Oszustwa finansowe w internecie: co DSA i PSR zmieniają dla platform i instytucji płatniczych

Wiele oszustw na „inwestycje” zaczyna się od reklamy w mediach społecznościowych, a kończy przelewem na rachunek słupa, czyli osoby, która udostępnia swoje konto przestępcom. Platforma, na której wisiała reklama, i bank, przez który przeszły pieniądze, przez lata działały na osobnych zasadach. Unijny ustawodawca zaczyna te dwa światy łączyć. Obowiązujący już akt o usługach cyfrowych (DSA) określa, jak platformy mają reagować na nielegalne treści. Projektowane rozporządzenie o usługach płatniczych (PSR) przewiduje, że w określonych przypadkach platforma, która zignoruje zgłoszenie oszustwa, odda bankowi pieniądze zwrócone ofierze.

W Polsce temat wrócił 13 listopada 2026 r., gdy prezydent zawetował drugą ustawę wdrażającą DSA. Wyjaśniamy, które przepisy już obowiązują, które zablokowało weto i co z tego wynika dla instytucji obowiązanych, czyli firm objętych ustawą o przeciwdziałaniu praniu pieniędzy (AML), a zwłaszcza dla instytucji płatniczych.

Stan prawny: 15 listopada 2026 r. DSA stosuje się bezpośrednio od 17 lutego 2024 r. Polska ustawa nadzorcza (Dz.U. 2026 poz. 1296) obowiązuje od 6 listopada 2026 r. Ustawa o nakazach blokowania treści (druk nr 2693) nie weszła w życie z powodu weta. PSR nie zostało jeszcze ostatecznie przyjęte.¹²³

Jedno oszustwo, dwa światy

Zacznijmy od typowego scenariusza. Pani Anna przewija media społecznościowe i widzi film, w którym znany dziennikarz poleca „rządowy program inwestycyjny”. Film jest deepfakiem, czyli nagraniem wygenerowanym przez sztuczną inteligencję. Pani Anna klika w reklamę, trafia na stronę, zostawia numer telefonu i po kilku dniach rozmawia z „opiekunem konta”. Opiekun prosi o przelew na rachunek w polskim banku. Rachunek należy do studenta, który za kilkaset złotych udostępnił go oszustom, czyli do słupa.

W tej historii każdy uczestnik widzi tylko swój kawałek. Platforma wie, kto opłacił reklamę i ile osób w nią kliknęło, ale nie widzi przelewów. Bank pani Anny widzi przelew, ale nie widzi reklamy. Bank słupa widzi, że na rachunek studenta nagle wpływają pieniądze od obcych osób. Na podstawie ustawy AML musi to przeanalizować i w razie podejrzenia zawiadomić Generalnego Inspektora Informacji Finansowej (GIIF). Przepisy nie przewidywały dotąd szczególnych zasad łączenia wiedzy platformy z wiedzą banków.

Czego DSA wymaga od platform

Zacznijmy od strony platform, bo tu przepisy już obowiązują. DSA to unijne rozporządzenie 2022/2065. Dotyczy dostawców usług pośrednich, czyli firm, które przesyłają lub przechowują cudze treści w internecie. Najważniejszą grupą są dostawcy hostingu, a wśród nich platformy internetowe: media społecznościowe, serwisy ogłoszeniowe i internetowe platformy handlowe (marketplace’y).⁴

DSA nie każe platformom sprawdzać z góry wszystkiego, co publikują użytkownicy. Zachowuje zasadę znaną z wcześniejszej dyrektywy o handlu elektronicznym: dostawca hostingu nie odpowiada za cudze treści, dopóki nie ma faktycznej wiedzy, że są nielegalne. Przy roszczeniach odszkodowawczych wystarczy, że zna okoliczności, które w oczywisty sposób na to wskazują. Gdy się dowie, musi bezzwłocznie usunąć treść albo zablokować do niej dostęp. Inaczej traci tę ochronę (art. 6 DSA). Utrata ochrony nie przesądza jeszcze o odpowiedzialności. Jej podstawę trzeba wtedy ustalić na gruncie innych przepisów.⁴

Dlatego kluczowe jest to, jak platforma się dowiaduje. Art. 16 DSA wymaga od każdego dostawcy hostingu łatwo dostępnego mechanizmu zgłoszeń drogą elektroniczną. Zgłosić treść może każdy: osoba prywatna, firma, bank. Zgłoszenie powinno zawierać:⁴

• uzasadnienie, dlaczego treść jest nielegalna;
• dokładny adres URL;
• imię i nazwisko lub nazwę zgłaszającego oraz jego adres e-mail;
• oświadczenie, że zgłaszający w dobrej wierze uważa podane informacje i zarzuty za prawidłowe i kompletne.

Jeżeli na podstawie zgłoszenia staranna platforma może rozpoznać nielegalność bez szczegółowej analizy prawnej, uznaje się, że platforma już wie o problemie.⁴

Przy fałszywej reklamie inwestycyjnej często da się to wykazać. Wizerunek znanej osoby użyty bez zgody albo oferta działalności, która wymaga zezwolenia, od podmiotu, który go nie ma, to mocne sygnały ostrzegawcze. W zgłoszeniu trzeba jednak pokazać, dlaczego nielegalna jest właśnie ta konkretna reklama, np. dołączając oświadczenie osoby, której wizerunek wykorzystano, albo wynik sprawdzenia w rejestrach Komisji Nadzoru Finansowego (KNF).

Zaufane podmioty sygnalizujące

Platforma musi rozpatrzyć każde zgłoszenie terminowo i starannie. DSA przewiduje jednak „szybką ścieżkę” dla organizacji z doświadczeniem w wykrywaniu określonych nielegalnych treści. Są to zaufane podmioty sygnalizujące (ang. trusted flaggers). Platformy internetowe muszą priorytetowo rozpatrywać ich zgłoszenia, o ile dotyczą dziedziny, w której dany podmiot uzyskał status (art. 22 DSA). Obowiązek nie dotyczy platform prowadzonych przez mikro- i małe przedsiębiorstwa, chyba że zostały wyznaczone jako bardzo duże platformy (art. 19 DSA).⁴

Status przyznaje krajowy koordynator ds. usług cyfrowych. W Polsce od 6 listopada 2026 r. jest nim Prezes Urzędu Komunikacji Elektronicznej (UKE). Wnioskodawca musi wykazać wiedzę ekspercką, niezależność od platform i to, że zgłasza treści dokładnie i obiektywnie. Po uzyskaniu statusu musi co roku publikować sprawozdanie ze swoich zgłoszeń.⁴¹ Dla banków, izb branżowych czy organizacji zajmujących się oszustwami finansowymi to realna szansa. Wcześniej w Polsce nie było organu, do którego można było złożyć taki wniosek.

Czego DSA nie robi

DSA nie przenosi na platformy obowiązków AML. Obowiązek zgłaszania podejrzeń przestępstw jest w DSA wąski. Zgodnie z art. 18 dostawca hostingu musi informować organy ścigania tylko o przestępstwach zagrażających życiu lub bezpieczeństwu osób. Typowe oszustwo inwestycyjne czy pranie pieniędzy zwykle się w tym nie mieszczą. W motywach rozporządzenia, czyli we wstępie wyjaśniającym cel przepisów, unijny ustawodawca zastrzegł też, że DSA nie daje podstawy do profilowania użytkowników w celu wykrywania przestępstw.⁴ To duża różnica wobec instytucji obowiązanych, które muszą stale monitorować klientów i ich transakcje.

Art. 30 DSA: weryfikacja sprzedawców na platformach handlowych

Choć platformy nie mają obowiązków AML, w jednym punkcie DSA wyraźnie przypomina KYC (ang. know your customer, „poznaj swojego klienta”). Chodzi o art. 30. Dotyczy on platform, na których konsumenci zawierają umowy z przedsiębiorcami, np. internetowych platform handlowych. Zanim przedsiębiorca zacznie tam oferować lub promować produkty albo usługi, platforma musi zebrać jego dane:⁴

• imię i nazwisko lub nazwę, adres, telefon i e-mail;
• kopię dokumentu tożsamości albo identyfikację elektroniczną;
• dane rachunku płatniczego;
• rejestr handlowy i numer wpisu, jeżeli sprzedawca jest wpisany do rejestru;
• oświadczenie sprzedawcy, że oferuje tylko produkty zgodne z prawem UE.

Jeszcze przed dopuszczeniem sprzedawcy platforma musi dołożyć wszelkich starań, aby ocenić, czy dane są wiarygodne i pełne. Może sprawdzić je w oficjalnych rejestrach, np. w KRS, CEIDG albo w unijnym systemie VIES, który służy do weryfikacji numerów VAT. Może też poprosić sprzedawcę o dokumenty potwierdzające. Gdy ma powody sądzić, że dane są nieprawdziwe, niekompletne lub nieaktualne, wzywa sprzedawcę do ich poprawienia. Jeżeli sprzedawca tego nie zrobi, platforma zawiesza mu sprzedaż do czasu uzupełnienia danych.⁴

Podobieństwo do identyfikacji i weryfikacji klienta jest widoczne, ale różnice są istotne:

Różnica w okresie przechowywania ma znaczenie praktyczne. Załóżmy, że sprzedawca z platformy okaże się częścią schematu wyłudzeń, a platforma zakończyła z nim umowę zaraz po pierwszych skargach. Jeżeli prokuratura zapyta o jego dane po roku, platforma mogła je już legalnie usunąć, chyba że inne przepisy wymagały ich dłuższego przechowywania.⁴⁵

Obowiązek z art. 30 nie dotyczy platform prowadzonych przez mikro- i małe przedsiębiorstwa, a także przez 12 miesięcy po utracie tego statusu. Wyjątkiem są platformy wyznaczone jako bardzo duże (art. 29 DSA).⁴ Pełny zestaw danych z art. 30 nie jest jawny: platforma publikuje tylko podstawowe dane kontaktowe, numer rejestrowy i oświadczenie sprzedawcy. Kopię dokumentu tożsamości i dane rachunku ujawnia osobom trzecim tylko wtedy, gdy wymagają tego przepisy, np. na nakaz organu (art. 30 ust. 6 i 7 DSA).⁴

PSR: regres banku wobec platformy

DSA opisuje, jak zgłaszać treści i kiedy platforma traci ochronę. Odbiorcy usług mogą też dochodzić od platformy odszkodowania za naruszenie obowiązków z DSA na zasadach prawa krajowego (art. 54 DSA).⁴ DSA nie rozstrzyga jednak, jak rozkładają się straty między platformą a bankiem, który oddał pieniądze ofierze. Tę kwestię ma uregulować rozporządzenie o usługach płatniczych (PSR), które wraz z nową dyrektywą PSD3 zastąpi obecną dyrektywę o usługach płatniczych PSD2. Parlament Europejski i Rada UE osiągnęły porozumienie polityczne co do jego treści 27 listopada 2025 r. Rada przyjęła swoje stanowisko 29 października 2026 r.⁶³

Według uzgodnionego tekstu łańcuch wygląda następująco:

1. Dostawca usług płatniczych zgłasza treść. Jeżeli oszustwo zaczęło się od treści opublikowanej w internecie, bank lub instytucja płatnicza ma bez zbędnej zwłoki poinformować dostawcę hostingu (art. 61 ust. 1 PSR). Korzysta wtedy ze zwykłego mechanizmu zgłoszeń (art. 16 DSA), a jeśli ma status zaufanego podmiotu sygnalizującego, z szybkiej ścieżki (art. 22 DSA).⁷
2. Strony mogą wymieniać dane. Gdy istnieją obiektywnie uzasadnione powody, aby podejrzewać oszukańcze zachowanie użytkownika, dostawcy usług płatniczych mogą wymieniać dane z dostawcami hostingu i operatorami komunikatorów. Wymiana jest dozwolona tylko w zakresie niezbędnym do zapobiegania oszustwom płatniczym i ich wykrywania (art. 61 ust. 2 PSR). Serwisy wyznaczone na podstawie DSA jako bardzo duże platformy i wyszukiwarki, a także komunikatory, mają utworzyć osobne kanały kontaktu z dostawcami usług płatniczych albo przystąpić do systemu wymiany informacji, z zachowaniem RODO (art. 61 ust. 3 PSR).⁷
3. Platforma może odpowiadać finansowo. Art. 82 ust. 2 PSR przewiduje regres, czyli roszczenie zwrotne, wobec dostawcy hostingu, który utracił ochronę z art. 6 DSA, czyli nie usunął nielegalnej treści mimo wiedzy o niej. Regres przysługuje, jeżeli ta treść doprowadziła do transakcji objętych zwrotem z PSR. Platforma rekompensuje wtedy dostawcy usług płatniczych poniesione straty i kwoty wypłacone klientom.⁸

Sama bierność platformy nie wystarczy więc do regresu. Bank musi wykazać, że platforma wiedziała o nielegalnej treści i nie zareagowała bezzwłocznie. Musi też wykazać, że właśnie ta treść doprowadziła do transakcji, za które oddał klientowi pieniądze. Dlatego tak ważne będzie dokumentowanie zgłoszeń.

PSR obejmuje też reklamy regulowanych usług finansowych, czyli usług bankowych, kredytowych, ubezpieczeniowych, emerytalnych, płatniczych i inwestycyjnych, także dotyczących kryptoaktywów i crowdfundingu, które wymagają zezwolenia albo rejestracji na podstawie prawa UE. Bardzo duże platformy i wyszukiwarki mają żądać od reklamodawcy numeru zezwolenia, wpisu do rejestru albo innej informacji potwierdzającej uprawnienia. Wystarczy też dowód, że reklamodawca działa w imieniu uprawnionego podmiotu. Platforma ma dołożyć starań, aby ocenić te dane, np. w rejestrach, o ile da się to zrobić proporcjonalnie za pomocą narzędzi automatycznych. Reklamodawcy, który danych nie przedstawi, ma odmówić emisji reklamy (art. 62 PSR). Nadzór nad tym obowiązkiem wobec największych platform ma sprawować Komisja Europejska (art. 98 PSR).⁹

Regres nie obejmuje każdej straty. Art. 82 ust. 2 PSR dotyczy tylko dwóch sytuacji:

• transakcji nieautoryzowanych (art. 57), np. gdy oszust przejął dane karty lub dostęp do bankowości;
• oszustwa „na pracownika banku” (art. 60). Konsument sam zleca przelew, bo sprawca podszywa się pod jego dostawcę usług płatniczych i korzysta z kanałów komunikacji przypisanych temu dostawcy, np. podrobionego numeru infolinii. Konsument dostaje zwrot, jeżeli bez zbędnej zwłoki zawiadomi dostawcę i zgłosi oszustwo na Policję. Zwrot nie przysługuje, gdy konsument działał umyślnie lub z rażącym niedbalstwem, a udowodnić to musi dostawca.⁸

W naszym przykładzie oszust podawał się za doradcę inwestycyjnego, a nie za pracownika banku pani Anny. Przelew był też autoryzowany. Opisane fakty nie wskazują więc na zwrot z art. 57 ani z art. 60 PSR, a bez takiego zwrotu nie powstaje regres z art. 82 ust. 2. Nie wyklucza to innych podstaw odpowiedzialności, które trzeba by ocenić osobno.

Na te rozwiązania trzeba jednak poczekać, bo PSR jeszcze nie obowiązuje. Według stanu na 15 listopada 2026 r. rozporządzenie czeka na drugie czytanie w Parlamencie Europejskim, wstępnie zaplanowane na 14 grudnia 2026 r. Po publikacji w Dzienniku Urzędowym UE większość przepisów, w tym omówione wyżej art. 61, 62 i 82, zacznie być stosowana po 21 miesiącach od wejścia rozporządzenia w życie.³⁸

Polska: co już obowiązuje, a co zablokowało weto

Zanim zacznie działać PSR, instytucje w Polsce mogą korzystać z narzędzi samego DSA. Krajowe przepisy wykonawcze powstawały jednak z dużym opóźnieniem. Polska długo nie miała ustawy wdrażającej DSA. Rozporządzenie działało, ale nie było krajowego organu, do którego można złożyć skargę albo wniosek o status zaufanego podmiotu sygnalizującego. Komisja Europejska skierowała w tej sprawie skargę przeciwko Polsce do Trybunału Sprawiedliwości UE.¹⁰

Pierwsze weto, z 9 stycznia 2026 r., zatrzymało ustawę, która łączyła obie sprawy: nadzór nad platformami i blokowanie treści. Rząd podzielił wtedy materię na dwie ustawy.¹¹

Ustawa nadzorcza: obowiązuje od 6 listopada 2026 r.

Ustawa z 4 września 2026 r. (Dz.U. 2026 poz. 1296) wyznacza Prezesa UKE na koordynatora ds. usług cyfrowych. Kompetencje w swoich obszarach otrzymali też Prezes Urzędu Ochrony Konkurencji i Konsumentów (UOKiK) i Przewodniczący Krajowej Rady Radiofonii i Telewizji (KRRiT). Ustawa pozwala składać skargi na naruszenia DSA, przyznawać status zaufanych podmiotów sygnalizujących i nakładać kary do 6% rocznego światowego obrotu dostawcy.¹¹⁰ Prezydent ją podpisał 25 września 2026 r.

Ustawa o nakazach blokowania: zawetowana 13 listopada 2026 r.

Druga ustawa (druk nr 2693) miała wprowadzić krajową procedurę nakazów wobec nielegalnych treści. Obejmowała nakazy uniemożliwienia dostępu do treści, nakazy przywrócenia treści usuniętych przez platformę bez podstawy, a w ostateczności rejestr domen, do których operatorzy musieliby blokować dostęp.¹²¹³

Wnioski mogli składać m.in. prokurator, Policja, organy Krajowej Administracji Skarbowej i użytkownicy. Użytkownik musiał najpierw zgłosić treść platformie w trybie art. 16 DSA. Co do zasady decyzje miał wydawać Prezes UKE, a w sprawie platform wideo Przewodniczący KRRiT. Od decyzji przysługiwałby sprzeciw do sądu. W sprawach propagowania totalitaryzmu, nawoływania do nienawiści i znieważania z powodu przynależności narodowej, rasowej czy wyznaniowej (art. 256 i 257 k.k.) o blokadzie miał najpierw orzec sąd.¹²¹³

Debata publiczna skupiła się na mowie nienawiści, ale z perspektywy przestępczości finansowej ważniejszy jest katalog czynów, których dotyczyła procedura. W projekcie przyjętym przez komisje sejmowe obejmował on m.in.:¹²

• oszustwo (art. 286 § 1 i 2 Kodeksu karnego);
• oszustwo komputerowe (art. 287 § 1 k.k.);
• podszywanie się pod inną osobę w celu wyrządzenia jej szkody (art. 190a § 2 k.k.);
• wybrane przestępstwa skarbowe, w tym urządzanie nielegalnych gier hazardowych (art. 107 Kodeksu karnego skarbowego).

Według opisów ustawy przekazanej prezydentowi do podpisu procedura nadal obejmowała treści związane z oszustwami internetowymi i kradzieżą tożsamości.¹⁴

Prezydent uzasadnił weto argumentem, że o przestępczym charakterze publikacji powinien rozstrzygać niezawisły sąd, a nie organ administracji. Zwrócił też uwagę, że kontrola sądowa po blokadzie nie zawsze naprawi szkodę. Rząd odpowiadał, że od decyzji przysługiwał sprzeciw do sądu, a weto odbiera państwu narzędzie szybkiej reakcji.¹¹² Spór dotyczy przede wszystkim konstytucyjnych granic wolności wypowiedzi. Ocenę tej kwestii zostawiamy konstytucjonalistom.

Co zostaje bez zawetowanej ustawy

Weto nie oznacza, że wobec oszustw w sieci nie ma żadnych narzędzi:

• Zgłoszenia z art. 16 DSA działają bezpośrednio na podstawie rozporządzenia. Platforma, która po dobrym zgłoszeniu nie usunie oczywiście oszukańczej reklamy, traci ochronę z art. 6 DSA.⁴
• Lista ostrzeżeń CERT Polska działa na podstawie ustawy z 28 lipca 2023 r. o zwalczaniu nadużyć w komunikacji elektronicznej. Dostawcy dostępu do internetu objęci ustawą blokują domeny wpisane na tę listę, np. strony podszywające się pod banki.¹⁵
• Rejestr domen Ministra Finansów pozwala blokować strony z nielegalnym hazardem na podstawie ustawy o grach hazardowych.¹⁶
• Lista ostrzeżeń publicznych KNF wskazuje podmioty, wobec których KNF zawiadomiła prokuraturę, np. w związku z działalnością bez wymaganego zezwolenia. Pomaga uzasadnić zgłoszenie fałszywej reklamy.¹⁷

Weto nie pozbawiło więc państwa wszystkich narzędzi przeciwko oszustwom w sieci. Zawetowana ustawa miała jednak wprowadzić jedną procedurę także dla treści, do których nie sięgają lista CERT ani rejestr hazardowy, np. pojedynczy wpis na portalu społecznościowym. Sejm może jeszcze ponownie uchwalić ustawę większością 3/5 głosów w obecności co najmniej połowy ustawowej liczby posłów i w ten sposób odrzucić weto.

Co z tego wynika dla instytucji obowiązanych

Większość instytucji obowiązanych nie jest dostawcą usług pośrednich i nie musi stosować DSA. Przepisy te dotyczą ich jednak pośrednio, i to coraz mocniej.

Instytucje płatnicze i banki powinny przygotować się na PSR już teraz:

• prowadzić rejestr zgłoszeń wysyłanych do platform, z adresem URL, datą, treścią zgłoszenia i odpowiedzią platformy, i łączyć każdy wpis ze sprawą reklamacyjną klienta;
• rozważyć wniosek do Prezesa UKE o status zaufanego podmiotu sygnalizującego, samodzielnie albo przez organizację branżową;
• połączyć procesy antyfraudowe z AML. Rachunek, na który wpływają pieniądze ofiar, to typowy sygnał słupa. Analiza takiego rachunku może zakończyć się zawiadomieniem GIIF, niezależnie od reklamacji złożonej przez ofiarę.

Kantory i giełdy kryptowalut, domy maklerskie i inne podmioty rynku finansowego są częstym celem podszywania się. Fałszywe reklamy z ich nazwą warto zgłaszać platformom w trybie art. 16 DSA i dokumentować te zgłoszenia. Taka dokumentacja przyda się, gdy klient zarzuci firmie, że nie zareagowała. Usługi związane z kryptoaktywami należą też do regulowanych usług finansowych z art. 62 PSR, więc największe platformy będą od reklamodawców z tej branży wymagać dowodu zezwolenia. O pozostałych obowiązkach giełd i kantorów piszemy w artykule AML i sankcje w branży kryptowalut.

Wszystkie instytucje obowiązane mogą wykorzystać nowe źródła informacji o kontrahentach. Gdy klient prowadzi sprzedaż na platformie handlowej, jego dane widoczne na platformie nie zastępują własnej weryfikacji klienta. Rozbieżność między tymi danymi a danymi przekazanymi instytucji może jednak być sygnałem ostrzegawczym. Instytucja nie ma natomiast prawa żądać od platformy pełnych danych sprzedawcy, np. kopii dokumentu tożsamości.

Źródła

Footnotes

1. Ustawa z 4 września 2026 r. o zmianie ustawy o świadczeniu usług drogą elektroniczną oraz niektórych innych ustaw, Dz.U. 2026 poz. 1296, ogłoszona 6.10.2026 r., w mocy od 6.11.2026 r. (dane z API ELI); Sejm, druk nr 2694. ↩ ↩² ↩³

2. Ministerstwo Cyfryzacji, Bezpieczniejszy internet zablokowany. Prezydent zawetował ustawę o DSA, 13.11.2026 r.; prawo.pl, Blokowanie treści w internecie – prezydent zawetował ustawę DSA, 13.11.2026 r. ↩ ↩²

3. Parlament Europejski, Legislative Observatory – procedura 2023/0210(COD), status „Awaiting Parliament 2nd reading”, orientacyjny termin posiedzenia plenarnego 14.12.2026 r., odczyt 15.11.2026 r.; Komisja Europejska, komunikat COM(2026) 609 w sprawie stanowiska Rady. ↩ ↩² ↩³

4. Rozporządzenie Parlamentu Europejskiego i Rady (UE) 2022/2065 z 19.10.2022 r. w sprawie jednolitego rynku usług cyfrowych (akt o usługach cyfrowych), w szczególności art. 6, 16, 18, 19, 22, 29, 30 i 54 oraz motywy 56, 72 i 73. Odczyt 15.11.2026 r. ↩ ↩² ↩³ ↩⁴ ↩⁵ ↩⁶ ↩⁷ ↩⁸ ↩⁹ ↩¹⁰ ↩¹¹ ↩¹² ↩¹³ ↩¹⁴

5. Ustawa z 1 marca 2018 r. o przeciwdziałaniu praniu pieniędzy oraz finansowaniu terroryzmu, Dz.U. z 2025 r. poz. 644, art. 49 ust. 1. Szerzej: AML a RODO: jakie dane klientów zbierać i jak długo je przechowywać. ↩

6. Parlament Europejski, Payment services deal: More protection from online fraud and hidden fees, komunikat z 27.11.2025 r. ↩

7. Rada UE, stanowisko w pierwszym czytaniu w sprawie PSR, dokument 8543/1/26 REV 1, przyjęte 29.10.2026 r., art. 61. ↩ ↩²

8. Rada UE, dokument 8543/1/26 REV 1, art. 57, 60, 82 ust. 2 i 124 oraz motyw 136. ↩ ↩² ↩³

9. Rada UE, dokument 8543/1/26 REV 1, art. 62 i 98. ↩

10. DSK Kancelaria, Prezydent RP podpisał jedną z ustaw wdrażających DSA w Polsce, 9.10.2026 r. ↩ ↩²

11. Prezydent RP, wniosek z 13.11.2026 r. o ponowne rozpatrzenie ustawy z 22.10.2026 r. o zmianie ustawy o świadczeniu usług drogą elektroniczną oraz niektórych innych ustaw (art. 122 ust. 5 Konstytucji RP). ↩ ↩²

12. Sejm RP, druk nr 2814 – sprawozdanie komisji o rządowym projekcie z druku nr 2693, art. 1 pkt 4 (projektowane art. 11a i 11b ustawy o świadczeniu usług drogą elektroniczną). Katalog czynów z art. 11a ust. 1 w zakresie art. 286, 287 i 190a § 2 k.k. nie został zmieniony poprawkami Senatu Ostatecznego brzmienia ustawy po rozpatrzeniu poprawek Senatu (druk nr 3219) nie odtwarzamy. Przebieg procesu legislacyjnego. ↩ ↩² ↩³

13. Infor.pl, Weto prezydenta do ustawy o blokowaniu treści w internecie. Urzędnik czy sąd – kto ma decydować, co zniknie z sieci?, 13.11.2026 r. (opis ustawy po poprawkach Senatu, w tym trybu sądowego dla art. 256 i 257 k.k. oraz rejestru domen). ↩ ↩²

14. RMF24, Weto prezydenta Nawrockiego. Chodzi o blokowanie treści w internecie, 13.11.2026 r. ↩

15. Ustawa z 28 lipca 2023 r. o zwalczaniu nadużyć w komunikacji elektronicznej, tekst jednolity Dz.U. 2024 poz. 1803; CERT Polska, lista ostrzeżeń przed niebezpiecznymi stronami. ↩

16. Ustawa z 19 listopada 2009 r. o grach hazardowych, tekst jednolity Dz.U. 2025 poz. 595; Ministerstwo Finansów, Rejestr domen służących do oferowania gier hazardowych niezgodnie z ustawą. ↩

17. Komisja Nadzoru Finansowego, Lista ostrzeżeń publicznych KNF. ↩