Sprawa C-70/25 (Tukowiecka) trafiła do TSUE jako pytanie prejudycjalne Sądu Rejonowego w Koszalinie. Dotyczyła klientki platformy sprzedażowej, która padła ofiarą phishingu: po kliknięciu w fałszywy link do płatności wpisała dane logowania do bankowości internetowej na spreparowanej stronie. Z jej rachunku wykonano przelew na 3000 zł. Następnego dnia zgłosiła przestępstwo policji i złożyła reklamację w banku PKO BP, który ją odrzucił, twierdząc, że do oszustwa doszło wyłącznie z powodu jej rażącego niedbalstwa.
Według omówienia wyroku dyrektywa PSD2 nie pozwala dostawcy usług płatniczych odmówić natychmiastowego zwrotu kwoty nieautoryzowanej transakcji tylko dlatego, że użytkownik rażąco niedbale zabezpieczył instrument płatniczy. Zwrot jest regułą. Jedynym wyjątkiem z art. 73 ust. 1 jest uzasadnione podejrzenie oszustwa po stronie klienta, które dostawca zgłasza na piśmie właściwemu organowi krajowemu.
Rażące niedbalstwo może natomiast stanowić podstawę późniejszego roszczenia banku wobec klienta, ale nie uzasadnia wstrzymania zwrotu. Ciężar udowodnienia rażącego niedbalstwa spoczywa na dostawcy usług płatniczych. Radca prawny Wojciech Bochenek ocenił w rozmowie z TVN24, że wyrok może zmienić układ sił, bo banki będą musiały udowadniać rażące niedbalstwo w sądzie, a nie jedynie je zarzucać.
Co wynika z wyroku
- Zwrot środków z nieautoryzowanej transakcji ma być niezwłoczny, co do zasady.
- Wyjątek: uzasadnione podejrzenie oszustwa klienta zgłoszone na piśmie organowi krajowemu.
- Rażące niedbalstwo klienta może być podstawą późniejszego roszczenia banku, nie powodem odmowy zwrotu.
- Ciężar udowodnienia rażącego niedbalstwa spoczywa na dostawcy usług płatniczych.