Europees Hof: banken moeten phishingslachtoffers meteen vergoeden, zelfs wanneer klant nalatig is geweest

Het Hof van Justitie is de hoogste rechterlijke instantie van de Europese Unie en moet ervoor zorgen dat het EU-recht in de hele Unie op dezelfde wijze wordt gevolgd en toegepast. Het Hof behandelt vooral zaken die door nationale rechterlijke instanties werden doorverwezen.

De afgelopen maanden heeft het Hof zich onder meer gebogen over een zaak die werd voorgelegd door een Poolse rechtbank. De rechtbank vroeg aan het Hof of een bank verplicht is om phishingslachtoffers meteen te vergoeden, ook als zij nalatig zijn geweest. Het Hof oordeelt nu dat dat wel degelijk het geval is. 

De zaak gaat over een bedrag van 'slechts' 700 euro, maar heeft een belangrijke precedentswaarde. Het Europese recht heeft namelijk voorrang op nationale rechtspraak. Het arrest ligt in lijn met eerdere uitspraken van Belgische rechtbanken.

De zaak die werd behandeld door het Hof van Justitie gaat over een klant van een Poolse bank die het slachtoffer werd van phishing. Iemand toonde interesse in een voorwerp dat de klant te koop had aangeboden op een online verkoopplatform. Die persoon had de klant een link doorgestuurd om de verkoop te bevestigen.

Het ging om een valse link die leidde naar een pagina waarop de website van de bank van de klant werd nagebootst. De klant vulde op die pagina de inloggegevens voor zijn onlinebankdienst in, en met die gegevens kon de oplichter een bedrag van ongeveer 700 euro van de bankrekening van de klant overmaken naar een andere rekening.

De volgende dag meldde de klant de frauduleuze transactie aan de bank. De bank weigerde echter het bedrag van de niet-toegestane betalingstransactie terug te betalen. Zij stelde dat de klant de transactie door grove nalatigheid mogelijk had gemaakt, omdat de klant de "verplichting om persoonlijke beveiligingsgegevens veilig te bewaren" niet was nagekomen.

De klant vocht de weigering tot terugbetaling aan bij een Poolse rechtbank en die vroeg advies aan het Hof van Justitie van de EU. 

In het arrest bevestigt het Hof dat betalingsaanbieders, zoals banken, niet-toegestane betalingstransacties onmiddellijk moeten terugbetalen aan de klant. Het bedrag van de transactie moet terugbetaald worden, uiterlijk op het einde van de werkdag die volgt op de dag waarop de transactie werd vastgesteld of op het einde van de werkdag waarop de bank in kennis is gesteld.

Voorwaarde is wel dat de klant de frauduleuze transactie "zonder onnodige vertraging" meldt. Er is 1 uitzondering op die terugbetalingsplicht: wanneer de betalingsdienstaanbieder ernstige aanwijzingen heeft dat het gaat om fraude door de klant zelf.

Het Hof benadrukt dat het vermoeden van grove nalatigheid door de klant geen uitzondering vormt op de verplichting tot onmiddellijke terugbetaling. De bank kan het bedrag later wel terugvorderen van de klant, maar het is dan aan de bank zelf om het bestaan van die grove nalatigheid te bewijzen.

Het arrest kan een impact hebben op de houding van de Belgische banken. Die weigeren voorlopig vaak meteen terug te betalen omdat ze eerst willen nagaan of er geen sprake is van 'grove nalatigheid'. 

Volgens bankenfederatie Febelfin brengt de uitspraak alvast duidelijkheid over de manier waarop de regels "met betrekking tot de onmiddellijke terubetaling bij een niet-toegestane betaling" geïnterpreteerd moeten worden. Volgens de federatie bestond daarover "tot nog toe geen eenduidige lezing". 

"Zoals steeds zullen de banken handelen in overeenstemming met het geldend wettelijke kader, en dus de wetgeving op deze basis toepassen. Zij zullen de uitspraak dan ook grondig analyseren en zich aligneren op de interpretatie die het Europees Hof van Justitie aan de Europese regelgeving geeft", luidt het in een reactie aan Belga. 

De federatie wijst er wel meteen op dat de huidige regels maar van toepassing zijn tot aan de inwerkingtreding van de nieuwe verordening rond betalingsdiensten (PSR of Payment Services Regulation). In die verordening krijgen banken "een redelijke termijn van 15 dagen om een beslissing te nemen over de terugbetaling van een niet-toegestane betaling".