Nieautoryzowany przelew: kiedy bank powinien zwrócić pieniądze?

Prościej o zasadach odpowiedzialności banku za transakcje, których klient nie autoryzował.

Punkt wyjścia: czy klient rzeczywiście zgodził się na przelew?

Ustawa o usługach płatniczych wiąże autoryzację transakcji ze zgodą klienta na jej dokonanie, wyrażoną w sposób określony w umowie wiążącej klienta z bankiem. W myśl art. 40 ust. 1 ustawy, transakcja jest autoryzowana wtedy, gdy płatnik wyraził zgodę w sposób przewidziany w umowie z bankiem. Jeżeli zgody w taki sposób nie było, mamy do czynienia z transakcją nieautoryzowaną.

To rozróżnienie ma praktyczne znaczenie. Klient może bowiem sam wykonać określone czynności w bankowości elektronicznej („zlecić przelew”). Nie oznacza to jednak automatycznie, że autoryzował konkretną transakcję.

Autoryzacja to nie to samo co uwierzytelnienie.

W razie sporu Bank może wykazać, że klient zalogował się do aplikacji albo użył właściwego instrumentu płatniczego. To jednak nie przesądza jeszcze o autoryzacji przelewu.

Uwierzytelnienie służy przede wszystkim sprawdzeniu tożsamości użytkownika. Autoryzacja oznacza natomiast zgodę na wykonanie konkretnej transakcji. W stanowisku z 16 listopada 2022 r. Prezes UOKiK wskazał, że dla autoryzacji potrzebne są oba elementy: zgoda klienta oraz prawidłowe uwierzytelnienie. Samo wykazanie użycia instrumentu płatniczego nie wystarcza.

Co właściwie klient autoryzuje?

W praktyce bankowości elektronicznej klient nie zatwierdza przelewu wyłącznie przez podanie numeru rachunku odbiorcy i kwoty. Formularz wymaga najczęściej wskazania danych odbiorcy (jego nazwiska, nazwy lub firmy). Czasami formularz może wymagać również nazwy odbiorcy, kwoty i tytułu przelewu. Najczęściej pole używane do „zlecenia przelewu” via Internet jest tak skonstruowane, że dopiero po wypełnieniu wszystkich obowiązkowych pól przycisk „zatwierdź” działa. W innym przypadku, mimo skutecznego uwierzytelnienia (zalogowania się na własne konto w bankowości elektronicznej”) nie będziemy w stanie „puścić przelewu”:

Jeżeli więc klient w formularzu wskazuje konkretną firmę jako odbiorcę, a jednocześnie pojawia się tam numer rachunku należący do zupełnie innej osoby, powstaje pytanie, jak określić treść i zakres zgody klienta? Naszym zdaniem nie można automatycznie przyjąć, że klient zaakceptował „każdy” przelew dokonany na wskazany numer rachunku. Wszak wskazał też dane konkretnego odbiorcy. Istotna jest pełna treść oświadczenia, nie zaś tylko jego fragment.

Przykład: podmieniony numer rachunku.

Wyobraźmy sobie prostą sytuację.

Klient chce zapłacić swojemu kontrahentowi. Otrzymuje od niego niezbędne dane: oznaczenie kontrahenta, numer jego rachunku bankowego, numer faktury. Następnie „ktoś” ingeruje w korespondencję i „podmienia” numer rachunku. Klient, nieświadomy tego, wprowadza przelew do aplikacji banku. W formularzu wpisał dane kontrahenta, na rzecz którego chciał dokonać transakcji, następnie nieświadomie wskazał numer rachunku bankowego, do którego mają dostęp cyberoszuści.

Czy klient autoryzował przelew?

Naszym zdanie – nie. Klient zgodził się na transakcję, której odbiorcą miał być jego kontrahent.
Nie wyraził zgody na przekazanie pieniędzy ich rzeczywistemu odbiorcy: osobie, której nie znał, z która nie wiązały go żadne nierozliczone transakcje, i której jako odbiorcy nie wskazał. Ujmując rzecz jak najprościej: nie godził się na dofinasowanie swym kosztem cyberoszustów.

Dlaczego znaczenie ma konstrukcja aplikacji bankowej?

To jeden z najważniejszych elementów tej argumentacji.

Jeżeli bank sam stworzył formularz, w którym klient musi wskazać określone parametry przelewu – w szczególności odbiorcę, rachunek, kwotę i tytuł – to trudno później twierdzić, że dla oceny zgody klienta znaczenie ma wyłącznie numer rachunku.

Przypomnijmy: w omawianym stanie faktycznym, zgodnie z umową łączącą klienta z bankiem (a właściwie, zgodnie z regulaminem usługi płatniczej, z której klient korzystał dokonując feralnej transakcji), miał on obowiązek podać wszystkie wymagane informacje: zindywidualizować odbiorcę przez podanie jego nazwiska nazwy lub firmy, wskazać jego rachunek bankowy, oraz tytuł przelewu. Sama aplikacja nie pozwalała na skuteczne zatwierdzenie transakcji bez tych danych. Jeżeli więc bank wymaga od klienta podania danych odbiorcy, dane te stają się częścią oświadczenia, którym klient wyraża zgodę na przelew (autoryzuje go).

Dwie możliwości – żadna nie prowadzi do zgody na przelew na rzecz cyberoszusta.

W opisanej sytuacji można rozważać dwa warianty.

Pierwszy: klient autoryzował transakcję na rzecz jego kontrahenta, nie zaś cyberoszustów, ponieważ tylko swego kontrahenta wskazał jako odbiorcę.

Drugi: oświadczenie klienta było wewnętrznie sprzeczne, ponieważ wskazywało jednocześnie dane kontrahenta i rachunek, należący do innej osoby. W takim ujęciu nie można uznać, że klient skutecznie zgodził się na przelew o takich, wewnętrznie sprzecznych parametrach.

W obu wariantach jedno pozostaje bezsporne: klient nie wyraził zgody na przelew na rzecz osoby, która faktycznie otrzymała pieniądze.

Nie należy mylić dwóch różnych problemów.

W sprawach tego rodzaju bank może powoływać się na ustawową zasadę, zgodnie z którą wykonanie transakcji na wskazany przez klienta numer rachunku bankowego stanowi wykonanie transakcji na rzecz właściwego odbiorcy, co prowadzi do wyłączenia odpowiedzialności banku za transakcję płatniczą.

To jednak inna kwestia niż pytanie, czy klient w ogóle autoryzował transakcję.

Przepisy dotyczące prawidłowego wykonania przelewu regulują odpowiedzialność banku za wykonanie transakcji. Przepisy dotyczące transakcji nieautoryzowanych regulują natomiast zupełnie inną sytuację. Sam fakt, że bank przelał pieniądze na numer rachunku wpisany w dyspozycji, nie rozstrzyga więc automatycznie, czy klient wyraził zgodę na taką właśnie transakcję.

Co dzieje się, gdy transakcja była nieautoryzowana?

Jeżeli transakcja rzeczywiście była nieautoryzowana, art. 46 ust. 1 ustawy o usługach płatniczych przewiduje obowiązek zwrotu jej kwoty przez dostawcę usług płatniczych. Co do zasady zwrot powinien nastąpić niezwłocznie, nie później niż do końca następnego dnia roboczego po zgłoszeniu przez klienta, że nie autoryzował transakcji.

Ustawa przewiduje wyjątki. Dotyczą one m.in. sytuacji, w której bank ma uzasadnione i udokumentowane podejrzenie oszustwa ze strony klienta i zawiadamia o tym organy ścigania, albo gdy minęło więcej niż 13 miesięcy od wykonania transakcji.

Obowiązek ten ma charakter ustawowy i aktualizuje się, jeżeli bank nie wykaże, że transakcja została skutecznie autoryzowana albo zachodzą ustawowe przesłanki wyłączające jego odpowiedzialność.

W sprawach dotyczących podmiany numeru rachunku bankowego zasadniczym zagadnieniem nie jest więc to, czy klient technicznie zatwierdził operację, lecz czy rzeczywiście wyraził zgodę na wykonanie przelewu o treści odpowiadającej transakcji, która została wykonana. Jeżeli wskutek przestępczej manipulacji doszło do rozbieżności pomiędzy rzeczywistą wolą płatnika a treścią zrealizowanej operacji, istnieją argumenty przemawiające za uznaniem, że bank nie wykazał skutecznej autoryzacji w rozumieniu ustawy o usługach płatniczych. W takim przypadku obowiązek niezwłocznego zwrotu środków wynikający z art. 46 ustawy może znaleźć zastosowanie.

Skutki uznania transakcji za nieautoryzowaną

Konsekwencje braku autoryzacji określa art. 46 ustawy o usługach płatniczych.

Zgodnie z tym przepisem w przypadku wystąpienia nieautoryzowanej transakcji płatniczej dostawca usług płatniczych jest zobowiązany niezwłocznie, nie później niż do końca dnia roboczego następującego po stwierdzeniu lub zgłoszeniu transakcji, zwrócić płatnikowi kwotę nieautoryzowanej transakcji oraz przywrócić obciążony rachunek do stanu, jaki istniałby, gdyby transakcja nie została wykonana.

Najważniejsza zasada.

W sprawach o nieautoryzowane transakcje warto zacząć od prostego pytania:

„Na co dokładnie klient wyraził zgodę?”

Nie wystarczy odpowiedzieć: „klient zatwierdził przelew”.

Trzeba ustalić, jak wyglądała zgoda, jakie dane klient wskazał, jakie wymagania wynikały z umowy i regulaminu banku oraz czy wszystkie elementy dyspozycji wskazywały tego samego odbiorcę.

W analizowanej sprawie zasadniczy argument jest właśnie taki: klient nie udzielił bankowi blankietowej zgody na przelew na rzecz dowolnej osoby posługującej się określonym rachunkiem. Zatwierdził transakcję o konkretnych parametrach, a jednym z nich było oznaczenie jego kontrahenta jako odbiorcy.

Publikacja przedstawia argumentację zawartą w przekazanym materiale i nie stanowi samodzielnej opinii prawnej w konkretnej sprawie.