Een recente uitspraak van het Europees Hof van Justitie en nieuwe Belgische wetgeving moeten ervoor zorgen dat het voor eens en voor altijd duidelijk wordt wanneer banken slachtoffers van phishing moeten terugbetalen en wanneer niet. De discussies die klanten en banken daarover al jaren hebben, zouden daardoor finaal van de baan moeten zijn. Consumentenprogramma WinWin zet op een rijtje wat dit nu concreet betekent wanneer je wordt opgelicht.
Na arrest van Europees Hof en nieuwe wet over phishing: wat betekent dit nu voor jou als slachtoffer?
Harald Scheerlinck
Gepubliceerd:
WinWin is het consumentenprogramma van VRT op Radio 2 en VRT 1. Xavier Taveirne en Chaima Saysay maken jouw leven met slimme tips en goed advies net iets betaalbaarder. Heb je een vraag, tip of probleem? Mail naar winwin@radio2.be.
Vorige week deed het Europees Hof van Justitie, de hoogste rechtbank in de Europese Unie, een belangrijke uitspraak. Daarmee werd een einde gemaakt aan een jarenlange discussie over op welk moment banken verplicht zijn om klanten die slachtoffer worden van oplichting (voorlopig) terug te betalen.
De rechtbank liet daar geen twijfel meer over bestaan: dat moet altijd meteen gebeuren voor alle niet-toegestane betalingen. Er is slechts één uitzondering: als de bank ernstige aanwijzingen heeft dat het om fraude door de klant zelf gaat. Met andere woorden: dat het slachtoffer geen slachtoffer is, maar zelf de bank probeert op te lichten.
Of een slachtoffer al dan niet zelf grof nalatig is geweest, speelt op dat moment nog geen enkele rol. In een later stadium kan dat wel een argument worden voor de bank om het geld terug te eisen. Maar dat kan enkel na een grondig onderzoek en dus met de nodige bewijzen.
In deze samenvatting staan twee belangrijke begrippen waarover tot nu toe vaak discussie was tussen slachtoffers en banken: grove nalatigheid en niet-toegestane betalingen. We gaan er daarom hieronder wat dieper op in.
Wat is een niet-toegestane betaling?
Banken moeten slachtoffers van oplichting enkel terugbetalen wanneer het gaat om niet-toegestane betalingen of transacties. Maar over wat die term nu precies inhoudt, bestaat nog veel discussie. Afgelopen vrijdag 16 oktober heeft de federale ministerraad daarom een wetsvoorstel goedgekeurd waarin zwart-op-wit staat op welke manier iedereen voortaan toegestane en niet-toegestane betalingen moet interpreteren. De wet zal naar verwachting vanaf april 2027 in voege treden.
Toegestane betaling: een betaling die je zelf hebt uitgevoerd. Bijvoorbeeld door zelf in je bankapp een overschrijving te doen. Belangrijk: dit geldt volgens het wetsvoorstel ook voor een betaling die je zelf bevestigt met de itsme-app. Ook al heb je op dat moment niet door dat je geld naar een oplichter gaat. Slachtoffers van vriendschapsfraude, beleggingsfraude of factuurfraude (bv. criminelen die een rekeningnummer op een echte factuur aanpassen naar dat van zichzelf red.) hebben in de meeste gevallen een toegestane betaling gedaan en zullen dus niet moeten worden terugbetaald door hun bank. Zij kunnen hun gestolen geld enkel terugkrijgen wanneer de daders worden gevonden en veroordeeld.
Niet-toegestane betaling: een betaling die wordt uitgevoerd zonder jouw toestemming. Stel dat je in een e-mail op een malafide betaallink klikt en je jezelf onbewust aanmeldt op een vals platform dat erg lijkt op dat van je eigen bank. Dan geef je op dat moment misschien zonder het te beseffen de criminelen toegang tot je echte bankomgeving. Als zij daarna overschrijvingen doen met jouw geld, dan zijn dat niet-toegestane betalingen. De bank moet jou het gestolen geld dan meteen terugbetalen. Pas als achteraf zou blijken dat jij zelf grof nalatig bent geweest - en de criminelen dus buitensporig geholpen hebt bij de diefstal - dan kan de bank dat geld terugeisen.
Wat is grove nalatigheid?
Bij een niet-toegestane betaling moet de bank je gestolen geld dus altijd terugbetalen. Maar die terugbetaling kan tijdelijk zijn. Wanneer de bank na een onderzoek kan bewijzen dat jij als klant zelf grof nalatig bent geweest, mag de bank het geld immers terugvragen. Al dan niet via de rechtbank. Grof nalatig zijn, betekent dat je fouten hebt gemaakt die een redelijke, voorzichtige burger niet zou gemaakt hebben. Bij discussie is het aan een rechtbank om daar een uitspraak over te doen.
Een klassiek voorbeeld is iemand die de pincode van zijn bankkaart als geheugensteuntje op een papiertje noteert en dat papiertje naast zijn bankkaart in zijn portefeuille bewaart.
Geldt dit enkel voor slachtoffers van phishing?
Nee, de wetgeving is bedoeld voor alle gevallen van fraude of oplichting. Phishing is een vorm van oplichting waarbij criminelen gevoelige informatie zoals pincodes, wachtwoorden of gegevens van je proberen te ontfutselen om je daarna te kunnen bestelen. Vaak doen oplichters zich daarbij voor als betrouwbare instanties zoals overheidsdiensten, de politie, Card Stop of een bank. Criminelen kunnen die gevoelige informatie op allerlei manieren te pakken proberen te krijgen: via e-mail, sms, telefoon, QR-codes, ...
Phishing is een veelvoorkomende vorm van oplichting, maar de regels gelden ook wanneer er op een andere manier misbruik wordt gemaakt van jouw bankkaart of bankrekening.
Kan ik ook geld dat jaren geleden is gestolen nog terugkrijgen?
Het korte antwoord: dat moet absoluut kunnen. Ook wanneer je bank je pakweg 2 jaar, 5 jaar of zelfs langer geleden wandelen heeft gestuurd zonder terugbetaling, kan je nog steeds een nieuwe poging doen. Indien nodig, via de rechtbank. "In principe moet de bank je meteen terugbetalen. Maar als dat niet gebeurd is, bestaat er geen specifieke termijn waarbinnen een slachtoffer van fraude die terugbetaling moet gaan afdwingen via een rechtbank", weet advocaat Ana Laura Claes. Ze is onder andere gespecialiseerd in phishingzaken. "Dat wil zeggen dat de gewone burgerlijke verjaringstermijn van toepassing is en die bedraagt 10 jaar." Je hebt met andere woorden tot 10 jaar na de frauduleuze betaling tijd om - indien nodig - je bank via een rechtbank te dwingen om je alsnog terug te betalen. Wel op voorwaarde dat je de fraude destijds zo snel mogelijk (en maximaal 13 maanden na de oplichting) hebt gemeld aan je bank. Hou er ook rekening mee dat je alle bewijzen van toen ook nog zult moeten kunnen voorleggen.
Gaan de banken zich hieraan houden?
Heel wat banken waren in het verleden van mening dat ze eerst mochten onderzoeken of een klant die slachtoffer was geworden van oplichters zelf grof nalatig was geweest. En dat ze pas als bleek van niet het geld moesten terugbetalen. Die redenering gaat nu zeker niet langer op. Dat lijken ook de banken zelf toe te geven. In een persbericht naar aanleiding van het arrest van het Europees Hof van Justitie heeft Febelfin, de federatie van banken in België, laten weten dat de banken de uitspraak grondig analyseren en ook zullen toepassen.
"Deze uitspraak brengt duidelijkheid over de opvatting van de regelgeving met betrekking tot de onmiddellijk terugbetaling bij een niet-toegestane betaling. Een bepaling in de wetgeving waarover tot nog toe geen eenduidige lezing bestond. Zoals steeds zullen de banken handelen in overeenstemming met het geldend wettelijke kader, en dus de wetgeving op deze basis toepassen. De banken zullen zich aligneren op de interpretatie die het Europees Hof van Justitie aan de Europese regelgeving geeft", klinkt het.
De kans bestaat dat banken het grote discussiepunt nu zullen proberen te verleggen van de interpretatie van grove nalatigheid naar die van een toegestane betaling. Met die laatste discussie zou de nieuwe wetgeving volgend jaar ook komaf moeten kunnen maken.
