Nieautoryzowane transakcje kartą lub z konta zwykle odkrywa się w najbardziej nieprzyjemny sposób: powiadomienie w telefonie o drugiej w nocy, płatność w nieznanym sklepie internetowym albo przelew na konto, którego nigdy Państwo nie widzieli. Panika w takiej chwili jest zrozumiała, ale to właśnie pierwsze godziny decydują o tym, jak łatwo odzyskają Państwo pieniądze. Prawo stoi po stronie konsumenta, ale tylko wtedy, gdy działa on szybko i zostawia pisemny ślad.
W tym artykule wyjaśniamy, co zrobić w ciągu pierwszych 24 godzin od wykrycia nieautoryzowanej transakcji płatniczej, jakie obowiązki ma bank na podstawie bułgarskiej ustawy o usługach płatniczych i systemach płatności (Закон за платежните услуги и платежните системи, ЗПУПС), do jakiej kwoty mogą Państwo odpowiadać i kiedy nie odpowiadają Państwo wcale. Osobno omawiamy oszustwa typu phishing i vishing, w których klient sam wpisał kod lub potwierdził przelew.
Czym w świetle prawa jest transakcja „nieautoryzowana”?
Zgodnie z art. 70 ustawy o usługach płatniczych i systemach płatności transakcja płatnicza jest autoryzowana, jeśli płatnik ją zlecił lub wyraził zgodę na jej wykonanie. Bez zgody transakcja jest nieautoryzowana. Typowe przykłady to:
- płatności skradzioną lub zgubioną kartą;
- płatności internetowe przy użyciu skopiowanych danych karty (numer, data ważności, kod CVC);
- przelewy z bankowości internetowej zlecone przez osobę trzecią, która uzyskała dostęp do Państwa profilu;
- wypłaty gotówki z bankomatu sklonowaną kartą.
Sytuacja wygląda inaczej, gdy to Państwo sami zlecili przelew, choćby pod wpływem oszusta (np. „inwestycja” lub „ratowanie pieniędzy” na polecenie fałszywego pracownika banku). W takim przypadku formalnie wyrazili Państwo zgodę, a ochrona jest bardziej ograniczona – to rozróżnienie omawiamy poniżej.
Nieautoryzowane transakcje: co zrobić w ciągu pierwszych 24 godzin
„24 godziny” to nie termin ustawowy, lecz praktyczny: ustawa wymaga zawiadomienia bez zwłoki, a każda stracona godzina daje oszustom czas na przeniesienie pieniędzy.
- Natychmiast zablokujcie Państwo kartę. Skorzystajcie z aplikacji mobilnej lub całodobowej infolinii banku. Wydawca karty musi umożliwiać zawiadomienie go w każdym czasie (art. 76 ust. 1 pkt 4 ustawy o usługach płatniczych i systemach płatności). Jeśli dotyczy to bankowości internetowej, poproście również o zablokowanie dostępu i zmieńcie hasła.
- Zawiadomcie bank na piśmie. Telefon blokuje kartę, ale nie zastępuje pisemnego zawiadomienia. Wyślijcie e-mail lub złóżcie wniosek w oddziale, wskazując wyraźnie, które transakcje Państwo kwestionują (data, kwota, odbiorca) i że ich nie autoryzowali. Poproście o numer referencyjny.
- Zgłoście sprawę na policję. Zawiadomienie składa się w najbliższym komisariacie lub online w Głównej Dyrekcji ds. Zwalczania Przestępczości Zorganizowanej (ГДБОП), która ma wyspecjalizowany wydział ds. cyberprzestępczości. Numer sprawy będzie potrzebny w banku i w ewentualnej sprawie sądowej.
- Zachowajcie dowody. Zróbcie zrzuty ekranu SMS-ów, powiadomień, e-maili, historii połączeń, wiadomości od oszusta i klikniętych linków. Niczego nie usuwajcie, nawet jeśli jest to krępujące.
- Poproście o potwierdzenie zawiadomienia. Na żądanie bank musi przez okres do 18 miesięcy zapewnić Państwu dowód, że go zawiadomili (art. 76 ust. 1 pkt 5 ustawy o usługach płatniczych i systemach płatności).
Te same kroki stosuje się, gdy nieautoryzowane transakcje są dokonywane na koncie zmarłej bliskiej osoby: spadkobiercy zawiadamiają bank o śmierci i proszą o zablokowanie kart oraz o wyciąg z ruchów na rachunku. Jak spadkobiercy ustalają, jakie rachunki i wierzytelności miał zmarły, opisujemy w artykule o ustalaniu majątku spadkowego: rachunki, nieruchomości i udziały w spółkach.
Z naszej praktyki: Najczęstszym błędem jest poprzestanie na telefonie i odpowiedzi „sprawdzimy to”. Po miesiącach bank twierdzi, że zawiadomienie było spóźnione, a klient nie ma jak udowodnić, że było inaczej. Pisemne zawiadomienie pierwszego dnia to najtańsze zabezpieczenie przed takim sporem.
Kiedy bank musi zwrócić Państwu pieniądze?
Podstawowa zasada wynika z art. 79 ust. 1 ustawy o usługach płatniczych i systemach płatności: w przypadku nieautoryzowanej transakcji płatniczej dostawca usług płatniczych płatnika zwraca jej kwotę niezwłocznie, a w każdym razie nie później niż do końca następnego dnia roboczego po stwierdzeniu transakcji lub otrzymaniu zawiadomienia o niej. Rachunek musi zostać przywrócony do stanu, w jakim byłby, gdyby nieautoryzowana transakcja nie miała miejsca, z datą waluty nie późniejszą niż data obciążenia rachunku.
Ustawa przewiduje jeden wyjątek: bank może nie zwrócić kwoty w tym terminie, jeśli ma uzasadnione podstawy, by podejrzewać oszustwo, i zawiadomi o tym właściwe organy. Jeśli bank się na to powołuje, poproście go na piśmie o wskazanie, na czym polega podejrzenie i do którego organu złożono zawiadomienie.
Ile mają Państwo czasu na zawiadomienie banku?
Zgodnie z art. 77 ust. 1 ustawy o usługach płatniczych i systemach płatności bank koryguje nieautoryzowaną transakcję tylko wtedy, gdy zawiadomili go Państwo bez zbędnej zwłoki po tym, jak się o niej dowiedzieli, ale nie później niż w ciągu 13 miesięcy od daty obciążenia. Uważa się, że dowiedzieli się Państwo o transakcji najpóźniej w chwili otrzymania informacji o niej (wyciągu, powiadomienia). Trzynaście miesięcy to granica zewnętrzna, a nie zalecenie.
Do jakiej kwoty Państwo odpowiadają?
Ustawa o usługach płatniczych i systemach płatności rozkłada ryzyko między bank a klienta w zależności od okoliczności. Tabela to podsumowuje:
| Sytuacja | Kto ponosi stratę | Podstawa prawna |
|---|---|---|
| Zgubiona, skradziona lub przywłaszczona karta (do chwili zawiadomienia) | Klient – do uzgodnionej kwoty, ale nie więcej niż 50 EUR | Art. 80 ust. 1 ustawy o usługach płatniczych i systemach płatności |
| Klient nie mógł wykryć utraty lub kradzieży przed dokonaniem płatności | Bank (chyba że klient działał umyślnie w celu oszustwa) | Art. 80 ust. 2 pkt 1 |
| Szkodę spowodował pracownik lub podwykonawca banku | Bank | Art. 80 ust. 2 pkt 2 |
| Transakcje po zawiadomieniu banku | Bank (chyba że klient działał umyślnie w celu oszustwa) | Art. 80 ust. 5 |
| Bank nie wymagał silnego uwierzytelnienia klienta | Bank (chyba że klient działał umyślnie w celu oszustwa) | Art. 80 ust. 4 |
| Klient działał w celu oszustwa albo umyślnie lub z rażącym niedbalstwem nie zabezpieczył karty i kodów | Klient – w całości, bez limitu | Art. 80 ust. 3 |
Limit 50 EUR obowiązuje od 1 stycznia 2026 r. (nowelizacja w Dzienniku Urzędowym (Държавен вестник) nr 64 z 2025 r.). Wcześniej kwota była określona w lewach. Przy zwykłej kradzieży karty, bez niedbalstwa z Państwa strony, Państwa ryzyko wynosi do 50 EUR, a po zawiadomieniu banku – zero.
Ciężar dowodu spoczywa na banku
To chyba najważniejsza ochrona konsumenta. Gdy oświadczają Państwo, że nie autoryzowali transakcji, to bank musi udowodnić, że transakcja została uwierzytelniona, prawidłowo zarejestrowana i zaksięgowana oraz że nie miała na nią wpływu awaria techniczna (art. 78 ust. 1 ustawy o usługach płatniczych i systemach płatności).
Jeszcze ważniejsza jest zasada z art. 78 ust. 4: samo zarejestrowane użycie karty lub kodów nie jest wystarczającym dowodem, że autoryzowali Państwo transakcję albo działali z rażącym niedbalstwem. Bank musi przedstawić dowody oszustwa lub rażącego niedbalstwa z Państwa strony.
Co oznacza brak silnego uwierzytelnienia klienta (SCA)?
Silne uwierzytelnienie klienta (SCA) na podstawie art. 100 ustawy o usługach płatniczych i systemach płatności wymaga co najmniej dwóch niezależnych elementów z trzech kategorii: czegoś, co znają tylko Państwo (PIN, hasło), czegoś, co posiadają tylko Państwo (telefon, karta), i czegoś, czym Państwo są (odcisk palca, rozpoznawanie twarzy). Przy płatnościach internetowych elementy te muszą wiązać transakcję z konkretną kwotą i odbiorcą.
Jeśli bank nie wymagał takiego uwierzytelnienia, płatnik nie ponosi strat, chyba że sam działał w celu oszustwa (art. 80 ust. 4). Jeśli płatność przeszła wyłącznie na podstawie danych karty, bez dodatkowego potwierdzenia, Państwa pozycja znacznie się poprawia.
Phishing i vishing: gdy „potwierdzili” Państwo sami
Najczęstsze spory dotyczą dziś oszustw z wykorzystaniem fałszywych stron, SMS-ów i telefonów od „pracownika banku” lub „policji”. Istnieją tu dwa różne scenariusze.
Oszust zlecił transakcję przy użyciu Państwa danych
Wpisali Państwo dane karty lub kod z SMS-a na fałszywej stronie, a płatności dokonał oszust. Transakcji nie zlecili Państwo, więc co do zasady jest ona nieautoryzowana. Bank zwykle podnosi, że działali Państwo z rażącym niedbalstwem, ale ustawa wymaga, aby to bank to udowodnił. To, czy ujawnienie kodu jest rażącym, czy zwykłym niedbalstwem, zależy od faktów: jak przekonujące było oszustwo, co było napisane w SMS-ie z kodem i czy bank ostrzegał przed podobnymi schematami. Nie ma tu automatycznej odpowiedzi.
Sami Państwo zlecili przelew
Jeśli na polecenie oszusta sami zalogowali się Państwo do bankowości internetowej i zlecili przelew na „bezpieczne konto” lub „platformę inwestycyjną”, transakcja została formalnie przez Państwa autoryzowana. Mechanizm niezwłocznego zwrotu z art. 79 co do zasady nie ma zastosowania. Nie oznacza to koniecznie, że pieniądze przepadły, ale droga jest inna:
- natychmiast poproście swój bank o kontakt z bankiem odbiorcy w celu próby odzyskania środków (im szybciej, tym większa szansa, że pieniądze wciąż tam są);
- zgłoście sprawę na policję, podając wszystkie dane rachunku odbiorcy;
- sprawdźcie, czy bank wypełnił swoje obowiązki w zakresie bezpieczeństwa i informacji; przy przelewach w euro rozporządzenie (UE) 2024/886 zobowiązuje bank do sprawdzenia, czy nazwa odbiorcy zgadza się z numerem IBAN, i do ostrzeżenia Państwa w razie niezgodności. Rozporządzenie jest bezpośrednio stosowane i obowiązuje w Bułgarii bez odrębnej ustawy. Jeśli bank nie przeprowadził tej weryfikacji, może to mieć znaczenie dla jego odpowiedzialności;
- wytoczcie powództwo przeciwko odbiorcy pieniędzy.
Odbiorcą jest często tzw. „muł finansowy” – osoba, która za wynagrodzeniem udostępniła swój rachunek. Można wytoczyć przeciwko niej powództwo o zwrot tego, co otrzymała bez podstawy prawnej (bezpodstawne wzbogacenie, art. 55 bułgarskiej ustawy o zobowiązaniach i umowach). Jak przebiega takie postępowanie, aż do egzekucji przez prywatnego komornika sądowego (ЧСИ), opisujemy w artykule o dochodzeniu niezapłaconych należności.
Bank odmawia: co dalej?
Standardowa odmowa z powołaniem się na „pomyślnie potwierdzoną transakcję” nie jest ostateczna.
- Pisemna reklamacja w banku. Każdy bank ma wewnętrzną procedurę reklamacyjną. Musi wydać pisemną decyzję w ciągu 15 dni roboczych od otrzymania reklamacji; wyjątkowo, z przyczyn od niego niezależnych i po wyraźnym poinformowaniu o opóźnieniu, termin może zostać przedłużony, ale do nie więcej niż 35 dni roboczych (art. 174 ust. 3 i 4 ustawy o usługach płatniczych i systemach płatności). W reklamacji powołajcie się wyraźnie na art. 78 i art. 80 tej ustawy i zażądajcie dowodów, na których bank opiera odmowę.
- Komisja Pojednawcza ds. Sporów Płatniczych. Jeśli bank nie odpowie w terminie lub jego odpowiedź Państwa nie satysfakcjonuje, mogą Państwo skierować sprawę do Komisji Pojednawczej ds. Sporów Płatniczych (Помирителна комисия за платежни спорове) przy Komisji Ochrony Konsumentów (КЗП) (art. 174 ust. 5 i art. 175 ustawy o usługach płatniczych i systemach płatności). Postępowanie jest dla stron bezpłatne (art. 180), a wniosek można złożyć także online przez stronę internetową Komisji Ochrony Konsumentów. Propozycja komisji wiąże strony tylko wtedy, gdy obie ją przyjmą.
- Skarga do Bułgarskiego Banku Narodowego. Bułgarski Bank Narodowy (БНБ) nadzoruje banki i instytucje płatnicze. Skarga może doprowadzić do kontroli i środków wobec banku, ale BNB nie rozstrzyga indywidualnego sporu ani nie zasądza kwot.
- Powództwo w sądzie. Tylko sąd może ostatecznie nakazać zwrot pieniędzy. W sprawie przeciwko bankowi ciężar dowodu z art. 78 ustawy o usługach płatniczych i systemach płatności znów działa na korzyść konsumenta, a oprócz należności głównej można dochodzić odsetek ustawowych.
Jak przygotować mocne roszczenie
Dobre roszczenie buduje się w pierwszych dniach. Sporządźcie chronologię z dokładnymi godzinami: kiedy otrzymali Państwo wiadomość, kiedy dowiedzieli się o transakcji, kiedy zawiadomili bank. Dołączcie wyciąg, zawiadomienie na policję i korespondencję z bankiem. Zażądajcie od banku na piśmie informacji, jakie elementy uwierzytelnienia posłużyły do potwierdzenia każdej transakcji oraz z jakiego urządzenia i adresu IP.
Sprawdźcie też swoje polisy ubezpieczeniowe: niektórzy ubezpieczyciele oferują ochronę przed nadużyciem karty jako ryzyko dodatkowe, a przy włamaniu można także dochodzić odszkodowania za to, co skradziono. Więcej na ten temat w artykule o ubezpieczeniu mieszkania od zalania, pożaru i kradzieży.
Jeśli kwota jest znaczna lub bank uporczywie odmawia, porada adwokata od prawa bankowego może zmienić wynik sprawy. Jak ocenić, czy dany adwokat nadaje się do konkretnego sporu, wyjaśniamy w artykule jak wybrać dobrego adwokata i o co go zapytać.
Najczęściej zadawane pytania (FAQ)
Ile czasu ma bank na zwrot skradzionych pieniędzy?
Zgodnie z art. 79 ustawy o usługach płatniczych i systemach płatności bank musi zwrócić kwotę nieautoryzowanej transakcji niezwłocznie, najpóźniej do końca następnego dnia roboczego po zawiadomieniu. Jedynym wyjątkiem jest uzasadnione podejrzenie oszustwa ze strony klienta, o którym bank musi zawiadomić właściwe organy.
Do jakiej kwoty odpowiadam, jeśli skradziono mi kartę?
Jeśli nie działali Państwo w celu oszustwa ani z rażącym niedbalstwem, Państwa odpowiedzialność za transakcje sprzed zawiadomienia banku jest ograniczona do uzgodnionej kwoty, ale nie więcej niż 50 EUR (art. 80 ust. 1 ustawy o usługach płatniczych i systemach płatności, obowiązujący od 1 stycznia 2026 r.). Za transakcje po zawiadomieniu nie odpowiadają Państwo wcale.
Bank twierdzi, że transakcję potwierdzono moim kodem. Czy przegrywam spór?
Niekoniecznie. Zgodnie z art. 78 ust. 4 ustawy o usługach płatniczych i systemach płatności zarejestrowane użycie karty lub kodów samo w sobie nie dowodzi, że autoryzowali Państwo transakcję lub działali z rażącym niedbalstwem. Bank musi przedstawić na to dowody.
Jaki jest ostateczny termin na zakwestionowanie transakcji?
Ustawowy termin wynosi 13 miesięcy od daty obciążenia rachunku (art. 77 ustawy o usługach płatniczych i systemach płatności). Ustawa wymaga jednak zawiadomienia bez zbędnej zwłoki po tym, jak dowiedzą się Państwo o transakcji, dlatego najlepiej zawiadomić bank w dniu jej wykrycia.
Czy mogę odzyskać pieniądze, jeśli sam wykonałem przelew do oszusta?
Transakcja jest formalnie autoryzowana i zasada niezwłocznego zwrotu nie ma zastosowania. Pozostaje próba odzyskania środków przez bank odbiorcy, zawiadomienie policji i powództwo przeciwko odbiorcy o zwrot tego, co otrzymał bez podstawy prawnej. Jak ściąga się takie roszczenie, opisujemy w artykule o dochodzeniu niezapłaconych należności – od wezwania do zapłaty do komornika.
Czy zgłaszać sprawę na policję, jeśli bank i tak zwróci pieniądze?
Tak. Zawiadomienie dokumentuje oszustwo, pozwala namierzyć sprawców i często wymaga go sam bank. Numer sprawy przydaje się także przed Komisją Pojednawczą lub w sądzie.
Ile czasu ma bank na odpowiedź na moją reklamację?
Bank musi wydać pisemną decyzję w ciągu 15 dni roboczych od otrzymania reklamacji. Wyjątkowo, jeśli opóźnienie wynika z przyczyn od niego niezależnych i poinformuje Państwa o tym, termin może wynosić do 35 dni roboczych (art. 174 ustawy o usługach płatniczych i systemach płatności).
Czym zajmuje się Komisja Pojednawcza ds. Sporów Płatniczych?
To organ pozasądowego rozwiązywania sporów przy Komisji Ochrony Konsumentów. Postępowanie jest bezpłatne, a propozycja komisji ma moc ugody tylko wtedy, gdy przyjmą ją obie strony. Jeśli bank jej nie przyjmie, pozostaje droga sądowa.
Czy ubezpieczenie mieszkania obejmuje nadużycie karty bankowej?
Standardowe ubezpieczenie mienia zwykle nie obejmuje nadużycia karty. Niektórzy ubezpieczyciele oferują taką ochronę jako ryzyko dodatkowe, dlatego warto sprawdzić ogólne warunki polisy. Więcej o zakresie ochrony i odmowach w artykule o ubezpieczeniu mieszkania i odmowie wypłaty odszkodowania.
Co zrobić, jeśli na koncie zmarłej bliskiej osoby pojawiły się nieautoryzowane transakcje?
Spadkobiercy zawiadamiają bank o śmierci, przedstawiając zaświadczenie o spadkobiercach, i proszą o zablokowanie kart oraz o wyciąg z ruchów na rachunku. Jak ustala się rachunki zmarłego, wyjaśniamy w artykule o ustalaniu rachunków bankowych i nieruchomości zmarłego.
Kiedy warto zatrudnić adwokata?
Gdy kwota jest znaczna, bank powołuje się na rażące niedbalstwo albo sprawa dotyczy przelewu zleconego przez Państwa pod wpływem oszusta. Zob. o co zapytać adwokata podczas pierwszej konsultacji.
Jak możemy Państwu pomóc?
Kancelaria Adwokacka Mechkova & Dimitrova pomaga klientom w sporach z bankami i instytucjami płatniczymi dotyczących nieautoryzowanych transakcji: od przygotowania pisemnego zawiadomienia i reklamacji do banku, przez postępowanie przed Komisją Pojednawczą ds. Sporów Płatniczych, po powództwo w sądzie i roszczenia wobec odbiorców pieniędzy.
Każda sprawa zależy od konkretnych okoliczności i nie możemy z góry obiecać wyniku, ale możemy ocenić Państwa szanse i szybko podjąć właściwe kroki. Skontaktujcie się z nami w sprawie konsultacji jak najszybciej po wykryciu nieautoryzowanej transakcji.
