Odpowiedzialność za cyberatak na rachunek bankowy – analiza wyroku Sądu Najwyższego z 9 kwietnia 2026 r.
W dobie cyfryzacji usług finansowych bezpieczeństwo środków zgromadzonych na rachunkach bankowych stało się nie tylko kwestią technologiczną, ale przede wszystkim prawną i organizacyjną. Coraz częściej spory dotyczące cyberataków trafiają na wokandę sądów, gdzie rozstrzygane są kwestie odpowiedzialności banków oraz klientów za powstałe szkody.
Wyrok Sądu Najwyższego z dnia 9 kwietnia 2026 r. (sygn. II CSKP 1144/23) stanowi istotny punkt odniesienia dla interpretacji obowiązków stron umowy rachunku bankowego w kontekście incydentów cyberbezpieczeństwa.
Orzeczenie to ma szczególne znaczenie także z perspektywy ochrony danych osobowych (RODO), zarządzania ryzykiem oraz compliance. Sprawa dotyczyła przedsiębiorcy, którego środki finansowe zostały przejęte w wyniku ataku hakerskiego. Na komputerze firmowym zainstalowano złośliwe oprogramowanie, które umożliwiło przeprowadzenie nieautoryzowanych przelewów na łączną kwotę około 600 tys. złotych. Część środków udało się odzyskać w toku postępowania karnego, jednak przedsiębiorca zdecydował się pozwać bank, zarzucając mu brak należytej staranności w zabezpieczeniu rachunku bankowego.
Sądy pierwszej i drugiej instancji uznały częściową odpowiedzialność banku,
wskazując między innymi na brak dodatkowych mechanizmów zabezpieczających, takich jak autoryzacja zmian w szablonach przelewów. W ocenie tych sądów bank powinien był zastosować wyższy standard ochrony środków finansowych klienta.
Sąd Najwyższy uchylił jednak wcześniejsze wyroki i przekazał sprawę do ponownego rozpoznania. W uzasadnieniu wskazał, że obowiązek zapewnienia bezpieczeństwa depozytów, wynikający z art. 50 Prawa bankowego, ma charakter podwyższonej staranności zawodowej, jednak nie oznacza nieograniczonej odpowiedzialności banku za każde zdarzenie.
Kluczowym elementem rozstrzygnięcia było stwierdzenie, że bank nie jest zobowiązany do wdrażania dodatkowych środków bezpieczeństwa, które nie wynikają ani z umowy zawartej z klientem, ani z obowiązujących przepisów prawa. W konsekwencji brak autoryzacji zmian w szablonie przelewu nie może być automatycznie uznany za naruszenie obowiązków banku.
Sąd Najwyższy podkreślił również, że sądy niższych instancji nie mogą samodzielnie rozszerzać katalogu obowiązków banku na podstawie własnej oceny poziomu bezpieczeństwa. Standardy te muszą mieć oparcie w przepisach prawa, treści umowy lub ugruntowanej praktyce rynkowej.
Istotnym elementem rozstrzygnięcia była także ocena zachowania samego przedsiębiorcy.
Sąd zwrócił uwagę, że powód był profesjonalnym uczestnikiem obrotu gospodarczego, a jego komputer firmowy nie był właściwie zabezpieczony i umożliwiał dostęp osobom trzecim. W związku z tym wcześniejsze ustalenie, że przyczynił się do powstania szkody jedynie w 20 procentach, zostało uznane za niewystarczające i wymagające ponownej analizy.
Sąd Najwyższy wskazał również, że bank nie byłby w stanie wykryć złośliwego oprogramowania zainstalowanego na urządzeniu klienta ani skutecznie przeciwdziałać jego działaniu. Oznacza to, że odpowiedzialność za bezpieczeństwo środowiska informatycznego w znacznym zakresie spoczywa na użytkowniku końcowym.
Jednocześnie sąd skrytykował sposób reakcji banku po zgłoszeniu nieautoryzowanych operacji. Zalecenie polegające na obserwowaniu rachunku zostało uznane za niewystarczające. W ocenie Sądu Najwyższego bank powinien był podjąć bardziej zdecydowane działania, takie jak natychmiastowe zabezpieczenie rachunku czy ograniczenie możliwości wykonywania dalszych transakcji.
Wyrok ten ma istotne znaczenie z perspektywy ochrony danych osobowych oraz zarządzania bezpieczeństwem informacji w organizacjach. Pokazuje on, że odpowiedzialność za incydenty cyberbezpieczeństwa ma charakter współdzielony i obejmuje zarówno instytucję finansową, jak i klienta.
W kontekście RODO szczególnego znaczenia nabiera obowiązek wdrażania odpowiednich środków technicznych i organizacyjnych,
przeprowadzania analizy ryzyka oraz budowania świadomości pracowników. Incydenty takie jak opisany przypadek często wynikają nie tylko z luk systemowych, ale także z błędów organizacyjnych i braku odpowiednich procedur.Wyrok Sądu Najwyższego jednoznacznie wskazuje, że bezpieczeństwo środków finansowych i danych nie może być traktowane wyłącznie jako obowiązek dostawcy usług. Organizacje, w szczególności przedsiębiorcy, muszą aktywnie zarządzać swoim środowiskiem IT, wdrażać zabezpieczenia oraz reagować na zagrożenia w sposób szybki i adekwatny.
Z perspektywy praktycznej oznacza to konieczność stosowania aktualnych zabezpieczeń technicznych, tworzenia procedur reagowania na incydenty oraz regularnego szkolenia pracowników. W dłuższej perspektywie to właśnie spójność działań organizacyjnych i świadomość ryzyk decydują o poziomie bezpieczeństwa.
Wyrok z 9 kwietnia 2026 r. stanowi ważny sygnał dla rynku, że granice odpowiedzialności banków są wyznaczane przez przepisy prawa i postanowienia umowne, natomiast realne bezpieczeństwo zależy od współdziałania wszystkich uczestników procesu. W praktyce oznacza to, że ochrona danych i środków finansowych zaczyna się wewnątrz organizacji i wymaga systemowego podejścia do zarządzania ryzykiem.
Masz pytania, potrzebujesz pomocy? Napisz do nas: bok@asystahr.pl
