LUXEMBURG – Banken moeten klanten die slachtoffer zijn geworden van phishing of andere niet-toegestane banktransacties onmiddellijk hun geld terugbetalen, ook wanneer zij zelf ernstig nalatig zijn geweest. Dat heeft het Europees Hof van Justitie donderdag 15 oktober bepaald. Banken mogen de terugbetaling niet weigeren omdat een klant mogelijk onvoldoende voorzichtig is geweest. Pas nadat het geld is teruggestort, mogen zij proberen de schade op de klant te verhalen.

De uitspraak kan grote gevolgen hebben voor de manier waarop Nederlandse banken omgaan met fraudemeldingen. De Nederlandse Vereniging van Banken (NVB) bestudeert het arrest en komt later met meer informatie over de mogelijke gevolgen voor de Nederlandse bankensector.

Het Europese Hof maakt een duidelijk onderscheid tussen de verplichting om gestolen geld onmiddellijk terug te betalen en de vraag wie uiteindelijk verantwoordelijk is voor de financiële schade.

Bank moet uiterlijk volgende werkdag terugbetalen

Volgens de Europese rechters moeten banken bij een niet-toegestane betalingstransactie in beginsel onmiddellijk tot terugbetaling overgaan. Uiterlijk aan het einde van de eerstvolgende werkdag nadat de bank de transactie heeft opgemerkt of daarvan op de hoogte is gesteld, moet het geld zijn teruggestort.

Voorwaarde is dat de klant de frauduleuze transactie zonder onnodige vertraging meldt.

Er geldt slechts één uitzondering op deze onmiddellijke terugbetalingsplicht. Wanneer een bank gegronde redenen heeft om te vermoeden dat de rekeninghouder zelf fraude heeft gepleegd en dit meldt bij de bevoegde nationale autoriteit, mag de terugbetaling achterwege blijven.

Een vermoeden dat de klant onvoorzichtig heeft gehandeld, is volgens het Hof onvoldoende om de vergoeding te weigeren.

Poolse vrouw verloor 700 euro door phishing

Aanleiding voor de uitspraak is een zaak van een Poolse vrouw die via een online verkoopplatform een voorwerp te koop had aangeboden.

Een oplichter deed zich voor als geïnteresseerde koper en stuurde haar een link waarmee zij zogenaamd de verkoop kon bevestigen. De link leidde echter naar een frauduleuze website die sterk leek op de website van haar bank.

De vrouw vulde daar haar inloggegevens voor internetbankieren in. Met deze gegevens wist de oplichter vervolgens ongeveer 700 euro van haar bankrekening over te maken naar een andere rekening.

De volgende dag ontdekte de vrouw de fraude en meldde zij de ongeautoriseerde betaling bij haar bank.

De bank weigerde het bedrag terug te betalen. Volgens de financiële instelling had de vrouw ernstig nalatig gehandeld door haar persoonlijke beveiligingsgegevens op een frauduleuze website in te voeren.

De vrouw accepteerde die beslissing niet en stapte naar de rechter. De Poolse rechtbank legde de kwestie vervolgens voor aan het Europees Hof van Justitie.

Eerst vergoeden, daarna eventueel terugvorderen

Het Hof stelt nu vast dat een bank de onmiddellijke terugbetaling niet mag weigeren omdat zij van mening is dat de rekeninghouder grove nalatigheid kan worden verweten.

Dat betekent niet dat klanten onder alle omstandigheden definitief recht hebben op vergoeding.

Wanneer een bank kan aantonen dat de schade is ontstaan doordat een klant opzettelijk of door grove nalatigheid zijn verplichtingen heeft geschonden, mag de bank proberen het eerder terugbetaalde bedrag alsnog terug te vorderen.

Daarbij ligt de bewijslast bij de bank. De financiële instelling moet zelf aantonen dat daadwerkelijk sprake is geweest van opzet of grove nalatigheid.

Het enkele feit dat een klant op een frauduleuze link heeft geklikt of inloggegevens heeft ingevuld, geeft een bank dus niet automatisch het recht om een onmiddellijke terugbetaling te weigeren.

Nederlandse banken vergoeden niet alle schade

De uitspraak komt op een moment waarop bankfraude nog altijd aanzienlijke financiële schade veroorzaakt.

Uit cijfers van de Nederlandse Vereniging van Banken blijkt dat consumenten lang niet altijd hun volledige schade vergoed krijgen.

In 2024 bedroeg de totale schade door bankhelpdeskfraude bijna 23 miljoen euro. Banken vergoedden dat jaar 48 procent van de schade die particuliere klanten door deze vorm van oplichting hadden geleden.

Bij bankhelpdeskfraude doen criminelen zich voor als medewerkers van een bank. Zij proberen slachtoffers ertoe te bewegen geld over te maken of toegang tot hun bankrekening te verschaffen.

De NVB benadrukte eerder dat banken bij deze vorm van fraude onder voorwaarden uit coulance schade vergoeden. Daarbij wordt onder meer gekeken naar de omstandigheden waaronder de oplichting heeft plaatsgevonden en de verantwoordelijkheid van de rekeninghouder.

Niet iedere vorm van bankhelpdeskfraude valt overigens onder de Europese uitspraak. Het arrest heeft specifiek betrekking op betalingstransacties die zonder toestemming van de rekeninghouder zijn uitgevoerd.

Gevolgen voor Nederlandse banken

Het arrest verduidelijkt de Europese regels voor betalingsdiensten, die zijn vastgelegd in de zogenoemde PSD2-richtlijn. Deze regels gelden ook voor Nederlandse banken.

Voor consumenten kan de uitspraak betekenen dat zij bij niet-toegestane transacties minder lang hoeven te wachten op terugbetaling van hun geld.

Banken kunnen niet langer uitsluitend naar mogelijke grove nalatigheid verwijzen om een onmiddellijke terugbetaling achterwege te laten.

Wanneer de bank vervolgens van mening is dat de klant zelf verantwoordelijk is voor de schade, moet zij dat aantonen voordat zij het geld kan terugvorderen.

Het Hof benadrukt dat deze werkwijze noodzakelijk is om consumenten voldoende bescherming te bieden. Wanneer banken op voorhand terugbetaling zouden kunnen weigeren, zouden slachtoffers zelf juridische procedures moeten beginnen om hun geld terug te krijgen.

Meer duidelijkheid verwacht van banken

De Nederlandse Vereniging van Banken onderzoekt wat de uitspraak betekent voor de bestaande werkwijze en de behandeling van fraudemeldingen.

Voor rekeninghouders blijft het belangrijk om verdachte transacties onmiddellijk bij hun bank te melden en persoonlijke beveiligingsgegevens zorgvuldig te beschermen.

De uitspraak betekent niet dat alle slachtoffers van financiële oplichting automatisch recht hebben op een definitieve schadevergoeding. Wel staat nu vast dat banken bij niet-toegestane betalingen de terugbetaling niet mogen uitstellen enkel omdat zij de klant grove nalatigheid verwijten.

Daarmee krijgen slachtoffers van phishing een sterkere juridische positie tegenover hun bank.