Nieautoryzowane transakcje. Zakres odpowiedzialności dostawcy wydającego instrument płatniczy
REKLAMA
REKLAMA
Na dostawcy, czyli podmiocie wydającym instrument płatniczy, spoczywa szerszy zakres odpowiedzialności. Dostawca musi zapewnić, że dane uwierzytelniające nie będą dostępne dla osób nieuprawnionych, nie wysyłać niezamówionego instrumentu (chyba że podlega wymianie), umożliwić użytkownikowi zgłoszenie utraty, kradzieży lub nieuprawnionego użycia instrumentu, a także udowodnienie tego zgłoszenia na wniosek użytkownika w ciągu 18 miesięcy.
- Obowiązek powiadomienia o nieautoryzowanych lub niewykonanych transakcjach
- Obowiązki dostawcy płatnika i odpowiedzialność za nieautoryzowane transakcje
- Ograniczona odpowiedzialność płatnika za nieautoryzowane transakcje
- Wyjątki od odpowiedzialności płatnika
- Pełna odpowiedzialność płatnika
- Stanowisko Prezesa UOKiK w sprawie nieautoryzowanych transakcji
Użytkownik musi mieć możliwość bezpłatnego dokonania zgłoszenia, a po jego złożeniu korzystanie z instrumentu musi być zablokowane. Dostawca ponosi również ryzyko związane z wysyłką instrumentu lub danych uwierzytelniających.
REKLAMA
REKLAMA
Przykład praktyczny: Klient banku otrzymuje kartę płatniczą pocztą. Bank zapewnia, że PIN jest przesłany osobną przesyłką, a karta jest aktywna dopiero po pierwszym użyciu przez właściciela. Jeśli karta zostaje zgubiona lub skradziona, klient może niezwłocznie zgłosić ten fakt przez infolinię lub aplikację mobilną. Bank blokuje kartę, uniemożliwiając dalsze transakcje, i wydaje nową kartę z nowym kodem PIN, a klient nie ponosi dodatkowych kosztów poza rzeczywistym kosztem wysyłki karty.
Obowiązek powiadomienia o nieautoryzowanych lub niewykonanych transakcjach
Zgodnie z art. 44 ustawy o usługach płatniczych, użytkownik jest zobowiązany niezwłocznie powiadomić dostawcę usług płatniczych o stwierdzonych nieautoryzowanych, niewykonanych lub nienależycie wykonanych transakcjach płatniczych.
Jeśli użytkownik nie zgłosi takiej sytuacji w ciągu 13 miesięcy od dnia obciążenia rachunku lub od dnia, w którym transakcja miała być wykonana, jego roszczenia względem dostawcy wygasają. W przypadku rachunków, z których użytkownik nie korzysta, termin ten liczy się od dnia wykonania nieautoryzowanej lub nienależycie wykonanej transakcji albo od dnia, w którym transakcja miała być przeprowadzona.
Jeżeli transakcja jest inicjowana przez dostawcę świadczącego usługę inicjowania transakcji płatniczej, dostawca prowadzący rachunek przywraca stan rachunku sprzed wystąpienia nieautoryzowanej, niewykonanej lub nienależycie wykonanej transakcji. Przepis dotyczący 13-miesięcznego terminu nie ma zastosowania w sytuacji, gdy dostawca nie udostępnił użytkownikowi informacji o transakcji zgodnie z wymogami prawa.
Przykład praktyczny: Klient banku zauważa, że z jego rachunku wykonano przelew na kwotę 5 000 zł, którego nie autoryzował. Natychmiast kontaktuje się z bankiem i zgłasza nieautoryzowaną transakcję poprzez infolinię i aplikację mobilną. Bank blokuje dalsze transakcje i wszczyna procedurę reklamacyjną, przywracając stan rachunku sprzed transakcji. Gdyby klient zgłosił problem dopiero po 14 miesiącach od obciążenia rachunku, jego roszczenia mogłyby wygasnąć, o ile bank udostępnił wszystkie informacje o transakcji na czas.
Obowiązki dostawcy płatnika i odpowiedzialność za nieautoryzowane transakcje
Zgodnie z art. 46 ustawy o usługach płatniczych, w przypadku wystąpienia nieautoryzowanej transakcji płatniczej dostawca płatnika jest zobowiązany niezwłocznie zwrócić kwotę transakcji na rachunek płatnika, nie później niż do końca dnia roboczego następującego po dniu stwierdzenia nieautoryzowanej transakcji lub po dniu otrzymania zgłoszenia użytkownika. Wyjątkiem jest sytuacja, gdy zgodnie z art. 44 ust. 2 użytkownik nie zgłosił transakcji w terminie 13 miesięcy od obciążenia rachunku lub od dnia, w którym transakcja miała być wykonana – w takim przypadku roszczenie wobec banku wygasa.
REKLAMA
Przykład: Klient zauważa, że z jego konta wykonano przelew na 5 000 zł, którego nie zlecał, i natychmiast zgłasza ten fakt w banku. Bank, działając zgodnie z art. 46, zwraca kwotę przelewu na konto klienta tego samego dnia roboczego. Gdyby jednak klient zgłosił transakcję dopiero po 14 miesiącach od jej wykonania, roszczenie wobec banku wygasłoby zgodnie z art. 44 ust. 2.
W przypadku, gdy płatnik korzysta z rachunku, bank przywraca jego stan do poziomu sprzed nieautoryzowanej transakcji, z datą waluty nie późniejszą niż dzień obciążenia rachunku. Dodatkowo, jeżeli transakcja została zainicjowana przez podmiot pośredniczący w jej przeprowadzeniu, dostawca prowadzący rachunek zwraca płatnikowi kwotę transakcji oraz przywraca stan rachunku do pierwotnego poziomu. Jeżeli odpowiedzialność za nieautoryzowaną transakcję spoczywa na podmiocie inicjującym, bank może wnioskować o rekompensatę poniesionych strat. W praktyce oznacza to, że środki płatnika są chronione, a przepisy przewidują mechanizmy przywracania stanu rachunku oraz odpowiedzialności wszystkich zaangażowanych podmiotów.
Przykład: Klient dokonuje zakupu online przez operatora płatności. Osoba nieuprawniona przechwytuje dane i wykonuje transakcję bez zgody klienta. Bank prowadzący rachunek natychmiast przywraca środki na konto klienta, a w przypadku odpowiedzialności operatora płatności, bank może dochodzić od niego zwrotu środków, w tym kwoty nieautoryzowanej transakcji.
Ograniczona odpowiedzialność płatnika za nieautoryzowane transakcje
Artykuł 46 ustawy o usługach płatniczych wprowadza odrębne reżimy odpowiedzialności w zależności od zakresu winy płatnika. Zgodnie z art. 46 ust. 2, płatnik odpowiada za nieautoryzowane transakcje tylko do wysokości równowartości 50 euro, ustalonej według kursu średniego NBP z dnia wykonania transakcji, jeżeli transakcja była skutkiem posłużenia się utraconym lub skradzionym instrumentem płatniczym albo przywłaszczenia instrumentu, pod warunkiem że płatnik niezwłocznie zgłosił utratę instrumentu i nie można mu przypisać winy umyślnej.
Przykład: Klient zgubił kartę płatniczą i natychmiast zgłosił jej utratę w banku. W międzyczasie osoba trzecia dokonała nieautoryzowanego przelewu z jego konta. W takim przypadku klient ponosi odpowiedzialność tylko do kwoty odpowiadającej 50 euro, a pozostała część strat zostaje pokryta przez bank.
Wyjątki od odpowiedzialności płatnika
Powyższe regulacje nie znajdują zastosowania w sytuacjach, gdy płatnik nie miał możliwości stwierdzenia utraty, kradzieży lub przywłaszczenia instrumentu płatniczego przed wykonaniem transakcji – chyba że działał umyślnie – albo gdy utrata instrumentu była skutkiem działania lub zaniechania pracownika, agenta lub oddziału dostawcy płatnika bądź podmiotu świadczącego na jego rzecz usługi. W takich przypadkach płatnik nie ponosi odpowiedzialności ani umyślnej, ani nieumyślnej za nieautoryzowane transakcje, a wszystkie straty pokrywa dostawca usług płatniczych.
Przykład: Klient otrzymuje kartę, która w wyniku błędu banku trafia do niewłaściwej osoby i zostaje użyta do nieautoryzowanego przelewu. W takiej sytuacji klient nie ponosi żadnej odpowiedzialności za tę transakcję, nawet jeśli nie zgłosił utraty, ponieważ nie miał możliwości stwierdzenia jej utraty ani winy nieumyślnej.
Pełna odpowiedzialność płatnika
Płatnik może ponosić odpowiedzialność za nieautoryzowane transakcje w pełnej wysokości w określonych sytuacjach. Dotyczy to przede wszystkim przypadków, gdy doprowadził do transakcji umyślnie lub wskutek umyślnego lub rażącego niedbalstwa naruszył obowiązki określone w art. 42, takie jak niewłaściwe korzystanie z instrumentu płatniczego, brak należytej staranności w jego przechowywaniu czy niedopełnienie obowiązku niezwłocznego zgłoszenia utraty instrumentu.
Po dokonaniu zgłoszenia zgodnie z art. 42 ust. 1 pkt 2, płatnik zasadniczo nie odpowiada za nieautoryzowane transakcje, chyba że działał umyślnie. Wyjątki dotyczą również sytuacji, gdy dostawca nie zapewnia odpowiednich środków umożliwiających dokonanie zgłoszenia w każdym czasie – wówczas płatnik nie ponosi odpowiedzialności, chyba że umyślnie doprowadził do nieautoryzowanej transakcji. Podobnie, jeśli dostawca lub odbiorca nie wymagają silnego uwierzytelniania użytkownika, za szkody odpowiada dostawca płatnika, a nie sam płatnik, o ile nie działał umyślnie.
Przykład: Klient zgubił kartę, natychmiast zgłosił jej utratę, a bank nie zapewnił mu możliwości szybkiego dokonania zgłoszenia przez cały czas działania systemu. Jeśli w tym czasie osoba trzecia dokona nieautoryzowanej transakcji, klient nie ponosi odpowiedzialności, chyba że sam świadomie umożliwił jej wykonanie, np. przekazując PIN osobie nieuprawnionej.
Stanowisko Prezesa UOKiK w sprawie nieautoryzowanych transakcji
Zgodnie ze stanowiskiem Prezesa Urzędu Ochrony Konkurencji i Konsumentów w sprawie interpretacji przepisów ustawy z dnia 19 sierpnia 2011 r. o usługach płatniczych w zakresie dotyczącym nieautoryzowanych transakcji płatniczych:
„Podejrzenie dostawcy usług płatniczych, że płatnik doprowadził do nieautoryzowanej transakcji umyślnie albo w wyniku umyślnego lub będącego skutkiem rażącego niedbalstwa naruszenia co najmniej jednego z obowiązków, o których mowa w art. 42 u.u.p., nie stanowi przesłanki do odmowy zwrotu płatnikowi kwoty nieautoryzowanej transakcji. W takim przypadku dostawca usług płatniczych może wystąpić względem płatnika z roszczeniem o zapłatę. Jeżeli jednak płatnik nie zgadza się z oceną dostawcy usług płatniczych co do dopuszczenia się rażącego niedbalstwa, ostateczna ocena tych okoliczności (i tym samym odpowiedzialności płatnika za taką transakcję) powinna być dokonana przez sąd” (…) „Zwolnienie dostawcy usług płatniczych z obowiązku zwrotu kwoty transakcji, której autoryzacji płatnik zaprzecza. W ocenie Prezesa UOKiK zgodnie z art. 46 ust. 1 wyłącznie w dwóch sytuacjach – wskazanych w treści art. 46 ust. 1 u.u.p. – dostawca usług płatniczych jest zwolniony z obowiązku zwrotu kwoty transakcji, której autoryzacji płatnik zaprzecza. Pierwszym z wyjątków jest wskazany w art. 46 ust. 1 u.u.p. – art. 44 ust. 2 u.u.p. Zgodnie z art. 44 ust. 2 u.u.p., jeżeli użytkownik nie dokona powiadomienia, o którym mowa w ust. 1, w terminie 13 miesięcy od dnia obciążenia rachunku płatniczego albo od dnia, w którym transakcja miała być wykonana, roszczenia użytkownika względem dostawcy z tytułu nieautoryzowanych, niewykonanych lub nienależycie wykonanych transakcji płatniczych wygasają. Kolejnym przypadkiem, w którym dostawca usług płatniczych nie ma obowiązku zwrotu kwoty transakcji, której autoryzacji płatnik zaprzecza, jest sytuacja, w której dostawca usług płatniczych ma uzasadnione i należycie udokumentowane podstawy, aby podejrzewać oszustwo, i poinformuje o tym w formie pisemnej organy powołane do ścigania przestępstw.”
Rzecznik Generalny Trybunału Sprawiedliwości Unii Europejskiej w wydanej opinii (w sprawie dotyczącej wykładni przepisów dyrektywy PSD2 w zakresie nieautoryzowanych transakcji płatniczych) wskazał, że dostawca usług płatniczych jest zobowiązany do niezwłocznego zwrotu kwoty takiej transakcji, niezależnie od podejrzeń co do ewentualnego rażącego niedbalstwa po stronie płatnika.
Jednocześnie podkreślono, że zwrot ten nie ma charakteru definitywnego, albowiem po jego dokonaniu bank może dochodzić od płatnika zwrotu środków, o ile wykaże, że doprowadził on do transakcji umyślnie albo wskutek rażącego niedbalstwa, przy czym ocena tych okoliczności należy ostatecznie do sądu.
Źródła:
1. Ustawa z dnia 19 sierpnia 2011 r. o usługach płatniczych (t.j. Dz. U. z 2025 r. poz. 611 z późn. zm.).
2. Dyrektywa Parlamentu Europejskiego i Rady (UE) 2015/2366 z dnia 25 listopada 2015 r. w sprawie usług płatniczych w ramach rynku wewnętrznego, zmieniająca dyrektywy 2002/65/WE, 2009/110/WE, 2013/36/UE i rozporządzenie (UE) nr 1093/2010 oraz uchylająca dyrektywę 2007/64/WE (Dz. U. UE. L. z 2015 r. Nr 337, str. 35 z późn. zm.).
3. B. Bajor [w:] Ustawa o usługach płatniczych. Komentarz, wyd. II, red. J. Byrski, A. Zalcewicz, Warszawa 2021.
4. https://europapnews.pap.pl/rzecznik-tsue-bank-musi-zwrocic-kwote-nieautoryzowanej-transakcji-nawet-jesli-doszlo-do-niej-z-winy
REKLAMA
REKLAMA
