15 października 2026 r. Trybunał Sprawiedliwości Unii Europejskiej wydał istotny dla klientów banków wyrok w sprawie C-70/25, Tukowiecka.

Orzeczenie dotyczy odpowiedzialności za nieautoryzowane transakcje płatnicze, w szczególności sytuacji, w których klient banku pada ofiarą phishingu, a bank odmawia zwrotu pieniędzy, twierdząc, że klient dopuścił się rażącego niedbalstwa.

Najważniejszy wniosek z wyroku TSUE C-70/25 jest bardzo istotny praktycznie.

Sam zarzut rażącego niedbalstwa klienta nie pozwala bankowi odmówić bezzwłocznego zwrotu kwoty nieautoryzowanej transakcji płatniczej.

Ewentualna odpowiedzialność klienta może być przedmiotem późniejszego rozliczenia. Nie powinna jednak automatycznie blokować obowiązku zwrotu środków wynikającego z przepisów dotyczących nieautoryzowanych transakcji.

Czego dotyczyła sprawa C-70/25?

Sprawa trafiła do TSUE na skutek pytania prejudycjalnego Sądu Rejonowego w Koszalinie w sporze pomiędzy klientką a bankiem.

Klientka wystawiła przedmiot na internetowej platformie sprzedażowej. Osoba podająca się za zainteresowanego kupującego przesłała jej link, który miał służyć do potwierdzenia sprzedaży.

W rzeczywistości link prowadził do fałszywej strony internetowej wyglądającej jak strona banku.

Klientka podała na niej dane umożliwiające dostęp do bankowości elektronicznej. Informacje te zostały następnie wykorzystane przez osobę trzecią do wykonania transakcji z rachunku klientki.

Po wykryciu oszustwa klientka zgłosiła bankowi, że transakcja nie została przez nią autoryzowana.

Bank odmówił jednak zwrotu środków. Jako podstawę swojego stanowiska wskazał rażące niedbalstwo klientki związane z przekazaniem danych służących do korzystania z bankowości elektronicznej.

Powstało więc pytanie, czy zarzut rażącego niedbalstwa pozwala bankowi odmówić natychmiastowego zwrotu pieniędzy.

Co rozstrzygnął TSUE w sprawie C-70/25?

Trybunał uznał, że zarzut rażącego niedbalstwa klienta nie daje bankowi podstawy do odmowy wykonania obowiązku bezzwłocznego zwrotu kwoty nieautoryzowanej transakcji.

W przypadku nieautoryzowanej transakcji płatniczej dostawca usług płatniczych powinien co do zasady zwrócić jej kwotę bez zbędnej zwłoki, najpóźniej do końca następnego dnia roboczego po uzyskaniu informacji o transakcji.

Przepisy przewidują wyjątek związany z sytuacją, w której istnieją uzasadnione podstawy do podejrzenia oszustwa popełnionego przez samego klienta.

Jest to jednak sytuacja odmienna od tej, w której klient został oszukany przez osobę trzecią, a bank zarzuca mu jedynie brak dostatecznej ostrożności.

TSUE wyraźnie rozróżnił więc oszustwo dokonane przez klienta od rażącego niedbalstwa klienta, który sam padł ofiarą oszustwa.

Zwrot pieniędzy a rażące niedbalstwo klienta – dwie różne kwestie

To jeden z najważniejszych elementów wyroku.

Trybunał rozdzielił dwa zagadnienia:

• obowiązek zwrotu kwoty nieautoryzowanej transakcji,

oraz

• ostateczną odpowiedzialność klienta za powstałą szkodę.

Bank nie może więc po prostu stwierdzić, że zachowanie klienta było rażąco niedbałe, i na tej podstawie zatrzymać pieniądze do czasu zakończenia ewentualnego postępowania sądowego.

Jeżeli bank uważa, że klient poprzez rażące niedbalstwo naruszył swoje obowiązki związane z bezpieczeństwem instrumentu płatniczego, może następnie dochodzić odpowiedniego rozliczenia.

Nie oznacza to jednak, że sam zarzut rażącego niedbalstwa uchyla obowiązek dokonania zwrotu na zasadach dotyczących nieautoryzowanych transakcji.

Co wynika z polskiej ustawy o usługach płatniczych?

Rozstrzygnięcie TSUE ma bezpośrednie znaczenie przy stosowaniu polskiej ustawy o usługach płatniczych.

Zgodnie z art. 46 tej ustawy w przypadku nieautoryzowanej transakcji płatniczej dostawca powinien co do zasady zwrócić płatnikowi kwotę takiej transakcji niezwłocznie, nie później niż do końca następnego dnia roboczego.

Przepisy przewidują jednocześnie możliwość ponoszenia przez klienta odpowiedzialności za straty, jeżeli doprowadził on do nieautoryzowanej transakcji umyślnie albo wskutek umyślnego naruszenia lub rażącego niedbalstwa nie wykonał określonych obowiązków związanych z bezpieczeństwem.

Po wyroku TSUE C-70/25 szczególnego znaczenia nabiera jednak kolejność stosowania tych regulacji.

Możliwość przypisania klientowi odpowiedzialności za rażące niedbalstwo nie oznacza automatycznie, że bank może odmówić wykonania obowiązku zwrotu właściwego dla nieautoryzowanej transakcji.

Kto powinien udowodnić rażące niedbalstwo?

Ciężar wykazania okoliczności świadczących o rażącym niedbalstwie klienta nie powinien być automatycznie przerzucany na poszkodowanego.

Samo użycie prawidłowych danych uwierzytelniających albo prawidłowe technicznie przeprowadzenie transakcji nie przesądza jeszcze, że klient rzeczywiście ją autoryzował.

Nie oznacza również automatycznie, że dopuścił się rażącego niedbalstwa.

Bank powinien wykazać okoliczności uzasadniające przypisanie klientowi takiego zachowania.

W praktyce znaczenie może mieć sposób przeprowadzenia oszustwa, treść komunikatów kierowanych do klienta, wygląd fałszywej strony, sposób autoryzacji transakcji oraz informacje, które klient rzeczywiście przekazał osobom trzecim.

Czy kliknięcie w fałszywy link oznacza rażące niedbalstwo?

Nie można przyjąć takiej zasady automatycznie.

Wyrok TSUE C-70/25 nie przesądza, że każda osoba, która kliknęła w fałszywy link lub podała dane na stronie phishingowej, zachowała należytą ostrożność.

Nie oznacza też, że klient nigdy nie może ponosić odpowiedzialności za swoje zachowanie.

Istotne jest jednak coś innego.

Bank nie może potraktować własnej oceny zachowania klienta jako wystarczającej podstawy do odmowy wykonania obowiązku zwrotu nieautoryzowanej transakcji.

Ocena rażącego niedbalstwa wymaga analizy konkretnego przypadku.

Samo stwierdzenie w odpowiedzi na reklamację, że klient „nie zachował należytej ostrożności”, nie powinno zastępować takiej analizy.

Phishing a odpowiedzialność banku po wyroku TSUE

Wyrok ma szczególne znaczenie w sprawach dotyczących phishingu.

W tego rodzaju oszustwach sprawcy często tworzą strony niemal identyczne ze stronami banków, platform sprzedażowych lub operatorów płatności.

Klient może zostać przekierowany na fałszywą stronę poprzez wiadomość SMS, komunikator, wiadomość e-mail albo link otrzymany od osoby podszywającej się pod kupującego lub sprzedawcę.

Następnie uzyskane dane są wykorzystywane przez oszustów do dokonania transakcji.

W wielu sporach banki odmawiają zwrotu środków właśnie z powodu zachowania klienta poprzedzającego transakcję.

Po wyroku C-70/25 sam taki zarzut nie powinien jednak wystarczać do pominięcia mechanizmu zwrotu przewidzianego dla nieautoryzowanych transakcji.

Co wyrok TSUE C-70/25 oznacza dla sporów z bankami?

Orzeczenie może mieć istotne znaczenie zarówno dla nowych reklamacji, jak i dla spraw już znajdujących się na etapie postępowania sądowego.

W szczególności wyrok potwierdza, że:

• bank nie może automatycznie utożsamiać rażącego niedbalstwa klienta z możliwością odmowy bezzwłocznego zwrotu pieniędzy,
• obowiązek zwrotu oraz późniejsze rozliczenie odpowiedzialności klienta stanowią odrębne zagadnienia,
• bank powinien wykazać okoliczności uzasadniające przypisanie klientowi rażącego niedbalstwa,
• samo techniczne uwierzytelnienie transakcji nie jest jeszcze wystarczające do wykazania, że klient ją autoryzował.

Ma to szczególne znaczenie w sytuacjach, w których reklamacja została odrzucona przede wszystkim dlatego, że klient kliknął w link, podał określone dane lub wykonał czynności wykorzystane następnie przez oszustów.

Czy bank zawsze musi zwrócić pieniądze po phishingu?

Nie.

Wyroku C-70/25 nie należy interpretować jako ustanawiającego bezwarunkową odpowiedzialność banku za każdą stratę powstałą wskutek oszustwa internetowego.

Po pierwsze, musi chodzić o transakcję rzeczywiście nieautoryzowaną przez klienta.

Po drugie, przepisy przewidują wyjątki dotyczące między innymi sytuacji, w których istnieje podejrzenie oszustwa dokonanego przez samego płatnika.

Po trzecie, klient może ostatecznie ponosić odpowiedzialność za powstałą stratę, jeżeli zostanie wykazane, że naruszył swoje obowiązki umyślnie albo wskutek rażącego niedbalstwa.

Istota wyroku polega jednak na tym, że spór dotyczący rażącego niedbalstwa nie może być automatycznie wykorzystywany do pominięcia obowiązku bezzwłocznego zwrotu środków.

Wyrok TSUE C-70/25 – znaczenie praktyczne dla klientów banków

Wyrok w sprawie Tukowiecka wzmacnia pozycję klientów banków, którzy padli ofiarą phishingu lub innego rodzaju oszustwa prowadzącego do dokonania nieautoryzowanej transakcji.

Nie oznacza on zniesienia odpowiedzialności klienta za jego zachowanie.

Zmienia jednak sposób, w jaki należy patrzeć na relację pomiędzy obowiązkiem zwrotu środków a ewentualnym zarzutem rażącego niedbalstwa.

Bank nie powinien jednostronnie uznawać klienta za odpowiedzialnego za stratę i wyłącznie z tego powodu odmawiać wykonania obowiązku zwrotu.

Jeżeli bank uważa, że zachowanie klienta uzasadnia jego odpowiedzialność, kwestia ta może być przedmiotem dalszego rozliczenia.

Dla osób, którym bank odmówił zwrotu środków po phishingu, wyrok TSUE C-70/25 może więc stanowić istotny argument przy ocenie zasadności stanowiska banku.

Bank odmówił zwrotu pieniędzy po oszustwie – co można zrobić?

Odmowa uznania reklamacji przez bank nie oznacza jeszcze, że stanowisko banku jest prawidłowe.

W pierwszej kolejności warto ustalić:

• czy transakcja rzeczywiście została autoryzowana przez klienta,
• w jaki sposób doszło do przejęcia danych,
• jak wyglądał mechanizm oszustwa,
• jakich czynności dokonał klient,
• w jaki sposób bank uzasadnił odmowę zwrotu,
• czy bank wykazał okoliczności mające świadczyć o rażącym niedbalstwie.

Dopiero analiza całego przebiegu zdarzenia pozwala ocenić, czy istnieją podstawy do dochodzenia zwrotu pieniędzy.

Jeżeli bank odmówił zwrotu środków utraconych wskutek phishingu albo innej nieautoryzowanej transakcji płatniczej, warto przeanalizować dokumentację sprawy oraz treść otrzymanej odpowiedzi na reklamację.

Wyrok TSUE C-70/25 z 15 października 2026 r. może mieć w takich sprawach bezpośrednie znaczenie.