Wątpliwości prezesa UOKiK wzbudziło podejście banków do rozpatrywania zgłoszeń tzw. nieautoryzowanych transakcji. Chodzi o sytuacje, w których środki z konta klienta zostały pobrane bez jego zgody i wiedzy, np. w wyniku cyberataku lub kradzieży danych. Po rozstrzygnięciach dotyczących Alior Banku, mBanku, BNP Paribas oraz Banku Millennium, prezes UOKiK wydał decyzje wobec czterech kolejnych instytucji finansowych.
Zgodnie z prawem, po zgłoszeniu nieautoryzowanej transakcji, bank powinien niezwłocznie, tj. najpóźniej do końca następnego dnia roboczego (tzw. zasada D+1) zwrócić konsumentowi skradzioną kwotę. Wyjątkiem są sytuacje, gdy istnieją udokumentowane podstawy, by podejrzewać oszustwo ze strony samego klienta, lub gdy od transakcji minęło więcej niż 13 miesięcy.
Tymczasem ING Bank Śląski, Bank Ochrony Środowiska, Nest Bank i Plus Bank w wielu przypadkach odmawiały zwrotu środków. Sugerowały konsumentom, że samo prawidłowe uwierzytelnienie transakcji (np. wpisanie kodu PIN lub autoryzacja w aplikacji) zwalnia je z odpowiedzialności i automatycznie oznacza, że klient wyraził zgodę na przelew. Banki bezpodstawnie przerzucały też ciężar dowodu na konsumenta oraz twierdziły, że ewentualne odzyskanie pieniędzy jest możliwe wyłącznie poprzez działania organów ścigania – czytamy w komunikacie UOKiK-u.
– Prawo jasno określa obowiązki banków w przypadku cyberataku lub utraty środków przez klientów. Instytucje finansowe nie mogą unikać odpowiedzialności poprzez automatyczne odrzucanie reklamacji i przerzucanie całego ciężaru udowodnienia winy na poszkodowanego konsumenta. Samo wykazanie przez bank, że transakcja została poprawnie uwierzytelniona to za mało, by odmówić zwrotu pieniędzy. Bank musi udowodnić, że to klient samodzielnie i świadomie autoryzował operację lub dopuścił się rażącego niedbalstwa. Kolejne cztery banki muszą zmienić procedury i ponownie przeanalizować sprawy, w których niezgodnie z prawem odmówiły klientom zwrotu pieniędzy – mówi prezes UOKiK Tomasz Chróstny.
ING Bank Śląski, Bank Ochrony Środowiska, Nest Bank i Plus Bank zmienią dotychczasowe praktyki i usunąć ich negatywne skutki. Na mocy decyzji Prezesa UOKiK banki muszą m.in.:
Banki mają obowiązek poinformować o decyzjach na swoich stronach internetowych oraz powiadomić o nich swoich klientów przez aplikacje mobilne. Muszą również poinformować Prezesa UOKiK o tym jak wywiązały się z nałożonych na nich obowiązków do 30 kwietnia 2028 r.
W październiku bieżącego roku Trybunał Sprawiedliwości Unii Europejskiej wydał przełomowy wyrok, który potwierdził stanowisko prezesa UOKiK w zakresie nieautoryzowanych transakcji płatniczych. Zgodnie z orzeczeniem w sprawie C-70/25 (Tukowiecka), w przypadku nieautoryzowanych transakcji, np. w wyniku phishingu, bank ma bezwzględny obowiązek natychmiastowego zwrotu środków klientowi. Zasłanianie się „rażącym zaniedbaniem” konsumenta, aby odmówić mu wypłaty, jest działaniem bezprawnym.
Najważniejsze wnioski z wydanych decyzji i wyroku TSUE: