Bank odmawia zwrotu po nieautoryzowanej płatności — jakie dowody i skargę przygotować?

Jeżeli na rachunku widzisz płatność, której nie chciałeś i na którą nie wyraziłeś zgody, zgłoś ją bankowi natychmiast i zabezpiecz rachunek. Sam fakt, że operacja została technicznie potwierdzona prawidłowym PIN-em, kodem albo aplikacją bankową, nie wystarcza sam w sobie do wykazania, że świadomie ją autoryzowałeś.

Poradnik dotyczy konsumentów, którzy mają rachunek w banku lub innej instytucji płatniczeji działającej w Belgii. Nie dotyczy firm, inwestycji ani kryptowalut. Wyjaśniamy, co zabezpieczyć, jakie dowody zebrać, jak napisać reklamację i kiedy skierować sprawę do Ombudsfini. Nikt nie może obiecać zwrotu w każdej sprawie: wynik zależy od okoliczności.

Nie każda sytuacja po oszustwie jest jednak prawnie taka sama. Jeśli sam świadomie zleciłeś przelew do wskazanego odbiorcy, ale zrobiłeś to pod wpływem oszusta, kwalifikacja może być inna niż przy płatności, której nigdy nie zamierzałeś wykonać. Według unijnej dyrektywy o usługach płatniczych (PSD2, art. 64) operację uznaje się za autoryzowaną, gdy płatnik wyraził zgodę na jej wykonanie — przy przelewie zleconym przez ciebie samego bank może więc twierdzić, że taką zgodę dałeś. Dlatego w reklamacji bardzo precyzyjnie opisz, co faktycznie się wydarzyło.

Co zrobić natychmiast?

1. Skontaktuj się z bankiem

Zgłoś nieautoryzowaną operację i poproś o zabezpieczenie:

• bankowości internetowej;
• aplikacji;
• tokenów lub urządzeń autoryzacyjnych;
• innych kanałów, które mogły zostać przejęte.

Nie zakładaj, że samo zablokowanie karty wyłącza dostęp do aplikacji lub bankowości elektronicznej. Sprawdź w banku, czy zablokowano wszystkie instrumenty płatnicze, które mogły zostać utracone, skradzione lub przejęte.

2. Zablokuj kartę, jeśli mogła zostać przejęta

Jeżeli problem dotyczy karty albo jej danych, zadzwoń do Card Stop: 078 170 170 (z zagranicy +32 78 170 170, całą dobę), albo skorzystaj z procedury wskazanej przez bank.

Uwaga: Card Stop co do zasady blokuje tylko karty. Aplikacji bankowej i innych instrumentów płatniczych w ten sposób zwykle nie zablokujesz — to załatwiasz w banku.

Zachowaj godzinę zgłoszenia i numer potwierdzenia.

3. Zmień dane dostępowe

Jeżeli mogłeś ujawnić hasło, kod, dane logowania lub zatwierdzić instalację urządzenia, wykonaj instrukcje bezpieczeństwa banku. Nie loguj się ponownie przez link otrzymany w podejrzanej wiadomości.

4. Zgłoś sprawę na policję

Wikifin (serwis FSMA) zaleca jak najszybciej zgłosić się na policję i poprosić o sporządzenie protokołu — FR: procès-verbal, NL: proces-verbaal. Numer protokołu przekaż bankowi.

Co jest „nieautoryzowaną” płatnością?

Najważniejsze pytanie brzmi: czy rzeczywiście zgodziłeś się na tę konkretną operację.

Prawo mówi o nieautoryzowanej operacji płatniczej — FR: opération de paiement non autoriséei, NL: niet-toegestane betalingstransactie. Zasady są zapisane w księdze VII Kodeksu prawa gospodarczego — FR: Code de droit économique (CDE), NL: Wetboek van economisch recht (WER), który przenosi do prawa belgijskiego dyrektywę PSD2. Operacja jest nieautoryzowana, gdy płatnik nie wyraził na nią zgody.

Dyrektywa PSD2 (art. 72) stanowi, że zarejestrowane przez bank użycie instrumentu płatniczego nie wystarcza samo w sobie do udowodnienia, że płatnik autoryzował operację. To ważne np. wtedy, gdy przestępca przejął dane i użył prawdziwych kodów bez świadomej zgody posiadacza rachunku.

Gdy zaprzeczasz, że autoryzowałeś operację, według dyrektywy PSD2 (art. 72):

• bank musi wykazać, że operacja została uwierzytelniona, prawidłowo zarejestrowana i zaksięgowana oraz że nie zakłóciła jej awaria techniczna ani inna usterka usługi;
• bank musi też przedstawić dowody, jeśli zarzuca ci oszustwo albo rażące niedbalstwoi.

Ty opisz jasno, dlaczego uważasz operację za nieautoryzowaną, i przedstaw dowody, które masz.

Inaczej może wyglądać sprawa, gdy oszust przekonał cię, abyś samodzielnie wykonał i świadomie zatwierdził przelew. Nie opisuj takiej sytuacji w reklamacji jako „nigdy niczego nie zatwierdziłem”, jeśli to nieprawda. Dokładność ma znaczenie dla oceny prawnej.

Czy bank ma zwrócić pieniądze?

Przy nieautoryzowanej operacji punktem wyjścia jest obowiązek szybkiego zwrotu środków przez dostawcę usług płatniczych, z wyjątkami przewidzianymi przez prawo.

Art. VII.43 CDE (w brzmieniu cytowanym przez Test-Achats) przewiduje, że bank płatnika zwraca kwotę nieautoryzowanej operacji niezwłocznie po tym, jak się o niej dowiedział lub został o niej poinformowany, najpóźniej do końca następnego dnia roboczego. Wyjątek: bank ma uzasadnione powody, by podejrzewać oszustwo, i przekaże je na piśmie do SPF Economie. Ten sam termin i wyjątek przewiduje art. 73 dyrektywy PSD2.

Kwestia terminu zwrotu i kwestia ostatecznej odpowiedzialności to dwa różne pytania. W maju 2026 r. sąd przedsiębiorstw w Antwerpii, orzekając w trybie pilnym — FR: référé, NL: kort geding — nakazał bankowi natychmiastowy zwrot pieniędzy ofiarom phishingu. Jak opisuje Test-Aankoop, taki zwrot ma charakter tymczasowy: bank może później próbować odzyskać pieniądze przed sądem, jeśli wykaże np. rażące niedbalstwo klienta.

Ile możesz stracić przed zgłoszeniem?

Przed zgłoszeniem możliwa odpowiedzialność klienta jest ustawowo ograniczona w zwykłych przypadkach (art. VII.44 CDE). Według Wikifin i dyrektywy PSD2 (art. 74) ponosisz wtedy straty związane z nieautoryzowaną operacją do 50 euro. Za operacje wykonane po twoim zgłoszeniu nie ponosisz żadnych skutków finansowych, chyba że działałeś z zamiarem oszustwa (dyrektywa PSD2, art. 74 ust. 3).

Kwoty 50 euro nie ponosisz, gdy przed płatnością nie mogłeś wykryć utraty, kradzieży lub przejęcia instrumentu płatniczego (tak Wikifin i dyrektywa PSD2). Dyrektywa PSD2 (art. 74) wymienia dodatkowo sytuacje, w których:

• strata wynika z działania lub zaniedbania pracownika, agenta lub oddziału banku albo firmy, której bank zlecił część działalności;
• bank nie wymaga silnego uwierzytelnienia klienta — wtedy nie ponosisz żadnej straty, chyba że działałeś z zamiarem oszustwa.

Sytuacja zmienia się, jeżeli bank wykaże oszustwo lub rażące niedbalstwo klienta: wtedy limit 50 euro nie obowiązuje i klient może ponieść całą stratę. Limit 50 euro nie jest więc uniwersalną „franszyzą” przy każdym phishingu — zależy od momentu zgłoszenia, okoliczności i wyjątków.

Co oznacza „rażące niedbalstwo”?

Rażące niedbalstwo — FR: négligence grave, NL: grove nalatigheid — to więcej niż zwykła nieuwaga. Bank nie może ograniczyć się do stwierdzenia: „użyto prawidłowego kodu, więc klient się zgodził”.

Twoje obowiązki jako użytkownika instrumentu płatniczego według dyrektywy PSD2 (art. 69):

• korzystać z niego zgodnie z warunkami umowy;
• podejmować rozsądne środki, aby chronić dane bezpieczeństwa;
• bez zwłoki zgłosić bankowi utratę, kradzież lub nieuprawnione użycie.

Według dyrektywy PSD2 (art. 74) całą stratę ponosisz wtedy, gdy działałeś z zamiarem oszustwa albo umyślnie lub wskutek rażącego niedbalstwa nie dopełniłeś tych obowiązków. Przy sporze o rażące niedbalstwo znaczenie mają wszystkie okoliczności. Wikifin podkreśla, że bank ocenia każdą sprawę osobno.

Dyrektywa PSD2 (art. 72) wymaga, by to bank przedstawił dowody rażącego niedbalstwa. Z definicji przyjętej przez Sąd Kasacyjny (opis niżej) wynika, że rażącym niedbalstwem nie jest zachowanie, które mogłoby się zdarzyć także rozsądnemu, normalnie starannemu płatnikowi — jeżeli oszustwa nie dało się rozsądnie rozpoznać, bankowi trudno będzie wykazać rażące niedbalstwo.

Ciężar wykazania rażącego niedbalstwa nie sprowadza się do samego pokazania, że system zarejestrował prawidłowe uwierzytelnienie.

Co wynika z wyroku Sądu Kasacyjnego z 29 czerwca 2026 r.?

29 czerwca 2026 r. Sąd Kasacyjny — FR: Cour de cassation, NL: Hof van Cassatie — wydał wyrok w sprawie C.25.0390.N. Klient banku dostał SMS o rzekomym długu podatkowym z linkiem do płatności. Po wykonaniu instrukcji oszuści aktywowali aplikację bankową na swoim urządzeniu i wykonali nieautoryzowane operacje. Sąd apelacyjny uznał, że klient działał z rażącym niedbalstwem.

Sąd Kasacyjny wskazał, że:

• rażące niedbalstwo to kwalifikowane naruszenie obowiązku staranności — zachowanie, którego rozsądny, normalnie staranny płatnik nigdy by nie przyjął; zwykłe niedbalstwo nie wystarcza;
• rejestry banku oraz użycie kodu znanego tylko klientowi nie tworzą wystarczającego domniemania niedbalstwa płatnika;
• sąd apelacyjny na podstawie przyjętych uzasadnień nie mógł zgodnie z prawem uznać, że klient z rażącym niedbalstwem nie dopełnił swoich obowiązków.

Sąd Kasacyjny uchylił wyrok i przekazał sprawę do ponownego rozpoznania Sądowi Apelacyjnemu w Antwerpii. Sam nie zasądził zwrotu pieniędzy.

Co to oznacza dla ciebie:

• jeżeli bank uzasadnia odmowę wyłącznie tym, że kliknąłeś link albo użyłeś swojego kodu, możesz w reklamacji powołać się na ten wyrok i poprosić o wskazanie konkretnych okoliczności świadczących o rażącym niedbalstwie;
• wyrok nie oznacza, że każda ofiara phishingu automatycznie odzyska pieniądze — każdą sprawę ocenia się indywidualnie.

Jakie dowody zachować?

Zrób jeden uporządkowany pakiet dokumentów:

• wyciąg z rachunku z zakwestionowaną operacją;
• dokładną datę i godzinę, kiedy ją zauważyłeś;
• potwierdzenie zgłoszenia do banku (data, godzina, numer zgłoszenia);
• potwierdzenie Card Stop, jeśli dotyczy;
• wiadomości SMS, e-maile i zrzuty ekranu użyte przez oszusta;
• historię połączeń, jeśli oszust dzwonił;
• nazwę lub numer odbiorcy widoczny w banku;
• numer protokołu policyjnego;
• odpowiedź banku na pierwszą reklamację.

Nie wysyłaj w skardze PIN-u, pełnego hasła ani aktywnych danych uwierzytelniających.

Jak napisać reklamację do banku?

Reklamacja powinna być pisemna, rzeczowa i chronologiczna. Zachowaj dowód jej wysłania.

Napisz:

1. której operacji nie autoryzowałeś;
2. kiedy ją zauważyłeś;
3. kiedy i jak zgłosiłeś problem bankowi, Card Stop i policji;
4. czy karta lub telefon były w twoim posiadaniu;
5. jakie komunikaty lub działania oszusta poprzedziły zdarzenie;
6. czego żądasz — np. zwrotu kwoty i przywrócenia salda;
7. że prosisz o pisemne wskazanie podstawy odmowy, jeżeli bank odmawia.

Jeżeli bank zarzuca rażące niedbalstwo, poproś o wskazanie konkretnych faktów i dowodów, na których opiera tę ocenę. Możesz przypomnieć, że samo użycie kodu lub rejestry banku nie wystarczają do przyjęcia niedbalstwa (wyrok Sądu Kasacyjnego z 29.06.2026, C.25.0390.N).

Bank odmawia — co dalej?

Najpierw wykorzystaj wewnętrzną procedurę reklamacyjną banku. Zachowaj potwierdzenie daty złożenia skargi oraz odpowiedź.

Jeżeli nie uzyskasz satysfakcjonującego rozwiązania, możesz skierować sprawę do Ombudsfin — FR: Service de médiation des services financiers, NL: Dienst voor bemiddeling in financiële aangelegenheden. To niezależny serwis mediacji w sprawach finansowych. Ombudsfin zajmuje się m.in. skargami na banki, instytucje płatnicze i instytucje pieniądza elektronicznego, jeżeli należą do jego zakresu.

Co warto wiedzieć według Ombudsfin:

• skarga musi być pisemna: przez formularz na stronie, e-mailem albo pocztą; formularz online przyspiesza sprawę;
• Ombudsfin zaleca, aby najpierw złożyć reklamację w samej instytucji finansowej;
• Ombudsfin może odmówić rozpatrzenia skargi złożonej po upływie roku od reklamacji w banku — ten termin liczy się od reklamacji, nie od dnia oszustwa;
• procedura jest bezpłatna dla składającego skargę;
• skarga jest rozpatrywana co do zasady w ciągu 90 dni kalendarzowych; w złożonych sprawach termin może się wydłużyć;
• opinia Ombudsfin w takim sporze nie jest wiążąca dla stron;
• skarga do Ombudsfin nie odbiera ci prawa do wniesienia sprawy do sądu;
• Ombudsfin jest finansowany przez instytucje finansowe będące jego członkami.

Do Ombudsfin prześlij:

• reklamację skierowaną wcześniej do banku;
• odpowiedź banku albo dowód braku odpowiedzi;
• chronologię;
• dokumenty dotyczące operacji i zgłoszeń, w tym numer protokołu policyjnego;
• wyjaśnienie, dlaczego nie zgadzasz się z argumentacją banku.

Dane kontaktowe podane przez Ombudsfin: North Gate II, Boulevard du Roi Albert II 8 bte 2, 1000 Bruksela; e-mail: [email protected]; tel. +32 2 545 77 70 (według Ombudsfin telefonicznie tymczasowo tylko w środy).

Naruszenie prawa konsumenckiego możesz też zgłosić Inspekcji Ekonomicznej przez serwis ConsumerConnecti, który dla konsumentów zastąpił dawny Point de contact. Takie zgłoszenie nie zastępuje reklamacji ani skargi do Ombudsfin.

Ombudsfin pomaga szukać rozwiązania sporu, ale nie jest sądem. W szczególnie dużej sprawie lub przy ryzyku przedawnienia roszczeń warto równolegle sprawdzić możliwość pomocy prawnej.

Co zrobić, jeśli pieniądze nadal wychodzą z konta?

Nie czekaj na wynik reklamacji. Poproś bank o natychmiastowe odcięcie skompromitowanego kanału, sprawdzenie aktywnych urządzeń i zabezpieczenie rachunku.

Jeżeli przestępca mógł przejąć także skrzynkę e-mail, numer telefonu lub dokument tożsamości, zabezpieczenie samego konta bankowego może nie wystarczyć.

Najważniejsza zasada

W sporze z bankiem liczy się nie tylko to, czy użyto poprawnych danych technicznych, ale przede wszystkim czy dana operacja była rzeczywiście przez ciebie autoryzowana oraz jak zachowałeś się przed i po wykryciu oszustwa. Szybkie zgłoszenie i dobra dokumentacja znacznie ułatwiają ocenę sprawy, ale nie gwarantują zwrotu.