Nieautoryzowana transakcja na koncie? Prezes UOKiK właśnie zobowiązał cztery banki, by oddawały pieniądze tak, jak nakazuje prawo

Wyobraź sobie, że Twoje konto bankowe to sejf, do którego klucz masz tylko Ty. Pewnego dnia budzisz się, sprawdzasz aplikację i widzisz, że ktoś ten sejf otworzył bez Twojej zgody – a pieniądze zniknęły. Zgłaszasz to bankowi, licząc na to, że instytucja, której powierzyłeś oszczędności, natychmiast zareaguje. Tymczasem przez lata wiele banków w Polsce zachowywało się jak strażnik, który zamiast od razu otworzyć drzwi i wpuścić Cię z powrotem, każe czekać, przesłuchuje, a czasem nawet – gdy już wpuści – po jakimś czasie znowu zamyka drzwi na klucz i żąda zwrotu tego, co oddał.

7 września 2026 r. Prezes Urzędu Ochrony Konkurencji i Konsumentów (UOKiK) postawił w tej sprawie kropkę nad „i”. Wydał cztery decyzje zobowiązujące wobec Alior Banku, mBanku, BNP Paribas oraz Banku Millennium, które kończą blisko czteroletnie postępowania dotyczące sposobu, w jaki banki te rozpatrywały zgłoszenia nieautoryzowanych transakcji płatniczych. To jedna z najważniejszych w ostatnich latach interwencji regulatora w relacje banków z klientami – i wielu konsumentów może dzięki niej odzyskać pieniądze, które wcześniej bank odmówił zwrócić.

W tym artykule tłumaczymy, o co dokładnie chodzi, dlaczego sprawa jest tak istotna oraz – co najważniejsze – co powinieneś zrobić, jeśli sam padłeś ofiarą nieautoryzowanej transakcji.

Co dokładnie ustalił Prezes UOKiK?

Postępowania, które toczyły się od 2022 roku, dotyczyły tego, jak banki reagowały na zgłoszenia klientów o transakcjach, których ci nigdy nie zlecili – np. przelewach wykonanych przez oszustów po przejęciu dostępu do konta, płatnościach kartą, o których klient nic nie wiedział, czy operacjach zainicjowanych po ataku phishingowym. Prezes UOKiK zakwestionował trzy powtarzające się praktyki:

• Spóźnione zwroty. Bank nie oddawał pieniędzy w ustawowym terminie, mimo że przepisy mówią o tym jasno – zwrot powinien nastąpić „niezwłocznie”.
• Zwroty na próbę, z klauzulą odwołalności. Niektóre banki oddawały środki tylko „warunkowo” – na czas trwania reklamacji. Jeśli po analizie uznały, że to jednak klient „autoryzował” transakcję albo ponosi za nią odpowiedzialność, po prostu zabierały pieniądze z powrotem.
• Mylenie uwierzytelnienia z autoryzacją. To sedno całego sporu – i zaraz wyjaśnimy je na prostym przykładzie.

Autoryzacja czy uwierzytelnienie? Różnica, która decyduje o Twoich pieniądzach

To rozróżnienie brzmi jak prawniczy drobiazg, a w praktyce jest kluczem do całej sprawy. Prezes UOKiK od lat konsekwentnie podkreśla, że to dwa zupełnie różne pojęcia – i wiele banków przez lata świadomie (albo nieświadomie) je ze sobą myliło, na niekorzyść klientów.

Posłużmy się metaforą klubu nocnego. Przy wejściu stoi ochroniarz, który sprawdza Twój dowód osobisty – weryfikuje, czy rzeczywiście jesteś tym, za kogo się podajesz i czy masz odpowiedni wiek. To jest uwierzytelnienie (ang. authentication) – potwierdzenie tożsamości. Ale sam fakt, że ochroniarz Cię wpuścił, nie oznacza jeszcze, że kupiłeś konkretnego drinka przy barze. To, czy faktycznie zamówiłeś i zgodziłeś się zapłacić za konkretny napój, to zupełnie inna decyzja – to jest autoryzacja (ang. authorization), czyli świadoma zgoda na konkretną operację.

Przekładając to na bankowość: wpisanie prawidłowego kodu SMS, zatwierdzenie logowania odciskiem palca czy potwierdzenie operacji w aplikacji mobilnej to dowód, że ktoś miał dostęp do Twojego telefonu lub karty i poprawnie się zalogował (uwierzytelnienie). To jednak nie jest to samo, co dowód na to, że Ty świadomie zgodziłeś się na wykonanie konkretnego przelewu na konkretną kwotę i do konkretnego odbiorcy (autoryzacja). Oszust, który wyłudził od Ciebie kod SMS metodą socjotechniczną albo przejął zdalny dostęp do telefonu, też potrafi „poprawnie” przejść przez wszystkie etapy logowania. Prawidłowe uwierzytelnienie nie oznacza więc automatycznie, że transakcja była przez Ciebie autoryzowana.

Banki, które to rozróżnienie ignorowały, w praktyce mówiły klientom: „skoro system Cię rozpoznał, to znaczy, że się zgodziłeś” – i na tej podstawie odmawiały zwrotu pieniędzy. Właśnie tę logikę Prezes UOKiK uznał za nieprawidłową.

Dlaczego to nie jest zwykły „kompromis” z bankami

Warto zrozumieć, czym w ogóle jest decyzja zobowiązująca, bo to nie jest ugoda w potocznym rozumieniu. Jak podkreślił Prezes UOKiK Tomasz Chróstny, decyzja zobowiązująca nie jest kompromisem – może zostać wydana wyłącznie wtedy, gdy z przedsiębiorcą uda się wypracować mechanizmy w pełni usuwające naruszenie i jego skutki. Innymi słowy: to nie jest sytuacja, w której regulator i bank „spotykają się w połowie drogi”. To sytuacja, w której bank zobowiązuje się naprawić to, co zepsuł – w całości.

W praktyce oznacza to dwie rzeczy:

1. Zmianę praktyk na przyszłość – banki mają rozpatrywać zgłoszenia zgodnie z prawidłową interpretacją przepisów, odróżniając uwierzytelnienie od autoryzacji i zwracając środki w terminie.
2. Ponowną analizę zgłoszeń z przeszłości – i to jest element, który powinien zainteresować Cię najbardziej. Banki zobowiązały się ponownie przeanalizować sprawy klientów, które wcześniej rozpatrzyły negatywnie.

Jeśli więc w ostatnich latach zgłaszałeś do Alior Banku, mBanku, BNP Paribas lub Banku Millennium nieautoryzowaną transakcję i usłyszałeś odmowę – Twoja sprawa może zostać rozpatrzona jeszcze raz, tym razem zgodnie ze standardem, którego wymaga UOKiK.

Jak powinien zachować się bank – krok po kroku

Żeby łatwiej ocenić, czy Twoja sprawa była (lub jest) prowadzona prawidłowo, warto znać podstawowy mechanizm przewidziany w przepisach:

Zasada: bank powinien niezwłocznie zwrócić klientowi kwotę zgłoszonej nieautoryzowanej transakcji – najpóźniej do końca następnego dnia roboczego po stwierdzeniu takiej transakcji lub otrzymaniu zgłoszenia. To nie jest procedura na „kiedyś”, tylko obowiązek liczony w godzinach, nie tygodniach.

Wyjątek: bank może wstrzymać zwrot, jeśli ma uzasadnione i należycie udokumentowane podstawy, by podejrzewać oszustwo ze strony samego płatnika – i musi wtedy poinformować o tym organy ścigania. To wyjątek, a nie reguła, i musi być poparty konkretnymi dowodami, a nie ogólnym przeczuciem.

Co dalej po zwrocie? Tu pojawia się druga część mechanizmu, o której warto wiedzieć, żeby nie odetchnąć z ulgą zbyt wcześnie. Zwrot pieniędzy nie oznacza, że sprawa jest ostatecznie zamknięta na Twoją korzyść. Jeśli bank później wykaże (czyli udowodni, nie tylko uzna za prawdopodobne), że do nieautoryzowanej transakcji doszło z powodu Twojego umyślnego działania albo rażącego niedbalstwa – np. sam podałeś oszustowi pełne dane logowania i kody autoryzacyjne, świadomie ignorując oczywiste sygnały ostrzegawcze – bank może domagać się zwrotu wcześniej oddanej kwoty. To trochę jak plaster nałożony od razu na ranę: chroni natychmiast, ale lekarz może później zdecydować, że jednak trzeba go zdjąć, jeśli okaże się, że rana powstała z Twojej winy. Kluczowe jest jednak to, że ciężar udowodnienia rażącego niedbalstwa czy umyślności spoczywa na banku – nie na Tobie.

Co konkretnie powinieneś zrobić, jeśli straciłeś pieniądze z konta

Jeśli zauważysz transakcję, której nie wykonałeś, czas ma znaczenie – zarówno prawne, jak i praktyczne (im szybciej zadziałasz, tym mniejsze ryzyko kolejnych operacji oszusta).

1. Natychmiast zablokuj dostęp. Zastrzeż kartę, zablokuj dostęp do bankowości elektronicznej lub – jeśli bank to oferuje – użyj „panic button” wprowadzonego w ostatnich latach przez wiele instytucji.
2. Zgłoś nieautoryzowaną transakcję formalnie, na piśmie lub przez kanał wskazany przez bank, jasno wskazując, że nie autoryzowałeś danej operacji. Zachowaj potwierdzenie zgłoszenia (numer reklamacji, datę, treść).
3. Pilnuj terminu. Bank ma obowiązek zwrócić środki najpóźniej do końca następnego dnia roboczego – jeśli tego nie robi bez konkretnego, udokumentowanego uzasadnienia, to już samo w sobie jest naruszeniem Twoich praw.
4. Nie akceptuj automatycznie argumentu „system Cię uwierzytelnił, więc transakcja jest ważna”. Jak wiesz już z tego artykułu, to nie to samo, co autoryzacja. Jeśli bank powołuje się wyłącznie na poprawne logowanie, kod SMS czy potwierdzenie w aplikacji – domagaj się wyjaśnienia, na jakiej podstawie uznano, że to Ty świadomie zgodziłeś się na konkretną transakcję.
5. Jeśli Twoje wcześniejsze zgłoszenie zostało odrzucone przez jeden z czterech wymienionych banków – Alior Bank, mBank, BNP Paribas, Bank Millennium – sprawdź, czy sprawa nie zostanie objęta zapowiedzianym ponownym rozpatrzeniem. Warto też samodzielnie wystąpić z wnioskiem o ponowną analizę, powołując się na decyzję Prezesa UOKiK z 7 września 2026 r.
6. Zbierz dokumentację. Historia korespondencji z bankiem, zgłoszenie na policję (jeśli je składałeś), zrzuty ekranu podejrzanych wiadomości czy stron – to wszystko może mieć znaczenie, gdyby sprawa wymagała dalszych działań, w tym drogi sądowej.
7. Jeśli bank mimo wszystko odmawia zwrotu lub próbuje ponownie obciążyć Twoje konto – nie musisz się z tym godzić. To dokładnie ten typ sprawy, w którym warto skonsultować się z prawnikiem specjalizującym się w sporach konsumenckich z instytucjami finansowymi, zanim upłynie termin na złożenie reklamacji czy skargi do Rzecznika Finansowego.

To nie koniec – w toku jest jeszcze 10 podobnych postępowań

Decyzje wobec Alior Banku, mBanku, BNP Paribas i Banku Millennium kończą tylko cztery z wielu prowadzonych postępowań. Jak podaje UOKiK, w toku pozostaje jeszcze 10 postępowań, w których innym bankom postawiono analogiczne zarzuty. To sygnał, że mamy do czynienia nie z pojedynczym błędem kilku instytucji, a z szerszym problemem systemowym w całym sektorze bankowym – i że w najbliższych miesiącach można spodziewać się kolejnych decyzji o podobnej wymowie.

Warto też wspomnieć, że równolegle do postępowań UOKiK prowadził czteroletni dialog z branżą, KNF i Ministerstwem Finansów, którego efektem było m.in. wprowadzenie przez banki dodatkowych zabezpieczeń: systemów opartych na sztucznej inteligencji i biometrii behawioralnej wykrywających podejrzane zachowania, tzw. „cooling period” (opóźnienia w realizacji transakcji dającego czas na wykrycie oszustwa) oraz wspomnianego już „panic buttona”. To pokazuje, że presja regulatora realnie zmienia rynek – nie tylko na papierze, ale i w praktycznych narzędziach, z których korzystasz na co dzień.

Najczęściej zadawane pytania

Czy dotyczy mnie ta decyzja, jeśli nie jestem klientem żadnego z czterech wymienionych banków?

Bezpośrednio decyzje zobowiązujące i obowiązek ponownej analizy zgłoszeń dotyczą klientów Alior Banku, mBanku, BNP Paribas i Banku Millennium. Zasady dotyczące terminowego zwrotu środków oraz rozróżnienia autoryzacji i uwierzytelnienia wynikają jednak z przepisów obowiązujących wszystkie banki działające w Polsce – więc argumentacja z tej sprawy może być pomocna niezależnie od tego, z usług którego banku korzystasz.

Ile czasu ma bank na zwrot pieniędzy po zgłoszeniu nieautoryzowanej transakcji?

Co do zasady bank powinien zwrócić środki niezwłocznie, najpóźniej do końca następnego dnia roboczego po stwierdzeniu transakcji lub otrzymaniu zgłoszenia od klienta. Wyjątki dotyczą sytuacji, w których bank ma udokumentowane podstawy, by podejrzewać oszustwo ze strony samego klienta, i zgłosił to organom ścigania.

Czy bank może zabrać z powrotem zwrócone wcześniej pieniądze?

Tak, ale tylko wtedy, gdy udowodni, że do nieautoryzowanej transakcji doszło w wyniku umyślnego działania klienta lub jego rażącego niedbalstwa. To bank musi to wykazać – nie klient musi udowadniać swojej niewinności.

Co jeśli mój bank odmówił zwrotu, powołując się na to, że „poprawnie się zalogowałem”?

To właśnie argument, który zakwestionował Prezes UOKiK. Poprawne uwierzytelnienie (np. zalogowanie się, wpisanie kodu SMS) nie jest tym samym, co autoryzacja, czyli świadoma zgoda na konkretną transakcję. Sam fakt prawidłowego logowania nie przesądza więc, że transakcję faktycznie autoryzowałeś.

Co powinienem zrobić, jeśli moja reklamacja została już wcześniej odrzucona?

Warto wystąpić do banku o ponowną analizę sprawy, powołując się na decyzję Prezesa UOKiK z 7 września 2026 r., a w razie dalszej odmowy – rozważyć skargę do Rzecznika Finansowego lub konsultację z prawnikiem specjalizującym się w sporach z instytucjami finansowymi.

Nie musisz walczyć z bankiem sam

Spory z dużymi instytucjami finansowymi bywają wyczerpujące – banki dysponują całymi działami prawnymi, gotowymi procedurami i czasem, na który zwykły klient nie zawsze może sobie pozwolić. Decyzja Prezesa UOKiK daje konsumentom mocny argument, ale przełożenie go na konkretny, wygrany spór z konkretnym bankiem to często osobna batalia.

Jeśli Twoje zgłoszenie nieautoryzowanej transakcji zostało odrzucone, bank wstrzymuje zwrot środków bez wystarczającego uzasadnienia albo próbuje ponownie obciążyć Twoje konto już po dokonanym zwrocie – skontaktuj się z nami. Przeanalizujemy Twoją sprawę, sprawdzimy, czy bank postępował zgodnie z prawem, i pomożemy Ci odzyskać pieniądze, które są Twoje.

Podstawa: komunikat Urzędu Ochrony Konkurencji i Konsumentów z 7 września 2026 r., „Nieautoryzowane transakcje płatnicze: cztery banki zmieniają praktyki po decyzjach Prezesa UOKiK”, uokik.gov.pl.