Transakcje nieautoryzowane

Co zrobić, gdy z rachunku skradziono pieniądze? Jak nie wpaść w pułapki oszustów? Jakie są obowiązki dostawców płatności, np. banków w przypadku kradzieży środków? Prezes UOKiK wspólnie z Rzecznikiem Finansowym przygotowali odpowiedzi na najczęściej zadawane pytania w sprawie transakcji nieautoryzowanych. Sprawdź, jak nie dać się zmanipulować oszustom i jakie masz prawa, gdy wbrew twojej woli dojdzie do transakcji oszukańczej.

Skargi od konsumentów

Urząd Ochrony Konkurencji i Konsumentów dostaje liczne skargi od konsumentów na tzw. transakcje nieautoryzowane, czyli transakcje wykonane bez zgody właściciela rachunku czy karty płatniczej. To może być np. przelanie przez oszusta środków na inny rachunek – często zagraniczny czy wypłata BLIK.

- "Razem z Rzecznikiem Finansowym zauważamy, że transakcje nieautoryzowane są ogromnym problemem społecznym. Oszuści sięgają po coraz bardziej wyrafinowane metody manipulacji i wyłudzania danych dostępowych do rachunków. Niestety, banki nie wypełniają swoich ustawowych obowiązków i wprowadzają konsumentów w błąd. Konsumentom wciąż brakuje odpowiedniej wiedzy o tym jak bronić się przed pułapkami oszustów, a także jakie prawa przysługują im w sytuacji, gdy dojdzie do nieautoryzowanej transakcji. Stąd pomysł na wspólną akcję edukacyjną" – powiedział Tomasz Chróstny, Prezes UOKiK.

- "Banki mają obowiązek zapewnić maksymalne bezpieczeństwo zgromadzonych przez klientów środków oraz transakcji, ograniczone jedynie prawem do prywatności klienta. Przerzucanie na klientów konsekwencji złamania przez przestępców zabezpieczeń systemu bankowego przeczy założeniom leżącym u jego podstawy. Klient dokonując transakcji ma uzasadnione przekonanie o tym, że  jego bank zapewni mu wysoki standard ochrony. Dyrektywa PSD2 wyraźnie wskazuje, że tym standardem jest, by bank w przypadku, gdy nie stwierdzi próby wyłudzania środków ze strony klienta automatycznie zwracał na jego konto utracone środki" – mówił dr Bohdan Pretkiel, Rzecznik Finansowy.

Przykładowe sytuacje-pułapki

• Telefon od „pracownika banku”. Oszust może podszywać się pod numer infolinii twojego banku (tzw. spoofing). Najczęściej próbuje wzbudzić u ciebie niepokój, mówiąc o próbie kradzieży środków z twojego rachunku. Prosi o zainstalowanie na telefonie lub komputerze oprogramowania, które ma przeskanować urządzenie w celu wykrycia złośliwego oprogramowania i zablokowania transakcji. W rzeczywistości programy te pozwalają na śledzenie twojej aktywności i pozyskanie w ten sposób loginu i hasła do bankowości.
• SMS-y udające te od firm dostarczających prąd, gaz czy przesyłki. Oszuści informują w nich o rzekomej zaległości w płatnościach i wysyłają link do dokonania dopłaty. Kliknięcie przekierowuje na fałszywą stronę przypominającą strony pośredników płatności. W ten sposób oszuści zdobędą twoje dane uwierzytelniające.
• Sprzedaż za pośrednictwem platform internetowych. Oszust może udawać osobę zainteresowaną zakupem. Na komunikatorze wysyła link do „odbioru środków”. Kliknięcie w niego powoduje przekierowanie na fałszywą stronę internetową, łudząco przypominającą strony pośredników płatności lub banków. Uważaj, jeśli wpiszesz tam swoje dane uwierzytelniające (np. dane karty płatniczej), to podasz je oszustowi.

Aby uniknąć utraty pieniędzy z rachunku, warto pamiętać o 4 podstawowych zasadach:

1. Nigdy nie podawaj ani nie wysyłaj nikomu loginu i hasła do bankowości internetowej czy aplikacji mobilnej. Prawdziwy pracownik banku nie będzie cię o to pytać.
2. Nigdy nie klikaj w linki przesłane SMS-em. Potwierdź ewentualne istnienie zaległości samodzielnie, kontaktując się np. z dostawcą gazu czy firmą kurierską.
3. W przypadku telefonu od osoby przedstawiającej się jako pracownik banku, rozłącz się, samodzielnie znajdź numer infolinii i potwierdź, czy ktoś do ciebie dzwonił.
4. Nigdy nie instaluj oprogramowania z przesłanych linków ani w trakcie rozmowy telefonicznej, dotyczącej twojego rachunku lub środków na nim zgromadzonych.

Co w sytuacji, gdy oszustom udało się zdobyć dostęp np. do twojego rachunku płatniczego lub danych karty płatniczej? Jak najszybciej poinformuj swojego dostawcę usług płatniczych, zastrzeż kartę i zmień dane do logowania lub zablokuj rachunek płatniczy. Dzięki temu uniemożliwisz oszustom kradzież środków lub w przypadku gdy już do niej doszło - zapobiegniesz wykonywaniu dalszych transakcji. Jak najszybciej zgłoś także sprawę policji i poinformuj o tym swojego dostawcę usług płatniczych.

Obowiązki dostawców usług płatniczych

Dostawca usług płatniczych jest odpowiedzialny za to, żeby transakcje odbywały się za zgodą i wiedzą właściciela instrumentu płatniczego (np. rachunku lub karty). Dodatkowo na bankach ciąży obowiązek ochrony środków na rachunku. Dlatego dostawca usług płatniczych ma obowiązek zwrócić konsumentowi kwotę nieautoryzowanej transakcji najpóźniej do końca następnego dnia roboczego (tzw. termin D+1) po stwierdzenia braku jej autoryzacji. Od tej powinności przepisy przewidują tylko dwa wyjątki:

• dostawca usług płatniczych ma uzasadnione podejrzenie, że konsument poprzez swoje zgłoszenie i żądanie zwrotu kwoty transakcji, którą autoryzował, próbuje dokonać oszustwa, oraz zawiadomi o tym organy ścigania,
• zgłoszenie nieautoryzowanej transakcji nastąpiło po upływie 13 miesięcy od dnia obciążenia rachunku płatniczego.

Zgodnie z przepisami dostawca usług płatniczych nie może natomiast odmówić zwrotu pieniędzy w innych sytuacjach. Jeżeli jednak wykaże, że oszuści pozyskali dostęp do rachunku w wyniku jego rażącego niedbalstwa, to dostawca usług płatniczych (np. bank) może zwrócić się do płatnika (konsumenta) o zwrot wypłaconej mu uprzednio kwoty nieautoryzowanej transakcji. Jeśli płatnik (konsument) odmówi, bank może dochodzić swoich roszczeń, w tym na drodze sądowej. Szczegółową interpretację przepisów dotyczących transakcji nieautoryzowanych Prezes UOKiK przedstawił w stanowisku, opublikowanym na stronie finanse.uokik.gov.pl.

Działania UOKiK i Rzecznika Finansowego

Prezes Urzędu od lipca 2021 r. prowadzi postępowania wyjaśniające, w których sprawdza, jak banki zachowują się wobec konsumentów, którzy zgłosili nieautoryzowane transakcje. Zebrany dotychczas materiał dał podstawy do postawienia 5 instytucjom finansowym zarzutów naruszania zbiorowych interesów konsumentów. – "Zarzuty dotyczą niezwracania konsumentom w ustawowym terminie kwot nieautoryzowanych transakcji, a także wprowadzania ich w błąd w odpowiedziach na reklamacje. Nie wykluczamy stawiania zarzutów kolejnym bankom" – mówił Tomasz Chróstny, Prezes UOKiK.

W indywidualnych sporach z bankami konsumenci mogą liczyć na wsparcie Rzecznika Finansowego. - Bez wątpienia klient nie powinien być stroną, która w wypadku utraty środków jest niejako podwójnie pokrzywdzona: po pierwsze, gdy dokonana została na jego szkodę nieautoryzowana transakcja i stracił środki, a po drugie, gdy bank odmawia mu zwrotu środków w tzw. terminie D+1 – mówi dr Bohdan Pretkiel, Rzecznik Finansowy.

Jeśli bank nie uwzględnił twojej reklamacji, złóż wniosek do RzF o rozpatrzenie sprawy. Rzecznik ma też kompetencje, aby pomóc ci w sytuacji, gdy spór znajduje się już na etapie postępowania sądowego. We wrześniu 2020 r. RzF złożył pierwszy pozew w imieniu klienta w sprawie, w której bank odmówił zwrotu pieniędzy skradzionych z rachunku w wyniku nieautoryzowanej transakcji płatniczej, a w październiku 2020 r. wystąpił z pierwszą skargą nadzwyczajną do Sądu Najwyższego w takiej sprawie.

 1. W jaki sposób działają oszuści dokonujący nieautoryzowanych transakcji?

W zdecydowanej większości przypadków metody działania oszustów sprowadzają się do pozyskania od użytkownika usług płatniczych jego danych uwierzytelniających, takich jak dane karty płatniczej (numer karty, dane posiadacza karty, kod CVV/CVC) czy login i hasło, służące do logowania do bankowości elektronicznej lub aplikacji mobilnej (tzw. phishing), i ich wykorzystania w celu dokonania transakcji. 

• Jeśli sprzedajesz różne przedmioty za pośrednictwem internetu, w szczególności platform (portali) sprzedażowych – oszuści mogą udawać osobę zainteresowaną zakupem. UWAŻAJ, jeśli osoba zainteresowana wysyła Ci link do „odbioru środków” – najczęściej za pośrednictwem jednego z popularnych komunikatorów, instalowanych na smartfonach. Kliknięcie w link wysłany przez oszusta spowoduje przekierowanie na fałszywą stronę internetową, łudząco przypominającą strony pośredników płatności lub strony internetowe banków. W TEN SPOSÓB PODAJESZ SWOJE DANE UWIERZYTELNIAJĄCE (najczęściej chodzi o dane karty płatniczej) oszustowi.
• Telefon od „pracownika banku” – oszust dzwoni do Ciebie, podając się za pracownika banku. Oszuści mogą podszywać się pod numer infolinii danego banku (tzw. spoofing) – jeśli nie spodziewasz się telefonu od banku, rozłącz się i zainicjuj kontakt z tym podmiotem samodzielnie. Oszust najczęściej próbuje wzbudzić Twój niepokój, mówiąc o próbie kradzieży środków z Twojego rachunku. Prosi Cię o zainstalowanie na urządzeniu (np. telefonie lub komputerze) oprogramowania, które ma je przeskanować w celu wykrycia złośliwego oprogramowania i zablokowania rzekomo zleconych już transakcji. W rzeczywistości programy te pozwalają oszustom na śledzenie aktywności użytkownika i uzyskanie w ten sposób Twojego loginu i hasła do bankowości internetowej lub aplikacji mobilnej.
• Oszuści wysyłają również SMS-y podszywające się np. pod firmy dostarczające prąd, gaz, media czy przesyłki – informują w nich o rzekomej, najczęściej niewielkiej, zaległości w płatnościach czy konieczności dopłaty do przesyłki, wysyłając jedocześnie w tej samej wiadomości link do dokonania „brakującej” płatności. Kliknięcie w link wysłany przez oszusta za pośrednictwem SMS-a spowoduje przekierowanie na fałszywą stronę internetową łudząco przypominającą strony pośredników w płatności. W ten sposób oszuści zdobędą Twoje dane uwierzytelniające.
• Wraz ze wzrostem świadomości użytkowników oszuści doskonalą swoje metody działania.
• Wejście w posiadanie danych uwierzytelniających lub przejęcie kontroli nad urządzeniem użytkownika (poprzez nakłonienie do instalacji stosownego oprogramowania) finalnie umożliwia oszustom kradzież środków z rachunku.

 2. Jakich zasad się trzymać, wykonując transakcje za pomocą bankowości internetowej lub aplikacji mobilnej?

• NIGDY NIE PODAWAJ ANI NIE WYSYŁAJ LOGINU I HASŁA do bankowości internetowej ani aplikacji mobilnej – pracownik dostawcy usług płatniczych (np. banku) nigdy Cię o to nie powinien pytać.
• NIGDY NIE KLIKAJ W LINKI PRZESŁANE SMS-em – potwierdź ewentualne istnienie zaległości samodzielnie, kontaktując się z np. dostawcą gazu czy firmą dostarczającą przesyłkę.
• W przypadku telefonu od dostawcy usług płatniczych (np. banku) – ROZŁĄCZ SIĘ, SAMODZIELNIE ZNAJDŹ NUMER INFOLINII I POTWIERDŹ, CZY WYKONYWANO DO CIEBIE TELEFON.
• NIGDY NIE INSTALUJ OPROGRAMOWANIA z przesłanych linków ani w trakcie rozmowy telefonicznej, dotyczącej Twojego rachunku lub środków na nim zgromadzonych.
• ZAWSZE WERYFIKUJ ADRES STRONY INTERNETOWEJ, przez którą logujesz się do bankowości elektronicznej – zwróć szczególną uwagę na literówki lub znaki specjalne w adresie strony internetowej.

 3. Co powinieneś zrobić, jeżeli z Twojego rachunku bez Twojej wiedzy lub zgody zniknęły pieniądze?

• Przede wszystkim sprawdź, czy nie są to transakcje realizowane np. w oparciu o zlecenie stałe lub wynikające z zawartych umów (np. opłaty abonamentowe, subskrypcje, transakcje wykonywane w oparciu o polecenia zapłaty).
• Jeżeli wykluczysz powyższe możliwości i w żaden sposób nie autoryzowałeś tych transakcji (tj. nie składałeś zlecenia płatniczego oraz nie wyrażałeś zgody na jego wykonanie) – zwróć się do swojego dostawcy usług płatniczych (np. banku) z reklamacją.
• Zastrzeż kartę lub zablokuj rachunek płatniczy, ewentualnie rozważ zmianę danych do logowania – zapobiegniesz wykonywaniu bez Twojej zgody dalszych transakcji z Twojego rachunku.
• Zgłoś sprawę policji.

 4. Jakie są Twoje prawa?

Możesz zwrócić się do dostawcy usług płatniczych (np. banku) o zwrot kwoty transakcji, której nie zlecałeś do wykonania oraz na którą nie wyraziłeś zgody, poprzez wystąpienie ze stosowną reklamacją. Pamiętaj, aby zrobić to niezwłocznie po wykryciu kradzieży środków na swoim rachunku. W razie odmowy zwrotu środków, przysługuje ci prawo np. do wystąpienia o rozpatrzenie sprawy pod kątem naruszenia Twoich praw lub interesów do Rzecznika Finansowego. 

Musisz jednak pamiętać, że jeżeli zgłosisz transakcję jako nieautoryzowaną w sytuacji, w której w rzeczywistości sam świadomie ją wykonałeś, dostawca usług płatniczych może potraktować Twoje działanie jako usiłowanie oszustwa i zgłosić swoje podejrzenie organom ścigania, a w razie potwierdzenia tych podejrzeń – grozi Ci odpowiedzialność karna! Podobnie w sytuacji, w której przekazałeś świadomie dane uwierzytelniające osobom trzecim (np. członkom rodziny) i dokonali oni z ich wykorzystaniem danej transakcji płatniczej za Twoją wiedzą i zgodą.

Pamiętaj również, aby zadbać o bezpieczeństwo swoich danych uwierzytelniających. W sytuacji gdy np. przechowujesz PIN do karty razem z tą kartą, takie zachowanie może nosić znamiona rażącego niedbalstwa w zakresie realizacji obowiązku poufnego przechowywania Twoich danych uwierzytelniających. Przechowywanie tzw. szczególnie chronionych danych dotyczących płatności (np. indywidualnych danych uwierzytelniających, które mogą być wykorzystywane do dokonywania oszustw, z wyłączeniem imienia i nazwiska lub nazwy właściciela rachunku i numeru rachunku) w bezpieczny sposób, tj. świadome niedzielenie się nimi z osobami trzecimi, jest Twoim obowiązkiem.

 5. Czy dostawca usług płatniczych (np. bank) musi zwrócić środki skradzione z Twojego rachunku? Jakie są obowiązki dostawcy usług płatniczych?

Co do zasady w przypadku wystąpienia nieautoryzowanej transakcji płatniczej dostawca usług płatniczych ma obowiązek zwrócić użytkownikowi kwotę tej transakcji. 

Musi to zrobić niezwłocznie, maksymalnie w terminie jednego dnia roboczego następującego po dniu stwierdzenia przez dostawcę usług płatniczych wystąpienia nieautoryzowanej transakcji, którą został obciążony rachunek, lub po dniu otrzymania stosownego zgłoszenia od użytkownika.

 6. Kiedy dostawca usług płatniczych (np. bank) może odmówić zwrotu kwoty transakcji, której autoryzacji użytkownik zaprzecza?

Dostawca usług płatniczych może odmówić zwrotu kwoty, której autoryzacji zaprzeczasz, jedynie w dwóch sytuacjach: 

• podejrzenia usiłowania oszustwa z Twojej strony – wyłudzenia środków. W takiej sytuacji dostawca usług płatniczych może wstrzymać się ze zwrotem kwoty transakcji, co do której ma podejrzenia wobec Ciebie – ale pod warunkiem, że poinformuje o tym w formie pisemnej organy powołane do ścigania przestępstw. Dostawca usług płatniczych wstrzymuje zwrot do czasu ustalenia przez właściwe organy, że jego podejrzenie nie było uzasadnione.
• wystąpienia o zwrot środków po upływie 13 miesięcy od dnia nieautoryzowanej transakcji płatniczej.

 7. Czym jest uwierzytelnianie?

Uwierzytelnianie to czynność techniczna mająca na celu weryfikację tożsamości klienta dokonującego transakcji płatniczej (np. polecenia przelewu) lub ważności stosowania konkretnego instrumentu płatniczego (np. daty ważności karty płatniczej). Metody uwierzytelniania powinny być określone w umowie pomiędzy dostawcą usług płatniczych (np. bankiem) a klientem.

 8. Czym jest autoryzacja?

Autoryzacja to wyrażenie przez klienta zgody na dokonanie transakcji płatniczej (np. polecenia przelewu) w sposób przewidziany w umowie między tym klientem a dostawcą usług płatniczych (np. bankiem). 

Transakcję płatniczą uważa się zgodnie z przepisami za autoryzowaną jedynie wówczas, gdy użytkownik świadomie wyraził zgodę na wykonanie transakcji płatniczej oraz po prawidłowym dokonaniu uwierzytelniania.

Aby zatem autoryzacja była prawidłowa, oba powyższe warunki muszą wystąpić łącznie, tj. zarówno wyrażenie przez klienta zgody na wykonanie transakcji, jak i dokonanie czynności technicznych związanych z uwierzytelnianiem tego klienta (tj. weryfikacją jego tożsamości).

 9. Czym jest transakcja nieautoryzowana?

Transakcja nieautoryzowana to taka transakcja, na którą użytkownik nie wyraził zgody. 

Przykład: 

Osoba trzecia (oszust) uzyskuje dostęp do Twoich danych uwierzytelniających (np. danych do logowania do bankowości elektronicznej) i dokonuje transakcji, posługując się nimi. Uwierzytelnianie może przebiegać prawidłowo, ale z uwagi na brak elementu Twojej zgody, tj. podanie przez oszusta, a nie przez Ciebie stosownych danych niezbędnych do dokonania transakcji w uzgodniony z bankiem sposób – transakcję taką należy uznać za nieautoryzowaną.

  10. Czy dostawca usług płatniczych (np. bank) może odmówić zwrotu kwoty transakcji, jeśli wykaże, że przed złożeniem zlecenia płatniczego nastąpiło prawidłowe uwierzytelnianie użytkownika?

Zgodnie z brzmieniem właściwych przepisów ustawy o usługach płatniczych, dostawca usług płatniczych nie może odmówić zwrotu kwoty transakcji w przypadku zgłoszenia przez Ciebie nieautoryzowanej transakcji płatniczej, powołując się jedynie na prawidłowe uwierzytelnianie. 

W świetle tych przepisów, samo wykazanie przez dostawcę usług płatniczych zarejestrowanego użycia instrumentu płatniczego (w tym przeprowadzenie prawidłowej procedury uwierzytelniania) nie jest wystarczające do udowodnienia, że transakcja płatnicza została przez użytkownika autoryzowana (a więc, że wyraził on zgodę na jej wykonanie). Nie powoduje również po stronie dostawcy usług płatniczych zwolnienia się z obowiązku zwrotu kwoty transakcji, której autoryzacji użytkownik zaprzecza.

Instrument płatniczy to zindywidualizowane urządzenie lub uzgodniony przez użytkownika i dostawcę zbiór procedur, wykorzystywane przez użytkownika do złożenia zlecenia płatniczego (np. karta płatnicza, aplikacja bankowa, bankowość elektroniczna).

 11. Czy dostawca usług płatniczych (np. bank) może odmówić zwrotu kwoty transakcji w sytuacji, w której twierdzisz, że jej nie autoryzowałeś, ale bank wykaże, że wyraziłeś na nią zgodę?

Tak, dostawca usług płatniczych nie musi zwracać kwoty transakcji, jeżeli była ona autoryzowana przez użytkownika. W takiej sytuacji, jeśli użytkownik wnioskuje o zwrot kwoty, powołując się na brak autoryzacji, dostawca usług płatniczych, jeżeli ma do tego uzasadnione i należycie udokumentowane podstawy, powinien dokonać zgłoszenia podejrzenia usiłowania oszustwa organom ścigania. 

Zgodnie z przepisami ustawy o usługach płatniczych, samo tylko stwierdzenie przez dostawcę usług płatniczych, że transakcja była wykonana po prawidłowym uwierzytelnieniu (gdyż jak twierdzi dostawca, np. podano prawidłowe login, hasło oraz autoryzowano jej wykonanie właściwym kodem z SMS-a) nie jest podstawą do odmowy zwrotu kwoty transakcji w sytuacji wystąpienia nieautoryzowanej transakcji płatniczej, stwierdzonej przez użytkownika. W przypadku stwierdzenia jednak, że klient sam autoryzował daną transakcję, tj. że wyraził na nią zgodę, dostawca usług płatniczych może odmówić zwrotu kwoty transakcji po dokonaniu zgłoszenia usiłowania oszustwa ze strony użytkownika organom ścigania.

Dlatego też przed zgłoszeniem dostawcy usług płatniczych danej transakcji płatniczej jako nieautoryzowanej i żądaniem zwrotu kwoty tej transakcji musisz mieć pewność, że nie jest to transakcja, na którą wyrażona została przez Ciebie zgoda (np. subskrypcja, zlecenie stałe, opłata pobrana automatycznie za określoną usługę). W przeciwnym przypadku Twoje zgłoszenie i żądanie zwrotu kwoty może zostać potraktowane przez dostawcę usług płatniczych jako usiłowanie oszustwa, a Tobie może grozić odpowiedzialność karna.

12. Czy dostawca usług płatniczych (np. bank) może odmówić zwrotu kwoty transakcji, której nie autoryzowałeś, jeśli uzna, że oszuści zdobyli dane uwierzytelniające wskutek Twojego rażącego niedbalstwa?

W większości przypadków dostawca usług płatniczych nie będzie w stanie w ustawowym terminie na zwrot kwoty transakcji rzetelnie ocenić, czy Twoje działanie może być oceniane jako rażące niedbalstwo i czy doprowadziło ono do wystąpienia nieautoryzowanej transakcji płatniczej. W takiej sytuacji dostawca usług płatniczych najpierw powinien dokonać zwrotu kwoty nieautoryzowanej transakcji, a dopiero potem – w przypadku stwierdzenia Twojego rażącego niedbalstwa – wystąpić do Ciebie o zapłatę kwoty, którą Ci wcześniej zwrócił. 

Mogą jednak wystąpić sytuacje, kiedy dostawca usług płatniczych w terminie dnia roboczego następującego po dniu dokonania przez Ciebie zgłoszenia będzie w stanie ustalić, że jego zdaniem dopuściłeś się rażącego niedbalstwa. Jeżeli jednak zaprzeczasz dopuszczenia się rażącego niedbalstwa – dostawca usług płatniczych powinien zwrócić Ci kwotę nieautoryzowanej transakcji płatniczej. Musisz jednak liczyć się z tym, że dostawca usług płatniczych wystąpi do Ciebie o zwrot tej kwoty. W przypadku braku zwrotu z Twojej strony dostawca usług płatniczych będzie mógł wystąpić do sądu, który następnie oceni, czy w okolicznościach dokonania danej transakcji można oceniać Twoje zachowanie jako rażące niedbalstwo, w wyniku czego doprowadziłeś do wystąpienia nieautoryzowanej transakcji płatniczej, a tym samym czy odpowiadasz za wystąpienie nieautoryzowanej transakcji płatniczej i musisz zwrócić dostawcy usług płatniczych kwotę transakcji.

13. Czy jeśli padłeś ofiarą oszustwa, w wyniku którego oszuści uzyskali dostęp do Twoich danych uwierzytelniających, dostawca usług płatniczych (np. bank) może powołać się na rażące niedbalstwo?

Dostawca usług płatniczych, po dokonaniu zwrotu kwoty nieautoryzowanej transakcji płatniczej, powinien każdorazowo zbadać, czy wskutek ewentualnego rażącego niedbalstwa z Twojej strony doprowadziłeś do utraty przez Ciebie danych uwierzytelniających i w efekcie utraty środków wskutek nieautoryzowanej transakcji. 

Jednak nie każde Twoje działanie będzie nosić znamiona rażącego niedbalstwa – obecnie oszuści stosują coraz bardziej wyrafinowane techniki oszustw, coraz lepiej wzbudzają zaufanie użytkowników (konsumentów), strony internetowe są podrabiane w coraz bardziej wymyślny i trudniejszy do zidentyfikowania fałszerstwa sposób. Zatem dostawcy usług płatniczych nie mogą automatycznie w każdym przypadku twierdzić, że doprowadziłeś do wykonania nieautoryzowanej transakcji płatniczej wskutek rażącego niedbalstwa.

14. Czy kwestia rzekomej nieprawidłowej implementacji przepisów dyrektywy PSD2 ma wpływ na obowiązek zwrotu przez dostawców usług płatniczych (np. banki) kwot skradzionych z rachunków wskutek dokonania nieautoryzowanych transakcji?

Kwestionowany przez sektor dostawców usług płatniczych przepis (art. 45 ust. 1 i 2 ustawy o usługach płatniczych) nie wpływa bezpośrednio na obowiązek zwrotu przez dostawcę usług płatniczych kwoty nieautoryzowanej transakcji płatniczej w przypadku jej wystąpienia. 

Istotne jest rozróżnienie ustawowego obowiązku zwrotu przez dostawcę usług płatniczych kwoty nieautoryzowanej transakcji w tzw. terminie D+1 (koniec następnego dnia roboczego po dniu powzięcia informacji o nieautoryzowanej transakcji płatniczej) od finalnie ustalonej  odpowiedzialności dostawcy usług płatniczych czy klienta. Kluczowe przy tym jest użycie sformułowania „odpowiada”, a nie np. „dostawca płatnika nie dokonuje zwrotu kwoty transakcji, której autoryzacji płatnik zaprzecza”. Czym innym jest bowiem odpowiedzialność dostawcy usług płatniczych lub klienta, a czym innym – obowiązek zwrotu kwoty transakcji.

W ocenie Prezesa UOKiK oraz Rzecznika Finansowego, sektor dostawców usług płatniczych dąży do sytuacji, w której dostawcy usług płatniczych mogliby arbitralnie odmawiać klientom zwrotu środków skradzionych z ich rachunków w sytuacji, gdy użytkownik (np. konsument) zgłasza, że nie autoryzował takiej transakcji, powołując się jedynie na weryfikację przez nich prawidłowego uwierzytelnienia w systemie bankowym (w praktyce np. prawidłowy login oraz kod PIN). Takie działanie służy do doprowadzenia do sytuacji, która będzie niezgodna z ratio legis dyrektywy PSD2.

Źródło: uokik.gov.pl

A.J.
Zespół e-prawnik.pl