Nieautoryzowane transakcje. Cyfryzacja finansów a nowe ryzyka
REKLAMA
REKLAMA
W dobie postępującej cyfryzacji, gdy dostęp do rachunku bankowego stał się w praktyce nieograniczony, a realizacja transakcji finansowych sprowadza się do jednego kliknięcia, rośnie skala zagrożeń w obrocie finansowym. Coraz częściej dochodzi bowiem do sytuacji, w których środki pieniężne zostają przetransferowane wbrew woli właściciela rachunku.
- Czym jest transakcja nieautoryzowana?
- Pojęcie transakcji płatniczej i zasady autoryzacji
- Sposoby udzielenia i cofnięcia zgody na transakcję płatniczą
- Przesłanki prawidłowej autoryzacji i moment udzielenia zgody
- Ciężar dowodu w przypadku nieautoryzowanych transakcji
- Ciężar dowodu w przypadku nieautoryzowanych transakcji
W cyberprzestrzeni obserwuje się nasilające się zjawisko nieautoryzowanych transakcji, polegających m.in. na kradzieży środków z rachunków bankowych czy bezprawnym użyciu instrumentów płatniczych, takich jak karty płatnicze. Działania te przybierają różnorodne formy — od phishingu po inne, coraz bardziej zaawansowane metody oszustw, wykorzystujące nieuwagę lub brak świadomości użytkowników
REKLAMA
REKLAMA
Czym jest transakcja nieautoryzowana?
Za transakcję nieautoryzowaną można uznać sytuację, w której osoba trzecia, po uzyskaniu danych do bankowości elektronicznej klienta — np. w wyniku phishingu — loguje się na jego rachunek bankowy i zleca przelew środków na rachunek kontrolowany przez sprawcę, mimo że właściciel rachunku nie wyraził zgody na dokonanie takiej operacji. W takim przypadku dochodzi do wykonania transakcji płatniczej bez autoryzacji płatnika, co oznacza, że co do zasady powinna ona zostać zakwalifikowana jako transakcja nieautoryzowana w rozumieniu przepisów ustawy o usługach płatniczych.
Wskazać należy, iż w określonych przypadkach autoryzacja może zostać przeprowadzona prawidłowo, niemniej wciąż możemy mieć do czynienia z transakcją nieautoryzowaną.
Przykładowo, jeżeli użytkownik — działając pod wpływem wprowadzenia w błąd przez sprawcę (np. podszywającego się pod pracownika banku) — samodzielnie zatwierdzi transakcję kodem autoryzacyjnym, nie oznacza to jeszcze, że wyraził rzeczywistą, świadomą zgodę na jej dokonanie. W takim przypadku, pomimo formalnie poprawnej autoryzacji, transakcja może zostać uznana za nieautoryzowaną
Pojęcie transakcji płatniczej i zasady autoryzacji
Transakcja płatnicza to zainicjowana przez płatnika lub odbiorcę wpłata, transfer lub wypłata środków pieniężnych. W świetle art. 40 ust. 1 ustawy o usługach płatniczych przesłanką prawidłowej autoryzacji transakcji płatniczej jest wyrażenie przez płatnika (tj. podmiotu składającego zlecenie płatnicze, zarówno osoby fizycznej, jak i prawnej) zgody na wykonanie określonej transakcji płatniczej w sposób przewidziany w umowie zawartej z dostawcą usług płatniczych (najczęściej bankiem prowadzącym rachunek płatniczy płatnika).
REKLAMA
Zgoda płatnika może zostać wyrażona przy pomocy określonych instrumentów płatniczych lub innych mechanizmów uwierzytelniających, takich jak kod SMS, autoryzacja w aplikacji mobilnej czy podpis elektroniczny. Co do zasady zgoda powinna zostać udzielona przed wykonaniem transakcji płatniczej albo kolejnych transakcji płatniczych, niemniej płatnik i dostawca mogą uzgodnić, że zostanie ona wyrażona także po ich wykonaniu.
Przykładem sytuacji, w której zgoda na wykonanie transakcji płatniczej może zostać udzielona po jej wykonaniu, jest korzystanie z usług, w których ostateczna kwota transakcji nie jest znana w momencie jej inicjowania. Dotyczy to m.in. płatności za przejazd autostradą lub rozliczenia usług hotelowych, gdzie w chwili rezerwacji następuje jedynie blokada środków na rachunku płatnika, natomiast ostateczne obciążenie rachunku następuje dopiero po zakończeniu usługi i ustaleniu jej rzeczywistej wartości.
W takim przypadku płatnik, zawierając umowę z dostawcą usług płatniczych lub akceptując regulamin usługi, wyraża zgodę na dokonanie rozliczenia transakcji również po jej faktycznym wykonaniu, co pozostaje zgodne z zasadami określonymi w ustawie o usługach płatniczych.
Sposoby udzielenia i cofnięcia zgody na transakcję płatniczą
Zgoda na wykonanie transakcji płatniczej może zostać udzielona również za pośrednictwem odbiorcy, dostawcy odbiorcy albo dostawcy świadczącego usługę inicjowania transakcji płatniczej.
Przykładowo, klient dokonuje zakupu w sklepie internetowym i wybiera płatność za pośrednictwem operatora płatności online. W toku procesu płatności zatwierdza transakcję na stronie operatora lub w aplikacji bankowej, a operator przekazuje zainicjowane zlecenie płatnicze do banku prowadzącego rachunek płatnika. W takiej sytuacji zgoda na wykonanie transakcji zostaje udzielona za pośrednictwem podmiotu pośredniczącego, a nie bezpośrednio wobec banku.
Nadmienić należy, iż płatnik może w każdej chwili wycofać zgodę, nie później jednak niż do momentu, w którym zlecenie płatnicze stało się nieodwołalne.
Przykładem autoryzacji w rozumieniu wskazanych przepisów jest sytuacja, w której klient banku dokonuje przelewu za pośrednictwem bankowości elektronicznej, wprowadza dane odbiorcy oraz kwotę transakcji, a następnie potwierdza operację poprzez wpisanie jednorazowego kodu autoryzacyjnego przesłanego w wiadomości SMS lub zatwierdzenie operacji w aplikacji mobilnej banku, co stanowi wyraźne wyrażenie zgody na wykonanie transakcji płatniczej.
Przesłanki prawidłowej autoryzacji i moment udzielenia zgody
Powyższe regulacje określają przesłanki prawidłowej autoryzacji płatniczej oraz moment udzielenia zgody na wykonanie transakcji. W doktrynie przez prawidłową autoryzację rozumie się oświadczenie woli składane w celu wyrażenia zgody na wykonanie transakcji poprzez jej autoryzowanie.
W literaturze wskazuje się również, iż płatnik składa niejako dwa oświadczenia – pierwsze stanowi przejaw chęci zlecenia transakcji płatniczej, natomiast drugie wyraża zgodę, na mocy której uznaje się, iż transakcja jest autoryzowana (B. Bajor [w:] Ustawa o usługach płatniczych. Komentarz, wyd. II, red. J. Byrski, A. Zalcewicz, Warszawa 2021, art. 40).
Może się zdarzyć, że płatnik co prawda zleci wykonanie transakcji, która następnie nie zostanie potwierdzona, a więc nie dojdzie do wyrażenia zgody na jej dokonanie. W doktrynie podkreśla się również, że nawet gdy dojdzie do wyrażenia zgody, transakcja może zostać uznana za nieprawidłowo autoryzowaną, np. jeżeli oświadczenie woli zostało złożone pod wpływem przymusu (B. Bajor [w:] Ustawa o usługach płatniczych. Komentarz, wyd. II, red. J. Byrski, A. Zalcewicz, Warszawa 2021, art. 40). Autoryzacja transakcji staje się prawidłowa jedynie wtedy, gdy wyraża rzeczywistą i świadomą wolę płatnika. Innymi słowy, dopiero gdy płatnik faktycznie zgadza się na przeprowadzenie operacji, można uznać, że transakcja została prawidłowo autoryzowana i nie nosi znamion wadliwości prawne. Okoliczności te bowiem rzutują na ustalenie reżimu odpowiedzialności, który spoczywa na dostawcy bądź płatniku.
Ciężar dowodu w przypadku nieautoryzowanych transakcji
W przypadku nieautoryzowanych transakcji ciężar wykazania prawidłowości transakcji spoczywa w dużej mierze na dostawcy usług płatniczych (np. banku). Zgodnie z art. 45 ust. 1 ustawy o usługach płatniczych na dostawcy użytkownika spoczywa obowiązek udowodnienia, że transakcja płatnicza została autoryzowana i prawidłowo zarejestrowana w systemie służącym do obsługi transakcji płatniczych dostawcy oraz że nie wpłynęła na nią awaria techniczna ani innego rodzaju usterka związana z usługą płatniczą świadczoną przez tego dostawcę, w tym przez dostawcę świadczącego usługę inicjowania transakcji płatniczej.
Jeżeli transakcja płatnicza została zainicjowana za pośrednictwem dostawcy świadczącego usługę inicjowania transakcji płatniczej, na tym dostawcy spoczywa ciężar udowodnienia, że w zakresie jego właściwości transakcja została autoryzowana i prawidłowo zapisana w systemie służącym do obsługi transakcji płatniczych, a także że nie wpłynęła na nią awaria techniczna ani innego rodzaju usterka związana z usługą płatniczą, za którą odpowiada. Wykazanie przez dostawcę zarejestrowanego użycia instrumentu płatniczego nie stanowi wystarczającego dowodu, że transakcja została autoryzowana przez użytkownika albo że płatnik umyślnie lub wskutek rażącego niedbalstwa dopuścił się nieautoryzowanej transakcji albo naruszył obowiązki określone w art. 42. Ciężar udowodnienia tych okoliczności spoczywa na dostawcy.
Ciężar dowodu w przypadku nieautoryzowanych transakcji
Powyższe regulacje nakładają na bank szczególne obowiązki dowodowe w przypadku sporów dotyczących nieautoryzowanych transakcji płatniczych.
To właśnie dostawca usług płatniczych musi wykazać, że transakcja została prawidłowo autoryzowana i prawidłowo zarejestrowana w systemie obsługującym transakcje. W praktyce oznacza to, że błędy systemowe, wycieki danych czy awarie techniczne obciążają bank, który musi udowodnić, że do nieautoryzowanej transakcji nie doszło z jego winy.
Art. 45 ustawy o usługach płatniczych podkreśla również, że samo wykazanie użycia instrumentu płatniczego – np. fizycznego włożenia karty do terminala czy zalogowania się do bankowości elektronicznej – nie stanowi dowodu, że transakcja została autoryzowana przez użytkownika. Bank musi wykazać, że płatnik faktycznie wyraził zgodę na wykonanie transakcji, że system bankowy działał poprawnie i że nie doszło do awarii lub błędu, który mógł umożliwić jej wykonanie przez osobę nieuprawnioną. Dodatkowo, jeżeli bank zamierza zwolnić się z odpowiedzialności, musi udowodnić, że klient dopuścił się rażącego niedbalstwa lub naruszył obowiązki określone w art. 42 ustawy.
Przykład praktyczny: klient loguje się do swojej aplikacji mobilnej w banku, a następnie z jego konta zostaje wykonany przelew na kwotę 10 000 zł przez osobę trzecią, która nieuprawnienie uzyskała dane logowania. Bank w postępowaniu reklamacyjnym nie może stwierdzić, że transakcja była autoryzowana tylko dlatego, że logowanie do aplikacji zostało odnotowane w systemie. Aby wykazać prawidłową autoryzację i zwolnić się z odpowiedzialności, bank musiałby udowodnić, że klient faktycznie wyraził zgodę na wykonanie transakcji, że system działał prawidłowo, nie doszło do awarii ani błędów technicznych, a także że klient dopuścił się rażącego niedbalstwa, np. ujawnienia kodu SMS lub pozostawienia zalogowanego urządzenia w miejscu publicznym.
Źródła:
1. Ustawa z dnia 19 sierpnia 2011 r. o usługach płatniczych (t.j. Dz. U. z 2025 r. poz. 611 z późn. zm.).
2. Dyrektywa Parlamentu Europejskiego i Rady (UE) 2015/2366 z dnia 25 listopada 2015 r. w sprawie usług płatniczych w ramach rynku wewnętrznego, zmieniająca dyrektywy 2002/65/WE, 2009/110/WE, 2013/36/UE i rozporządzenie (UE) nr 1093/2010 oraz uchylająca dyrektywę 2007/64/WE (Dz. U. UE. L. z 2015 r. Nr 337, str. 35 z późn. zm.).
3. B. Bajor [w:] Ustawa o usługach płatniczych. Komentarz, wyd. II, red. J. Byrski, A. Zalcewicz, Warszawa 2021.
4. https://europapnews.pap.pl/rzecznik-tsue-bank-musi-zwrocic-kwote-nieautoryzowanej-transakcji-nawet-jesli-doszlo-do-niej-z-winy
REKLAMA
REKLAMA
