Kolejne banki zweryfikują odrzucone reklamacje. Jest decyzja prezesa UOKiK

Prezes UOKiK zakwestionował praktyki czterech banków dotyczące obsługi nieautoryzowanych transakcji płatniczych i nakazał im zmianę procedur oraz ponowną analizę części odrzuconych reklamacji klientów. Decyzje dotyczą ING Banku Śląskiego, Banku Ochrony Środowiska, Nest Banku i Plus Banku, które według urzędu bezpodstawnie odmawiały zwrotu środków utraconych m.in. w wyniku cyberoszustw.

Jak czytamy w komunikacie, wątpliwości prezesa UOKiK wzbudziło podejście banków do rozpatrywania zgłoszeń tzw. nieautoryzowanych transakcji. Chodzi o sytuacje, w których środki z konta klienta zostały pobrane bez jego zgody i wiedzy, np. w wyniku cyberataku lub kradzieży danych. Po rozstrzygnięciach dotyczących Alior Banku, mBanku, BNP Paribas oraz Banku Millennium prezes UOKiK wydał decyzje wobec czterech kolejnych instytucji finansowych.

Polecamy: Rzecznik Finansowy o transakcjach oszukańczych. Ma postulaty dla banków i rządzących (WYWIAD)

Nieautoryzowana transakcja – obowiązki banku

Jak podkreśla UOKiK, zgodnie z prawem po zgłoszeniu nieautoryzowanej transakcji bank powinien niezwłocznie, tj. najpóźniej do końca następnego dnia roboczego (tzw. zasada D+1), zwrócić konsumentowi skradzioną kwotę. Wyjątkiem są sytuacje, gdy istnieją udokumentowane podstawy, by podejrzewać oszustwo ze strony samego klienta lub gdy od transakcji minęło więcej niż 13 miesięcy.

„Tymczasem ING Bank Śląski, Bank Ochrony Środowiska, Nest Bank i Plus Bank w wielu przypadkach odmawiały zwrotu środków. Sugerowały konsumentom, że samo prawidłowe uwierzytelnienie transakcji (np. wpisanie kodu PIN lub autoryzacja w aplikacji) zwalnia je z odpowiedzialności i automatycznie oznacza, że klient wyraził zgodę na przelew. Banki bezpodstawnie przerzucały też ciężar dowodu na konsumenta oraz twierdziły, że ewentualne odzyskanie pieniędzy jest możliwe wyłącznie przez działania organów ścigania" – czytamy.

– Prawo jasno określa obowiązki banków w przypadku cyberataku lub utraty środków przez klientów. Instytucje finansowe nie mogą unikać odpowiedzialności przez automatyczne odrzucanie reklamacji i przerzucanie całego ciężaru udowodnienia winy na poszkodowanego konsumenta. Samo wykazanie przez bank, że transakcja została poprawnie uwierzytelniona, to za mało, by odmówić zwrotu pieniędzy. Bank musi udowodnić, że to klient samodzielnie i świadomie autoryzował operację lub dopuścił się rażącego niedbalstwa. Kolejne cztery banki muszą zmienić procedury i ponownie przeanalizować sprawy, w których niezgodnie z prawem odmówiły klientom zwrotu pieniędzy – mówi prezes UOKiK Tomasz Chróstny.

Co muszą zrobić banki?

Na mocy decyzji prezesa UOKiK banki muszą m.in.:

1. Zmienić procedury wewnętrzne – wdrożyć nowe zasady, zgodnie z którymi prawidłowe uwierzytelnienie transakcji nie będzie jedyną podstawą do uznania, że klient sam ją autoryzował.
2. Ponownie zweryfikować reklamacje obecnych klientów – banki jeszcze raz muszą przeanalizować negatywne odpowiedzi na reklamacje udzielone od 16 listopada 2022 r. Dotyczy to osób, które nadal są ich klientami. W uzasadnionych przypadkach muszą też oddać konsumentom utracone pieniądze. Nastąpić ma to najpóźniej do 31 grudnia 2027 r.
3. Poinformować byłych klientów – osoby, które nie korzystają już z usług banku, a ich reklamacje zgłoszone po 15 listopada 2022 r. odrzucono, powinny otrzymać powiadomienie o możliwości i sposobie złożenia wniosku o ponowną weryfikację sprawy.

„Banki mają obowiązek poinformować o decyzjach na swoich stronach internetowych oraz powiadomić o nich klientów przez aplikacje mobilne. Muszą również poinformować prezesa UOKiK o tym, jak wywiązały się z nałożonych na nie obowiązków do 30 kwietnia 2028 r." – stwierdza UOKiK.

TSUE wydał wyrok, który potwierdził stanowisko UOKiK

W październiku Trybunał Sprawiedliwości Unii Europejskiej wydał przełomowy wyrok, który – jak zauważa UOKiK – w pełni potwierdził stanowisko prezesa UOKiK w zakresie nieautoryzowanych transakcji płatniczych. Zgodnie z orzeczeniem w sprawie C-70/25 (Tukowiecka) w przypadku nieautoryzowanych transakcji, np. w wyniku phishingu, bank ma bezwzględny obowiązek natychmiastowego zwrotu środków klientowi. Zasłanianie się „rażącym zaniedbaniem” konsumenta, aby odmówić mu wypłaty, jest działaniem bezprawnym.

– Wyrok TSUE potwierdził, że banki nie mogą być sędziami we własnej sprawie i nie mają podstaw do masowego odrzucania reklamacji okradzionych klientów. Od lat powtarzaliśmy, że prawo chroni konsumenta, a bank ma bezwzględny obowiązek najpierw oddać skradzione środki, a potem ustalić, po czyjej stronie leży wina. Trybunał w Luksemburgu w pełni podzielił nasze stanowisko. To jasny sygnał dla sektora finansowego: czas skończyć z przerzucaniem odpowiedzialności za cyberataki na barki poszkodowanych konsumentów – mówi prezes UOKiK Tomasz Chróstny.

Najważniejsze wnioski według UOKiK z wydanych decyzji i wyroku TSUE:

1. Bank nie może samodzielnie stawiać się w roli sędziego i odmawiać zwrotu skradzionych pieniędzy, twierdząc, że konsument dał się podejść cyberprzestępcom.
2. Środki muszą zostać przelane na konto poszkodowanego bezzwłocznie, najpóźniej do końca następnego dnia roboczego od zgłoszenia.
3. Jedyną legalną podstawą do wstrzymania zwrotu jest uzasadnione podejrzenie, że to sam konsument próbuje wyłudzić pieniądze, co bank musi niezwłocznie zgłosić organom ścigania.
4. Jeśli bank uważa, że klient dopuścił się rażącego zaniedbania, musi najpierw oddać pieniądze, a dopiero potem może dochodzić ich odzyskania przed sądem, gdzie to na instytucji finansowej spoczywa pełen ciężar dowodu.

Czytaj także: TSUE orzekł ws. odpowiedzialności banków za nieautoryzowane przelewy