Rażące niedbalstwo płatnika jako przesłanka wyłączająca odpowiedzialność dostawcy usług płatniczych za nieautoryzowane transakcje - analiza normatywna i orzecznicza na tle PSD2 i PSD3

Niniejsza praca magisterska poświęcona jest kompleksowej analizie reżimu odpowiedzialności za nieautoryzowane transakcje płatnicze zarówno z perspektywy dogmatycznej, jak i ekonomicznej. Główny problem badawczy stanowi ocena instytucji rażącego niedbalstwa płatnika jako przesłanki wyłączającej odpowiedzialność dostawcy usług płatniczych za poniesioną szkodę finansową. Rozważania teoretycznoprawne zostały przeprowadzone w oparciu o przepisy unijnej dyrektywy PSD2 oraz implementującej ją do polskiego porządku prawnego ustawy o usługach płatniczych, a także zostały poddane perspektywicznej analizie przez pryzmat projektowanego pakietu legislacyjnego PSR/PSD3. Wywód wzbogacono dodatkowo o metodę ekonomicznej analizy prawa (Law and Economics), w kontekście oceny efektywności obowiązujących i projektowanych modeli alokacji ryzyka finansowego pomiędzy uczestnikami obrotu cyfrowego.

W pracy sformułowano dwie hipotezy badawcze. Po pierwsze stwierdzono, że dotychczasowe modele służące ocenie staranności płatnika uległy dezaktualizacji z uwagi na dynamiczną ewolucję metod cyberprzestępczości, które obecnie są oparte o wyrafinowane techniki inżynierii społecznej. Po drugie, że obecna praktyka orzecznicza kształtuje niemal absolutną odpowiedzialność gwarancyjną dostawców, a projektowane na szczeblu unijnym zmiany nie zmierzają ku zaprzestaniu tej tendencji, co w świetle ekonomicznej analizy prawa może być czynnikiem powodującym pokusę nadużycia (moral hazard) po stronie przeciętnych użytkowników usług płatniczych.

Praca składa się z czterech rozdziałów merytorycznych. Pierwszy z nich przedstawia istotę autoryzacji transakcji płatniczej oraz definicję transakcji nieautoryzowanej jako podstawowej kategorii normatywnej badanego zagadnienia. Rozdział drugi rekonstruuje ustawowy model odpowiedzialności dostawcy z punktu widzenia alokacji ryzyka finansowego za nieautoryzowane transakcje. W rozdziale trzecim szczegółowo przeanalizowano instytucję rażącego niedbalstwa (culpa lata) oraz zbadano ewolucję standardu należytej staranności w świetle orzecznictwa sądów powszechnych, Sądu Najwyższego oraz TSUE. Rozdział czwarty koncentruje się na ocenie założeń pakietu PSD3/PSR oraz poszukiwaniu optymalnego modelu alokacji ryzyka w nowej architekturze płatniczej.

Przeprowadzone badania doprowadziły do wniosku, że optymalnym rozwiązaniem de lege ferenda jest rezygnacja z modelu niemal jednostronnego przerzucania ciężaru ryzyka finansowego na dostawców usług płatniczych na rzecz zrównoważonej współodpowiedzialności wszystkich uczestników ekosystemu płatniczego. Wprowadzenie w rozporządzeniu PSR mechanizmów konstytuujących współodpowiedzialność operatorów telekomunikacyjnych oraz dostawców platform internetowych stanowi krok ku skuteczniejszej prewencji cyberoszustw. Końcowe konkluzje wskazują, że stabilność i bezpieczeństwo obrotu bezgotówkowego zależą od wypracowania standardów, które stymulując banki do rozwoju zabezpieczeń technologicznych, nie zwolnią jednocześnie konsumenta z elementarnego obowiązku dbałości o bezpieczeństwo własnych środków.

This master’s thesis is devoted to a comprehensive analysis of the liability regime for unauthorized payment transactions from both a legal and economic perspective. The main research question concerns the assessment of the concept of gross negligence on the part of the payer as a ground for exempting the payment service provider from liability for financial losses incurred. The theoretical and legal considerations are based on the provisions of the EU’s PSD2 Directive and the Payment Services Act implementing it into Polish law and have been subjected to a prospective analysis through the lens of the proposed PSR/PSD3 legislative package. The argument is further enriched by the method of Law and Economics, in the context of assessing the effectiveness of existing and proposed models for the allocation of financial risk among participants in digital transactions.

The study formulates two research hypotheses. First, it is argued that existing models for assessing a payer’s due diligence have become outdated due to the rapid evolution of cybercrime methods, which are now based on sophisticated social engineering techniques. Second, current case law establishes nearly absolute liability on the part of providers, and the changes being proposed at the EU level do not aim to reverse this trend, which, in light of economic analysis of the law, may create a moral hazard for average users of payment services.

The thesis consists of four substantive chapters. The first presents the essence of payment transaction authorization and the definition of an unauthorized transaction as the fundamental normative category of the subject under study. The second chapter reconstructs the statutory model of provider liability from the perspective of the allocation of financial risk for unauthorized transactions. Chapter three provides a detailed analysis of the concept of gross negligence (culpa lata) and examines the evolution of the standard of due diligence in light of the case law of the common courts, the Supreme Court, and the CJEU. Chapter Four focuses on evaluating the assumptions of the PSD3/PSR package and seeking an optimal risk allocation model within the new payment architecture.

The research conducted led to the conclusion that the optimal solution de lege ferenda is to move away from a model that places the financial risk almost entirely on payment service providers toward a balanced shared responsibility among all participants in the payment ecosystem. The introduction of mechanisms in the PSR Regulation establishing shared responsibility for telecommunications operators and internet platform providers represents a step toward more effective prevention of cyber fraud. The final conclusions indicate that the stability and security of cashless transactions depend on the development of standards that, while encouraging banks to advance technological safeguards, do not simultaneously relieve consumers of their fundamental obligation to ensure the security of their own funds.