Po wejściu w życie unijnego rozporządzenia PSR ofiara oszustwa na pracownika banku, która sama zatwierdziła przelew, dostanie od banku zwrot całej kwoty w ciągu 15 dni roboczych. Warunki: oszust podszył się pod ten bank jego numerem telefonu, adresem e-mail, stroną albo aplikacją, a klient od razu zgłosił sprawę bankowi i policji. Bank odmówi tylko przy obiektywnie uzasadnionym podejrzeniu oszustwa albo rażącego niedbalstwa klienta, a udowodnić je musi on sam. Tekst rozporządzenia o usługach płatniczych Rada UE przyjęła 29 października 2026 roku w pierwszym czytaniu. To jeszcze nie jest obowiązujące prawo: zostało drugie czytanie w Parlamencie Europejskim, a przepisy zaczną działać 21 miesięcy po wejściu rozporządzenia w życie. Stan na 9 listopada 2026 roku, godz. 10:30, według stanowiska Rady i karty procedury w Parlamencie.
PSR i PSD3: czym są i na jakim etapie
PSR to rozporządzenie o usługach płatniczych na rynku wewnętrznym, które będzie obowiązywać wprost we wszystkich krajach UE. Komisja Europejska zaproponowała je 28 czerwca 2023 roku razem z dyrektywą PSD3. PSD3 dotyczy zezwoleń i nadzoru nad firmami płatniczymi i musi zostać wpisana do polskiej ustawy. Prawa klienta, w tym zwroty za oszustwa, są w PSR.
Parlament przyjął swoje stanowisko w kwietniu 2024 roku, potem obie instytucje negocjowały tekst. Rada przyjęła go 29 października 2026 roku, a Komisja wydała 3 listopada komunikat w sprawie tego stanowiska. Według karty procedury 2023/0210(COD) Parlament ma się nim zająć w drugim czytaniu orientacyjnie 14 grudnia 2026 roku. Jeśli zatwierdzi tekst bez zmian, rozporządzenie trafi do Dziennika Urzędowego UE. Wejdzie w życie 20 dni po publikacji, a większość przepisów zacznie obowiązywać 21 miesięcy później.
Oszustwo na pracownika banku: kiedy bank zwróci pieniądze
Artykuł 60 stanowiska Rady przyznaje konsumentowi zwrot pełnej kwoty przelewu, gdy spełnione są cztery warunki:
- Ktoś podawał się za bank, w którym klient ma konto.
- Używał kanałów przypisanych temu bankowi. Motyw 99 wymienia domenę, adres e-mail, numer telefonu, stronę i aplikację, także ich fałszywe kopie.
- Klient pod wpływem tej manipulacji sam zatwierdził przelew.
- Klient bez zbędnej zwłoki zgłosił to bankowi i zawiadomił policję.
Od zgłoszenia i dostarczenia zawiadomienia z policji bank ma 15 dni roboczych. W tym czasie musi oddać pieniądze albo uzasadnić odmowę. Uzasadnienie ma wskazać, gdzie klient może się odwołać.
Ten przepis celuje w spoofing, czyli podszywanie się z fałszywym numerem albo adresem nadawcy. Typowy scenariusz to telefon z numeru infolinii banku, rozmówca z “działu bezpieczeństwa” i przelew na “bezpieczne konto”. Jak taki telefon rozpoznać, opisaliśmy w poradniku Spoofing: co to jest i jak rozpoznać fałszywy telefon.
Kto udowadnia rażące niedbalstwo: ciężar dowodu po stronie banku
Prawo do zwrotu nie przysługuje klientowi, który działał w oszukańczym zamiarze albo z rażącym niedbalstwem (art. 60 ust. 4). Bank może odmówić, gdy ma obiektywnie uzasadnione podstawy, by to podejrzewać, ale ciężar dowodu spoczywa na nim (art. 60 ust. 5). Zanim tak uzna, ma poprosić klienta o opis zdarzeń i wziąć go pod uwagę.
Rozporządzenie doprecyzowuje też dwie kwestie ważne przy ocenie rażącego niedbalstwa. Brak wyjaśnień od klienta sam w sobie nie wystarczy do uznania go za niedbałego. Bank nie może też oczekiwać dowodów, których klient zwykle nie ma. Motyw 93 podaje przykład: nagrania rozmowy telefonicznej. Motyw 108 opisuje rażące niedbalstwo jako znaczny stopień beztroski, np. trzymanie danych do logowania przy karcie w łatwo dostępnej formie. Przy ocenie bank ma brać pod uwagę m.in. to, jak wyrafinowane było oszustwo i czy wcześniej konkretnie ostrzegał klienta. Unijny nadzorca bankowy EBA ma zachętę do wydania wytycznych w tej sprawie (motyw 109). Granice tego pojęcia i tak będą rozstrzygać reklamacje i sądy.
Cztery godziny opóźnienia przy limitach i aktywacji aplikacji
Druga zmiana odbiera oszustowi możliwość natychmiastowego działania. Gdy klient zdalnie podnosi limit przelewów, bank ma wstrzymać tę zmianę na 4 godziny (art. 52 ust. 2). Tak samo przy zdalnej aktywacji aplikacji bankowej na nowym telefonie (art. 52 ust. 8). Według motywu 85 te godziny mają dać ofierze czas, żeby zorientowała się, że rozmawia z oszustem.
Klient może to opóźnienie skrócić, wydłużyć albo z niego zrezygnować, ale sama zmiana też czeka cztery godziny. Bank musi powiadomić klienta o każdej prośbie o zmianę limitu i o aktywacji aplikacji, w tym drugim przypadku innym kanałem. Limitów ustalonych w umowie bank nie może zmieniać jednostronnie.
Czego nie obejmie zwrot za spoofing
Prawo do zwrotu z art. 60 dotyczy wyłącznie podszywania się pod bank klienta. Nie obejmie oszusta udającego policjanta, kuriera, urzędnika ani kupującego z serwisu ogłoszeń. Nie obejmie też fałszywej “inwestycji”, w którą klient wpłacił pieniądze z własnej woli. Przepis chroni konsumentów, nie firmy.
Na pomyłki i fałszywe dane odbiorcy PSR ma inne narzędzie. Art. 51 rozciąga na wszystkie przelewy sprawdzanie, czy nazwa odbiorcy zgadza się z numerem rachunku. Ten przepis zacznie jednak obowiązywać dopiero po 27 miesiącach. Osobne obowiązki dostaną dostawcy usług komunikacji, w tym telefonii i poczty e-mail. Art. 61 ust. 6 każe im wykrywać i blokować podszywanie się przez podrabianie numerów oraz adresów e-mail. Obowiązku zwrotu pieniędzy ofierze ten przepis na nich nie nakłada.
Zwrot pieniędzy po oszustwie dziś: co mówi polska ustawa
Dziś w Polsce szybki zwrot gwarantuje ustawa o usługach płatniczych tylko przy transakcji nieautoryzowanej, czyli takiej, której klient nie zatwierdził. Art. 46 każe wtedy oddać pieniądze najpóźniej do końca następnego dnia roboczego. Przelew zlecony przez samą ofiarę oszustwa bank często traktuje jako autoryzowany i odmawia zwrotu. Wtedy zostaje reklamacja, Rzecznik Finansowy i sąd. Jak przebiega taka ścieżka, opisaliśmy w tekście Oszustwo bankowe: gdzie zgłosić i co musi zrobić bank.
| Sprawa | Dziś (ustawa o usługach płatniczych) | Po wejściu PSR |
|---|---|---|
| Przelew zatwierdzony przez ofiarę podszycia pod bank | brak przepisu o zwrocie, spór w reklamacji | pełny zwrot w 15 dni roboczych (art. 60) |
| Transakcja nieautoryzowana | zwrot do końca następnego dnia roboczego (art. 46) | zwrot, przy podejrzeniu oszustwa lub rażącego niedbalstwa 15 dni roboczych na zbadanie sprawy |
| Kto udowadnia rażące niedbalstwo | przy transakcji nieautoryzowanej bank (art. 45 ust. 2); przy przelewie zatwierdzonym przez ofiarę brak mechanizmu zwrotu | bank, bez żądania np. nagrań rozmów |
| Zdalne podniesienie limitu | zależy od banku | opóźnienie 4 godziny, z prawem rezygnacji |
| Sprawdzanie nazwy odbiorcy | brak ogólnego obowiązku dla przelewów w złotych | wszystkie przelewy, po 27 miesiącach (art. 51) |
Część spraw już dziś wygrywają klienci. UOKiK doprowadził do tego, że cztery banki wracają do odrzuconych reklamacji. Opisaliśmy to w tekście o ING, BOŚ, Nest i Plus Banku.
Od kiedy PSR będzie obowiązywać
Dokładnej daty jeszcze nie ma, bo zależy od dnia publikacji w Dzienniku Urzędowym UE. Rozporządzenie wchodzi w życie 20 dni po publikacji, a stosuje się je 21 miesięcy później (art. 124). Jeśli Parlament zagłosuje w grudniu, a publikacja nastąpi na początku 2027 roku, zwroty za spoofing ruszą najwcześniej pod koniec 2028 roku. To nasze wyliczenie, nie data z dokumentu. Do tego czasu ofiary oszustw na pracownika banku działają na obecnych zasadach.
Na dziś najlepszą ochroną jest stara zasada: po telefonie “z banku” rozłącz się i zadzwoń sam na numer z karty albo strony banku. Jeśli pieniądze już zniknęły, zgłoś to bankowi i policji od razu. Pod PSR właśnie te dwa zgłoszenia będą warunkiem zwrotu. Gdzie zgłosić oszustwo, podpowiada nasza lista czterech adresów.
Podsumowanie
Rozporządzenie PSR po raz pierwszy daje ofiarom oszustwa na pracownika banku prawo do zwrotu przelewu, który same zatwierdziły. Najważniejsze warunki: oszust podszył się pod ich bank, jego numer, adres e-mail, stronę albo aplikację, a klient bez zwłoki zgłosił sprawę bankowi i policji. Bank w 15 dni roboczych oddaje pieniądze albo uzasadnia odmowę, a rażące niedbalstwo musi udowodnić sam. Do tego dochodzi 4 godziny opóźnienia przy zdalnym podnoszeniu limitów i aktywacji aplikacji. Tekst przyjęła Rada 29 października 2026 roku, a Parlament ma głosować orientacyjnie 14 grudnia. Przepisy zaczną działać 21 miesięcy po wejściu w życie, więc dziś obowiązuje jeszcze ustawa o usługach płatniczych, z reklamacją i Rzecznikiem Finansowym.
