Sygn. akt C-70/25
WYROK TRYBUNAŁU (pierwsza izba)
z dnia 15 października 2026 r.(*)
Odesłanie prejudycjalne – Usługi płatnicze w ramach rynku wewnętrznego – Dyrektywa (UE) 2015/2366 – Nieautoryzowane transakcje płatnicze – Artykuł 73 – Odpowiedzialność dostawcy usług płatniczych – Artykuł 74 – Odpowiedzialność płatnika – Ciążący na dostawcy usług płatniczych obowiązek bezzwłocznego zwrotu – Zakres – Podział odpowiedzialności między dostawcą usług płatniczych a płatnikiem – Artykuł 69 – Odpowiedzialność użytkownika usług płatniczych – Rażące zaniedbanie – Odmówienie przez dostawcę usług płatniczych bezzwłocznego zwrotu na rzecz płatnika kwoty nieautoryzowanej transakcji ze względu na umożliwienie tej transakcji przez płatnika w wyniku rażącego zaniedbania
W sprawie C‑70/25 [Tukowiecka](i)
mającej za przedmiot wniosek o wydanie, na podstawie art. 267 TFUE, orzeczenia w trybie prejudycjalnym, złożony przez Sąd Rejonowy w Koszalinie (Polska) postanowieniem z dnia 23 stycznia 2025 r., które wpłynęło do Trybunału w dniu 3 lutego 2025 r., w postępowaniu:
N.O.
przeciwko
PKO BP S.A.,
TRYBUNAŁ (pierwsza izba),
w składzie: F. Biltgen, prezes izby, S. Gervasoni, A. Kumin, I. Ziemele i M. Bošnjak (sprawozdawca), sędziowie,
rzecznik generalny: A. Rantos,
sekretarz: V. Di Bucci,
uwzględniając pisemny etap postępowania,
rozważywszy uwagi, które przedstawili:
– w imieniu PKO BP S.A. – M. Trepka i M. Wurm, radcowie prawni, oraz Ł. Hejmej i A. Szczęśniak, adwokaci,
– w imieniu rządu polskiego – B. Majczyna, w charakterze pełnomocnika,
– w imieniu rządu czeskiego – J. Očková, M. Smolek oraz J. Vláčil, w charakterze pełnomocników,
– w imieniu rządu włoskiego – S. Fiorentino, w charakterze pełnomocnika, którego wspierała G. Iappelli, avvocato dello Stato,
– w imieniu Komisji Europejskiej – G. Goddin oraz J. Szczodrowski, w charakterze pełnomocników,
po zapoznaniu się z opinią rzecznika generalnego na posiedzeniu w dniu 5 marca 2026 r.,
wydaje następujący
Wyrok
Wniosek o wydanie orzeczenia w trybie prejudycjalnym dotyczy wykładni art. 73 ust. 1 i art. 74 ust. 1 dyrektywy Parlamentu Europejskiego i Rady (UE) 2015/2366 z dnia 25 listopada 2015 r. w sprawie usług płatniczych w ramach rynku wewnętrznego, zmieniającej dyrektywy 2002/65/WE, 2009/110/WE, 2013/36/UE i rozporządzenie (UE) nr 1093/2010 oraz uchylającej dyrektywę 2007/64/WE (Dz.U. 2015, L 337, s. 35; sprostowanie Dz.U. 2018, L 102, s. 97) (zwanej dalej „dyrektywą 2015/2366”).
Wniosek ten został złożony w ramach sporu pomiędzy N.O., osobą fizyczną, a PKO BP S.A., bankiem, w przedmiocie odmówienia przez ten bank zwrotu kwoty transakcji płatniczej nieautoryzowanej przez N.O.
Ramy prawne
Prawo Unii
Dyrektywa 2007/64/WE
Artykuł 60 dyrektywy 2007/64/WE Parlamentu Europejskiego i Rady z dnia 13 listopada 2007 r. w sprawie usług płatniczych w ramach rynku wewnętrznego, zmieniającej dyrektywy 97/7/WE, 2002/65/WE, 2005/60/WE i 2006/48/WE i uchylającej dyrektywę 97/5/WE (Dz.U. 2007, L 319, s. 1), zatytułowany „Odpowiedzialność dostawcy usług płatniczych za nieautoryzowane transakcje płatnicze”, stanowi w ust. 1, co następuje:
„Bez uszczerbku dla art. 58 państwa członkowskie zapewniają, aby w przypadku nieautoryzowanej transakcji płatniczej dostawca usług płatniczych płatnika bezzwłocznie dokonywał na jego rzecz zwrotu kwoty, na jaką opiewała nieautoryzowana transakcja płatnicza, oraz, w stosownych przypadkach, przywrócił obciążony rachunek płatniczy do stanu, jaki istniałby, gdyby nie miała miejsca nieautoryzowana transakcja płatnicza”.
Dyrektywa 2015/2366
Motywy 6 i 71 dyrektywy 2015/2366 mają następujące brzmienie:
„6. Należy ustanowić nowe przepisy, aby wyeliminować luki regulacyjne, zapewniając jednocześnie większą jasność prawa i spójne stosowanie ram legislacyjnych w całej Unii [Europejskiej]. Dotychczasowym oraz nowym uczestnikom rynku należy zagwarantować równorzędne warunki działania, umożliwiając upowszechnienie nowych sposobów płatności wśród szerokiego kręgu użytkowników i zapewniając wysoki poziom ochrony konsumentów przy korzystaniu z tych usług płatniczych w całej Unii. Powinno to podnieść efektywność całego systemu płatności i doprowadzić do powstania szerszej oferty usług płatniczych i ich większej przejrzystości, przy jednoczesnym wzmocnieniu zaufania konsumentów do zharmonizowanego rynku płatności.
[…]
(71) W przypadku nieautoryzowanej transakcji płatniczej dostawca usług płatniczych powinien bezzwłocznie zwrócić płatnikowi kwotę tej transakcji. Jeżeli jednak zachodzi duże prawdopodobieństwo nieautoryzowanej transakcji wynikającej z działania użytkownika usług płatniczych w nieuczciwych zamiarach, a podejrzenie to opiera się na obiektywnych podstawach zgłoszonych odpowiedniemu organowi krajowemu, przed dokonaniem zwrotu na rzecz płatnika dostawca usług płatniczych powinien być w stanie przeprowadzić w rozsądnym terminie dochodzenie. Aby zapobiec wszelkim sytuacjom niekorzystnym dla płatnika, data waluty w odniesieniu do uznania rachunku kwotą zwrotu nie powinna być późniejsza niż data obciążenia rachunku tą kwotą. Aby zachęcić użytkownika usług płatniczych do zgłaszania swojemu dostawcy usług płatniczych bez zbędnej zwłoki każdej kradzieży lub utraty instrumentu płatniczego, a tym samym aby zmniejszyć ryzyko nieautoryzowanych transakcji płatniczych, użytkownik powinien ponosić odpowiedzialność wyłącznie do kwoty o bardzo ograniczonej wysokości, chyba że użytkownik ten działał w nieuczciwych zamiarach lub dopuścił się rażącego zaniedbania w tym zakresie. W tym kontekście kwota w wysokości 50 [euro] wydaje się odpowiednia do zapewnienia zharmonizowanego i wysokiego poziomu ochrony użytkowników w Unii. Płatnik nie powinien ponosić odpowiedzialności, jeżeli nie mógł zdawać sobie sprawy z utraty, kradzieży lub przywłaszczenia instrumentu płatniczego. Ponadto od momentu zgłoszenia dostawcy usług płatniczych przez użytkownika tego, że mogło dojść do nieuprawnionego użycia jego instrumentu płatniczego, użytkownik usług płatniczych nie powinien być zobowiązany do pokrycia żadnych dalszych strat wynikających z nieuprawnionego użycia tego instrumentu. Niniejsza dyrektywa nie powinna wpływać na odpowiedzialność dostawców usług płatniczych za bezpieczeństwo techniczne ich produktów”.
Artykuł 1 tej dyrektywy, zatytułowany „Przedmiot”, przewiduje w ust. 2 lit b):
„Niniejsza dyrektywa ustanawia również przepisy dotyczące:
b) odpowiednich praw i obowiązków użytkowników usług płatniczych oraz dostawców usług płatniczych w odniesieniu do świadczenia usług płatniczych jako stałego zajęcia lub działalności gospodarczej”.
Artykuł 69 tej dyrektywy, zatytułowany „Obowiązki użytkownika usług płatniczych związane z instrumentami płatniczymi oraz indywidualne dane uwierzytelniające”, stanowi:
„1. Użytkownik usług płatniczych uprawniony do korzystania z instrumentu płatniczego:
a) korzysta z instrumentu płatniczego zgodnie z warunkami wydawania i użytkowania tego instrumentu płatniczego, które muszą być obiektywne, niedyskryminujące i proporcjonalne;
b) po stwierdzeniu utraty, kradzieży, przywłaszczenia lub nieuprawnionego użycia instrumentu płatniczego – zgłasza to bez zbędnej zwłoki dostawcy usług płatniczych lub podmiotowi wskazanemu przez tego dostawcę.
2. Na potrzeby ust. 1 lit. a) użytkownik usług płatniczych w szczególności, z chwilą otrzymania instrumentu płatniczego, podejmuje wszelkie racjonalne kroki, by chronić swoje indywidualne dane uwierzytelniające”.
Artykuł 71 tej dyrektywy, zatytułowany „Zgłaszanie nieautoryzowanych lub nieprawidłowo wykonanych transakcji płatniczych”, przewiduje w ust. 1:
„Użytkownik usług płatniczych uzyskuje od dostawcy usług płatniczych korektę nieautoryzowanej lub nieprawidłowo wykonanej transakcji płatniczej, wyłącznie jeżeli dokona dostawcy usług płatniczych zgłoszenia bez zbędnej zwłoki, gdy tylko stwierdzi taką transakcję płatniczą uprawniającą do wystąpienia z roszczeniem, w tym na podstawie art. 89, i nie później niż w ciągu 13 miesięcy od daty obciążenia rachunku.
[…]”
Artykuł 72 dyrektywy 2015/2366, zatytułowany „Dowód uwierzytelnienia i wykonania transakcji płatniczych”, stanowi w ust. 2:
„W przypadku gdy użytkownik usług płatniczych zaprzecza, że autoryzował wykonaną transakcję płatniczą, użycie instrumentu płatniczego zarejestrowane przez dostawcę usług płatniczych, w tym dostawcę świadczącego usługę inicjowania płatności, stosownie do sytuacji, samo w sobie niekoniecznie jest wystarczające do udowodnienia, że dana transakcja płatnicza została przez płatnika autoryzowana albo że płatnik działał w nieuczciwych zamiarach lub dopuścił się celowego lub rażącego zaniedbania co najmniej jednego z obowiązków przewidzianych w art. 69. Dostawca usług płatniczych, w tym, stosownie do sytuacji, dostawca świadczący usługę inicjowania płatności, stosownie do sytuacji, przekazuje dokumentację w celu udowodnienia oszustwa lub rażącego zaniedbania ze strony użytkownika usług płatniczych”.
Artykuł 73 owej dyrektywy, zatytułowany „Odpowiedzialność dostawcy usług płatniczych za nieautoryzowane transakcje płatnicze”, przewiduje w ust. 1:
„Państwa członkowskie zapewniają, aby – bez uszczerbku dla art. 71 – w przypadku nieautoryzowanej transakcji płatniczej dostawca usług płatniczych płatnika dokonywał na rzecz płatnika zwrotu kwoty nieautoryzowanej transakcji płatniczej bezzwłocznie, a w każdym razie nie później niż do końca następnego dnia roboczego po odnotowaniu danej transakcji lub po otrzymaniu stosownego zgłoszenia, z wyjątkiem sytuacji, gdy dostawca usług płatniczych płatnika ma uzasadnione podstawy, by podejrzewać oszustwo, i poinformuje na piśmie o tych podstawach odpowiedni organ krajowy. W stosownych przypadkach dostawca usług płatniczych płatnika przywraca obciążamy rachunek płatniczy do stanu, jaki istniałby, gdyby nie miała miejsca nieautoryzowana transakcja płatnicza. Obejmuje to również zapewnienie, by data waluty w odniesieniu do uznania rachunku płatniczego płatnika nie była późniejsza od daty obciążenia tą kwotą”.
Artykuł 74 wspomnianej dyrektywy, zatytułowany „Odpowiedzialność płatnika za nieautoryzowane transakcje płatnicze”, stanowi w ust. 1:
„Na zasadzie odstępstwa od art. 73 płatnik może być zobowiązany do poniesienia strat związanych z wszelkimi nieautoryzowanymi transakcjami płatniczymi, do maksymalnej wysokości 50 [euro], będących skutkiem posłużenia się utraconym lub skradzionym instrumentem płatniczym lub przywłaszczenia instrumentu płatniczego.
Akapit pierwszy nie ma zastosowania, gdy:
a) płatnik nie miał możliwości stwierdzenia utraty, kradzieży lub przywłaszczenia instrumentu płatniczego przed płatnością, z wyjątkiem sytuacji, gdy płatnik działał w nieuczciwych zamiarach; lub
b) utrata została spowodowana działaniami lub brakiem działań ze strony pracownika, agenta lub oddziału dostawcy usług płatniczych lub podmiotu świadczącego na jego rzecz usługi w ramach outsourcingu.
Płatnik ponosi wszelkie straty związane z nieautoryzowanymi transakcjami płatniczymi, jeżeli płatnik poniósł je, działając w nieuczciwych zamiarach lub dopuszczając się celowego lub rażącego zaniedbania co najmniej jednego z obowiązków określonych w art. 69. W takich przypadkach nie ma zastosowania maksymalna kwota, o której mowa w akapicie pierwszym.
W przypadku gdy płatnik nie działał w nieuczciwych zamiarach ani nie zaniedbał celowo swoich obowiązków, o których mowa w art. 69, państwa członkowskie mogą ograniczyć odpowiedzialność, o której mowa w niniejszym ustępie, biorąc pod uwagę w szczególności charakter indywidualnych danych uwierzytelniających oraz konkretne okoliczności, w których dany instrument płatniczy został utracony, skradziony lub przywłaszczony”.
Artykuł 102 tej dyrektywy, zatytułowany „Procedury alternatywnego rozstrzygania sporów”, ma w ust. 1 następujące brzmienie:
„Państwa członkowskie zapewniają ustanowienie – zgodnie z właściwymi przepisami prawa krajowego i prawa Unii – adekwatnych, niezależnych, bezstronnych, przejrzystych i skutecznych procedur alternatywnego rozstrzygania sporów między użytkownikami usług płatniczych a dostawcami usług płatniczych dotyczących praw i obowiązków wynikających z przepisów tytułów III i IV niniejszej dyrektywy, w stosownych przypadkach z wykorzystaniem istniejących właściwych podmiotów. Państwa członkowskie zapewniają, by procedury alternatywnego rozstrzygania sporów miały zastosowanie do dostawców usług płatniczych”.
Artykuł 107 dyrektywy 2015/2366, zatytułowany „Pełna harmonizacja”, przewiduje w ust. 1:
„Z zastrzeżeniem art. 2, art. 8 ust. 3, art. 32, art. 38 ust. 2, art. 42 ust. 2, art. 55 ust. 6, art. 57 ust. 3, art. 58 ust. 3, art. 61 ust. 2 i 3, art. 62 ust. 5, art. 63 ust. 2 i 3 oraz art. 74 ust. 1 akapit czwarty i art. 86 państwa członkowskie nie utrzymują ani nie ustanawiają – w zakresie, w jakim niniejsza dyrektywa zawiera zharmonizowane przepisy – przepisów innych niż te ustanowione w niniejszej dyrektywie”.
Prawo polskie
Artykuł 46 ustawy z dnia 19 sierpnia 2011 r. o usługach płatniczych (Dz.U. nr 199, poz. 1175), ze zmianami (Dz.U. z 2024 r., poz. 30), która transponuje do polskiego porządku prawnego art. 73 i 74 dyrektywy 2015/2366, przewiduje w ust. 1 i 3:
„1. Z zastrzeżeniem art. 44 ust. 2, w przypadku wystąpienia nieautoryzowanej transakcji płatniczej dostawca [usług płatniczych] płatnika niezwłocznie, nie później jednak niż do końca dnia roboczego następującego po dniu stwierdzenia wystąpienia nieautoryzowanej transakcji, którą został obciążony rachunek płatnika, lub po dniu otrzymania stosownego zgłoszenia, zwraca płatnikowi kwotę nieautoryzowanej transakcji płatniczej, z wyjątkiem przypadku gdy dostawca [usług płatniczych] płatnika ma uzasadnione i należycie udokumentowane podstawy, aby podejrzewać oszustwo, i poinformuje o tym w formie pisemnej organy powołane do ścigania przestępstw. W przypadku gdy płatnik korzysta z rachunku płatniczego, dostawca [usług płatniczych] płatnika przywraca obciążony rachunek płatniczy do stanu, jaki istniałby, gdyby nie miała miejsca nieautoryzowana transakcja płatnicza. Data waluty w odniesieniu do uznania rachunku płatniczego płatnika nie może być późniejsza od daty obciążenia tą kwotą.
3. Płatnik odpowiada za nieautoryzowane transakcje płatnicze w pełnej wysokości, jeżeli doprowadził do nich umyślnie albo w wyniku umyślnego lub będącego skutkiem rażącego niedbalstwa naruszenia co najmniej jednego z obowiązków, o których mowa w art. 42”.
Postępowanie główne i pytanie prejudycjalne
Powódka w postępowaniu głównym zawarła umowę o prowadzenie rachunku oszczędnościowo-rozliczeniowego z PKO BP, bankiem z siedzibą w Polsce.
Padła ona ofiarą phishingu popełnionego przez niezidentyfikowanego sprawcę, który podał się za zainteresowanego kupnem przedmiotu wystawionego przez nią do sprzedaży na internetowym portalu aukcyjnym i wysłał jej link wywołujący u niej przekonanie, że pochodzi on z portalu aukcyjnego i że jego celem jest potwierdzenie sprzedaży. Po kliknięciu na ten link powódka w postępowaniu głównym weszła na stronę internetową odtwarzającą wygląd strony internetowej jej banku i wpisała tam swoje dane do logowania usługi bankowości elektronicznej. Uzyskane w ten sposób dane umożliwiły sprawcy dokonanie przelewu z rachunku powódki na jego rachunek kwoty 3000 złotych polskich (PLN) (około 705 EUR). Owa transakcja płatnicza została autoryzowana przez sprawcę oszustwa za pomocą kodu potwierdzającego przekazanego przez SMS i uzyskanego od pozwanej w postępowaniu głównym w wyniku tego wprowadzenia w błąd.
Następnego dnia powódka w postępowaniu głównym zorientowała się, że doszło do oszustwa, i natychmiast zawiadomiła PKO BP i policję o nieautoryzowanej transakcji płatniczej. Nie doszło do ustalenia sprawcy oszustwa.
PKO BP odmówił zwrotu kwoty nieautoryzowanej transakcji płatniczej na rzecz powódki w postępowaniu głównym, uzasadniając to między innymi w ten sposób, że szkoda poniesiona przez nią wynikała z braku dochowania przez nią, wskutek rażącego zaniedbania, obowiązku przechowywania omawianego instrumentu płatniczego z zachowaniem należytej staranności oraz nieudostępniania go osobom nieuprawnionym.
Następnie powódka w postępowaniu głównym wniosła do Sądu Rejonowego w Koszalinie (Polska), który jest sądem odsyłającym, powództwo o zasądzenie od PKO BP zapłaty kwoty 3000 PLN (około 705 EUR).
W uzasadnieniu żądania powódka w postępowaniu głównym podnosi, że PKO BP, jako dostawca usług płatniczych, był zobowiązany do bezzwłocznego zwrotu na jej rzecz kwoty nieautoryzowanej transakcji płatniczej, chyba że istnieją uzasadnione podstawy, by podejrzewać, że płatnik popełnił oszustwo.
PKO BP utrzymuje ze swej strony, że uchybienie przez płatnika jego obowiązkom wskutek rażącego zaniedbania również stanowi podstawę zwalniającą dostawcę usług płatniczych z jego obowiązku zwrotu kwoty nieautoryzowanej transakcji płatniczej. PKO BP podnosi w tym względzie, że może samodzielnie ocenić wszystkie przesłanki swej odpowiedzialności za tego rodzaju transakcję i że jest zwolniony z tego obowiązku zwrotu, jeżeli wykaże istnienie takiego zaniedbania ze strony płatnika.
Sąd odsyłający uważa, że dyrektywa 2015/2366 i przepisy krajowe zapewniające jej transpozycję do polskiego porządku prawnego ustanawiają ogólną zasadę, zgodnie z którą dostawca usług płatniczych ponosi w pełni ryzyko związane z nieautoryzowanymi transakcjami płatniczymi. Jego zdaniem do tego dostawcy, jako wyspecjalizowanego profesjonalisty, należy zapewnienie bezpieczeństwa transakcji przed ryzykiem oszustw, a także ochrony powierzonych mu środków finansowych.
Sąd ten wskazuje ponadto, że zarówno przepisy tej dyrektywy, jak i przepisy krajowe ustanawiają na rzecz płatników prawo zwrotu kwot nieautoryzowanych transakcji, co oznacza prawo do bezzwłocznego odzyskania utraconych w ten sposób środków. Prawo to miałoby być ograniczone tylko w przypadku uzasadnionych podstaw podejrzenia oszustwa po stronie płatnika i zgłoszenia go odpowiednim organom krajowym.
Ponadto sąd odsyłający zauważa, że do sądów polskich nie wpłynęły wniesione przez banki powództwa o zasądzenie od konsumenta zwrotu kwoty nieautoryzowanych transakcji płatniczych ze względu na dopuszczenie się rażącego zaniedbania. Natomiast wpłynęły do nich liczne powództwa wniesione przez konsumentów przeciwko instytucjom bankowym ze względu na odmówienie przez nie zwrotu kwoty takich transakcji.
Zdaniem sądu odsyłającego zjawisko to wskazuje, że stosowanie przez dostawców usług płatniczych odstępstw od prawa zwrotu stało się zasadą postępowania w przypadku wystąpienia nieautoryzowanej transakcji płatniczej. Co do zasady nie dokonują oni zwrotu kwoty takich transakcji, w związku z czym to płatnicy, w szczególności konsumenci, są zobowiązani do dochodzenia swojego prawa do zwrotu przed sądami krajowymi.
W tym kontekście sąd ten uważa, że wykładnia dyrektywy 2015/2366, za którą opowiada się PKO BP, nie pozwala na osiągnięcie celu ochrony płatnika zamierzonego przez ustanowiony w przepisach tej dyrektywy obowiązek bezzwłocznego zwrotu kwoty nieautoryzowanych transakcji płatniczych. Sąd ten uważa zatem, że przepisy te należy interpretować w ten sposób, że stoją one na przeszkodzie możliwości odmówienia przez dostawcę usług płatniczych bezzwłocznego zwrotu kwoty nieautoryzowanej transakcji płatniczej ze względu na to, że szkoda poniesiona przez płatnika wskutek tej transakcji wynika z dopuszczenia się przez niego rażącego zaniedbania.
Sąd odsyłający uważa, że taka wykładnia skutkowałaby obciążeniem dostawcy usług płatniczych, jako profesjonalisty, a nie płatnika, który często jest konsumentem, ciężarem związanym z zakwestionowaniem jego odpowiedzialności, w szczególności w odniesieniu do wszczęcia postępowania, opłaty sądowej, przedstawienia dowodów i przygotowania dokumentów procesowych.
W tych okolicznościach Sąd Rejonowy w Koszalinie postanowił zawiesić postępowanie i zwrócić się do Trybunału z następującym pytaniem prejudycjalnym:
„Czy przepisy art. 73 ust. 1 w związku z art. 74 ust. 1 dyrektywy [2015/2366] należy rozumieć w ten sposób, że dostawca usług płatniczych może odmówić płatnikowi bezzwłocznego zwrotu kwoty nieautoryzowanej transakcji płatniczej, jeżeli płatnik poniósł stratę związaną z nieautoryzowaną transakcją płatniczą, dopuszczając się rażącego zaniedbania obowiązków określonych w art. 69 [tej dyrektywy]?”.
W przedmiocie pytania prejudycjalnego
W jedynym przedłożonym Trybunałowi pytaniu sąd odsyłający pyta w istocie o to, czy art. 73 ust. 1 i art. 74 ust. 1 dyrektywy 2015/2366 należy interpretować w ten sposób, że dostawca usług płatniczych może odmówić płatnikowi bezzwłocznego zwrotu kwoty nieautoryzowanej transakcji płatniczej w związku z tym, że ów płatnik miał umożliwić dokonanie tej transakcji wskutek rażącego zaniedbania, z naruszeniem obowiązków ciążących na nim na mocy art. 69 tej dyrektywy.
W tym względzie zgodnie z utrwalonym orzecznictwem przy dokonywaniu wykładni przepisu prawa Unii konieczne jest uwzględnienie nie tylko jego brzmienia, ale także jego kontekstu oraz celów regulacji, której część stanowi (zob. podobnie wyroki: z dnia 17 listopada 1983 r., Merck, 292/82, EU:C:1983:335, pkt 12; z dnia 1 sierpnia 2025 r., Veracash, C‑665/23, EU:C:2025:598, pkt 34). Geneza przepisu prawa Unii również może dostarczyć informacji istotnych dla jego wykładni (wyrok z dnia 2 września 2021 r., CRCAM, C‑337/20, EU:C:2021:671, pkt 31).
W pierwszej kolejności, co się tyczy wykładni literalnej, należy zauważyć, że art. 73 i 74 dyrektywy 2015/2366 regulują, odpowiednio, odpowiedzialność dostawcy usług płatniczych i odpowiedzialność płatnika w przypadku nieautoryzowanych transakcji płatniczych.
I tak, po pierwsze, z brzmienia art. 73 ust. 1 tej dyrektywy wynika, że co do zasady dostawca usług płatniczych płatnika zwraca mu kwotę nieautoryzowanej transakcji płatniczej bezzwłocznie po odnotowaniu danej transakcji lub po otrzymaniu stosownego zgłoszenia, a w każdym razie nie później niż do końca następnego dnia roboczego.
Ten obowiązek zwrotu ma zastosowanie „bez uszczerbku dla art. 71” owej dyrektywy, którego ust. 1 stanowi, że użytkownik usług płatniczych uzyskuje od dostawcy usług płatniczych korektę nieautoryzowanej lub nieprawidłowo wykonanej transakcji płatniczej, wyłącznie jeżeli dokona dostawcy usług płatniczych zgłoszenia bez zbędnej zwłoki.
Ponadto należy podkreślić, że brzmienie art. 73 ust. 1 tej dyrektywy przewiduje tylko jedno odstępstwo od obowiązku natychmiastowego zwrotu, a mianowicie sytuację, w której dostawca usług płatniczych ma uzasadnione podstawy, aby podejrzewać oszustwo, i poinformuje na piśmie o tych podstawach odpowiedni organ krajowy.
Wynika z tego, że art. 73 ust. 1 dyrektywy 2015/2366 nie przewiduje żadnego odstępstwa od obowiązku bezzwłocznego zwrotu w przypadku podejrzenia, że płatnik umożliwił nieautoryzowaną transakcję płatniczą w wyniku rażącego zaniedbania, z naruszeniem obowiązków ciążących na nim na mocy art. 69 tej dyrektywy.
Co się tyczy, po drugie, art. 74 ust. 1 dyrektywy 2015/2366, jego dwa pierwsze akapity umożliwiają państwom członkowskim w drodze odstępstwa zobowiązanie płatnika do poniesienia związanych z wszelkimi nieautoryzowanymi transakcjami płatniczymi strat, do maksymalnej wysokości 50 euro, będących skutkiem utraty, kradzieży lub przywłaszczenia instrumentu płatniczego, chyba że płatnik nie miał możliwości stwierdzenia tych zdarzeń przed płatnością. Jego akapit trzeci przewiduje, że płatnik pokrywa wszelkie straty związane z nieautoryzowanymi transakcjami płatniczymi, jeżeli poniósł je, działając w nieuczciwych zamiarach lub dopuszczając się celowego lub rażącego zaniedbania co najmniej jednego z obowiązków określonych w art. 69 tej dyrektywy. Wśród tych obowiązków znajduje się w szczególności obowiązek, o którym mowa w art. 69 ust. 2, polegający na zastosowaniu wszelkich racjonalnych środków w celu ochrony swoich indywidualnych danych uwierzytelniających.
Ponadto art. 74 ust. 1 akapit czwarty dyrektywy 2015/2366 zezwala państwom członkowskim na ograniczenie odpowiedzialności płatnika, jeżeli nie działał on w nieuczciwych zamiarach ani nie zaniedbał celowo obowiązków ciążących na nim na mocy art. 69 tej dyrektywy. Jednakże żaden element postanowienia odsyłającego ani uwag przedstawionych Trybunałowi nie pozwala na stwierdzenie, że Rzeczpospolita Polska skorzystała z tej możliwości.
Określając prawa i obowiązki, odpowiednio, dostawcy usług płatniczych i płatnika, art. 73 i 74 tej dyrektywy dokonują zatem podziału ryzyka między nimi.
Co się tyczy związku między obowiązkami przewidzianymi, odpowiednio, w art. 73 i 74 dyrektywy 2015/2366, należy stwierdzić, że brzmienie art. 74 ust. 1 tej dyrektywy nie pozwala na jednoznaczne określenie zakresu przewidzianego w nim odstępstwa. Wedle pierwszej wykładni dotyczy ono obowiązku bezzwłocznego zwrotu przewidzianego w art. 73 ust. 1 tej dyrektywy, w przypadku gdy płatnik uchybił w wyniku rażącego zaniedbania zobowiązaniom ciążącym na nim na mocy art. 69 tej dyrektywy. Zgodnie z drugą wykładnią odstępstwo to dotyczy jedynie ostatecznego charakteru zwrotu, przy czym dostawca usług płatniczych jest zobowiązany do dokonania w pierwszej kolejności tego bezzwłocznego zwrotu, a następnie, w stosownym przypadku, może zażądać od płatnika zwrotu strat związanych z nieautoryzowanymi transakcjami za pomocą przewidzianych w tym celu środków prawnych.
Co się tyczy w drugiej kolejności kontekstu, w jaki wpisują się art. 73 i 74 dyrektywy 2015/2366, należy, po pierwsze, podkreślić, że motyw 71 tej dyrektywy dotyczy sytuacji, w której dostawca usług płatniczych ma uzasadnione podstawy, by podejrzewać oszustwo popełnione przez użytkownika usług płatniczych, i informuje na piśmie właściwy organ krajowy o obiektywnych powodach uzasadniających te podejrzenia. Ów motyw 71 wydaje się potwierdzać wykładnię, zgodnie z którą jedynym odstępstwem od obowiązku natychmiastowego zwrotu jest odstępstwo wyraźnie przewidziane w art. 73 ust. 1 tej dyrektywy.
Po drugie, należy przypomnieć, że w ramach rozkładu ciężaru dowodu art. 72 ust. 2 tej dyrektywy zobowiązuje dostawcę usług płatniczych do wykazania rażącego zaniedbania płatnika. Ten podział ciężaru dowodu odzwierciedla ogólną systematykę systemu ustanowionego w art. 73 i 74 owej dyrektywy, który polega na wzmocnieniu ochrony przyznanej płatnikowi w przypadku nieautoryzowanych transakcji płatniczych.
Taka zasada potwierdza bowiem, że prawodawca Unii zamierzał zapewnić spójność między systemem ustanowionym w art. 73 ust. 1 dyrektywy 2015/2366 a przepisami proceduralnymi mającymi na celu zapewnienie jego skutecznego wdrożenia.
Z rozważań przedstawionych w pkt 39–41 niniejszego wyroku wynika zatem, że analiza kontekstu, w jaki wpisują się art. 73 i 74 tej dyrektywy, potwierdza wykładnię, zgodnie z którą artykuły 73 i 74 regulują odrębne aspekty procedury zwrotu kwoty nieautoryzowanych transakcji płatniczych w ten sposób, że art. 73 tej dyrektywy nakłada na dostawcę usług płatniczych obowiązek bezzwłocznego zwrotu tej kwoty, podczas gdy art. 74 tej dyrektywy reguluje podział odpowiedzialności między tym dostawcą a płatnikiem na późniejszym etapie, co wynika z mechanizmu opisanego w pkt 38 niniejszego wyroku.
Co się tyczy, w trzeciej kolejności, celów realizowanych przez dyrektywę 2015/2366, należy przypomnieć, że jak wynika z jej art. 1 ust. 2 lit. b), jej celem jest w szczególności ustanowienie odpowiednich praw i obowiązków użytkowników usług płatniczych i dostawców usług płatniczych w ramach świadczenia takich usług jako stałego zajęcia lub działalności gospodarczej.
Dyrektywa ta ma zatem na celu, jak stanowi jej motyw 6, zapewnienie wysokiego poziomu ochrony konsumentów (zob. podobnie wyroki: z dnia 11 listopada 2020 r., DenizBank, C‑287/19, EU:C:2020:897, pkt 102; z dnia 11 lipca 2024 r., Eurobank Bulgaria, C‑409/22, EU:C:2024:600, pkt 79 i przytoczone tam orzecznictwo).
Tymczasem dokonanie wykładni art. 74 ust. 1 dyrektywy 2015/2366 w ten sposób, że zwalnia on dostawcę usług płatniczych z obowiązku dokonania bezzwłocznego zwrotu, o którym mowa w art. 73 ust. 1 tej dyrektywy, w przypadku gdy płatnik uchybił w wyniku rażącego zaniedbania obowiązkom ciążącym na nim na mocy art. 69 tej dyrektywy, skutkowałaby nie tylko pozbawieniem skuteczności (effet utile) obowiązku natychmiastowego zwrotu na rzecz płatnika, lecz również zmuszeniem tego użytkownika do podjęcia inicjatywy w celu dochodzenia swoich praw, w razie potrzeby, przed właściwymi sądami i poniesienia wynikających z tego niedogodności, w szczególności ewentualnych kosztów postępowania. Taki podział odpowiedzialności i ryzyka na niekorzyść płatnika okazuje się trudny do pogodzenia z celem polegającym na zapewnieniu wysokiego poziomu ochrony konsumentów, przypomnianym w poprzednim punkcie niniejszego wyroku.
Natomiast dokonanie wykładni art. 74 ust. 1 dyrektywy 2015/2366 w ten sposób, że nie zwalnia on dostawcy usług płatniczych z obowiązku dokonania bezzwłocznego zwrotu, jest zgodna z celem polegającym na zapewnieniu wysokiego poziomu ochrony konsumentów. Wykładnia ta nie stoi na przeszkodzie temu, by dostawca usług płatniczych zażądał następnie od płatnika, na warunkach przewidzianych w art. 74 ust. 1 tej dyrektywy, zwrotu strat związanych z nieautoryzowanymi transakcjami płatniczymi, jeżeli straty te wynikają z uchybienia, w wyniku dopuszczenia się przez płatnika rażącego zaniedbania, obowiązkom ciążącym na nim na mocy art. 69 tej dyrektywy.
Wynika z tego, że cele realizowane przez dyrektywę 2015/2366 potwierdzają wykładnię, zgodnie z którą okoliczność, że dostawca usług płatniczych uważa, iż płatnik uchybił w wyniku rażącego zaniedbania obowiązkom ciążącym na nim na mocy art. 69 tej dyrektywy, nie może skutkować zwolnieniem go z obowiązku bezzwłocznego zwrotu przewidzianego w art. 73 ust. 1 wspomnianej dyrektywy.
W czwartej kolejności, co się tyczy genezy dyrektywy 2015/2366, należy zauważyć, że system ustanowiony w art. 73 ust. 1 tej dyrektywy zasadniczo różni się od systemu ustanowionego wcześniej przez dyrektywę 2007/64 w odniesieniu do odstępstw od obowiązku bezzwłocznego zwrotu.
Artykuł 60 dyrektywy 2007/64, który regulował odpowiedzialność dostawcy usług płatniczych za nieautoryzowane transakcje płatnicze, nie przewidywał w sposób wyraźny żadnego odstępstwa od tego obowiązku. To samo dotyczyło pierwotnego wniosku Komisji Europejskiej, który zapoczątkował proces legislacyjny prowadzący do przyjęcia dyrektywy 2015/2366 [COM(2013) 547 final]. Dopiero w toku tego procesu prawodawca Unii wprowadził szczególne odstępstwo od obowiązku bezzwłocznego zwrotu, w przypadku gdy dostawca usług płatniczych miałby uzasadnione podstawy, by podejrzewać istnienie oszustwa, bez umożliwienia państwom członkowskim utrzymania w mocy lub wprowadzenia przepisów innych niż zawarte w dyrektywie 2015/2366, jak wynika to z jej art. 107 ust. 1.
Wreszcie należy uściślić, że wbrew temu, co twierdzą rządy czeski i włoski w uwagach na piśmie, wykładnia zawarta w pkt 47 niniejszego wyroku nie skutkuje obejściem mechanizmu alternatywnego rozstrzygania sporów, o którym mowa w art. 102 ust. 1 dyrektywy 2015/2366.
W tym względzie, jak zauważył rzecznik generalny w pkt 51 opinii, należy podkreślić, że mechanizm ten nie ogranicza się do rozstrzygania sporów dotyczących bezzwłocznego zwrotu przewidzianego w art. 73 tej dyrektywy, lecz rozciąga się na każdy rodzaj sporów objętych jej tytułami III i IV. Wynika z tego, że istnienie takiego mechanizmu nie może być rozumiane jako niezbędne uzupełnienie wykonania jednego przepisu wspomnianej dyrektywy, a mianowicie jej art. 73, ani tym samym jako równoważne z mechanizmem obowiązkowej weryfikacji poszanowania obowiązków przewidzianych w art. 69 tej dyrektywy.
W świetle całości powyższych rozważań odpowiedź na pytanie prejudycjalne powinna brzmieć następująco: art. 73 ust. 1 i art. 74 ust. 1 dyrektywy 2015/2366 należy interpretować w ten sposób, że dostawca usług płatniczych nie może odmówić płatnikowi bezzwłocznego zwrotu kwoty nieautoryzowanej transakcji płatniczej w związku z tym, że ów płatnik miał umożliwić dokonanie tej transakcji wskutek rażącego zaniedbania z naruszeniem obowiązków ciążących na nim na mocy art. 69 tej dyrektywy.
W przedmiocie kosztów
Dla stron w postępowaniu głównym niniejsze postępowanie ma charakter incydentalny, dotyczy bowiem kwestii podniesionej przed sądem odsyłającym, do niego zatem należy rozstrzygnięcie o kosztach. Koszty poniesione w związku z przedstawieniem uwag Trybunałowi, inne niż koszty stron w postępowaniu głównym, nie podlegają zwrotowi.
Z powyższych względów Trybunał (pierwsza izba) orzeka, co następuje:
Artykuł 73 ust. 1 i art. 74 ust. 1 dyrektywy Parlamentu Europejskiego i Rady (UE) 2015/2366 z dnia 25 listopada 2015 r. w sprawie usług płatniczych w ramach rynku wewnętrznego, zmieniającej dyrektywy 2002/65/WE, 2009/110/WE, 2013/36/UE i rozporządzenie (UE) nr 1093/2010 oraz uchylającej dyrektywę 2007/64/WE
należy interpretować w ten sposób, że:
dostawca usług płatniczych nie może odmówić płatnikowi bezzwłocznego zwrotu kwoty nieautoryzowanej transakcji płatniczej w związku z tym, że ów płatnik miał umożliwić dokonanie tej transakcji wskutek rażącego zaniedbania z naruszeniem obowiązków ciążących na nim na mocy art. 69 dyrektywy 2015/2366.
Biltgen
Gervasoni
Kumin
Ziemele
Bošnjak
Wyrok ogłoszono na posiedzeniu jawnym w Luksemburgu w dniu 15 października 2026 r.
Sekretarz
Prezes izby
V. Di Bucci
F. Biltgen
* Język postępowania: polski.
i Niniejszej sprawie została nadana fikcyjna nazwa. Nie odpowiada ona rzeczywistej nazwie ani rzeczywistemu nazwisku żadnej ze stron postępowania.
