
Przelew, którego nikt nie zlecał, albo płatność kartą w sklepie, w którym właścicielka konta nigdy nie była. Taki widok w aplikacji banku potrafi zepsuć każdy wieczór, ale prawo stoi tu po stronie klientki: bank co do zasady musi oddać pieniądze do końca następnego dnia roboczego i nie może odmówić tylko dlatego, że ktoś wpisał poprawny kod. UOKiK wyjaśnia zasady i zamknął właśnie sprawy czterech banków – a na końcu możesz sprawdzić, czy wiesz, co robić, gdy z konta znikną pieniądze.
Ten scenariusz zna coraz więcej studentek: w aplikacji banku widać przelew albo płatność kartą, której nikt nie zlecał. Dla prawa to transakcja nieautoryzowana, czyli taka, na którą właścicielka rachunku nie wyraziła zgody. Urząd Ochrony Konkurencji i Konsumentów (UOKiK) w odpowiedziach na najczęstsze pytania rozdziela dwa pojęcia, które łatwo pomylić. Uwierzytelnienie to techniczne sprawdzenie, że ktoś użył właściwego loginu, karty czy kodu. Autoryzacja wymaga czegoś więcej: zgody klientki na konkretną operację, połączonej z prawidłowym uwierzytelnieniem.
Dlaczego to ważne? Bo oszust, który wyłudził hasło albo dane karty, przejdzie uwierzytelnienie bez zarzutu. Zgody właścicielki konta i tak nie ma.
UOKiK opisuje popularne scenariusze oszustów:
Najpierw warto na spokojnie sprawdzić, czy to na pewno obca operacja. Czasem okazuje się, że to zlecenie stałe, zapomniana subskrypcja albo polecenie zapłaty. Jeśli nie, UOKiK radzi:
Jedno ostrzeżenie: zgłoszenie jako nieautoryzowanej transakcji, którą w rzeczywistości zrobiło się samemu, może zostać potraktowane jako próba oszustwa. A to już odpowiedzialność karna.
Teraz najważniejsze. Bank powinien oddać pieniądze niezwłocznie, najpóźniej w ciągu jednego dnia roboczego następującego po dniu, w którym sam wykrył transakcję albo dostał zgłoszenie od klientki. W finansowym żargonie to termin D+1.
Wstrzymać zwrot bank może tylko w dwóch sytuacjach. Pierwsza: ma uzasadnione i udokumentowane podejrzenie, że oszukać próbuje sama klientka – wtedy musi pisemnie zawiadomić organy ścigania. Druga: zgłoszenie przyszło po upływie 13 miesięcy od dnia transakcji.
Według UOKiK bank nie może odmówić zwrotu wyłącznie dlatego, że transakcja była prawidłowo uwierzytelniona, czyli ktoś podał poprawny login, hasło i kod z SMS-a. Zarejestrowane użycie karty czy aplikacji nie dowodzi, że klientka zgodziła się na operację.
Zwrot w terminie D+1 nie zawsze jest ostateczny. Jeśli bank później wykaże, że do transakcji doszło przez umyślne działanie klientki albo jej rażące niedbalstwo, może zażądać oddania pieniędzy, a gdy klientka ich nie odda – skierować sprawę do sądu. Przykład niedbalstwa, który podaje UOKiK: PIN przechowywany razem z kartą.
Urząd podkreśla jednak, że oszuści stosują coraz bardziej wyrafinowane metody, więc bank nie może automatycznie zakładać, że każda poszkodowana zawiniła. Zwykle nie zdąży zresztą ocenić tego w jeden dzień – dlatego najpierw oddaje pieniądze, a dopiero potem wyjaśnia sprawę.
Po odmowie zwrotu można zwrócić się do Rzecznika Finansowego o rozpatrzenie sprawy pod kątem naruszenia praw klientki. Pomagają też miejscy i powiatowi rzecznicy konsumentów, Inspekcja Handlowa oraz infolinia konsumencka podawana przez UOKiK: 801 440 220 lub 222 66 76 76 (opłata według taryfy operatora).
Że to nie teoria, pokazują wrześniowe decyzje urzędu. We wrześniu 2026 r. UOKiK poinformował o czterech decyzjach zobowiązujących, które zamknęły trwające blisko cztery lata postępowania wobec czterech banków. Zarzuty? Zwroty po terminie, zwroty „warunkowe”, cofane po rozpatrzeniu reklamacji, i odmowy oparte tylko na tym, że transakcję poprawnie uwierzytelniono. Banki zobowiązały się zmienić praktyki i ponownie rozpatrzyć wcześniej odrzucone zgłoszenia. Kolejnych dziesięć podobnych postępowań wciąż trwa.
Według komunikatu banki wprowadziły też nowe zabezpieczenia, m.in. „okres schłodzenia”, który opóźnia realizację podejrzanej transakcji, i „przycisk paniki”, od razu blokujący kolejne operacje.
Obca transakcja na koncie to sygnał do szybkiego działania: blokada karty, reklamacja w banku, zgłoszenie na policję. Bank co do zasady ma oddać pieniądze do końca następnego dnia roboczego i nie może zasłaniać się samym poprawnym loginem czy kodem. Na zgłoszenie jest najwyżej 13 miesięcy, ale lepiej nie czekać ani dnia.
Źródło: Urząd Ochrony Konkurencji i Konsumentów (FAQ – finanse.uokik.gov.pl, stan na 27.10.2026; Unauthorised payment transactions: Four banks change their practices following decisions by the President of UOKiK, stan na 27.10.2026); opracowanie własne.
5 pytań · minuta