Usługę PayPal w Polsce świadczy luksemburska spółka PayPal (Europe) S.à r.l. et Cie, S.C.A., która ma tam zezwolenie na prowadzenie działalności w formie banku i podlega nadzorowi luksemburskiej Komisji Nadzoru Sektora Finansowego – tak opisuje to Umowa z Użytkownikiem usługi PayPal w wersji z 6 maja 2026 roku, stan na 10 września 2026 roku. Konto opiera się na pieniądzu elektronicznym, a pojedyncza płatność jest transakcją płatniczą wykonywaną na podstawie zlecenia płatniczego w rozumieniu ustawy o usługach płatniczych.
Odpowiedzialność za taką płatność rozkłada się na dwie warstwy o różnym źródle. Jedna wynika z samej umowy i obejmuje między innymi program ochrony kupujących, jego terminy oraz decyzje podejmowane przez PayPal. Druga wynika z ustawy z 19 sierpnia 2011 roku o usługach płatniczych w brzmieniu tekstu jednolitego ogłoszonego 11 maja 2026 roku (Dz. U. z 2026 r. poz. 623) i z dyrektywy 2015/2366, a przysługuje niezależnie od treści regulaminu.
Różnica ujawnia się w sprawie spornej. O tym, czy roszczenie kwalifikuje się do programu ochrony kupujących, rozstrzyga PayPal według własnego uznania, natomiast zwrot kwoty transakcji, której płatnik nie autoryzował, jest obowiązkiem dostawcy usług płatniczych opisanym w ustawie i obwarowanym terminem.
Kto świadczy usługę PayPal w Polsce i kto ją nadzoruje
Według Umowy z Użytkownikiem usługi PayPal podmiotem świadczącym usługi w Europejskim Obszarze Gospodarczym jest spółka PayPal (Europe) S.à r.l. et Cie, S.C.A., wpisana do luksemburskiego rejestru handlowego pod numerem R.C.S. Luxembourg B 118 349. Zakres jej podstawowej działalności obejmuje emisję pieniądza elektronicznego i świadczenie usług płatniczych przy jego użyciu.
Ten sam dokument podaje, że spółka ma w Luksemburgu zezwolenie na prowadzenie działalności w formie banku, określanej w tym dokumencie w kategoriach prawnych także jako instytucja kredytowa, oraz że działa pod nadzorem Commission de Surveillance du Secteur Financier. W prowadzonym przez tę komisję rejestrze podmiotów nadzorowanych PayPal figuruje, wg tej samej Umowy, pod numerem B00000351. Samego rejestru nie udało się odczytać, więc numer pozostaje tu zapisem Umowy, a nie potwierdzeniem z wykazu.
Polska ustawa zna taką kategorię dostawcy. Art. 4 ust. 2 pkt 3 ustawy o usługach płatniczych wymienia instytucję kredytową wśród podmiotów uprawnionych do świadczenia usług płatniczych, a art. 5 ust. 1 rozciąga przepisy ustawy na usługi świadczone na terytorium Polski lub w obrocie z innymi państwami członkowskimi. Nadzór nad podmiotami z tej grupy pozostaje, zgodnie z art. 14 ust. 1 pkt 1, przy organach właściwych do sprawowania nadzoru nad nimi; Komisja Nadzoru Finansowego nadzoruje kategorie wskazane w pkt 4, 6 i 10–12, między innymi instytucje płatnicze i biura usług płatniczych. W polskiej wersji Umowy nazwa polskiego nadzorcy nie pada ani razu, a jako niezależne podmioty, do których użytkownik może zwrócić się o pomoc po zakończeniu eskalacji skargi, wskazane są sieć Europejskich Centrów Konsumenckich oraz CSSF.
Co dzieje się między zleceniem płatności a obciążeniem konta
Zlecenia płatniczego nie można odwołać od chwili jego otrzymania przez dostawcę płatnika (art. 51 ust. 1 ustawy o usługach płatniczych). Ustawa przewiduje wyjątki od tej zasady. Przy poleceniu zapłaty płatnik może odwołać zlecenie do końca dnia roboczego poprzedzającego uzgodniony dzień obciążenia rachunku (art. 51 ust. 3), tak samo przy zleceniu z uzgodnionym dniem wykonania (art. 51 ust. 4), a po upływie tych terminów odwołanie wymaga uzgodnienia między użytkownikiem a dostawcą (art. 51 ust. 5). Umowa formułuje zasadę nieodwołalności własnymi słowami i zastrzega od niej wyjątek dla płatności z tytułu umowy rozliczeniowej.
Przekazanie zlecenia może wymagać uwierzytelnienia i zalogowania się na konto, przy czym w Umowie opisano listę zaufanych beneficjentów, przy których płatnościach PayPal zazwyczaj o zalogowanie nie prosi. Według Umowy płatność na rzecz innego użytkownika jest pobierana z konta w ciągu jednego dnia roboczego od otrzymania kompletnego zlecenia, a w ciągu dwóch dni roboczych wtedy, gdy zlecenie wpłynęło w dniu wolnym albo po godzinie 14.00 czasu polskiego. Umowa zastrzega, że inne jej postanowienia mogą te ramy czasowe wydłużyć.
Środki na pokrycie płatności PayPal pobiera w kolejności wskazanej w Umowie i w zależności od ich dostępności:
- specjalne źródła finansowania płatności,
- preferowane źródło finansowania wybrane przez użytkownika,
- aktualne saldo konta PayPal,
- rachunek bankowy w trybie przelewu błyskawicznego,
- PayPal Credit,
- karta debetowa PayPal, a następnie karta kredytowa PayPal,
- karta debetowa, a następnie karta kredytowa,
- rachunek bankowy w trybie czeku elektronicznego.
Rachunek bankowy jest przy tym identyfikowany numerem, którego budowę opisuje osobny tekst o numerze rachunku w formacie IBAN.
Skąd bierze się wymóg silnego uwierzytelniania
Silne uwierzytelnianie użytkownika jest obowiązkiem ustawowym. Art. 32i ust. 1 ustawy o usługach płatniczych nakazuje je stosować, gdy płatnik uzyskuje dostęp do rachunku w trybie on-line, inicjuje elektroniczną transakcję płatniczą albo przeprowadza kanałem zdalnym czynność mogącą wiązać się z ryzykiem oszustwa.
Definicję zawiera art. 2 pkt 26aa ustawy. Uwierzytelnianie opiera się na co najmniej dwóch elementach z kategorii wiedzy, posiadania i cech charakterystycznych użytkownika, przy czym elementy te mają być na tyle niezależne, że naruszenie jednego nie osłabia wiarygodności pozostałych. Przy transakcji inicjowanej przez internet dochodzi wymóg z art. 32i ust. 2, zgodnie z którym uwierzytelnianie obejmuje elementy dynamicznie łączące transakcję z określoną kwotą i określonym odbiorcą.
Obowiązek pochodzi z art. 97 dyrektywy 2015/2366, a szczegóły techniczne określa rozporządzenie delegowane Komisji (UE) 2018/389, do którego polska ustawa odsyła przy zasadach bezpiecznej komunikacji między dostawcami. To samo rozporządzenie wymienia sytuacje, w których dostawca może silnego uwierzytelniania nie stosować, między innymi przy dostępie ograniczonym do informacji o rachunku płatniczym (art. 10). Wymóg ten wyznacza też rozkład odpowiedzialności. Art. 46 ust. 4a stanowi, że gdy dostawca płatnika nie wymaga silnego uwierzytelniania, płatnik nie ponosi odpowiedzialności za nieautoryzowane transakcje płatnicze, chyba że działał umyślnie.
Nieautoryzowana transakcja i granice odpowiedzialności płatnika
Transakcja nieautoryzowana ma w ustawie własny reżim, oddzielony od sporu ze sprzedawcą. Brzmienie przywołanych niżej przepisów podano za tekstem jednolitym (Dz. U. z 2026 r. poz. 623), stan na 10 września 2026 roku. Zgodnie z art. 46 ust. 1 dostawca płatnika zwraca jej kwotę niezwłocznie, najpóźniej do końca dnia roboczego następującego po dniu stwierdzenia transakcji albo po dniu otrzymania zgłoszenia, a przy rachunku płatniczym przywraca rachunek do stanu, jaki istniałby, gdyby transakcja nie miała miejsca. Wyjątkiem jest sytuacja, w której dostawca ma uzasadnione i należycie udokumentowane podstawy, by podejrzewać oszustwo, i poinformuje o tym w formie pisemnej organy powołane do ścigania przestępstw.
Ciężar dowodu rozkłada art. 45 ustawy. To dostawca ma wykazać, że transakcja została autoryzowana i prawidłowo zapisana w systemie oraz że nie wpłynęła na nią awaria techniczna, a samo wykazanie zarejestrowanego użycia instrumentu płatniczego do udowodnienia autoryzacji nie wystarcza.
Ustawa dzieli odpowiedzialność płatnika na kilka odrębnych przypadków. Do wysokości równowartości w walucie polskiej 50 euro odpowiada on wtedy, gdy transakcja jest skutkiem posłużenia się instrumentem utraconym, skradzionym albo przywłaszczonym (art. 46 ust. 2), przy czym art. 46 ust. 2a wyłącza samą tę odpowiedzialność, gdy płatnik nie miał możliwości stwierdzenia utraty, kradzieży albo przywłaszczenia instrumentu przed wykonaniem transakcji i nie działał umyślnie, albo gdy utratę spowodowało działanie lub zaniechanie po stronie dostawcy. W pełnej wysokości płatnik odpowiada, gdy doprowadził do transakcji umyślnie albo naruszył obowiązki z art. 42 umyślnie lub wskutek rażącego niedbalstwa (art. 46 ust. 3). Po dokonaniu zgłoszenia, o którym mowa w art. 42 ust. 1 pkt 2, odpowiedzialność ustaje, chyba że płatnik doprowadził do transakcji umyślnie (art. 46 ust. 4).
Roszczenia są przy tym ograniczone terminem. Zgodnie z art. 44 ust. 2 roszczenia z tytułu transakcji nieautoryzowanych, niewykonanych i nienależycie wykonanych wygasają, jeżeli użytkownik nie powiadomi dostawcy w ciągu 13 miesięcy od dnia obciążenia rachunku płatniczego albo od dnia, w którym transakcja miała być wykonana. Przepisu tego nie stosuje się, gdy dostawca nie udostępnił informacji o transakcji zgodnie z działem II ustawy (art. 44 ust. 4). Ten sam termin 13 miesięcy, liczony w Umowie od daty realizacji płatności, wraca wśród umownych przesłanek odmowy rekompensaty, obok umyślnego lub rażąco niedbałego naruszenia bezpieczeństwa konta. Umowa deklaruje przy tym, że przy nieautoryzowanej transakcji przesłanej na inne konto PayPal przywróci konto do stanu, w jakim byłoby, gdyby płatność nie została dokonana, najpóźniej do końca dnia roboczego następującego po otrzymaniu zgłoszenia.
Program ochrony kupujących jako warunek umowy
Program Ochrony kupujących w systemie PayPal to warunek umowy, a nie instytucja prawa. Tekst jednolity ustawy o usługach płatniczych nie posługuje się ani razu pojęciem kupującego.
Zasady programu określa osobny dokument PayPala z datą własną 28 stycznia 2022 roku, czyli sprzed obowiązującej wersji Umowy. Przewiduje on dwa roszczenia, z tytułu niedostarczenia przedmiotu oraz z tytułu znaczącej niezgodności przedmiotu z opisem, a kwalifikacja wymaga spełnienia wszystkich sześciu wymogów wymienionych w tym dokumencie. Należą do nich uprzednia próba kontaktu ze sprzedającym przez Centrum rozstrzygania oraz otwarcie sporu w ciągu 180 dni od daty wysłania płatności. Odrębnie od tych wymogów dokument opisuje procedurę rozstrzygania sporów, której drugi krok przewiduje przekształcenie sporu w roszczenie o zwrot pieniędzy w ciągu 20 dni od jego otwarcia. O kwalifikacji roszczenia decyduje PayPal według własnego uznania, a pierwsza decyzja jest w tym dokumencie uznana za ostateczną, z możliwością odwołania, gdy użytkownik dysponuje nowymi lub rozstrzygającymi informacjami niedostępnymi w chwili pierwszej decyzji albo uważa, że w procesie decyzyjnym wystąpił błąd.
Program ma też wyłączenia przedmiotowe, których ustawa nie zna, bo są one wynikiem umowy. Poza zakresem pozostają między innymi nieruchomości, pojazdy, produkty finansowe i inwestycje, darowizny, płatności wysłane funkcją „znajomi i rodzina” oraz przedmioty przeznaczone do odsprzedaży. Dokument wskazuje przy tym drugą, odrębną drogę, czyli zakwestionowanie transakcji u wystawcy karty, i zastrzega, że obu nie można prowadzić jednocześnie ani ubiegać się o zwrot z obu źródeł. Gdy PayPal rozstrzygnie zgłoszenie na niekorzyść użytkownika, droga u wystawcy karty pozostaje otwarta. Roszczenia wobec sprzedawcy z tytułu wady rzeczy są jeszcze inną warstwą, opisaną w tekście o różnicy między rękojmią a gwarancją.
Co się zmienia i na kiedy aktualne są dokumenty
Trzy dokumenty PayPala mają trzy różne daty, stan na 10 września 2026 roku. Umowa z Użytkownikiem została zaktualizowana 6 maja 2026 roku. Dotyczy kont osobistych założonych 30 kwietnia 2026 roku lub później albo takich, dla których użytkownik wyraził na nią wyraźną zgodę, a niezależnie od tej daty obejmuje konta firmowe. Jej postanowienia odnoszą się do kont mieszkańców Polski. Program ochrony kupujących nosi datę 28 stycznia 2022 roku, a strona Aktualizacji zasad – 15 czerwca 2026 roku.
Zmiana ogłoszona na tej ostatniej stronie ma wąski krąg adresatów. Dotyczy użytkowników kont firmowych i Umowy ze sprzedającym PayPal działającym przez platformę, a jej treść ogranicza się do wyjaśnienia podstawy umownej udostępniania danych dostawcy platformy.
Po stronie ustawy datowanie jest równie dokładne. Tekst jednolity ogłoszono 11 maja 2026 roku na podstawie obwieszczenia Marszałka Sejmu z 17 kwietnia 2026 roku, z uwzględnieniem stanu prawnego na 13 kwietnia 2026 roku. Po tej dacie ogłoszono dwie ustawy zmieniające ustawę o usługach płatniczych – Dz. U. z 2026 r. poz. 875 z 30 czerwca i poz. 1074 z 10 sierpnia. Żadna z nich nie dotknęła przepisów przywołanych w tym tekście, ponieważ ich klauzule nowelizujące obejmują inne przepisy ustawy, między innymi art. 60, 61, 114 i 117b, a nie art. 32i, art. 42–46 ani art. 51. Obie ustawy pochodzą z wykazu aktów zmieniających prowadzonego przy ustawie o usługach płatniczych, który nie obejmuje przepisów o płatnościach rozproszonych poza tą ustawą.
Źródła: Umowa z Użytkownikiem usługi PayPal, wersja polska, ostatnia aktualizacja 6 maja 2026 r., https://www.paypal.com/pl/legalhub/paypal/useragreement-full – sekcje „Informacje o firmie PayPal”, „Dokonywanie płatności”, „Finansowanie płatności”, „Rozwiązywanie problemów” i „Skargi”. Program Ochrony kupujących w systemie PayPal, ostatnia aktualizacja 28 stycznia 2022 r., https://www.paypal.com/pl/legalhub/paypal/buyer-protection. Aktualizacje zasad PayPal dla użytkowników z Polski, ostatnia aktualizacja 15 czerwca 2026 r., https://www.paypal.com/pl/legalhub/paypal/upcoming-policies-full. Ustawa z dnia 19 sierpnia 2011 r. o usługach płatniczych w brzmieniu tekstu jednolitego ogłoszonego obwieszczeniem Marszałka Sejmu Rzeczypospolitej Polskiej z 17 kwietnia 2026 r. (Dz. U. z 2026 r. poz. 623) – art. 2 pkt 26aa, art. 4 ust. 2, art. 5 ust. 1, art. 14 ust. 1, art. 32i, art. 42, art. 44 ust. 2, art. 45, art. 46 i art. 51; tekst i wykaz aktów zmieniających za API Europejskiego Identyfikatora Prawodawstwa Sejmu RP, https://api.sejm.gov.pl/eli/acts/DU/2026/623. Ustawy objęte pomiarem łańcucha nowelizacji: Dz. U. z 2026 r. poz. 875 i poz. 1074, brzmienie ogłoszone. Dyrektywa Parlamentu Europejskiego i Rady (UE) 2015/2366 (Dz. Urz. UE L 337 z 23.12.2015) – art. 97; rozporządzenie delegowane Komisji (UE) 2018/389 (Dz. Urz. UE L 69 z 13.03.2018) – art. 4 i art. 10; obie w brzmieniu ogłoszonym, za serwisem cellar Urzędu Publikacji Unii Europejskiej. Wszystkie źródła odczytane 10 września 2026 roku.