1. 7 września 2026: cztery banki zmieniają praktyki, dziesięć kolejnych postępowań nadal trwa.
Szkolenie zaczyna się od najświeższego punktu rynkowego. Prezes UOKiK 7 września 2026 r. wydał cztery decyzje zobowiązujące wobec Alior Banku, mBanku, BNP Paribas i Banku Millennium (decyzje nr RGD-7/2026, DOZiK-5/2026, RWR-3/2026 i RKR-3/2026), kończące postępowania trwające blisko cztery lata. Banki zmienią sposób postępowania po zgłoszeniu nieautoryzowanej transakcji i ponownie przeanalizują zgłoszenia rozpatrzone wcześniej negatywnie, a dziesięć postępowań, w których innym bankom postawiono analogiczne zarzuty, pozostaje w toku.
Moduł analizuje, co dokładnie zakwestionował Prezes UOKiK. Pierwszy zarzut dotyczył zwrotów dokonywanych po terminie albo tylko warunkowo, na czas rozpatrywania reklamacji, i następnie wycofywanych przez ponowne obciążenie rachunku klienta. Drugi dotyczył odmów zwrotu uzasadnianych prawidłowym uwierzytelnieniem klienta, traktowanym jako autoryzacja transakcji. Jednocześnie Urząd wskazał, że zwrot nie przesądza o ostatecznej odpowiedzialności banku: jeżeli bank wykaże, że do transakcji doszło wskutek umyślnego działania konsumenta albo jego rażącego niedbalstwa, może dochodzić od niego zwróconej kwoty.
Uczestnicy analizują znaczenie decyzji dla polityk reklamacyjnych całego rynku, także podmiotów, wobec których decyzji jeszcze nie wydano, oraz dla ryzyka procesowego, w którym argument o dotychczasowej praktyce przestaje chronić bank. Omawiamy też zalecenia Prezesa UOKiK dla dostawców usług płatniczych z 23 października 2024 r. i rozwiązania wdrażane przez banki w toku dialogu z Urzędem: systemy wykorzystujące AI i biometrię behawioralną do wykrywania podejrzanych zachowań, opóźnienie realizacji transakcji dające czas na wykrycie oszustwa (cooling period) oraz funkcję natychmiastowej blokady transakcji (panic button).
2. Silne uwierzytelnienie nie oznacza zgody: autoryzacja a uwierzytelnienie
Czy potwierdzenie transakcji w aplikacji, kodem, biometrią albo na urządzeniu klienta dowodzi, że klient ją autoryzował? Nie. Art. 40 ust. 1 ustawy z 19 sierpnia 2011 r. o usługach płatniczych uznaje transakcję za autoryzowaną wtedy, gdy płatnik wyraził na nią zgodę w sposób przewidziany w umowie. Art. 45 ust. 1 obciąża dostawcę ciężarem udowodnienia, że transakcja została autoryzowana i prawidłowo zapisana w jego systemie oraz że nie miała na nią wpływu awaria techniczna ani inna usterka, a art. 45 ust. 2 stanowi, że wykazanie zarejestrowanego użycia instrumentu płatniczego nie wystarcza do udowodnienia autoryzacji.
Moduł opiera się na orzecznictwie. W wyroku z 18 stycznia 2018 r. (V CSK 141/17) Sąd Najwyższy potwierdził, że ciężar dowodu autoryzacji spoczywa na dostawcy. W wyroku z 15 września 2023 r. (II CSKP 1013/22) odróżnił autoryzację, czyli zgodę płatnika na wykonanie transakcji wyrażoną w sposób przewidziany w umowie, od uwierzytelnienia, czyli procedury pozwalającej dostawcy zweryfikować tożsamość użytkownika lub ważność użycia instrumentu, i stwierdził, że wykazanie uwierzytelnienia nie jest równoznaczne z wykazaniem autoryzacji. To samo rozróżnienie Prezes UOKiK uczynił osią zarzutów w postępowaniach zakończonych decyzjami z 7 września 2026 r.
Na scenariuszach phishingu, fałszywej strony banku, zdalnego pulpitu, przejęcia sesji i podszycia się pod pracownika banku uczestnicy ustalają, jakie dowody pokazują świadomą zgodę klienta na konkretną transakcję, a jakie jedynie użycie instrumentu uwierzytelniającego. Ta analiza jest kluczem do zrozumienia zarówno stanowiska UOKiK i Rzecznika Finansowego, jak i sporu w sprawie C-70/25.
3. D+1: najpierw zwrot, potem spór o rażące niedbalstwo?
Art. 46 ust. 1 ustawy o usługach płatniczych nakazuje dostawcy płatnika zwrócić kwotę nieautoryzowanej transakcji niezwłocznie, najpóźniej do końca następnego dnia roboczego po jej stwierdzeniu lub otrzymaniu zgłoszenia. Wyjątek zachodzi wtedy, gdy dostawca ma uzasadnione i należycie udokumentowane podstawy, aby podejrzewać oszustwo, i poinformuje o tym na piśmie organy powołane do ścigania przestępstw. Prezes UOKiK wiąże ten wyjątek z podejrzeniem oszustwa ze strony płatnika, a Rzecznik Finansowy wskazuje, że w większości przypadków bank nie jest w stanie w ustawowym terminie rzetelnie ocenić rażącego niedbalstwa, więc powinien najpierw zwrócić środki, a dopiero potem wystąpić o zapłatę.
Odpowiedzialność płatnika regulują art. 46 ust. 2 i 3 w związku z art. 42. Płatnik odpowiada do równowartości 50 euro za transakcje będące skutkiem posłużenia się utraconym lub skradzionym instrumentem płatniczym albo jego przywłaszczenia, a w pełnej wysokości wtedy, gdy doprowadził do nieautoryzowanej transakcji umyślnie albo wskutek umyślnego lub rażąco niedbałego naruszenia obowiązków z art. 42, czyli korzystania z instrumentu zgodnie z umową ramową i niezwłocznego zgłaszania jego utraty, kradzieży, przywłaszczenia lub nieuprawnionego użycia. Ciężar udowodnienia tych okoliczności spoczywa na dostawcy.
Najważniejszym elementem modułu jest oddzielenie decyzji o zwrocie od późniejszej oceny odpowiedzialności. Uczestnicy projektują proces, w którym zwrot D+1 nie oznacza uznania ostatecznej odpowiedzialności banku, a zwróconą kwotę bank dochodzi w drodze roszczenia opartego na wykazanej umyślności lub rażącym niedbalstwie, a nie przez jednostronne ponowne obciążenie rachunku, które Prezes UOKiK zakwestionował.
4. Sprawa C-70/25 Tukowiecka: pytanie, które może zmienić praktykę całego rynku
Sprawa dotyczy wniosku o wydanie orzeczenia w trybie prejudycjalnym złożonego 3 lutego 2025 r. przez Sąd Rejonowy w Koszalinie w sporze N.O. przeciwko PKO BP S.A.; nazwa „Tukowiecka” jest nazwą fikcyjną nadaną sprawie przez Trybunał. Klientka padła ofiarą phishingu: osoba podająca się za kupującego na portalu aukcyjnym przesłała jej link do strony podszywającej się pod bank, a po podaniu danych logowania oszust wykonał nieautoryzowaną transakcję. Sąd pyta, czy art. 73 ust. 1 w związku z art. 74 ust. 1 dyrektywy (UE) 2015/2366 (PSD2) pozwala dostawcy odmówić niezwłocznego zwrotu, jeżeli płatnik poniósł stratę wskutek rażącego zaniedbania obowiązków z art. 69, czyli obowiązków użytkownika dotyczących instrumentu płatniczego i indywidualnych danych uwierzytelniających.
Rzecznik Generalny Athanasios Rantos w opinii z 5 marca 2026 r. uznał, że bank nie może odmówić bezzwłocznego zwrotu z powodu rażącego zaniedbania klienta, może natomiast po dokonaniu zwrotu żądać pokrycia strat, jeżeli klient umyślnie lub wskutek rażącego zaniedbania nie dochował swoich obowiązków. Opinia nie wiąże Trybunału. Rzecznik Finansowy, który opiniował stanowisko Polski w tej sprawie, uznał, że opinia potwierdza jego dotychczasowe stanowisko. Według informacji dostępnych na dzień opracowania programu wyrok nie został ogłoszony, dlatego stan sprawy jest sprawdzany w bazie CURIA przed każdą edycją szkolenia.
Moduł rozbiera stan faktyczny, pytanie prejudycjalne i możliwe skutki wyroku dla reklamacji, rezerw, sporów sądowych i konstrukcji decyzji D+1. Kontekstu dostarcza wyrok TSUE z 1 sierpnia 2025 r. w sprawie C-665/23 Veracash: płatnik traci prawo do zwrotu kwoty nieautoryzowanej transakcji, o której wiedział, jeżeli umyślnie lub wskutek rażącego niedbalstwa zwlekał z jej zgłoszeniem, nawet gdy zgłoszenia dokonał przed upływem 13 miesięcy od obciążenia rachunku. Wyrok zapadł na gruncie dyrektywy 2007/64/WE, ale dotyczy mechanizmu zachowanego w PSD2, dlatego ma znaczenie dla oceny zgłoszeń opóźnionych.
5. Oszustwo 2026: klient „klika sam”, ale proces decyzyjny projektuje przestępca
Współczesne oszustwo rzadko polega na prostym wykradzeniu hasła. Łączy podszywanie się pod numer telefonu, fałszywego pracownika banku lub policjanta, presję czasu, przejęcie urządzenia, phishing, deepfake głosu lub obrazu, fałszywe inwestycje i przekierowanie środków na rachunki słupów albo do kryptoaktywów. INTERPOL w ocenie zagrożeń z marca 2026 r. opisuje industrializację oszustw wspieraną przez AI oraz włączanie szantażu seksualnego do oszustw na uczucia i inwestycyjnych, a Europol wskazuje na wykorzystywanie przez sieci przestępcze platform cyfrowych, szyfrowanej komunikacji i AI.
Moduł odpowiada na praktyczne pytanie: jakie logi, dane urządzenia, sygnały behawioralne, komunikaty wyświetlane w aplikacji, wyniki scoringu i reakcje systemu trzeba zachować, aby można było rzetelnie odtworzyć przebieg zdarzenia, a nie tylko stwierdzić, że kod był poprawny. Materiał dowodowy ma tu podwójne znaczenie: art. 45 ustawy o usługach płatniczych obciąża dostawcę ciężarem dowodu autoryzacji, a zarzut rażącego niedbalstwa wymaga wykazania, co klient widział i jakie ostrzeżenia otrzymał.
Uczestnicy analizują też, jak projektować ostrzeżenia, by rzeczywiście przerywały scenariusz socjotechniczny, oraz jak dokumentować ich treść i moment wyświetlenia. Omawiamy rozwiązania wskazane przez UOKiK jako wdrażane przez banki, w tym biometrię behawioralną, opóźnienie realizacji transakcji i natychmiastową blokadę na żądanie klienta, oraz ich znaczenie w późniejszym sporze o odpowiedzialność.
6. Nowa polityka reklamacyjna banku: jak przebudować proces po decyzjach UOKiK, stanowiskach Rzecznika Finansowego i opinii w sprawie C-70/25
Końcowy moduł jest warsztatem procesowym. Uczestnicy budują ścieżkę od zgłoszenia klienta do decyzji: kwalifikacja transakcji, zabezpieczenie rachunku, zwrot D+1, ocena przesłanek wyjątku z art. 46 ust. 1, zabezpieczenie materiału dowodowego, współpraca komórek przeciwdziałania oszustwom, prawnej, reklamacyjnej i AML, ponowna analiza spraw rozpatrzonych wcześniej negatywnie, komunikacja z klientem i ewentualne dochodzenie roszczenia po dokonaniu zwrotu.
Proces musi uwzględniać nowelizację ustawy o rozpatrywaniu reklamacji przez podmioty rynku finansowego, o Rzeczniku Finansowym oraz o Funduszu Edukacji Finansowej z 17 października 2025 r., obowiązującą od 13 lutego 2026 r.: forma elektroniczna stała się standardowym kanałem składania reklamacji, a klient może wskazać sposób udzielenia odpowiedzi. Terminy nie uległy zmianie. Reklamację rozpatruje się bez zbędnej zwłoki, nie później niż w ciągu 30 dni, a w sprawach szczególnie skomplikowanych do 60 dni; w przypadku usług płatniczych termin wynosi 15 dni roboczych i może zostać wydłużony do 35. Niedochowanie terminu oznacza, że reklamację uważa się za rozpatrzoną zgodnie z wolą klienta.
Osobno analizujemy, jak unikać automatycznych odmów opartych na samym silnym uwierzytelnieniu, jak dokumentować rażące niedbalstwo i jak przygotować politykę na wariant, w którym Trybunał podzieli opinię Rzecznika Generalnego. W tle uwzględniamy kierunek PSR, który ma zwiększyć odpowiedzialność dostawców za oszustwa polegające na podszyciu się pod ich pracowników i za brak ostrzeżeń przy weryfikacji odbiorcy.