Płatność zbliżeniowa kartą w Polsce nie wymaga kodu PIN do kwoty 100 zł, a przy wyższej kwocie terminal prosi o jego wpisanie. Tak opisują tę zasadę Visa i PKO Bank Polski na swoich stronach, stan na 7 października 2026 roku.
Za jedną kwotą stoją trzy warstwy zasad, które w potocznych wyjaśnieniach zlewają się w jeden „limit”. Prawo Unii Europejskiej pozwala w płatnościach zbliżeniowych zrezygnować z silnego uwierzytelnienia klienta przy niskich kwotach i ogranicza to zwolnienie także liczbą albo sumą kolejnych transakcji. Po przekroczeniu tych granic, liczonych od ostatniego silnego uwierzytelnienia, terminal może poprosić o PIN nawet przy niskiej kwocie. Kwotę w złotych zapisują w swoich zasadach organizacje kartowe, a w Polsce zmiana tych zasad wymaga zezwolenia Prezesa NBP. Wydawca karty decyduje wreszcie, czy i w jakim zakresie korzysta ze zwolnienia.
Tekst dotyczy fizycznych kart płatniczych. Płatności telefonem i zegarkiem wykraczają poza jego zakres. BLIK działa w odrębnym schemacie płatniczym, na którego prowadzenie Prezes NBP wydał zgodę 19 października 2017 roku, a jego zasady opisano w tekście o tym, jak działa BLIK.
Co prawo unijne mówi o płatnościach zbliżeniowych bez PIN-u
Zwolnienie z kodu PIN przy drobnych zakupach jest wyjątkiem od ogólnej reguły dyrektywy (UE) 2015/2366, nazywanej PSD2. Jej art. 97 ust. 1 wymaga silnego uwierzytelniania klienta, gdy płatnik inicjuje elektroniczną transakcję płatniczą. W polskim prawie ten sam obowiązek zapisano w art. 32i ust. 1 ustawy o usługach płatniczych, której tekst jednolity ogłoszono w Dz.U. 2026 poz. 623, stan na 7 października 2026 roku. Ustawa używa nazwy „silne uwierzytelnianie użytkownika” i opiera je na co najmniej dwóch niezależnych elementach z trzech kategorii, czyli wiedzy, posiadania i cech charakterystycznych użytkownika.
Wyjątki opisuje rozporządzenie delegowane Komisji (UE) 2018/389 z 27 listopada 2017 roku, stosowane od 14 września 2019 roku. Projekt tych regulacyjnych standardów technicznych przygotował Europejski Urząd Nadzoru Bankowego, któremu to zadanie powierza art. 98 dyrektywy. Art. 11 rozporządzenia pozwala dostawcom usług płatniczych nie stosować silnego uwierzytelniania przy zbliżeniowej płatności w punkcie sprzedaży, jeżeli pojedyncza transakcja nie przekracza 50 euro i zarazem spełniony jest jeden z dwóch warunków liczonych od ostatniego silnego uwierzytelnienia.
- Łączna kwota poprzednich płatności zbliżeniowych tym samym instrumentem nie przekracza 150 euro.
- Liczba kolejnych płatności zbliżeniowych tym instrumentem nie przekracza pięciu.
Przepis używa słowa „mogą”, więc zwolnienie jest uprawnieniem dostawcy, a nie jego obowiązkiem. Motyw 11 rozporządzenia uzasadnia je tym, że wyłączenia dla niskokwotowych płatności zbliżeniowych pozwalają rozwijać usługi przyjazne użytkownikowi i obarczone niskim ryzykiem. Według rekordu EUR-Lex, stan na 7 października 2026 roku, art. 11 nie był zmieniany, a zmiany z 2022 i 2023 roku objęły inne przepisy rozporządzenia.
Kto ustala kwotę 100 zł
Kwota w złotych pochodzi z zasad organizacji kartowych. Rozporządzenie unijne wyznacza progi w euro i pozwala dostawcom stosować zwolnienie do tych kwot. Przewodnik Visa dla urządzeń akceptujących karty, w wersji 3.3 z sierpnia 2025 roku, wiąże kwotę, powyżej której terminal żąda weryfikacji posiadacza karty, z limitem kraju dla usługi Visa Easy Payment Service, określonym w regułach Visa.
W Polsce zmiana zasad funkcjonowania schematu płatniczego wymaga zezwolenia Prezesa Narodowego Banku Polskiego, co przewiduje art. 132zm ust. 2 ustawy o usługach płatniczych. Mastercard poinformował 28 maja 2018 roku, że otrzymał od NBP zgodę na podwyższenie limitu płatności zbliżeniowych bez PIN-u do 100 zł. Analiza NBP opublikowana w sierpniu 2021 roku przywołuje przy tej zmianie dwie decyzje Prezesa NBP, nr D/2/S.C./2018 z 17 maja 2018 roku dla kart Mastercard i nr D/6/S.C./2018 z 28 listopada 2018 roku dla kart Visa. W wykazie decyzji NBP pierwsza figuruje jako zgoda, a druga jako zezwolenie na wprowadzenie zmian w zasadach funkcjonowania schematu płatniczego.
Próg bywa też niższy dla wybranych kart. PKO Bank Polski podaje dla karty PKO Junior kwotę 30 zł, stan na 7 października 2026 roku. Mastercard w kompendium z 20 sierpnia 2019 roku wskazywał z kolei, że łączny próg 150 euro z art. 11 jest kwotą maksymalną, a wydawcy kart mogą ustalić dla swoich kart niższy.
Dlaczego terminal czasem prosi o PIN przy niskiej kwocie
Prośba o PIN przy zakupie poniżej 100 zł może wynikać z warunków art. 11 rozporządzenia 2018/389, liczonych od ostatniego silnego uwierzytelnienia, albo z analizy ryzyka prowadzonej przez wydawcę karty. Według kompendium Mastercard z 20 sierpnia 2019 roku to wydawca decyduje, czy stosuje kryterium liczby transakcji, czy ich łącznej kwoty. Każda transakcja potwierdzona PIN-em zeruje licznik w obu wariantach.
Licznik obejmuje wszystkie kolejne transakcje, a nie jeden dzień. Kompendium podaje przykład dla kryterium liczby transakcji. Po trzech drobnych płatnościach w poniedziałek i dwóch we wtorek pierwsza drobna płatność w środę wymaga kodu PIN, bo jest szóstą transakcją z rzędu, czyli pierwszą ponad próg pięciu z art. 11.
Zwolnienie przysługuje przy tym z zastrzeżeniem art. 2 rozporządzenia, który wymaga od dostawców mechanizmów monitorowania transakcji. Mechanizmy te mają uwzględniać między innymi kwotę każdej transakcji i znane scenariusze oszustw. PKO Bank Polski informuje, że ze względów bezpieczeństwa może prosić o PIN także przy płatnościach poniżej 100 zł, a wybrane losowo płatności zbliżeniowe co pewien czas wymagają włożenia karty do czytnika i wpisania PIN-u. Dla części kart debetowych Visa wydanych do 4 sierpnia 2018 roku bank stosuje dodatkowo łączny limit płatności zbliżeniowych, odnawiany płatnością wykonaną metodą tradycyjną. Oba opisy pochodzą ze strony banku, stan na 7 października 2026 roku.
Osobne zwolnienie, z art. 12 rozporządzenia, dotyczy terminali samoobsługowych służących do uiszczania opłat za przejazd i postój.
Jak limit zmieniał się w Polsce
Do marca 2020 roku płatność zbliżeniowa kartą Visa lub Mastercard bez PIN-u była w Polsce możliwa do 50 zł, a w marcu 2020 roku tę kwotę podniesiono do 100 zł. Zmianę opisują Narodowy Bank Polski w „Informacji o kartach płatniczych” za I kwartał 2020 roku oraz Mastercard w komunikacie z 25 marca 2020 roku.
Daty wprowadzenia zmiany różniły się o jeden dzień. Według analizy NBP z sierpnia 2021 roku wyższy limit obowiązywał od 19 marca 2020 roku dla kart Visa i od 20 marca 2020 roku dla kart Mastercard. Mastercard podawał, że od północy 20 marca jego karty w Polsce nie wymagają PIN-u do 100 zł tam, gdzie terminale płatnicze zostały odpowiednio zaktualizowane.
Zgodę NBP Mastercard otrzymał już w 2018 roku i zapowiadał wtedy zmianę nie wcześniej niż w II kwartale 2019 roku. W marcu 2020 roku termin przyspieszyła epidemia COVID-19. NBP pisze, że zmianę zainicjował rząd, aby zwiększyć zakres płatności ograniczających kontakt klientów z kasjerami i z urządzeniami wyposażonymi w klawiaturę do wpisywania PIN-u. Mastercard wskazywał, że sektor finansowy przyspieszył podwyższenie limitu, odpowiadając na apele NBP, KNF i Ministerstwa Finansów, i zaliczał Polskę do krajów, które wprowadzały nowy limit na stałe.
Visa podaje na swojej stronie, stan na 7 października 2026 roku, że w przypadku niektórych kart zwiększenie limitu może wymagać jednej transakcji potwierdzonej PIN-em, z kartą włożoną do terminala albo do bankomatu.
Jak przebiega płatność zbliżeniowa od strony technicznej
Płatność zbliżeniowa kartą to wymiana danych między kartą a czytnikiem terminala bez fizycznego kontaktu. Według NBP umożliwia ją umieszczony w karcie miniaturowy układ scalony z wbudowaną anteną radiową. EMVCo, organizacja publikująca specyfikacje EMV, opisuje zbliżeniową płatność chipową jako transakcję w sklepie, przy której karta albo urządzenie mobilne z modułem NFC, czyli komunikacji bliskiego zasięgu, nie dotyka terminala. Dla każdej transakcji powstaje jednorazowy kod bezpieczeństwa, który ma chronić przed oszustwem.
Wymagania wobec karty i terminala zapisano w trzech grupach specyfikacji EMVCo, czyli EMV Chip, EMV Contactless oraz EMV Contactless Kernel. Na stronie EMVCo, stan na 7 października 2026 roku, dokumenty Book A o architekturze i wymaganiach ogólnych oraz Book B o punkcie wejścia figurują w wersji 2.12 z datą publikacji 6 lipca 2026 roku. Jądro, po angielsku kernel, to oprogramowanie, które pozwala terminalowi przetwarzać transakcje. Według EMVCo z listopada 2022 roku na świecie używa się ponad 20 takich jąder, a specyfikacja EMV Contactless Kernel, opublikowana 5 października 2022 roku, wprowadziła kryptografię krzywych eliptycznych do uwierzytelniania karty.
Kwotę, powyżej której potrzebna jest weryfikacja posiadacza karty, czytnik przechowuje jako parametr konfiguracji. W przewodniku Visa dla urządzeń akceptujących karty parametr ten nosi nazwę Reader CVM Required Limit, a transakcje powyżej niego wymagają weryfikacji posiadacza, transakcje poniżej już nie. Ten sam przewodnik zaleca, by system zarządzania terminalami pozwalał aktualizować takie parametry po zainstalowaniu urządzenia.
Źródła: dyrektywa Parlamentu Europejskiego i Rady (UE) 2015/2366 z dnia 25 listopada 2015 r. w sprawie usług płatniczych w ramach rynku wewnętrznego (Dz.U. L 337 z 23.12.2015, s. 35) – art. 97 ust. 1 i art. 98 ust. 1; rozporządzenie delegowane Komisji (UE) 2018/389 z dnia 27 listopada 2017 r. uzupełniające dyrektywę (UE) 2015/2366 w odniesieniu do regulacyjnych standardów technicznych dotyczących silnego uwierzytelniania klienta i wspólnych i bezpiecznych otwartych standardów komunikacji (Dz.U. L 69 z 13.3.2018, s. 23) – motywy 11 i 29, art. 2, art. 11, art. 12 i art. 38 oraz rekord dokumentu z wykazem zmian; teksty z EUR-Lex, odczyt 7 października 2026 r. Ustawa z dnia 19 sierpnia 2011 r. o usługach płatniczych, tekst jednolity Dz.U. 2026 poz. 623 – art. 2 pkt 26aa, art. 32i ust. 1 i art. 132zm ust. 2, wraz z kontrolą zmian ogłoszonych w Dz.U. 2026 poz. 875, 1074 i 1206; teksty z API ELI Kancelarii Sejmu, odczyt 7 października 2026 r. Narodowy Bank Polski – „Informacja o kartach płatniczych. I kwartał 2020 r.” (czerwiec 2020 r.), „Analiza opłat i prowizji związanych z korzystaniem z rachunku płatniczego w Polsce (wg danych na dzień 31 grudnia 2020 r.)” (sierpień 2021 r.), przypis 11, oraz wykaz decyzji Prezesa NBP dotyczących schematów płatniczych. Mastercard Newsroom Polska – komunikaty z 28 maja 2018 r., 20 sierpnia 2019 r. i 25 marca 2020 r. Visa – strona „Płatności zbliżeniowe Visa” (visa.pl) oraz „Transaction Acceptance Device Guide”, wersja 3.3 z sierpnia 2025 r. PKO Bank Polski – strona „Płatności zbliżeniowe kartą”. EMVCo – strony „EMV Contactless Chip”, komunikat z 5 października 2022 r. i artykuł z 17 listopada 2022 r. Strony organizacji kartowych, banku i EMVCo odczytane 7 października 2026 r.