Een bank mag slachtoffers van phishing niet langer met een beroep op grove nalatigheid hun geld terug weigeren. Dat oordeelde het Hof van Justitie onlangs. Blijkt achteraf dat de klant inderdaad grof nalatig was, dan mag de bank het geld terugvorderen. Een opsteker voor de consument: de bank moet de consument aanklagen om zijn geld terug te krijgen, niet andersom.
Wie door phishing geld kwijtraakt, krijgt van de bank nogal eens te horen dat hij zelf te slordig is geweest. Dat heeft een juridische basis: banken moeten ongeautoriseerde transacties terugdraaien, tenzij sprake is van “grove nalatigheid” bij de klant.
Waar ligt de bewijslast, en hoe moet de procedure gaan, als de bank zegt te denken aan die uitzondering? Vaak zie je dat er dan wordt gezegd: wij zien grove nalatigheid, stap maar naar de rechter om te bewijzen dat wij ongelijk hebben. Tot die tijd krijg je je geld niet.
Daar zet het Hof van Justitie nu een streep door. Een bank moet een niet-toegestane betaling onmiddellijk terugbetalen, ook als zij vindt dat de klant door grove nalatigheid de fraude mogelijk heeft gemaakt. Wil de bank de schade vervolgens op de klant verhalen, dan moet zij daar zelf achteraan.
De regels zijn te herleiden tot de Europese PSD2-richtlijn. De basis van die redenering is dat de klant de schade zelf draagt wanneer hij door grove nalatigheid zijn beveiligingsverplichtingen heeft geschonden (artikel 74), zodat de terugbetaalregeling bij ongeautoriseerde betalingen (artikel 73) niet uitgevoerd hoeft te worden.
Nee, zegt het Hof. Die twee artikelen gaan over verschillende momenten. Artikel 73 bepaalt dat de bank “onmiddellijk, en in elk geval uiterlijk aan het einde van de eerstvolgende werkdag” het geld moet terugbetalen zodra vaststaat dat de transactie niet geautoriseerd was. Weliswaar staat in artikel 74 dat
De betaler draagt alle verliezen in verband met niet-toegestane betalingstransacties indien de betaler deze heeft geleden doordat hij frauduleus heeft gehandeld of opzettelijk of door grove nalatigheid een of meer van de [beveiligings]verplichtingen niet is nagekomen.Maar dat is een aparte regeling over het eindresultaat, die los staat van de terugbetaalregeling uit artikel 73. Het zou de terugbetalingsplicht zinloos maken als een bank die kon omzeilen door simpelweg grove nalatigheid te stellen.
Concreet betekent dit dat een klant na ontdekking van een niet-toegestane betaling zijn bank informeert, waarna die uiterlijk de volgende werkdag het geld moet terugboeken. De bank mag vervolgens onderzoeken wat er is gebeurd. Vindt zij dat de klant grof nalatig was, dan moet zij dat bewijzen en het geld terugvorderen. Wil de klant niet betalen, dan zal de bank zo nodig naar de rechter moeten.
Belangrijke nuance nog wel: het moet wel gaan om niet-geautoriseerde transacties. Wanneer jij wél de transactie zelf goedkeurt, kan het nog steeds phishing zijn (je dacht de bank aan de lijn te hebben en maakte geld over naar een ‘kluisrekening’) maar dan krijg je je geld niet automatisch terug onder dit arrest.
Arnoud