Nauka i edukacja ekonomiczna | RAPORT PAB-WIB | Spór o udowodnienie autoryzacji

Maciej Rudke

Druga Dyrektywa w Sprawie Usług Płatniczych (PSD2) została implementowana do polskiego porządku prawnego ustawą z 10 maja 2018 r. o zmianie ustawy o usługach płatniczych oraz niektórych innych ustaw, która wprowadziła liczne zmiany w ustawie o usługach płatniczych (UUP). Nowelizacji uległy m.in. zasady odpowiedzialności za wadliwie wykonane w tym za nieautoryzowane, transakcje płatnicze.

Nieprecyzyjny język

Obecne brzemiennie polskich przepisów UUP jest nieprawidłowe – wynika z raportu „Analiza dotycząca implementacji dyrektywy PSD2 do polskiego porządku prawnego w zakresie udowodnienia autoryzacji transakcji przez dostawcę usług płatniczych”, opracowanego na zlecenie Programu Analityczno-Badawczego Fundacji Warszawski Instytut Bankowości. Jego autorami są prof. dr hab. Marek Kolasiński, dr Marcin Olechowski, dr Wojciech Iwański i dr Mateusz Blocher.

Przez „autoryzację” należy rozumieć zgodę (wolę) płatnika na wykonanie określonej transakcji płatniczej, wyrażoną w sposób przewidziany w umowie między nim a jego dostawcą. Autoryzacja oznacza, że płatnik świadomie komunikuje chęć wypłaty lub transferu środków przez dostawcę usług płatniczych. Nie można mówić o ważnej autoryzacji transakcji płatniczej, jeżeli w ogóle nie wyraził on prawnie skutecznej woli jej wykonania. Autoryzacja, jako oświadczenie woli, wymaga uzewnętrznienia, np. za pomocą bankowości internetowej czy mobilnej w ramach uzgodnionych procedur.

Zarówno prawodawca europejski, jak i polski ustawodawca rozróżniają pojęcie „autoryzacji” (jako elementu „woli”) i „uwierzytelniania” (jako procedury pozwalającej na jej właściwe, uzgodnione uzewnętrznienie). Zatem transakcją nieautoryzowaną jest taka, na której wykonanie płatnik nie wyraził zgody (woli jej wykonania), to np. ta wykonana bez świadomości jej wykonania po stronie płatnika (nie zlecał transakcji). Transakcją nieautoryzowaną będzie także ta opiewająca na kwotę wyższą niż kwota objęta autoryzacją. W określonych okolicznościach dostawca zobowiązany będzie dokonać zwrotu płatnikowi kwoty nieautoryzowanej transakcji płatniczej. Trzeba jednak udowodnić, że była ona rzeczywiście nieautoryzowana i w tym tkwi sęk.

Zgodnie z dyrektywą PSD2, gdy użytkownik zaprzecza, że autoryzował wykonaną transakcję płatniczą, do dostawcy usług płatniczych należy udowodnienie, że została ona uwierzytelniona (ang. authenticated), została dokładnie zapisana i ujęta w księgach oraz nie miała na nią wpływu awaria techniczna ani innego rodzaju usterka związana z usługą świadczoną przez dostawcę usług płatniczych. To, czy dana transakcja faktycznie miała charakter nieautoryzowany (a nie tylko, czy w ocenie płatnika ma charakter nieautoryzowany), zostanie objęte czynnościami dowodowymi tak po stronie dostawcy, jak i – w pewnych przypadkach – płatnika. To – zdaniem prawników – element kluczowy dla prawidłowej wykładni przepisów określających rozkład ciężaru dowodu w przypadku wystąpienia nieautoryzowanej transakcji płatniczej.

W polskim prawie – mimo implementacji PSD2 – wygląda to nieco inaczej. Różnice są subtelne, ale mogą być istotne. Zgodnie z art. 45 ust. 1 UUP, na dostawcy użytkownika spoczywa ciężar udowodnienia, że transakcja płatnicza została autoryzowana i prawidłowo zapisana w systemie służącym do obsługi transakcji ...