Prezes Urzędu Ochrony Konkurencji i Konsumentów (UOKiK) 4 listopada 2026 roku opublikował decyzje zobowiązujące cztery instytucje finansowe do zmiany polityki w zakresie rozpatrywania zgłoszeń o nieautoryzowanych transakcjach płatniczych. W gronie podmiotów objętych zarzutami znaleźli się ING Bank Śląski, Bank Ochrony Środowiska, Nest Bank oraz Plus Bank. Organy nadzorcze wymagały od tych banków wdrożenia nowych procedur oraz ponownej weryfikacji skarg odrzuconych przez te instytucje od 16 listopada 2022 roku.
Kluczowym elementem nowych obowiązków jest przestrzeganie zasady D+1, która obliguje banki do zwrotu skradzionych środków konsumentom najpóźniej do końca następnego dnia roboczego od dnia zgłoszenia nieautoryzowanej operacji. Jedynymi prawnie uzasadnionymi wyjątkami od tego terminu są sytuacje, w których bank dysponuje udokumentowanymi podejrzeniami co do oszustwa popełnionego przez samego klienta, lub gdy od daty transakcji minęło więcej niż 13 miesięcy. W pozostałych przypadkach odmowa zwrotu środków na etapie wstępnej analizy zgłoszenia jest niezgodna z obowiązującym prawem.
Poprzednie praktyki banków
Zgodnie z komunikatem UOKiK, banki te w przeszłości stosowały praktyki, które regulator uznał za wadliwe. Instytucje te często odmawiały zwrotu pieniędzy, sugerując, że samo prawidłowe uwierzytelnienie transakcji (na przykład poprzez użycie kodu PIN lub autoryzację w aplikacji) zwalnia je z odpowiedzialności i automatycznie oznacza zgodę klienta na przelew. Co więcej, banki bezpodstawnie przerzucały na konsumentów ciężar dowodu, twierdząc, że odzyskanie środków jest możliwe wyłącznie w drodze działań organów ścigania, a nie przez sam bank. Prezes UOKiK Tomasz Chróstny wskazał, że takie podejście jest sprzeczne z prawem, które jasno definiuje obowiązki instytucji finansowych w sytuacjach, gdy środki klienta są pobrane bez jego wiedzy i zgody, np. w wyniku cyberataku.
Wymagania wobec banków
Na mocy wydanych decyzji, ING Bank Śląski, Bank Ochrony Środowiska, Nest Bank i Plus Bank muszą zrealizować szereg konkretnych działań. Przede wszystkim banki są zobowiązane do zmiany wewnętrznych procedur tak, aby prawidłowe uwierzytelnienie transakcji nie było jedyną podstawą do uznania, że to klient samodzielnie ją autoryzował lub dopuścił się rażącego niedbalstwa. W takiej sytuacji to bank musi udowodnić, że klient świadomie wykonał operację.
Drugi ważny obowiązek dotyczy ponownej weryfikacji reklamacji. Banki muszą przeanalizować negatywne odpowiedzi udzielone konsumentom od 16 listopada 2022 roku. W uzasadnionych przypadkach instytucje te będą musiały zwrócić poszkodowanym utracone pieniądze. Termin na przeprowadzenie zwrotów został wyznaczony na najpóźniej 31 grudnia 2027 roku. Dotyczy to zarówno obecnych klientów, jak i byłych. Osoby, które nie korzystają już z usług danego banku, ale ich reklamacje zgłoszone po 15 listopada 2022 roku zostały odrzucone, otrzymają powiadomienie o możliwości i sposobie złożenia wniosku o ponowną weryfikację sprawy.
Rola wyroku TSUE
Decyzja UOKiK opiera się m.in. na październikowym wyroku Trybunału Sprawiedliwości Unii Europejskiej (TSUE) w sprawie C-70/25 (Tukowiecka), który zapadł w 2026 roku. Orzeczenie to potwierdziło stanowisko regulatora, zgodnie z którym w przypadku nieautoryzowanych transakcji, np. wynikających z ataku phishingowego, bank ma bezwzględny obowiązek natychmiastowego zwrotu środków. TSUE wskazał, że zasłanianie się „rażącym zaniedbaniem” konsumenta, aby odmówić wypłaty pieniędzy, jest działaniem bezprawnym. Trybunał podkreślił, że banki nie mogą pełnić roli sędziów we własnej sprawie i nie mają podstaw do masowego odrzucania reklamacji okradzionych klientów.
Obowiązek informacyjny i raportowanie
Banki są zobowiązane do poinformowania o wydanych decyzjach na swoich stronach internetowych oraz do powiadomienia klientów za pośrednictwem aplikacji mobilnych. Dodatkowo, instytucje te będą musiały przedstawić Prezesowi UOKiK raport o sposobie wykonania nałożonych na nie obowiązków. Termin na złożenie takiego oświadczenia upływa 30 kwietnia 2028 roku.
Warto zaznaczyć, że obecna decyzja jest kontynuacją działań UOKiK w tym zakresie. Poprzednio regulator wydał analogiczne decyzje wobec Alior Banku, mBanku, BNP Paribas oraz Banku Millennium, wskazując na powtarzające się problemy w branży w obszarze ochrony konsumentów przed skutkami cyberataków.