Odpowiedzialność banku i klienta
W wyroku z 15 października 2026 r. w sprawie C-70/25 TSUE orzekł, że bank nie może odmówić bezzwłocznego zwrotu kwoty nieautoryzowanej transakcji, powołując się na rażące niedbalstwo klienta. Trybunał potwierdził jednocześnie, że bank może potem żądać od takiego klienta pokrycia całej straty. Wyrok zmienia kolejność rozliczeń, a klient nadal odpowiada za skutki swojego zaniedbania.
Klient odpowiada za całą stratę
Płatnik ponosi wszelkie straty z nieautoryzowanych transakcji, gdy rażąco zaniedbał swoje obowiązki (art. 74 ust. 1 akapit trzeci dyrektywy 2015/2366, PSD2). Musi m.in. chronić dane uwierzytelniające i niezwłocznie zgłaszać ich utratę (art. 42 ustawy o usługach płatniczych). W przypadku dopuszczenia się rażącego niedbalstwa, Klient odpowiada w pełnej wysokości (art. 46 ust. 3 tej ustawy), a limit 50 euro go nie chroni.
TSUE wprost potwierdził roszczenie banku
Trybunał rozdzielił dwa etapy. Art. 73 PSD2 reguluje szybki zwrot, a art. 74 ostateczny podział odpowiedzialności (pkt 42). Bank może zatem żądać od klienta zwrotu strat wynikających z jego rażącego niedbalstwa (pkt 46). Przepisy dzielą ryzyko między obie strony (pkt 37).
Najpierw zwrot – ta reguła obowiązuje
Bank zwraca kwotę najpóźniej do końca następnego dnia roboczego (art. 46 ust. 1 ustawy). Bank jednak może wstrzymać zwrot jeśli ma udokumentowane podstawy podejrzewać oszustwo samego klienta i pisemnie zawiadomi organy ścigania.
O sukcesie roszczenia zdecydują dowody
Bank musi wykazać rażące niedbalstwo klienta (art. 72 ust. 2 PSD2). TSUE nie ocenił, czy podanie loginu i kodu SMS na fałszywej stronie to rażące niedbalstwo. Rozstrzygnie to sąd krajowy na podstawie zebranego materiału.
Adwokat Michał Nowak
