Cztery duże banki zmienią sposób traktowania klientów, którzy zgłaszali kradzież pieniędzy z konta. Alior Bank, mBank, BNP Paribas oraz Bank Millennium zobowiązały się wobec UOKiK do poprawy procedur dotyczących nieautoryzowanych transakcji i ponownego przeanalizowania spraw, które wcześniej zakończyły się odmową zwrotu środków. Postępowania trwały blisko cztery lata, a w toku pozostaje jeszcze 10 podobnych spraw wobec innych instytucji.
- Prezes UOKiK wydał cztery decyzje zobowiązujące wobec Alior Banku, mBanku, BNP Paribas oraz Banku Millennium dotyczące sposobu rozpatrywania reklamacji za nieautoryzowane transakcje.
- Zastrzeżenia Urzędu dotyczyły opóźniania zwrotów pieniędzy, warunkowego oddawania środków oraz mylenia uwierzytelnienia klienta z jego rzeczywistą zgodą na transakcję.
- Banki mają nie tylko zmienić procedury na przyszłość, ale też ponownie przeanalizować już odrzucone zgłoszenia klientów.
- W toku pozostaje jeszcze 10 innych postępowań, w których inne banki usłyszały podobne zarzuty.
- Instytucje finansowe wdrażają dodatkowo nowe zabezpieczenia, w tym sztuczną inteligencję, biometrię behawioralną oraz funkcję panic button.
Cztery banki pod lupą urzędu
Sprawa, którą zajął się Urząd Ochrony Konkurencji i Konsumentów, dotyczy sytuacji dobrze znanej wielu klientom banków. Ktoś zauważa na koncie transakcję, której nigdy nie zlecił, zgłasza to instytucji finansowej, a bank odmawia zwrotu pieniędzy albo oddaje je z opóźnieniem. Właśnie ten mechanizm postanowił prześwietlić UOKiK.
W efekcie czteroletniego postępowania prezes urzędu Tomasz Chróstny wydał decyzje zobowiązujące wobec Alior Banku, mBanku, BNP Paribas oraz Banku Millennium. To oznacza, że banki same zaproponowały zmiany, które odpowiadają na zarzuty urzędu, a UOKiK zaakceptował te propozycje zamiast nakładać kary.
Trzeba przy tym podkreślić, że decyzja zobowiązująca nie jest kompromisem – możemy ją wydać tylko wtedy, gdy z przedsiębiorcą uda się wypracować mechanizmy, które w pełni usuwają naruszenia i ich skutki – mówi prezes UOKiK Tomasz Chróstny.
Co istotne, cztery zakończone sprawy to niejedyne, jakimi zajmuje się urząd. Aktualnie prowadzonych jest jeszcze 10 kolejnych postępowań wobec innych banków, w których pojawiły się analogiczne zarzuty. Można więc spodziewać się, że temat będzie wracał.
Na czym polegał problem z terminami zwrotu?
Przepisy w tej sprawie są dość jednoznaczne. Bank powinien niezwłocznie oddać klientowi pieniądze utracone w wyniku nieautoryzowanej transakcji, a najpóźniej ma zrobić to do końca następnego dnia roboczego po zgłoszeniu sprawy. W praktyce jednak, jak ustalił UOKiK, nie zawsze tak się działo.
Zdarzały się przypadki, gdy środki wracały na konto jedynie warunkowo, czyli na czas trwania postępowania reklamacyjnego. Jeżeli bank później dochodził do wniosku, że klient jednak autoryzował operację albo w jakiś sposób ponosi za nią odpowiedzialność, po prostu cofał zwrot i ponownie obciążał rachunek. Dla klienta oznaczało to niepewność co do tego, czy odzyskane pieniądze rzeczywiście zostaną przy nim na dłużej.
Uwierzytelnienie to nie to samo co zgoda
Jednym z ciekawszych wątków całej sprawy jest rozróżnienie dwóch pojęć, które w praktyce bankowej bywają mylone, czyli uwierzytelnienia i autoryzacji. Warto je rozdzielić, ponieważ to od tego zależało, czy klient dostawał zwrot pieniędzy, czy nie.
Uwierzytelnienie to w uproszczeniu potwierdzenie tożsamości użytkownika albo poprawności użycia instrumentu płatniczego. Może to być na przykład użycie karty, wpisanie kodu PIN czy potwierdzenie operacji w aplikacji mobilnej. Autoryzacja natomiast oznacza coś zupełnie innego, czyli świadomą zgodę klienta na wykonanie konkretnej transakcji.
W praktyce oznacza to, że samo poprawne przejście procedury uwierzytelnienia wcale nie musi świadczyć o tym, że klient rzeczywiście zgodził się na daną płatność. Tymczasem część banków, jak wynika z ustaleń urzędu, traktowała te dwa pojęcia zamiennie i na tej podstawie odmawiała zwrotów.
| Pojęcie | Co oznacza |
|---|---|
| Uwierzytelnienie | Potwierdzenie tożsamości lub ważności użycia instrumentu płatniczego |
| Autoryzacja | Świadoma zgoda klienta na konkretną transakcję |
Kiedy bank może odmówić zwrotu?
Warto jednak podkreślić, że obowiązek szybkiego zwrotu środków nie oznacza, że bank zawsze i bezwarunkowo bierze na siebie stratę. Przepisy przewidują konkretne wyjątki od tej zasady.
Odmowa natychmiastowego zwrotu może pojawić się na przykład wtedy, gdy bank ma uzasadnione i odpowiednio udokumentowane podstawy, by podejrzewać oszustwo ze strony samego płatnika, a jednocześnie zgłasza swoje podejrzenia organom ścigania. Bank może też później dochodzić od klienta zwrotu już oddanej kwoty, jeśli udowodni, że do nieautoryzowanej transakcji doszło z powodu umyślnego działania klienta albo jego rażącego niedbalstwa.
Cały spór z UOKiK dotyczył więc w gruncie rzeczy tego, jak bank powinien zachować się bezpośrednio po zgłoszeniu podejrzanej operacji, zanim jeszcze ustalono, kto faktycznie ponosi odpowiedzialność.
Cztery lata rozmów z bankami i nadzorem
Same postępowania nie były krótkie. Trwały blisko cztery lata, a w tym czasie UOKiK prowadził intensywny dialog nie tylko z bankami, ale też z innymi instytucjami odpowiedzialnymi za rynek finansowy, w tym z Komisją Nadzoru Finansowego oraz Ministerstwem Finansów.
Kwestia nieautoryzowanych transakcji płatniczych jest dla nas niezwykle istotna. Zakończone postępowania trwały blisko cztery lata i towarzyszył im intensywny dialog z sektorem bankowym, a także z innymi instytucjami, w tym KNF i Ministerstwem Finansów – mówi Tomasz Chróstny.
Prezes urzędu zwraca uwagę, że efektem tych rozmów były nie tylko decyzje zobowiązujące, ale też realne zmiany w zabezpieczeniach, jakie banki stosują wobec swoich klientów. W 2024 roku UOKiK opublikował zalecenia skierowane do dostawców usług płatniczych, na podstawie których część instytucji wdrożyła nowe rozwiązania ograniczające ryzyko kradzieży pieniędzy z rachunków.
Jakie zabezpieczenia stosują dziś banki?
Wśród mechanizmów, które mają utrudniać oszustom dostęp do cudzych pieniędzy, znajdują się dziś systemy oparte na sztucznej inteligencji oraz tak zwana biometria behawioralna. Ta druga technologia analizuje sposób, w jaki użytkownik korzysta z urządzenia, na przykład tempo pisania czy sposób poruszania palcem po ekranie, co pozwala wychwycić nietypowe, podejrzane działania.
Część banków wprowadziła również tak zwany cooling period, czyli celowe opóźnienie w realizacji transakcji. Dodatkowy czas ma pomóc wychwycić próbę oszustwa, zanim pieniądze faktycznie znikną z konta. Poza tym pojawiły się rozwiązania takie jak:
- możliwość szybkiego zgłoszenia nieautoryzowanej operacji bezpośrednio przez aplikację lub infolinię banku;
- tak zwany panic button, czyli funkcja pozwalająca natychmiast zablokować możliwość wykonywania jakichkolwiek transakcji na koncie;
- systemy monitorujące w czasie rzeczywistym nietypowe wzorce płatności, mogące wskazywać na przejęcie konta przez osoby trzecie.
Zdaniem UOKiK takie mechanizmy mają realnie ograniczać ryzyko, że pieniądze znikną z konta, zanim klient albo sam bank zdążą zareagować. W praktyce to właśnie szybkość reakcji często decyduje o tym, czy uda się odzyskać skradzione środki.
Co zrobić, gdy zauważymy podejrzaną transakcję?
Jeżeli klient zauważy na koncie operację, której nigdy nie wykonał, powinien jak najszybciej zgłosić to bankowi. Od tego momentu uruchamiają się zasady dotyczące nieautoryzowanych transakcji płatniczych, a bank powinien zwrócić środki najpóźniej do końca następnego dnia roboczego, chyba że zachodzi jeden z ustawowych wyjątków opisanych wcześniej.
Nowe decyzje UOKiK mają sprawić, że cztery objęte nimi banki będą stosować te reguły zgodnie z interpretacją urzędu. Co równie ważne dla klientów, część osób, które wcześniej usłyszały odmowę zwrotu pieniędzy, dostanie teraz szansę na ponowne rozpatrzenie swojej sprawy. Warto śledzić komunikaty poszczególnych banków, ponieważ to od nich będzie zależał dokładny sposób i termin wznowienia takich postępowań.