PSD3/PSR – jakie zmiany szykują się w płatnościach, SCA i odpowiedzialności banku oraz kiedy to wejdzie w życie?

Czym są PSD3 i PSR oraz czym różni się dyrektywa od rozporządzenia?

Dyrektywa wyznacza cele i wymaga wdrożenia do prawa krajowego. To oznacza, że po jej formalnym przyjęciu każde państwo członkowskie musi przeprowadzić transpozycję do własnych ustaw. Rozporządzenie działa bezpośrednio, dlatego po wejściu w życie i rozpoczęciu stosowania wiąże uczestników rynku wprost.

Dla użytkownika praktyczna różnica jest prosta. Jeśli dana reguła trafi do PSR, ma większą szansę być stosowana jednolicie w całej UE. Jeśli trafi do PSD3, tempo i technika wdrożenia będą zależeć także od zmian w prawie krajowym.

Jaki jest status legislacyjny pakietu PSD3/PSR na 07/03/2026 r.?

To ważna korekta względem starszych publikacji. Nie można już pisać, że PSD3 i PSR są wyłącznie „wstępnymi projektami bez rozstrzygnięć”, bo po porozumieniu Parlamentu Europejskiego i Rady z 27/11/2025 r. wiele kierunków zmian jest już publicznie opisanych. Nadal nie można jednak twierdzić, że akty obowiązują, bo do tego potrzebne są formalne etapy legislacyjne i publikacja finalnych wersji.

Z punktu widzenia czytelnika oznacza to jedno: da się przygotować procesy i bezpieczeństwo, ale nie wolno opierać regulaminów, wzorów odpowiedzi reklamacyjnych ani procedur compliance na skrótach prasowych zamiast na tekście finalnym.

Co zmieni się w SCA dla kart, przelewów i płatności mobilnych?

SCA, czyli silne uwierzytelnienie klienta, już dziś jest podstawą bezpieczeństwa płatności elektronicznych. Nowy pakiet nie zmienia tego fundamentu, ale ma mocniej powiązać bezpieczeństwo z konkretną transakcją, jej danymi oraz z obowiązkami dostawcy usług płatniczych.

Dla klienta detalicznego oznacza to, że większą wagę będą miały nie tylko same metody autoryzacji, lecz także jakość komunikatu przed potwierdzeniem, jasność danych odbiorcy i możliwość wykazania, co dokładnie zostało zatwierdzone. W praktyce wiele sporów nie wynika z braku „drugiego składnika”, tylko z tego, że użytkownik był pod presją, został wprowadzony w błąd albo potwierdził coś, czego sensu nie rozumiał.

Jak mają wyglądać zasady odpowiedzialności przy fraudach APP i spoofingu?

APP to sytuacja, w której użytkownik sam autoryzuje przelew do oszusta, zwykle pod wpływem manipulacji. To najtrudniejsza kategoria sporów, bo bank często twierdzi, że transakcja była poprawnie potwierdzona, a klient wskazuje, że działał w warunkach oszustwa. W prowizorycznie uzgodnionym pakiecie unijnym nacisk położono na narzędzia prewencji, obowiązki dostawcy oraz wyraźniejsze reguły odpowiedzialności.

Uzgodniony politycznie kierunek reformy zakłada m.in. silniejszą ochronę, gdy dostawca nie wdrożył wymaganych mechanizmów antyfraudowych, obowiązek reagowania na niezgodność danych odbiorcy oraz możliwość ograniczania ryzyka przez ustawienia klienta, np. limity czy blokady. Osobno akcentowany jest fraud podszyciowy, np. „na pracownika banku”. Szczegółowy model refundu i ciężaru dowodu trzeba jednak oceniać dopiero na podstawie finalnego tekstu aktu.

Czy weryfikacja odbiorcy przelewu już obowiązuje i co dołoży PSR?

To miejsce wymaga szczególnej precyzji. Nie można sugerować, że weryfikacja odbiorcy jest wyłącznie pomysłem przyszłego PSR. Rozporządzenie UE 2024/886 dotyczące przelewów natychmiastowych w euro wprowadziło obowiązek usługi sprawdzającej zgodność identyfikatora rachunku z nazwą odbiorcy przed wykonaniem przelewu. Mechanizm ten ma ograniczać zarówno zwykłe pomyłki, jak i przelewy na podstawione rachunki.

Dla polskiego czytelnika ważny jest jednak kontekst terminów. Polska jest państwem UE spoza strefy euro, dlatego obowiązki wdrożeniowe są rozłożone w czasie. W praktyce nie wolno pisać ogólnie, że taki mechanizm „już działa wszędzie” dla wszystkich dostawców w Polsce. Trzeba sprawdzać zakres usługi, walutę przelewu i termin wynikający z rozporządzenia dla danej kategorii PSP.

PSR nie zastępuje tej regulacji, lecz ma budować szerszy, bardziej jednolity model bezpieczeństwa płatności, przejrzystości odpowiedzialności i obowiązków antyfraudowych. Dla użytkownika praktyczny wniosek jest prosty: komunikatu o niezgodności odbiorcy nie wolno ignorować, nawet jeśli przelew wydaje się pilny.

Jak dziś działają reklamacje nieautoryzowanych transakcji w Polsce?

W praktyce konsumenckiej trzeba rozdzielić dwie sytuacje. Transakcja nieautoryzowana to taka, której użytkownik nie zatwierdził. Tu obowiązują obecne przepisy ustawy o usługach płatniczych. Zasadniczo dostawca powinien zwrócić kwotę takiej transakcji albo przywrócić rachunek do stanu sprzed jej wykonania najpóźniej do końca następnego dnia roboczego po zgłoszeniu, z wyjątkami wynikającymi z ustawy.

W obiegu publicznym często pojawia się też limit odpowiedzialności klienta do równowartości 50 euro w ściśle określonych przypadkach, zanim zgłosi utratę instrumentu lub naruszenie zabezpieczeń. Osobno liczy się termin zgłoszenia, bo na powiadomienie dostawcy użytkownik ma co do zasady 13 miesięcy od obciążenia rachunku, choć w praktyce zgłoszenie powinno nastąpić natychmiast. To właśnie ten stan prawny trzeba odróżniać od przyszłych sporów o APP, gdzie klient sam autoryzuje przelew.

Co zmieni się w opłatach, DCC, FX i komunikatach kosztowych?

Najwięcej sporów konsumenckich dotyczy sytuacji, w których koszt jest prawnie ujawniony, ale praktycznie mało zrozumiały. Dotyczy to zwłaszcza DCC, przewalutowania przy płatności za granicą oraz wypłat z bankomatów z dodatkowymi opłatami operatora. Nowy pakiet ma wzmacniać zasadę, że użytkownik powinien wiedzieć przed potwierdzeniem transakcji, co zapłaci i z czego ten koszt wynika.

Dla sklepów, operatorów płatności i banków oznacza to większą wagę jakości komunikatów, nie tylko formalnego istnienia regulaminu. Z perspektywy użytkownika test jest prosty: jeśli przed kliknięciem „zatwierdź” nie umiesz w dwóch zdaniach wyjaśnić, ile wyniesie koszt i kto go pobiera, komunikat jest za słaby.

Jak PSD3/PSR wpłyną na Open Banking, API i zgody użytkownika?

Open Banking nie rozbija się dziś wyłącznie o przepisy, lecz o jakość działania API, czytelność zgód i faktyczny dostęp do danych. W uzgodnionym kierunku reformy użytkownik ma dostać bardziej zrozumiałe zarządzanie zgodami, a banki i dostawcy zewnętrzni mają działać według bardziej precyzyjnych reguł bezpieczeństwa, raportowania i odpowiedzialności.

Dla klienta detalicznego oznacza to jedno pytanie, które trzeba umieć zadać przy każdej zgodzie: kto, po co, na jak długo i do jakich danych ma dostęp. Sama zgoda nie powinna być oceniana wyłącznie formalnie. Liczy się także zakres danych, czas trwania dostępu, możliwość odwołania oraz ślad systemowy potwierdzający, kto i kiedy z danych korzystał.

Jak przygotować się na wdrożenie bez zgadywania dat?

Klient indywidualny powinien skupić się na bezpieczeństwie operacyjnym: limitach, powiadomieniach, zasadzie podwójnej weryfikacji odbiorcy i natychmiastowym zgłaszaniu incydentów. Firma powinna uporządkować komunikaty kosztowe, ścieżkę reklamacyjną, archiwizację logów i treść informacji przekazywanych klientowi przed płatnością. Fintech powinien przygotować mapę zgód, procesy odwołania dostępu, monitoring API i dokumentację dowodową.

Nie ma sensu zgadywać jednego „dnia startu”, dopóki nie ma finalnych tekstów. Sens ma natomiast zbudowanie procesów, które będą potrzebne niezależnie od daty: przejrzystość, bezpieczeństwo, kontrola zgód, archiwizacja dowodów, szkolenie pracowników i procedura działania przy fraudzie podszyciowym.

Słowniczek pojęć

FAQ – najczęściej zadawane pytania