Nieautoryzowane użycie karty oznacza transakcję, na którą nie wyraziłeś świadomej zgody. Sam fakt, że oszust wykorzystał numer karty, PIN albo kod SMS, nie przesądza jeszcze o autoryzacji. W relacji z konsumentem bank co do zasady powinien zwrócić kwotę nieautoryzowanej transakcji, chyba że wykaże umyślne działanie lub rażące niedbalstwo klienta.
Co to znaczy nieautoryzowane użycie karty?
Zgodnie z ustawą o usługach płatniczych transakcja jest nieautoryzowana, gdy płatnik nie wyraził zgody na jej wykonanie w sposób przewidziany w umowie z bankiem. Dotyczy to zarówno płatności kartą w sklepie, zakupów internetowych, jak i wypłat gotówki czy operacji wykonanych przy użyciu danych karty.
Trzeba rozróżnić dwie kwestie. Autoryzacja to zgoda na wykonanie konkretnej transakcji. Uwierzytelnienie jest natomiast procedurą techniczną, która pozwala bankowi sprawdzić tożsamość użytkownika lub ważność użytego instrumentu, na przykład przez login, hasło, PIN albo kod SMS.
Dlatego użycie kodu SMS nie oznacza automatycznie, że klient świadomie zgodził się na płatność. Przykładowo, osoba podszywająca się pod pracownika banku może nakłonić klienta do przekazania kodu, przedstawiając go jako konieczny do odblokowania rachunku. Jeżeli kod faktycznie zatwierdził przelew lub inną operację, nie oznacza to jeszcze, że klient wyraził zgodę na tę właśnie transakcję.
To rozróżnienie wynika z art. 40 i 45 ustawy o usługach płatniczych. Podobne zasady wynikają z unijnej dyrektywy PSD2.
Co zrobić po wykryciu oszustwa?
Nie czekaj na wyjaśnienia banku. Najpierw zablokuj możliwość kolejnych operacji, a dopiero potem kompletuj szczegółowy opis zdarzenia. W pierwszej godzinie po zauważeniu podejrzanej transakcji wykonaj następujące czynności:
- Zastrzeż kartę – skorzystaj z aplikacji, bankowości internetowej albo całodobowej infolinii banku.
- Zgłoś nieautoryzowaną transakcję – podaj datę, kwotę, nazwę odbiorcy i zaznacz, że nie wyrażałeś zgody na operację.
- Zabezpiecz dowody – zachowaj zrzuty ekranu, SMS-y, wiadomości e-mail, historię połączeń i chronologię kontaktu z oszustem.
- Sprawdź pozostałe operacje – przejrzyj historię rachunku, zablokuj podejrzane odbiorniki i zmień hasła, jeśli mogło dojść do przejęcia dostępu.
- Zawiadom Policję – szczególnie gdy doszło do kradzieży danych, przejęcia telefonu lub większej straty.
Nie formatuj telefonu ani komputera przed zabezpieczeniem materiałów. Może to usunąć informacje przydatne przy wyjaśnianiu sposobu działania oszustów.
Czy bank musi oddać pieniądze?
W przypadku konsumenta zasadą jest zwrot kwoty nieautoryzowanej transakcji i przywrócenie rachunku do stanu sprzed obciążenia. Art. 46 ustawy o usługach płatniczych przewiduje, że bank powinien zrobić to niezwłocznie, co do zasady nie później niż do końca następnego dnia roboczego po stwierdzeniu lub zgłoszeniu transakcji. Ustawa przewiduje jednak wyjątek, gdy bank ma uzasadnione i należycie udokumentowane podstawy podejrzewać oszustwo po stronie samego klienta oraz zawiadomi o tym organy ścigania.
Bank nie może ograniczyć się do stwierdzenia, że system zarejestrował użycie karty albo że kod SMS został wpisany prawidłowo. Na podstawie art. 45 u.u.p. to dostawca usług płatniczych powinien wykazać, że:
- transakcja została autoryzowana przez płatnika,
- została prawidłowo zarejestrowana w systemie,
- nie była skutkiem awarii lub usterki po stronie banku,
- klient działał umyślnie albo dopuścił się rażącego niedbalstwa, jeśli bank chce przypisać mu odpowiedzialność.
Samo wykazanie uwierzytelnienia lub zarejestrowanego użycia instrumentu płatniczego nie jest wystarczające. Bank musi odnieść te dane do konkretnej transakcji i wykazać, że klient rzeczywiście wyraził zgodę albo w sposób kwalifikowany naruszył swoje obowiązki.
| Sytuacja | Autoryzacja? | Komentarz prawny |
|---|---|---|
| Oszust płaci skradzioną kartą | Nie | Bank co do zasady odpowiada, z uwzględnieniem zasad dotyczących utraty instrumentu i ewentualnego rażącego niedbalstwa. |
| Klient podaje kod SMS na fałszywej stronie, sądząc, że loguje się do banku | Nie automatycznie | Sam kod potwierdza uwierzytelnienie, ale nie przesądza o świadomej zgodzie na konkretną operację. |
| Klient świadomie przekazuje kartę i dane, godząc się na transakcję | Tak | Brak podstaw do traktowania operacji jako nieautoryzowanej. |
| Klient celowo udostępnia dane, aby wykonać oszukańczą transakcję | Nie, lecz odpowiedzialność może obciążyć klienta | Umyślne działanie może wyłączyć obowiązek zwrotu przez bank. |
Co oznacza rażące niedbalstwo?
Rażące niedbalstwo to nie zwykła pomyłka ani każde nieostrożne zachowanie. Chodzi o kwalifikowane, szczególnie poważne naruszenie podstawowych zasad bezpieczeństwa, którego skutki były oczywiste do przewidzenia. Ocena zawsze zależy od okoliczności konkretnej sprawy.
Bank powinien wskazać konkretne zachowanie klienta, a nie tylko użyć ogólnego określenia „rażące niedbalstwo”. W wyroku TSUE w sprawie C-665/23 podkreślono, że zwłoka w zgłoszeniu nieautoryzowanej transakcji może pozbawić prawa do zwrotu tylko wtedy, gdy była celowa albo wynikała z rażącego zaniedbania. Nie oznacza to, że każdy późniejszy kontakt z bankiem automatycznie odbiera ochronę, ale zgłoszenie powinno nastąpić bez zbędnej zwłoki.
Ustawa przewiduje również maksymalny termin zgłoszenia wynoszący 13 miesięcy od dnia obciążenia rachunku. Nie należy traktować go jako czasu, który można spokojnie wykorzystać. Późne zgłoszenie utrudnia zabezpieczenie dowodów, a w określonych okolicznościach może mieć znaczenie dla oceny odpowiedzialności klienta.
Jak złożyć reklamację?
Reklamację najlepiej złożyć w formie, która pozwala zachować potwierdzenie jej treści i daty. Opisz każdą kwestionowaną operację osobno, nawet jeśli transakcji było kilka. Dołącz dostępne dowody, ale nie musisz samodzielnie odtwarzać całego technicznego przebiegu ataku.
- Złóż reklamację i wyraźnie wskaż, że transakcja była nieautoryzowana.
- Podaj datę, kwotę, odbiorcę, sposób wykrycia operacji oraz moment zgłoszenia bankowi.
- Zażądaj zwrotu środków na podstawie art. 46 u.u.p. oraz wskazania podstawy prawnej ewentualnej odmowy.
- Poproś o pełną dokumentację dotyczącą uwierzytelnienia i autoryzacji, w tym informacje o metodzie potwierdzenia, treści komunikatu oraz danych transakcji.
- Jeśli bank odmówi, złóż odwołanie i rozważ pomoc Rzecznika Finansowego albo prawnika, zwłaszcza przy wysokiej kwocie lub kilku zakwestionowanych operacjach.
Odpowiedź banku nie jest wyrokiem. Jeżeli odmowa opiera się wyłącznie na tym, że użyto PIN-u, kodu SMS albo aplikacji mobilnej, sprawdź, czy bank rzeczywiście wykazał świadomą zgodę lub rażące niedbalstwo. W sporze z konsumentem ciężar tego dowodu co do zasady spoczywa na banku.
Najważniejsze jest szybkie zastrzeżenie karty, niezwłoczne zgłoszenie transakcji i zachowanie dowodów. Nieautoryzowane użycie karty nie oznacza automatycznie bezpowrotnej utraty pieniędzy, ale wynik sprawy zależy od przebiegu zdarzeń, terminowości reakcji i tego, czy bank udowodni przesłanki odpowiedzialności klienta.
Artykuł ma charakter informacyjny i nie stanowi porady prawnej. W przypadku wysokiej kwoty, odmowy zwrotu lub sporu z bankiem warto skonsultować sprawę z prawnikiem albo Rzecznikiem Finansowym.
