Płatność kartą w internecie wymaga danych karty i zwykle potwierdzenia w aplikacji banku. Wyjaśniamy, jak to działa, jakie są limity, jak działają subskrypcje i co zrobić przy nieautoryzowanej transakcji.
Jak zapłacić kartą przez internet – krok po kroku
- w sklepie wybierz płatność kartą,
- wpisz numer karty, datę ważności i trzycyfrowy kod CVV2/CVC2, zwykle umieszczony na odwrocie karty,
- sprawdź w aplikacji banku kwotę i odbiorcę,
- potwierdź płatność w aplikacji albo kodem z SMS-a.
Kod uwierzytelniający płatność jest przypisany do kwoty i odbiorcy. Każda ich zmiana unieważnia ten kod.
Płacić w internecie można kartą debetową, kredytową i przedpłaconą. Visa i Mastercard to organizacje płatnicze, a karty wydają banki.
Różnice między rodzajami kart opisujemy w tekście karta debetowa, kredytowa i przedpłacona.
Silne uwierzytelnianie i 3-D Secure
Przy płatności internetowej bank co do zasady stosuje silne uwierzytelnianie. To potwierdzenie co najmniej dwoma niezależnymi elementami: wiedzą, posiadaniem lub cechą użytkownika.
Obowiązek wynika z art. 32i ustawy o usługach płatniczych. Nie jest to dodatek, który klient musi osobno włączać.
Dla kart Visa standard 3-D Secure nazywa się Visa Secure, a dla kart Mastercard – Mastercard Identity Check. W mBanku potwierdzenie przychodzi SMS-em albo powiadomieniem w aplikacji.
Przy płatnościach online do 30 euro bank może pominąć silne uwierzytelnianie. Liczy przy tym łączną kwotę do 100 euro albo do pięciu takich transakcji.
Zwolnienia są uprawnieniem banku, a nie obowiązkiem. Dlatego podobny zakup raz wymaga potwierdzenia, a raz nie.
Płatności automatyczne i subskrypcje
Przy subskrypcji silne uwierzytelnianie dotyczy ustanowienia zgody. Kolejne obciążenia inicjuje sprzedawca i mogą przechodzić bez udziału płatnika.
Zgodę na kolejne płatności można wycofać w każdej chwili (art. 40 ustawy o usługach płatniczych). Wycofanie obejmuje wszystkie niewykonane jeszcze transakcje.
Rezygnacja z karty nie zawsze wycofuje zgody. Według regulaminu mBanku bank sam tego nie zrobi, więc subskrypcje trzeba anulować u sprzedawców.
UOKiK w zarzutach wobec Netfliksa z 2025 r. wskazał, że podwyżka ceny subskrypcji pobieranej z karty wymaga świadomej zgody konsumenta. Milczenie nie jest zgodą.
Gdy kwota nie jest znana z góry, np. w hotelu, bank może zablokować środki tylko za zgodą na określoną kwotę.
Jeśli kwota nie była znana przy autoryzacji, a obciążenie jest wyraźnie wyższe od oczekiwanego, zwrotu można żądać w 8 tygodni. Bank odpowiada w 10 dni roboczych.
Jak przenieść subskrypcje przy zmianie konta, wyjaśniamy w tekście subskrypcje przy zmianie banku.
Limity płatności internetowych
Karta ma osobny dzienny limit transakcji internetowych. Zmienia się go w aplikacji albo w serwisie banku.
| Bank i karta | Limit płatności internetowych |
|---|---|
| PKO BP – karty do kont osobistych dla dorosłych | domyślnie 3000 zł, maksymalnie 20 000 zł |
| PKO BP – karta do Konta Dziecka | domyślnie 0 zł, maksymalnie 300 zł |
| mBank – popularne karty debetowe | domyślnie 1000 zł, maksymalnie 500 000 zł |
| ING – karty kredytowe | 25 000 zł, a dla kart Platynowej i Infinite 100 000 zł |
W mBanku można też ustawić limit tymczasowy, który obowiązuje do północy. Limity innych banków podaje aplikacja i regulamin karty.
Karta wirtualna i jednorazowa
Karta wirtualna ma numer, datę ważności i kod CVV2. Wyświetla je aplikacja banku, a wpisuje się je w sklepie internetowym.
Dane jednorazowej karty wirtualnej, np. w Revolut, zmieniają się po każdym zakupie. Nie można ich użyć ponownie.
Niektóre karty wirtualne można dodać do Apple Pay lub Google Pay i płacić nimi w sklepie stacjonarnym. Wyłącznie do internetu służy np. eKarta mBanku.
Więcej piszemy w tekście jak działa karta wirtualna.
Apple Pay i Google Pay
Po dodaniu karty do Apple Pay lub Google Pay sprzedawca otrzymuje token zamiast prawdziwego numeru karty.
Płatność wymaga odblokowania telefonu, Face ID, Touch ID albo kodu. Limity są takie same jak limity karty.
Mechanizm opisujemy w tekście tokenizacja płatności.
Płatność kartą w sklepie
W Polsce płatność zbliżeniowa do 100 zł zwykle nie wymaga PIN-u. Powyżej tej kwoty terminal prosi o PIN.
Terminal może poprosić o PIN także przy niższej kwocie. Wynika to z unijnych zasad: 50 euro na transakcję, łącznie 150 euro albo pięć transakcji.
Za granicą obowiązuje limit płatności bez PIN-u ustalony w danym kraju. Płatności zbliżeniowe można też wyłączyć w aplikacji banku.
Nieautoryzowana transakcja – kto odpowiada
Nieautoryzowaną transakcję trzeba zgłosić bankowi niezwłocznie. Po 13 miesiącach od obciążenia rachunku roszczenia wobec banku wygasają.
Bank zwraca kwotę najpóźniej do końca następnego dnia roboczego po zgłoszeniu. Wyjątkiem jest udokumentowane podejrzenie oszustwa, które bank zgłasza organom ścigania.
Przy zgubionej lub skradzionej karcie płatnik odpowiada najwyżej do równowartości 50 euro. W pełnej wysokości odpowiada tylko przy umyślności lub rażącym niedbalstwie.
Jeśli bank nie wymagał silnego uwierzytelnienia, płatnik nie odpowiada, chyba że działał umyślnie. Nie odpowiada też za transakcje po zgłoszeniu utraty karty.
To bank musi wykazać, że transakcja była autoryzowana. Samo zarejestrowane użycie karty nie wystarcza (art. 45).
We wrześniu 2026 r. UOKiK wydał decyzje wobec czterech banków, które zwracały pieniądze po terminie albo warunkowo. Według urzędu wpisanie kodu nie przesądza o świadomej zgodzie.
Kolejne kroki opisujemy w tekście o zgłoszeniu nieautoryzowanej transakcji.
Reklamacja, chargeback i zwrot za zakup
Reklamację usługi płatniczej bank rozpatruje w 15 dni roboczych. W szczególnie skomplikowanych sprawach ma na to najwyżej 35 dni roboczych.
Chargeback pomaga odzyskać pieniądze za niedostarczony lub niezgodny z zamówieniem towar. Wynika z zasad Visa i Mastercard, a składa się go w banku, który wydał kartę.
W mBanku na zgłoszenie chargebacku jest zwykle 120 dni od transakcji lub otrzymania towaru. Procedura nie obejmuje BLIK-a ani przelewów.
Po odstąpieniu od umowy zawartej przez internet sklep zwraca płatność tym samym sposobem, najpóźniej w 14 dni od otrzymania oświadczenia.
Jeśli bank odrzuci reklamację, można złożyć wniosek do Rzecznika Finansowego. Opłata wynosi 50 zł.
Szczegóły opisujemy w tekście reklamacja płatności kartą.
Bezpieczeństwo zakupów kartą
KNF ostrzega przed fałszywymi sklepami, które wyłudzają dane karty. Sygnałem ostrzegawczym są niewiarygodnie niskie ceny i brak danych firmy.
Warto też sprawdzić adres strony. Literówki albo adres niezwiązany z nazwą sklepu mogą oznaczać oszustwo.
Do odebrania pieniędzy, np. od kupującego z serwisu ogłoszeniowego, nie podaje się kodu CVV2 ani kodu 3-D Secure.
Po podaniu danych karty na podejrzanej stronie trzeba od razu powiadomić bank, zabezpieczyć kartę i zgłosić sprawę na policję.
Najczęstsze pytania o płatność kartą
W sklepie wybiera się płatność kartą i wpisuje numer, datę ważności oraz kod CVV2/CVC2. Bank zwykle prosi potem o potwierdzenie w aplikacji albo kodem z SMS-a.
Subskrypcję wypowiada się u sprzedawcy, a zgodę na kolejne obciążenia można wycofać w każdej chwili. Rezygnacja z karty nie zawsze wystarcza, bo bank nie wycofuje zgód sam.
Bank zwraca pieniądze do końca następnego dnia roboczego po zgłoszeniu. Płatnik odpowiada najwyżej do 50 euro, chyba że działał umyślnie lub z rażącym niedbalstwem.
W Polsce zwykle do 100 zł. Terminal może jednak poprosić o PIN także przy niższej kwocie.
Źródła:
- Ustawa o usługach płatniczych (t.j. Dz.U. 2026 poz. 623), art. 15a, 32i, 40–51
- Rozporządzenie delegowane Komisji (UE) 2018/389 – silne uwierzytelnianie klienta
- Ustawa o prawach konsumenta (t.j. Dz.U. 2026 poz. 1244), art. 27 i 32
- Ustawa o rozpatrywaniu reklamacji przez podmioty rynku finansowego i o Rzeczniku Finansowym (t.j. Dz.U. 2026 poz. 823), art. 36 i 38
- UOKiK – nieautoryzowane transakcje płatnicze, decyzje wobec czterech banków (7.09.2026)
- UOKiK – zarzuty wobec Netfliksa w sprawie podwyżek subskrypcji (25.08.2025)
- KNF – fałszywe sklepy
- EBA – Q&A 2018_4031, płatności kartą inicjowane przez odbiorcę
- PKO Bank Polski – limity kart
- mBank – regulamin kart debetowych
- mBank – limity autoryzacyjne kart debetowych
- mBank – reklamacja transakcji kartą (chargeback)
- ING Bank Śląski – informacja dla użytkowników kart kredytowych (od 22.04.2026)
- Visa – Visa Secure
- Mastercard – uwierzytelnianie (Identity Check)
Płatności kartą przez internet są szybkie i bezpieczne, jeśli korzystamy z silnych haseł i autoryzacji 3D Secure. Przed wpisaniem danych zawsze sprawdzam adres strony i certyfikat bezpieczeństwa.
Karty wirtualne to genialna sprawa! Dzięki nim mogę kupować bezpieczniej w Internecie, a dodatkowo nie martwię się, że moje dane mogą wpaść w niepowołane ręce. Zdecydowanie polecam każdemu!
Korzystam z kart wirtualnych od dłuższego czas i zdecydowanie polecam! To świetny sposób na minimalizację ryzyka przy zakupach online, zwłaszcza w mniej znanych sklepach.
Karta wirtualna to naprawdę świetne rozwiązanie na zakupy online, szczególnie w nieznanych sklepach! Dzięki niej czuję się dużo bezpieczniej, a kontrola wydatków jest znacznie prostsza. Super, że coraz więcej banków oferuje tę opcję!