Adw. Tytus Mystkowski
Ukończyłem Uniwersytet Jagielloński na Wydziale Prawa i Administracji. Od 2016 r. jestem członkiem Szczecińskiej Izby Adwokackiej. Legitymuję się dziesięcioletnim doświadczeniem w zakresie świadczenia pomocy prawnej. Moje zainteresowania zawodowe koncentrują się w szczególności wokół prawa cywilnego, prawa karnego oraz prawa gospodarczego. Chętnie podejmuję się prowadzenia spraw konsumentów przeciwko bankom i innym instytucjom finansowym.
W czerwcu miną dwa lata, odkąd doszło do implementacji do polskiego porządku prawnego unijnej dyrektywy PSD2. Jej wdrożenie wiąże się z dokonaniem kilku korzystnych dla konsumentów zmian w zakresie definicji autoryzacji transakcji płatniczej.
Aby lepiej przyjrzeć się temu zagadnieniu, należy w pierwszej kolejności zdefiniować podstawowe pojęcia, którymi posługuje się polski ustawodawca, regulując tę kwestię. Zasadniczo najistotniejsze są w tym zakresie definicje następujących słów:
- Usługa płatnicza;
- Płatnik;
- Transakcja płatnicza;
- Dostawca usług płatniczych;
- Uwierzytelnienie;
- Autoryzacja.
Pojęcie usługi płatniczej
Ustawodawca bardzo szeroko rozumie pojęcie usługi płatniczej. Zalicza do niej większość czynności, które dostawcy (czyli w znacznej większości banki) dokonują na rzecz podmiotów korzystających z ich usług. Najczęściej są to wpłaty i wypłaty pieniężne, transfery środków za pomocą przelewów lub kart płatniczych czy też przekazy pieniężne. Zalicza się do nich również usługę dostępu do informacji o rachunku bankowym.
Chociaż przedmiotowa problematyka jest bardzo obszerna, to ten wpis dotyczy transakcji płatniczych i to na nich się skupimy. Intuicyjne rozumienie tego pojęcia jest zbieżne z tym, które zostało ustalone na potrzeby ustawy. Transakcja płatnicza to bowiem nic innego, jak zainicjowane przez płatnika lub odbiorcę środków wpłaty, transfery lub wypłaty środków. Zatem chodzi tutaj o następujące sytuacje:
- klient instytucji płatniczej wypłaca gotówkę ze swojego rachunku,
- klient dokonuje przelewu na cudzy rachunek,
- klient dokonuje płatności kartą płatniczą lub kredytową.
Ustawa reguluje kwestię usług płatniczych świadczonych przez dostawców na rzecz praktycznie wszystkich podmiotów funkcjonujących w obrocie. Zalicza się do nich osoby fizyczne, osoby prawne, a także tzw. ułomne osoby prawne, czyli między innymi wspólnoty mieszkaniowe, spółki osobowe i stowarzyszenia zwykłe.
Dostawcy usług płatniczych to te podmioty, które świadczą usługi płatnicze. Są nimi przede wszystkim banki krajowe, oddziały banków zagranicznych, ale też społeczne kasy oszczędnościowo-kredytowe (SKOKi), a także biura usług płatniczych (podmioty uprawnione do świadczenia usługi przekazu pieniężnego).
Autoryzacja usług płatniczych
Autoryzacja to wyrażenie zgody przez płatnika na dokonanie transakcji płatniczej w sposób ustalony w umowie z płatnikiem. Zgoda może zostać udzielona przez płatnika nie tylko przed dokonaniem transakcji, ale również po jej dokonaniu. Ustawa wprowadza dodatkowy warunek po to, by wyrażenie zgody na transakcję stało się dopuszczalne po jej przeprowadzeniu. Jest nim uzgodnienie takiej możliwości przez dostawcę i płatnika. Ustawodawca nie wskazuje, w jaki sposób powinno to zostać dokonane. Trudno wyobrazić sobie jednak, że do uzgodnienia takich kwestii między dostawcą usług płatniczych a płatnikiem mogłoby dojść w inny sposób niż poprzez zawarcie umowy. Uzgodnienie to może zostać dokonane również przez akceptację regulaminów świadczenia usług lub ogólnych warunków umów zawieranych przez bank z klientem, ale to właśnie one stanowią najczęściej źródło uprawnień i obowiązków zobowiązaniowych związanych z usługami płatniczymi.
Uwierzytelnienie usług płatniczych
Od autoryzacji odróżnić należy uwierzytelnienie, czyli zastosowanie procedury umożliwiającej dostawcy usług płatniczych, weryfikację tożsamości użytkownika lub ważności stosowania konkretnego instrumentu płatniczego, łącznie ze stosowaniem indywidualnych danych uwierzytelniających. Większość z podmiotów korzystających z bankowości elektronicznej ma na co dzień do czynienia z uwierzytelnieniem. Dyrektywa PSD2 wprowadziła wymóg stosowania przez instytucje płatnicze tzw. silnego uwierzytelniania, czyli uwierzytelnianie w oparciu o zastosowanie co najmniej dwóch z następujących elementów:
- Wiedzy o czymś, o czym wie wyłącznie użytkownik;
- Posiadania czegoś, co posiada wyłącznie użytkownik;
- Cechy charakterystycznej użytkownika.
Nie jest to nic innego niż czynność, którą potocznie nazywamy logowaniem. Najczęściej wykorzystujemy do tego celu poufne dane: login, hasło (coś, o czym wie wyłącznie użytkownik) lub numer identyfikacyjny, np. PESEL (cechę charakterystyczną użytkownika). Niektóre instytucje płatnicze wykorzystują do uwierzytelnienia płatnika również dodatkowe środki – najczęściej jest to coś, co posiada wyłącznie użytkownik. Są to np. unikalne kody z kart zdrapek dostarczonych przez bank lub hasło SMS, które bank wysyła użytkownikowi na jego numer telefonu już po podjęciu pierwszych czynności zmierzających do uwierzytelnienia.
Po zapoznaniu się z powyższymi zupełnie podstawowymi definicjami mogą Państwo dostrzec, że instytucje płatnicze, z którymi współpracujemy na co dzień, wprowadzają wykorzystywane przez siebie procedury weryfikacyjne nie tylko w oparciu o tzw. doświadczenie życiowe. Kwestie te zostały szczegółowo uregulowane przez prawodawcę unijnego, a w ślad za nim przez polskiego ustawodawcę.
Czym zatem jest nieautoryzowana transakcja płatnicza?
Po tym dość długim wstępie mogę przejść do przedstawienia głównej definicji, której dotyczy niniejszy wpis. Ustawodawca nie uregulował wprost tego, czym jest nieautoryzowana transakcja płatnicza. Wyjaśnił jednak, że autoryzowana transakcja płatnicza to taka, na którą płatnik wyraził zgodę. W większości przypadków wyrażenie zgody musi nastąpić po wcześniejszym uwierzytelnieniu. Zatem zgodnie z ustawą o usługach płatniczych nieautoryzowana transakcja to taka, na którą płatnik nie wyraził zgody.
Oczywiście taka lapidarna definicja to trochę za mało, żeby naprawdę zrozumieć, o co chodzi. Pomocne w tym zakresie może być nie tylko bolesne zetknięcie z rzeczywistością, kiedy ktoś już dokona na Państwa koszt nieautoryzowanej transakcji. Wytyczne Europejskiego Urzędu Nadzoru Bankowego (EBA) są w tym zakresie bardziej precyzyjne, bo podają przykłady nieautoryzowanych transakcji. Zaliczają się do nich transakcje zainicjowane w wyniku kradzieży, utraty, manipulacji czy użycia przymusu, a także błędu, co do odbiorcy (znaczenie ma tutaj jednak dobra wiara oraz należyta staranność płatnika)
Zatem w większości wypadków, gdy padliście Państwo ofiarą przestępstwa polegającego na skorzystaniu z Państwa środków zdeponowanych w instytucji płatniczej, to w większości wypadków doszło do dokonania nieautoryzowanej transakcji płatniczej. Jeżeli ktoś „wyczyścił” Państwa rachunek bankowy lub skorzystał bez wiedzy i zgody z Państwa karty płatniczej, to najczęściej sytuacja nie jest beznadziejna, a środki są możliwe do odzyskania. Nawet jeżeli Państwa środki zostały przejęte przez hakerów z Korei Północnej lub Nigerii, to odpowiedzialność za tego rodzaju transakcję ponosi dostawca usługi płatniczej, czyli bank.
O tym, jak w takiej sytuacji uzyskać zapłatę od banków, dowiedzieć się można z kolejnych wpisów.
