Nowe standardy ochrony klientów bankowych

Trybunał Sprawiedliwości Unii Europejskiej (TSUE) wydał 15 października 2026 roku kluczowe orzeczenie w sprawie C-70/25, które znacząco wzmacnia pozycję klientów banków w starciu z instytucjami finansowymi. Sprawa dotyczyła klientki polskiego banku, która padła ofiarą ataku phishingowego: oszust podszył się pod bank i nakłonił ją do ujawnienia danych logowania, a następnie wykonał z jej konta nieautoryzowane przelewy. Zgodnie z wyrokiem, banki są zobowiązane do niezwłocznego zwrotu środków w przypadku wystąpienia nieautoryzowanej operacji płatniczej, takiej jak phishing czy kradzież tożsamości.

Koniec z wstrzymywaniem zwrotów

Dotychczasowa praktyka banków polegała często na blokowaniu zwrotu środków pod pretekstem domniemanego rażącego niedbalstwa klienta. TSUE jednoznacznie uciął te praktyki, wskazując, że instytucja finansowa musi najpierw dokonać zwrotu pieniędzy, najpóźniej do końca następnego dnia roboczego, a dopiero w dalszej kolejności może dochodzić swoich racji, jeśli posiada dowody na winę użytkownika. Szybkość zwrotu nie może być zakładnikiem wewnętrznego postępowania wyjaśniającego prowadzonego przez bank.

Rażące niedbalstwo nie zwalnia banku z obowiązku

Wyrok nie znosi odpowiedzialności klienta za rażące niedbalstwo, ale wyraźnie oddziela ją od obowiązku niezwłocznego zwrotu środków. Innymi słowy: nawet jeśli bank uważa, że klient zachował się lekkomyślnie, na przykład przekazał dane po kliknięciu w podejrzany link, nie może na tej podstawie wstrzymać zwrotu pieniędzy. O odpowiedzialności klienta bank może dochodzić dopiero później, w odrębnym postępowaniu i na własną rękę. To fundamentalna zmiana logiki rozpatrywania reklamacji w całej Unii Europejskiej.

Wyjątki od reguły

Jedynym dopuszczalnym przypadkiem, w którym bank może wstrzymać się z natychmiastowym zwrotem, jest sytuacja, w której posiada on uzasadnione i udokumentowane podejrzenia, że to sam klient dopuścił się oszustwa. W takim scenariuszu bank musi jednak przedstawić swoje argumenty na piśmie odpowiednim organom nadzorczym. Zwykłe podejrzenie czy domniemanie nieuwagi klienta nie wystarcza do zablokowania zwrotu.

Co to oznacza dla Polaków z kontami w hiszpańskich bankach

Dla polskich inwestorów posiadających rachunki w hiszpańskich bankach jest to informacja o kluczowym znaczeniu. Orzeczenie ujednolica standardy ochrony konsumentów w całej Unii Europejskiej, ograniczając pole do nadużyć ze strony sektora bankowego, który w obliczu rosnącej liczby cyberprzestępstw będzie musiał zrewidować swoje procedury reklamacyjne. Wyrok dotyczy wszystkich usług płatniczych realizowanych w ramach unijnych regulacji, więc klient Santander, CaixaBank, Sabadell czy BBVA może powoływać się na te same zasady jak klient banku w Polsce. Warto też pamiętać, że bankowość w obcym języku zwiększa ryzyko błędu przy weryfikacji komunikatów, dlatego hiszpańskie oddziały banków muszą traktować reklamacje klientów zagranicznych równie rzetelnie jak krajowych.

Co zrobić po oszustwie: praktyczne kroki

Jeśli stałeś się ofiarą phishingu, w pierwszej kolejności natychmiast zablokuj kartę i dostęp do bankowości, a następnie zgłoś nieautoryzowaną transakcję do banku na piśmie lub przez oficjalny kanał obsługi. Zachowuj potwierdzenia zgłoszenia i całą korespondencję. Bank ma obowiązek niezwłocznie zwrócić środki, a jeśli odmawia powołując się na Twoją niefrasobliwość, powołaj się na wyrok TSUE z 15 października 2026 roku w sprawie C-70/25. W Hiszpanii dodatkowym argumentem może być skarga do Banco de España, która wymusza na banku uchylenie się do regulaminu. Zgłoszenia najlepiej dokonać jeszcze tego samego dnia: im szybsza reakcja, tym większa szansa na odzyskanie środków, zanim oszust zdąży je przelać dalej.

Źródła

• Trybunał Sprawiedliwości UE, komunikat prasowy po wyroku C-70/25
• Abogacía Española
• Heraldo de Aragón
• La Voz de Galicia
• Prawo.pl, Wyborcza.biz