Nieautoryzowane transakcje — kiedy bank musi oddać pieniądze?
Bank odpisał, że operację zatwierdzono kodem, aplikacją albo urządzeniem klienta. To dopiero początek analizy. Zgoda, uwierzytelnienie i odpowiedzialność to trzy różne kwestie.
Zrób to natychmiast
- 1Najpierw skontaktuj się z nami
Podaj daty, kwoty i sposób działania oszustów. Ocenimy sprawę i ułożymy zgłoszenie; jeśli dostęp do rachunku nadal jest zagrożony, równolegle natychmiast zablokuj instrument płatniczy w banku.
- 2Zmień dostęp z bezpiecznego urządzenia
Zablokuj karty, aplikację i bankowość. Zabezpiecz telefon lub komputer, ale nie kasuj danych potrzebnych do analizy.
- 3Zachowaj całą komunikację
SMS-y, powiadomienia push, e-maile, historię rozmów, numery telefonów, zrzuty ekranów i odpowiedzi infolinii.
- 4Nie akceptuj odmowy bez dowodów
Zażądaj danych silnego uwierzytelnienia, logów, sposobu dodania odbiorcy i uzasadnienia zarzutu umyślności albo rażącego niedbalstwa.
Autoryzacja to świadoma zgoda
Ustawa o usługach płatniczych wiąże autoryzację ze zgodą płatnika na wykonanie transakcji w sposób uzgodniony z dostawcą. Jeżeli zgody nie było, operacja jest nieautoryzowana. Sam fakt, że system banku przyjął poprawny kod lub rozpoznał urządzenie, nie przesądza jeszcze o świadomej decyzji właściciela rachunku.
Ma to znaczenie w phishingu, vishingu, przejęciu telefonu i zdalnym pulpicie. Oszust może posłużyć się prawidłowymi danymi, podczas gdy klient nie zna rzeczywistego celu zatwierdzanej czynności albo w ogóle nie wykonuje operacji.
Zwrot najpóźniej następnego dnia roboczego
Po stwierdzeniu lub zgłoszeniu nieautoryzowanej transakcji bank powinien co do zasady niezwłocznie zwrócić kwotę, nie później niż do końca następnego dnia roboczego, i przywrócić rachunek do stanu, jaki istniałby bez operacji. Ustawa przewiduje wyjątek, gdy bank ma uzasadnione i należycie udokumentowane podstawy podejrzenia oszustwa klienta oraz zawiadomi właściwe organy.
Praktyka pokazuje, że banki często najpierw prowadzą wielotygodniowe postępowanie reklamacyjne. Taka procedura wewnętrzna nie może sama w sobie uchylać ustawowego mechanizmu zwrotu.
Kto musi udowodnić autoryzację i winę?
Ciężar wykazania prawidłowego uwierzytelnienia oraz dalszych okoliczności spoczywa na dostawcy usług płatniczych. Rejestr systemowy potwierdzający użycie instrumentu nie jest samodzielnie wystarczający, aby przypisać klientowi autoryzację, oszustwo albo rażące niedbalstwo.
Bank, który chce obciążyć klienta pełną stratą, powinien wskazać konkretne zachowanie rażąco odbiegające od podstawowych standardów ostrożności i wykazać jego związek z transakcją. Ogólne formuły o „naruszeniu regulaminu” nie zastępują dowodu.
Terminy i dalsze kroki po odmowie
Klient powinien zgłosić operację bez zbędnej zwłoki. Ustawa przewiduje maksymalnie 13 miesięcy od obciążenia rachunku, ale czekanie osłabia materiał dowodowy i utrudnia odzyskanie środków od kolejnych odbiorców.
Po odmowie analizujemy reklamację, logi, treść komunikatów autoryzacyjnych i sposób działania oszusta. Kolejnymi krokami mogą być interwencja Rzecznika Finansowego, wezwanie do zapłaty oraz pozew przeciwko bankowi wraz z żądaniem odsetek.
Bank odmówił zwrotu? Sprawdzimy, czego nie udowodnił.
Odmowa oparta na samym kodzie SMS albo ogólnym zarzucie niedbalstwa często pomija ciężar dowodu i ustawowy termin zwrotu.
Zobacz, jak prowadzimy takie sprawy Wyślij dokumentyNajczęstsze pytania
Czy mam 13 miesięcy na zgłoszenie?
To maksymalny termin ustawowy w typowej relacji, ale operację należy zgłosić niezwłocznie. Zwłoka może utrudnić zabezpieczenie dowodów i odzyskanie środków.
Kiedy bank może wstrzymać zwrot D+1?
Gdy ma uzasadnione i należycie udokumentowane podstawy podejrzenia oszustwa klienta oraz zawiadomi właściwe organy zgodnie z ustawą.
Co z rażącym niedbalstwem?
Bank musi je wykazać na podstawie konkretnych okoliczności. Samo użycie prawidłowych danych uwierzytelniających nie dowodzi automatycznie rażącego niedbalstwa.