wpisanie kodu PIN lub autoryzacja w aplikacji, zwalnia je z odpowiedzialności i automatycznie oznacza zgodę klienta na przelew. Bezpodstawnie przerzucały też ciężar dowodu na konsumenta oraz twierdziły, że odzyskanie pieniędzy jest możliwe wyłącznie poprzez działania organów ścigania.

Prawo jasno określa obowiązki banków w przypadku cyberataku lub utraty środków przez klientów

— mówi Tomasz Chróstny, prezes Urzędu Ochrony Konkurencji i Konsumentów. Jak podkreśla, instytucje finansowe nie mogą unikać odpowiedzialności przez automatyczne odrzucanie reklamacji i przerzucanie całego ciężaru udowodnienia winy na poszkodowanego konsumenta, a samo wykazanie poprawnego uwierzytelnienia transakcji to za mało, by odmówić zwrotu — bank musi udowodnić, że to klient samodzielnie i świadomie autoryzował operację lub dopuścił się rażącego niedbalstwa.

Co muszą zrobić banki

Na mocy decyzji zobowiązujących cztery banki mają m.in.:

• zmienić procedury wewnętrzne — tak, by prawidłowe uwierzytelnienie transakcji nie było jedyną podstawą uznania, że klient sam ją autoryzował;
• ponownie zweryfikować reklamacje obecnych klientów — banki jeszcze raz przeanalizują negatywne odpowiedzi na reklamacje udzielone od 16 listopada 2022 r. i w uzasadnionych przypadkach oddadzą konsumentom utracone pieniądze, najpóźniej do 31 grudnia 2027 r.;
• poinformować byłych klientów — osoby, które nie korzystają już z usług banku, a ich reklamacje zgłoszone po 15 listopada 2022 r. odrzucono, otrzymają powiadomienie o możliwości i sposobie złożenia wniosku o ponowną weryfikację sprawy.

Banki mają obowiązek poinformować o decyzjach na swoich stronach internetowych i w aplikacjach mobilnych, a do 30 kwietnia 2028 r. — zdać prezesowi UOKiK sprawę z wykonania nałożonych obowiązków.

TSUE przyznał rację urzędowi

Stanowisko UOKiK potwierdził w październiku Trybunał Sprawiedliwości Unii Europejskiej. Zgodnie z wyrokiem w sprawie C-70/25 (Tukowiecka) w przypadku nieautoryzowanych transakcji, np. w wyniku phishingu, bank ma bezwzględny obowiązek natychmiastowego zwrotu środków klientowi, a zasłanianie się „rażącym zaniedbaniem” konsumenta, by odmówić mu wypłaty, jest działaniem bezprawnym.

Z decyzji i wyroku TSUE płyną — jak wylicza urząd — cztery najważniejsze wnioski. Bank nie może samodzielnie stawiać się w roli sędziego i odmawiać zwrotu skradzionych pieniędzy, twierdząc, że konsument dał się podejść cyberprzestępcom. Środki muszą trafić na konto poszkodowanego bezzwłocznie, najpóźniej do końca następnego dnia roboczego od zgłoszenia. Jedyną legalną podstawą wstrzymania zwrotu jest uzasadnione podejrzenie, że to sam konsument próbuje wyłudzić pieniądze — co bank musi niezwłocznie zgłosić organom ścigania. A jeśli bank uważa, że klient dopuścił się rażącego zaniedbania, musi najpierw oddać pieniądze i dopiero potem może dochodzić ich zwrotu przed sądem, gdzie pełen ciężar dowodu spoczywa na instytucji finansowej.

Komentując wyrok, Chróstny ocenia, że banki nie mogą być sędziami we własnej sprawie i nie mają podstaw do masowego odrzucania reklamacji okradzionych klientów, a Trybunał w Luksemburgu w pełni podzielił stanowisko urzędu — to, jak mówi, jasny sygnał dla sektora, że czas skończyć z przerzucaniem odpowiedzialności za cyberataki na barki poszkodowanych konsumentów. Dla klientów ośmiu banków objętych dotychczasowymi decyzjami oznacza to jedno: odrzucona kiedyś reklamacja nie musi być końcem sprawy.

Źródło: UOKiK

Oznaczenia i źródła (poza tekstem — usunąć przed publikacją)

[DO WERYFIKACJI]: brak — wszystkie fakty pochodzą z komunikatu prasowego UOKiK z 4.11.2026.

[SPRZECZNOŚĆ ŹRÓDEŁ]: brak.

Źródła użyte:

1. Komunikat UOKiK (4.11.2026): https://uokik.gov.pl/kolejne-banki-zweryfikuja-odrzucone-reklamacje-decyzje-prezesa-uokik — sygnatury decyzji: RWR-7/2026, RWR-8/2026, RGD-16/2026, RKR-4/2026.

Uwagi warsztatowe:

1. Wypowiedzi prezesa Chróstnego w większości sparafrazowano z atrybucją; w bloku zostawiono jedno pełne zdanie. Jeśli redakcja chce pełnych cytatów z komunikatu (materiał urzędowy, do republikacji), mogę je przywrócić w blokach w całości.
2. Komunikat zawiera też nagranie wypowiedzi prezesa (mp3) — można z niego dociągnąć dodatkowy cytat niepowtarzający się z tekstem.
3. Wcześniejsze decyzje (Alior, mBank, BNP Paribas, Millennium) podlinkowane w komunikacie — jest materiał na ramkę kontekstową lub osobny akapit, jeśli chcecie szerzej.