Bunq moet een klant die het slachtoffer werd van fraude via een aan zijn bankrekening gekoppelde Google Pay-wallet het schadebedrag van 5.000 euro vergoeden. Dat las ik bij Security.nl. Dit omdat ze niet kan laten zien hoe Google Pay bij deze consument ooit überhaupt in gebruik was genomen.
Hoofdregel bij betalingen is dat de bank, en niet de consument, aansprakelijk is voor niet-toegestane betalingstransacties. Dat wordt alleen anders als de bank kan aantonen dat de consument “frauduleus heeft gehandeld of opzettelijk of met grove nalatigheid” (art. 7:529 BW).
De klant hier zag dat er meerdere betalingen met een totaalbedrag van 5.000 euro uitgevoerd waren, waarvoor hij stelde geen toestemming te hebben gegeven. Na onderzoek stelde de bank vast dat het ging om betalingen via Google Pay, en een dergelijke koppeling kan alleen met toestemming zijn gedaan.
Goed, zegt het Kifid, bewijs maar dat die toestemming is gegeven:
Heeft de heer [consument] toestemming gegeven voor de koppeling aan Google Pay? Waar blijkt dat uit? Graag ontvang ik de relevante informatie uit uw administratie, waaruit blijkt met welk apparaat en vanaf welk IP-adres eventuele toestemming is verleend.Op dat verzoek kwam echter nul reactie, zodat de geschillencommissie concludeert dat er sprake is van een niet-toegestane transactie:
Omdat de bank geen bewijs heeft geleverd van een rechtsgeldige koppeling van de betaalpas aan Google Pay, kan zij ook niet aantonen dat de consument heeft ingestemd met de latere Google Pay-betalingen. Daarom moet de commissie het ervoor houden dat sprake is van niet-toegestane betalingstransacties.Dan komt dus de vervolgvraag: was hier sprake van fraude, opzet of bewuste roekeloosheid bij de consument? Daar kun je serieuze vragen bij stellen, want het is vrij onlogisch dat een hacker van buitenaf bij iemand Google Pay activeert en er dan mee gaat betalen zonder dat je daar iets van merkt.
Alleen:
Echter, nu de bank niet heeft aangetoond dat de betaalpas is toegevoegd op de overeengekomen wijze, zou het onaanvaardbaar zijn van de consument te verlangen dat hij zulk inzicht geeft.Dit is het juridisch equivalent van aan de noodrem trekken. Art. 6:248 BW bepaalt dat een regel, wet of afspraak tussen twee partijen niet geldt wanneer “dit in de gegeven omstandigheden naar maatstaven van redelijkheid en billijkheid onaanvaardbaar zou zijn.”
De commissie zegt hier dus: het is onaanvaardbaar dat de consument moet laten zien niet nalatig te zijn geweest als de bank niet eens kan laten zien hoe Google Pay is geactiveerd en vanaf welk apparaat, IP adres en dergelijke.
Arnoud
Wat ik een beetje mis in dit verhaal: is Bunq nalatig geweest in dit specifieke geval en kunnen ze normaal wel de informatie leveren? Of kan Bunq deze informatie voor geen enkele klant leveren, maar kunnen andere banken dat wel? Of kan geen enkele bank de informatie produceren omdat Google deze informatie niet doorgeeft. In het eerste geval heeft iemand bij Bunq zitten slapen, maar in het laatste geval kunnen de banken niet meer doorgaan met googlepay (en applepay).
Ik heb bij mijn bank (RABO) Google Pay geactiveerd via de app, waarbij je een overeenkomst tekent met je vingerafdruk. Ik neem aan dat ze dat in hun administratie opslaan en dat het bij andere banken niet anders is.
Dan is mijn vraag of ze dat wel mogen gezien een vingerafdruk biometrie is. Of had je ook andere opties om akkoord te geven?
Zou die vingerafdruk niet gewoon de vrijwillig ingestelde authenticatie-methode zijn, in plaats van een 5-cijferige pin-code, waarmee ook ingelogd en betalingen bevestigd kan worden?
Waarom is het “vrij onlogisch dat een hacker van buitenaf bij iemand Google Pay activeert en er dan mee gaat betalen zonder dat je daar iets van merkt” ?
Je doet hier de aanname dat goole pay automatisch aan de juiste gebruiker is gekoppeld (i.e. dat de link er al is, en alleen geactiveerd hoeft te worden), terwijl het in deze casus juist een plausibel scenario is dat een derde een koppeling heeft weten te maken tussen de bankrekening van de gebruiker en een google account van die derde.
Art 6:248 gaat over de inhoud van overeenkomsten, niet over bewijsrecht. Kifid past hier de verzwaarde motiveringsplicht van art. 150 Rv toe.
Je zou denken dat Bunq toch wel een timestamp, IP nummer en eventuele andere metadata heeft en kan leveren over wanneer deze koppeling is gemaakt. Als ze dat niet hebben is er bij Bunq wel iets heel fundamenteel mis.
Ze hebben het niet aangeleverd, dat betekent niet dat ze het helemaal niet hebben. Of misschien wel, we weten het eigenlijk niet. Het kan gewoon een menselijke fout zijn.