15 dni roboczych — tyle czasu bank będzie mieć na oddanie pieniędzy wyłudzonych przez oszusta, który podszył się pod pracownika banku. Zasadę wprowadza unijne rozporządzenie o usługach płatniczych (PSR), którego projekt Rada UE przyjęła w pierwszym czytaniu; jej stanowisko opublikowano 5 listopada. Rozporządzenie będzie obowiązywać w krajach wspólnoty automatycznie, bez przepisywania do polskiej ustawy. Ochrona obejmie jednak tylko jeden scenariusz oszustwa.
Kogo obejmie zwrot pieniędzy, a kogo nie
PSR chroni ofiary tzw. impersonation fraud, czyli spoofingu — podszywania się pod instytucję. Zadziała wyłącznie wtedy, gdy oszust udaje dostawcę usług płatniczych (np. bank) i bezprawnie wykorzystuje jego oficjalne kanały komunikacji: nazwę domeny, adres e-mail, numer telefonu, stronę internetową albo aplikację mobilną.
W praktyce banki będą więc odpowiadać za straty ofiar fałszywych aplikacji mobilnych, telefonicznych „konsultantów” i podrobionych serwisów bankowości internetowej. Konsument, który w wyniku takiej manipulacji sam autoryzował przelew, ma prawo do zwrotu pełnej kwoty od swojego dostawcy. Jeśli oszust nie podszywał się pod dostawcę usług płatniczych i nie użył jego oficjalnych kanałów, ten mechanizm zwrotu nie obejmie poszkodowanego.
Co trzeba zrobić, żeby bank oddał pieniądze
Zwrot nie będzie automatyczny — poszkodowany musi spełnić dwa warunki:
- powiadomić swojego dostawcę usług płatniczych o oszustwie bez zbędnej zwłoki,
- zgłosić sprawę policji.
Po spełnieniu obu wymogów bank ma oddać całą wyłudzoną kwotę, a termin rekompensaty upływa po 15 dniach roboczych.
Kiedy bank może odmówić zwrotu?
Dostawca odmówi tylko w dwóch sytuacjach: jeśli udowodni, że klient działał w nieuczciwych zamiarach (czyli sam popełnił oszustwo) albo dopuścił się rażącego niedbalstwa. Ciężar dowodu spoczywa na banku, nie na kliencie.
Samo postawienie zarzutu rażącego niedbalstwa nie wystarczy. Bank lub niebankowy dostawca będzie musiał zwrócić się do klienta o informacje o okolicznościach zdarzenia i uwzględnić je w ocenie. Brak dowodów, których racjonalnie nie można od klienta oczekiwać — na przykład nagrań rozmów telefonicznych — nie może być podstawą do odmowy wypłaty.
Zmiana limitu przelewu zadziała dopiero po 4 godzinach
Druga zmiana dotyczy limitów transakcji. Dziś bank ustawia wartość wyjściową dla poszczególnych instrumentów — BLIK, karty, przelewów — a klient może ją zmienić samodzielnie w aplikacji albo bankowości internetowej. PSR obejmuje zdalną zmianę limitów okresem ochronnym: wejdzie ona w życie najwcześniej po 4 godzinach od zlecenia.
Z karencji będzie można zrezygnować po silnym uwierzytelnieniu albo w placówce, ale rezygnacja zacznie obowiązywać dopiero po upływie dotychczasowego okresu opóźnienia. Chodzi o to, by oszust, który przejął dostęp do konta, nie wyłączył zabezpieczenia od razu. Podobne zasady obejmą aktywację aplikacji mobilnej do zarządzania rachunkiem.
Rozporządzenie zrównuje też przelewy natychmiastowe z pozostałymi zleceniami: proponowane dla nich limity nie mogą być bardziej restrykcyjne niż dla zwykłych przelewów. Banki i inni dostawcy nie będą mogli jednostronnie zmieniać limitów ustalonych przez klienta.
Co dalej — głosowanie w Parlamencie Europejskim
Rada UE przyjęła w pierwszym czytaniu projekty dwóch aktów: rozporządzenia PSR oraz dyrektywy PSD3. Kolejnym krokiem jest zaakceptowanie ich na posiedzeniu plenarnym Parlamentu Europejskiego — to zamknie trwający od 2024 r. proces aktualizacji zasad rynku usług płatniczych w UE.
FAQ
Jak wyjaśnia Netto-brutto portal księgowo-finansowy, poszkodowany musi niezwłocznie powiadomić swojego dostawcę usług płatniczych o oszustwie oraz zgłosić sprawę na policję. Dopiero po spełnieniu obu tych warunków bank ma obowiązek zwrócić pełną wyłudzoną kwotę. Termin zwrotu wynosi do 15 dni roboczych od zgłoszenia.
Według poradnika Netto-brutto portal księgowo-finansowy, bank może odmówić zwrotu jedynie jeśli udowodni, że klient działał nieuczciwie lub dopuścił się rażącego niedbalstwa. Jednak bank musi udowodnić te okoliczności i przeprowadzić wnikliwą ocenę sytuacji uwzględniając informacje od klienta. Brak dowodów, które nie są racjonalnie możliwe do uzyskania od klienta, nie może stanowić podstawy odmowy.
Netto-brutto portal księgowo-finansowy opisuje, że zmiana limitów zdalnych na transakcje, takich jak BLIK czy przelewy, zacznie obowiązywać dopiero po 4 godzinach od zlecenia zmiany. Aby ominąć ten okres karencji, można zrezygnować z niej po silnym uwierzytelnieniu lub w placówce banku, ale zmiana zacznie obowiązywać dopiero po upływie dotychczasowego okresu opóźnienia. Takie rozwiązanie chroni przed natychmiastowym wyłączeniem zabezpieczeń przez oszusta, który przejął dostęp do konta.
Ochrona dotyczy wyłącznie oszustw typu impersonation fraud (spoofingu), gdy przestępca podszywa się pod dostawcę usług płatniczych, np. bank, i korzysta z jego oficjalnych kanałów takich jak domena, e-mail, numer telefonu, strona internetowa lub aplikacja mobilna. Bank odpowiada za straty wynikające z fałszywych aplikacji, podrobionych serwisów i telefonicznych konsultantów. Jeśli oszust nie podszywa się pod dostawcę usług lub nie używa jego oficjalnych kanałów, zwrot nie przysługuje.
Rada UE przyjęła projekt rozporządzenia PSR w pierwszym czytaniu, a kolejnym krokiem jest głosowanie w Parlamencie Europejskim, które zamknie proces aktualizacji zasad rynku usług płatniczych w UE od 2024 roku. Rozporządzenie będzie obowiązywać automatycznie w krajach UE, bez konieczności przepisywania do polskiego prawa. Wprowadzi konkretne regulacje dotyczące ochrony konsumentów i procedur związanych z oszustwami płatniczymi.
