Een bank mag slachtoffers van phishing niet langer met een beroep op grove nalatigheid hun geld terug weigeren. Dat oordeelde het Hof van Justitie onlangs. Blijkt achteraf dat de klant inderdaad grof nalatig was, dan mag de bank het geld terugvorderen. Een opsteker voor de consument: de bank moet de consument aanklagen om zijn geld terug te krijgen, niet andersom.
Wie door phishing geld kwijtraakt, krijgt van de bank nogal eens te horen dat hij zelf te slordig is geweest. Dat heeft een juridische basis: banken moeten ongeautoriseerde transacties terugdraaien, tenzij sprake is van “grove nalatigheid” bij de klant.
Waar ligt de bewijslast, en hoe moet de procedure gaan, als de bank zegt te denken aan die uitzondering? Vaak zie je dat er dan wordt gezegd: wij zien grove nalatigheid, stap maar naar de rechter om te bewijzen dat wij ongelijk hebben. Tot die tijd krijg je je geld niet.
Daar zet het Hof van Justitie nu een streep door. Een bank moet een niet-toegestane betaling onmiddellijk terugbetalen, ook als zij vindt dat de klant door grove nalatigheid de fraude mogelijk heeft gemaakt. Wil de bank de schade vervolgens op de klant verhalen, dan moet zij daar zelf achteraan.
De regels zijn te herleiden tot de Europese PSD2-richtlijn. De basis van die redenering is dat de klant de schade zelf draagt wanneer hij door grove nalatigheid zijn beveiligingsverplichtingen heeft geschonden (artikel 74), zodat de terugbetaalregeling bij ongeautoriseerde betalingen (artikel 73) niet uitgevoerd hoeft te worden.
Nee, zegt het Hof. Die twee artikelen gaan over verschillende momenten. Artikel 73 bepaalt dat de bank “onmiddellijk, en in elk geval uiterlijk aan het einde van de eerstvolgende werkdag” het geld moet terugbetalen zodra vaststaat dat de transactie niet geautoriseerd was. Weliswaar staat in artikel 74 dat
De betaler draagt alle verliezen in verband met niet-toegestane betalingstransacties indien de betaler deze heeft geleden doordat hij frauduleus heeft gehandeld of opzettelijk of door grove nalatigheid een of meer van de [beveiligings]verplichtingen niet is nagekomen.Maar dat is een aparte regeling over het eindresultaat, die los staat van de terugbetaalregeling uit artikel 73. Het zou de terugbetalingsplicht zinloos maken als een bank die kon omzeilen door simpelweg grove nalatigheid te stellen.
Concreet betekent dit dat een klant na ontdekking van een niet-toegestane betaling zijn bank informeert, waarna die uiterlijk de volgende werkdag het geld moet terugboeken. De bank mag vervolgens onderzoeken wat er is gebeurd. Vindt zij dat de klant grof nalatig was, dan moet zij dat bewijzen en het geld terugvorderen. Wil de klant niet betalen, dan zal de bank zo nodig naar de rechter moeten.
Belangrijke nuance nog wel: het moet wel gaan om niet-geautoriseerde transacties. Wanneer jij wél de transactie zelf goedkeurt, kan het nog steeds phishing zijn (je dacht de bank aan de lijn te hebben en maakte geld over naar een ‘kluisrekening’) maar dan krijg je je geld niet automatisch terug onder dit arrest.
Arnoud
Als je iets anders goedkeurt dan je op je scherm ziet? Ander bedrag en/of andere ontvanger is er dan nog wel sprake van goedkeuring?
Die bank-phising is nog een mooie reden voor het hebben van verschillende email-adressen voor verschillende partijen; als je voor je bank een apart email-adres gebruikt en er komt een mail binnen op een ander adres dan weet je gelijk dat het phising is.
Ik vind dat er in de regelgeving een toevoeging moet komen; Alle pinautomaten hebben camera’s. Maar wat zien we daar op, bij pinpas-fraude?: hoodies, (mond)maskers.
Laat daar maar (lokale) AI op los; is iemand niet herkenbaar; dan gewoon niet uitbetalen en de pas vasthouden.
Ik snap het idee maar ik zie haken en ogen. Als ik zelf, met mijn eigen pas, mijn eigen geld uit de automaat wil halen moet ik me dus laten filmen en verwerken/analyseren door een AI. Wat als ik dat niet wil, mag ik dan mijn eigen geld niet pinnen? Mensen met een zonnebril, of een sjaal, of hun helm op, moeten die dan ook door hoepeltjes springen om te mogen pinnen? En vrouwen met een hoofddoek, moeten die als ze willen pinnen hun hoofddoek afdoen?
Ik zie hierin een regeling die weer voornamelijk de onschuldige normale gebruiker hinder geeft; een crimineel die met een gestolen pas bij een Geldmaat staat heeft er belang bij niet herkenbaar te zijn en zal een oplossing vinden, zoals een gezichtsmasker die je eenvoudig zelf kan uitprinten. Je ziet ditzelfde probleem bij online leeftijdsverificatie met gezichtsherkenning door AI; de normale gebruiker die “netjes” meewerkt heeft z’n gezichtsscans overgedragen aan een Amerikaans techbedrijf die er van alles mee gaat doen, en de kwaadwillende heeft een foto van thispersondoesnotexist.com uitgeprint, daarmee de gezichtsherkenning gefopt, en hoeft niet bang te zijn dat z’n gezichtsscans lekken of gebruikt worden. Je ziet dit bij leeftijdsverificatie, content-scanning, chat control en al die plannen, de netjes meewerkende onschuldige heeft de hinder en diens gegevens worden misbruikt, en de kwaadwillenden tegen wie het allemaal bedoeld is heeft er belang bij om er omheen te werken en heeft dat gedaan.
Gegevens hoeven niet ‘online’ te gaan. Dit kan Europees breed ontwikkeld worden met Europese AI/tooling. Of in ieder geval in Nederland. Want alle banken werken immers toch al samen in Geldmaat. Ja, dan zit je nog met Euromaat, etc. Die mogen een abonnement afnemen of zo.
De inbreuk op privacy vind ik dan verwaarloosbaar.
In de openbare ruimte elkaars gezicht kunnen zien vinden we toch ook fijn? Ik in ieder geval wel. Ik vind dat onderdeel van een samenleving zijn.
Ik vind dit helemaal geen gek idee, volledige herkenning is hierbij niet nodig, maar detectie van gezichtsbedekkende kleding kan waarschijnlijk met een eenvoudig lokaal model. Ook het herkennen van mensen die een sterke lamp in de camera schijnen of andere truken uithalen om onherkenbaar te zijn (gezichtsvervorming met een fresnellens) kun je vrij makkelijk herkennen.
Voor vrouwen met een hoofddoek is dit echt geen probleem, alleen voor mensen die een volledig gezichtsbedekkende boerka dragen kan het lastig zijn, maar goed, het dragen van dergelijke kleding is een persoonlijke keuze, die consequenties heeft (zeggen dat het een verplichting is, staat voor mij gelijk aan het ontkennen van de godsdienstvrijheid, dat immers een ook individueel recht is.)
Ik vind het heel apart dat de bank het bedrag niet gewoon kan verrekenen met een positief saldo. Hieronder zal ik de relevante overwegingen van het arrest citeren, maar samengevat komt het erop neer dat een hoog niveau van consumentenbescherming met zich meebrengt dat de consument niet het initiatief hoeft te nemen en de proceskosten hoeft te dragen. Ik vind dat echt onbegrijpelijk. Als de bank en de consument het oneens zijn en het tot een proces komt, maakt het nauwelijks uit wie het initiatief neemt. Qua proceskosten is het juist gunstiger wanneer de consument de zaak inleidt, omdat die uiteindelijk door de verliezer worden betaald maar de hoogte van het griffierecht wordt bepaald op basis van of de zaak wordt aangebracht door een natuurlijk persoon of een rechtspersoon.
Ik vraag me af of deze redenering zich uitstrekt tot andere situaties waarin een ondernemer kan verrekenen met een consument, bijvoorbeeld bij ontbinding van een overeenkomst op afstand. Art. 6:230r BW bepaalt dat de handelaar alle ontvangen bedragen moet terugbetalen, terwijl art. 6:230s lid 3 BW regelt dat de consument in bepaalde situaties aansprakelijk is voor waardevermindering. In de praktijk verrekenen webwinkels deze bedragen, maar volgens de redenering van dit arrest mag dat niet.
Die nuance aan het eind is in de praktijk de grootste groep: bij bankhelpdeskfraude keurt het slachtoffer de overboeking zelf goed, dus art. 73 PSD2 helpt niet. In de compromistekst van de nieuwe Payment Services Regulation (art. 59, nog geen wet) komt daar een aparte regeling voor: wie via kanalen die aan de bank worden toegeschreven is gemanipuleerd, krijgt het bedrag terug als hij direct de bank informeert en aangifte doet. Tot die tijd blijft het menselijke moment beslissend. Het script begint vaak met een sms over een “geblokkeerde rekening”, gevolgd door een telefoontje. Ophangen en zelf het nummer op de achterkant van de pas bellen doorbreekt dat script. Binnen bedrijven kun je die eerste sms als oefening laten binnenkomen, zodat bellen-via-een-eigen-nummer een reflex wordt.