Nieautoryzowane transakcje: UOKiK zobowiązał 4 banki do zwrotu pieniędzy za oszustwa

Prezes UOKiK (Urząd Ochrony Konkurencji i Konsumentów) Tomasz Chróstny wydał cztery decyzje zobowiązujące wobec Alior Banku, mBanku, BNP Paribas i Banku Millennium (komunikat UOKiK z września 2026 r.), kończąc trwające blisko cztery lata postępowania. Banki mają ponownie przeanalizować reklamacje klientów odrzucone po zgłoszeniu nieautoryzowanych transakcji, na których Polacy stracili 500 mln zł w samym 2024 r. (dane Stowarzyszenia Stop Bankowemu Bezprawiu). Stan na wrzesień 2026 r.

Co zmieniają decyzje UOKiK wobec czterech banków?

Cztery decyzje zobowiązujące Prezesa UOKiK nakazują Alior Bankowi, mBankowi, BNP Paribas i Bankowi Millennium zmianę sposobu rozpatrywania zgłoszeń nieautoryzowanych transakcji oraz ponowną analizę reklamacji, które wcześniej odrzucono (komunikat UOKiK, wrzesień 2026 r.). To pierwsze tak twarde rozstrzygnięcia w tej sprawie po niemal czterech latach postępowań.

Urząd zakwestionował trzy praktyki. Po pierwsze - zwrot warunkowy, gdy bank oddawał pieniądze tylko na czas rozpatrywania reklamacji, a po uznaniu, że klient jednak "autoryzował" płatność, ponownie ściągał kwotę z konta. Po drugie - przekraczanie ustawowego terminu zwrotu. Po trzecie - traktowanie samego poprawnego zalogowania (uwierzytelnienia) jako dowodu zgody na transakcję.

Mechanizm ochronny jest w prawie od dawna. Zgodnie z ustawą o usługach płatniczych (art. 46) bank ma obowiązek zwrócić kwotę nieautoryzowanej transakcji do końca następnego dnia roboczego po zgłoszeniu (zasada D+1, czyli "nazajutrz"), a odpowiedzialność klienta ogranicza się co do zasady do 50 euro. Problem w tym, że banki - jak ustalił UOKiK - często stosowały ten przepis wybiórczo. Szczegółowo mechanizm D+1 rozłożyliśmy w analizie o zwrocie pieniędzy za nieautoryzowaną transakcję.

To nie koniec działań urzędu. Prezes UOKiK prowadzi kolejnych 10 postępowań wobec innych banków z analogicznymi zarzutami (komunikat UOKiK, wrzesień 2026 r.). Powiem wprost - cztery lata na wydanie pierwszej decyzji to moim zdaniem stanowczo za długo jak na skalę zjawiska, które w tym czasie tylko rosło.

Ile Polacy tracą na nieautoryzowanych transakcjach?

Straty klientów banków z tytułu nieautoryzowanych transakcji sięgnęły 500 mln zł w 2024 r., przy 334 tys. zgłoszonych przypadków w bankowości elektronicznej i aplikacjach mobilnych (dane Stowarzyszenia Stop Bankowemu Bezprawiu). Skala rośnie z każdym kwartałem, a metody oszustów przesuwają się z kart na przelewy.

Najświeższe liczby są alarmujące. W I kwartale 2026 r. NBP (Narodowy Bank Polski) odnotował 39,2 tys. oszustw metodą na polecenie przelewu o wartości prawie 246 mln zł - o 18,1% więcej niż w IV kwartale 2025 r. pod względem liczby i aż o 56,3% więcej wartościowo (dane NBP, I kw. 2026 r.). To pokazuje, że sam "przycisk paniki" i cooling period nie wystarczą, jeśli banki nie zmienią podejścia do reklamacji.

Tło jest szersze niż statystyka jednej sprawy. Polacy trzymają w bankach gros z ok. 3,7 bln zł aktywów finansowych gospodarstw domowych, a każde konto objęte jest gwarancją BFG (Bankowy Fundusz Gwarancyjny) do 100 tys. EUR per bank per klient. Gwarancja BFG chroni jednak przed upadłością banku, a nie przed oszustem, który wyprowadzi środki przelewem. To dlatego kluczowa jest szybka ścieżka zwrotu, o którą walczy UOKiK.

Według Karoliny Pilawskiej, adwokat z kancelarii PZ Adwokaci (komentarz dla Bankier.pl, 2026 r.), konsekwencje nieautoryzowanych transakcji w praktyce zwykle ponosił klient, mimo że ustawa o usługach płatniczych stawia po jego stronie ochronę i przerzuca ciężar dowodu na bank.

Autoryzacja czy uwierzytelnienie - na czym polega spór?

Autoryzacja to świadoma zgoda konsumenta na konkretną transakcję, a uwierzytelnienie to jedynie weryfikacja tożsamości użytkownika (np. logowanie kodem SMS lub w aplikacji). Cały spór między UOKiK a bankami sprowadza się do tego, że instytucje traktowały poprawne uwierzytelnienie jako dowód autoryzacji - i na tej podstawie odmawiały zwrotu.

Różnica jest fundamentalna dla ofiar oszustw "na wnuczka", "na policjanta" czy fałszywe SMS-y. Jeśli oszust nakłonił ofiarę do podania kodu albo przejął sesję, transakcja została technicznie uwierzytelniona, ale nie była świadomie autoryzowana w rozumieniu prawa. Według Tomasza Chróstnego, Prezesa UOKiK (komunikat z września 2026 r.), banki muszą ustalać realną, świadomą zgodę klienta na płatność, a nie zasłaniać się tym, że system poprawnie zweryfikował logowanie.

Ta wykładnia wpisuje się w linię orzeczniczą, którą od miesięcy śledzimy przy okazji spraw konsumenckich - podobnie jak w decyzji UOKiK ws. pożyczki konsolidacyjnej PKO BP i klauzul blankietowych. Ciężar dowodu, że transakcja była autoryzowana, spoczywa na banku, a nie na okradzionym kliencie.

Kalendarium sprawy i co dalej z pozostałymi bankami?

Postępowania Prezesa UOKiK wobec czterech banków trwały blisko cztery lata i zakończyły się decyzjami zobowiązującymi we wrześniu 2026 r., a kolejnych 10 spraw pozostaje w toku (komunikat UOKiK, wrzesień 2026 r.). Poniższe kalendarium pokazuje, jak zjawisko narastało i gdzie jesteśmy dziś.

Banki wprowadziły też rozwiązania techniczne: cooling period (celowe opóźnienie transakcji dające czas na wykrycie oszustwa), szybką ścieżkę zgłoszenia oraz "przycisk paniki" do natychmiastowej blokady. To ruch w dobrą stronę, ale reaktywny - problemem pozostaje etap reklamacji, gdy pieniądze już zniknęły. Ta sprawa to element szerszej ofensywy nadzoru wobec sektora, którą opisywaliśmy m.in. przy zarzutach dla dyrektora banku za 8,8 mln zł strat na funduszach oraz przy aferze HREIT z 362 mln zł strat. Rolę odgrywają tu też KNF (Komisja Nadzoru Finansowego) i Ministerstwo Finansów (MF), z którymi UOKiK prowadził dialog przy tych postępowaniach.

Co decyzja oznacza dla Twoich oszczędności w banku?

Decyzja realnie zwiększa Twoją ochronę, jeśli trzymasz w bankach większy kapitał i korzystasz z bankowości mobilnej. Przy oszczędnościach rzędu 480 tys. zł rozłożonych na kilka kont i lokat pojedyncza nieautoryzowana transakcja może wyprowadzić dziesiątki tysięcy złotych zanim zorientujesz się, że coś jest nie tak.

Po decyzjach UOKiK bank nie może już oddać Ci pieniędzy "na próbę", a po tygodniu ich zabrać. Jeśli zgłosisz nieautoryzowany przelew, kwota powinna wrócić na konto do końca następnego dnia roboczego (D+1), a Twoja maksymalna odpowiedzialność to co do zasady 50 euro - chyba że bank udowodni Twoje rażące niedbalstwo. To odwrócenie logiki, w której to okradziony klient musiał tłumaczyć się z cudzego oszustwa.

Praktyczny wniosek dla osoby z dużym kapitałem: rozproszenie środków między banki i konta nie chroni tylko przed limitem BFG, ale też ogranicza pojedynczą ekspozycję na oszustwo. Jak teoretycznie rozłożyć 480 tys. zł, żeby zmieścić się w gwarancji 100 tys. EUR per bank i jednocześnie nie trzymać wszystkiego w jednej aplikacji, policzysz w Decyzjomacie Lokata-Konto. Aktualne oferty i zabezpieczenia porównasz w rankingu kont osobistych, a część kapitału odpornego na inflację przeliczysz w kalkulatorze obligacji skarbowych.

Zastanawiasz się, czy zamiast trzymać nadwyżkę na koncie nie lepiej ją zagospodarować? Odpowiedź nie jest oczywista, ale bezpieczeństwo środków to jeden z argumentów - sprawdź swój scenariusz w Decyzjomacie Nadpłata. Więcej analiz finwire.pl na temat prawa konsumenckiego i decyzji nadzoru znajdziesz w hubie kategorii prawo. Warto też znać powiązane regulacje, jak nadchodzący limit gotówki 10 000 euro od 2027 r..

Co dalej? Jeśli UOKiK dowiezie analogiczne decyzje w pozostałych 10 postępowaniach, w ciągu kilkunastu miesięcy zasada "bank oddaje najpierw, dyskutuje potem" stanie się standardem całego sektora. To najprawdopodobniej oznacza, że banki mocniej zainwestują w prewencję - bo każdy nieoddany zwrot będzie ich kosztem, a nie klienta. I dobrze, bo dotąd rachunek za cudze oszustwo za często płacił okradziony.

Narzędzia do Twojej decyzji

• Decyzjomat Hipoteczny
• Kalkulator zdolności kredytowej
• Ranking kredytów hipotecznych
• Kalkulator PCC i notariusza
• Kalkulator wynagrodzenia netto