DEN HAAG – Rabobank hoeft een klant geen 3.515 euro terug te betalen die na de diefstal van haar mobiele telefoon via Apple Pay van haar betaalrekening werd afgeschreven. Dat heeft de Geschillencommissie van het financiële klachteninstituut Kifid bepaald in een uitspraak die op 5 november 2026 is gepubliceerd. Hoewel de commissie vaststelt dat de vrouw geen toestemming heeft gegeven voor de betalingen, blijft de financiële schade volledig voor haar rekening. Volgens Kifid heeft zij onvoldoende duidelijk gemaakt hoe onbevoegden toegang konden krijgen tot de beveiligingsgegevens van haar telefoon. De uitspraak is opmerkelijk omdat de commissie tegelijkertijd een nieuwe maatstaf formuleert voor het begrip 'grove nalatigheid', die ook bij andere vormen van niet-toegestane betalingen moet worden toegepast.

De zaak draait om een vrouw die tijdens een vakantie op Ibiza slachtoffer werd van diefstal. Tijdens een feest werd haar mobiele telefoon uit een afgesloten handtas gestolen. Kort daarna volgden verschillende betalingen via Apple Pay, zonder dat de vrouw daar naar eigen zeggen toestemming voor had gegeven. Zij deed aangifte van de diefstal en stelde Rabobank aansprakelijk voor het verdwenen geld.

Zes betalingen binnen twee dagen

Uit de uitspraak blijkt dat op 2 oktober 2025 twee betalingen van respectievelijk 375 en 398 euro werden uitgevoerd bij een bedrijf dat in de bankadministratie wordt aangeduid als ANTOJO SES PARRES. Een dag later volgden nog vier betalingen bij Saintpay, samen goed voor 2.742 euro. In totaal verdween daardoor 3.515 euro van de betaalrekening.

De vrouw stelde dat zij de betalingen niet zelf had uitgevoerd en ook niemand toestemming had gegeven om haar betaalrekening te gebruiken. Volgens haar was de telefoon beveiligd met Face ID en een toegangscode, waardoor anderen normaal gesproken geen toegang tot Apple Pay zouden moeten hebben.

Rabobank weigerde het bedrag te vergoeden. De bank voerde aan dat de transacties waren toegestaan en dat de klant bovendien onvoldoende zorgvuldig met haar beveiligingsgegevens was omgegaan. Volgens de bank was daardoor sprake van grove nalatigheid.

De vrouw legde de kwestie vervolgens voor aan de Geschillencommissie van Kifid.

Betalingen waren volgens Kifid niet toegestaan

Opvallend is dat de Geschillencommissie de consument op een belangrijk onderdeel gelijk geeft. Volgens Kifid heeft Rabobank niet bewezen dat de vrouw daadwerkelijk met de betalingen heeft ingestemd.

De bank kon bij de eerste twee transacties aantonen dat deze technisch waren geauthentiseerd, correct geregistreerd en verwerkt. Daaruit bleek volgens de commissie echter niet automatisch dat de rekeninghouder zelf toestemming had gegeven.

Voor de overige vier betalingen had Rabobank uitsluitend een rekeningafschrift overgelegd. Daarmee was volgens de commissie zelfs onvoldoende aangetoond dat deze transacties op de vereiste wijze waren geauthentiseerd en geregistreerd.

De vrouw had bovendien verklaard dat de telefoon vóór de betalingen was gestolen en daarvan aangifte gedaan. Volgens Kifid was die verklaring voldoende om haar betwisting van de betalingen te onderbouwen.

De commissie concludeerde daarom dat alle zes transacties als niet-toegestane betalingen moesten worden aangemerkt. Toch betekende dit niet dat Rabobank automatisch verplicht was het verdwenen geld te vergoeden.

Nieuwe maatstaf voor grove nalatigheid

Volgens artikel 7:528 van het Burgerlijk Wetboek moet een bank een niet-toegestane betaling in beginsel terugbetalen. Artikel 7:529 maakt daarop een uitzondering wanneer een consument frauduleus heeft gehandeld of opzettelijk of door grove nalatigheid zijn veiligheidsverplichtingen niet is nagekomen.

Juist over de uitleg van dat laatste begrip bestond binnen de uitspraken van Kifid discussie. Een eerdere uitspraak van de Commissie van Beroep, CvB 2026-0022, had bij bankhelpdeskfraude een andere benadering gehanteerd. Daarbij speelde onder meer een rol of de consument zich bewust was van het risico op fraude.

De Geschillencommissie heeft daarom een nieuwe algemene maatstaf geformuleerd. Volgens deze maatstaf is sprake van grove nalatigheid wanneer iemand iets doet of nalaat wat een normaal, redelijk en zorgvuldig handelende betaler nooit zou doen of nalaten.

Daarbij moet volgens de commissie steeds naar de specifieke omstandigheden worden gekeken. De maatstaf is volgens haar niet beperkt tot diefstal van een mobiele telefoon, maar geldt ook voor bijvoorbeeld bankhelpdeskfraude en andere vormen van ongeautoriseerde betalingen.

Hoe kwamen de dieven aan de beveiligingscodes?

Voor de beoordeling van de klacht was vooral van belang hoe de dieven na de telefoondiefstal betalingen via Apple Pay konden uitvoeren. Voor het gebruik van deze betaaldienst is volgens de commissie authenticatie nodig via Face ID, Touch ID of een toegangscode.

De vrouw verklaarde dat haar telefoon was vergrendeld en dat zij de transacties niet zelf had verricht. Zij kon echter niet uitleggen hoe anderen toegang tot de beveiligingsgegevens hadden gekregen.

Dat gebrek aan informatie werd haar uiteindelijk zwaar aangerekend. Volgens de commissie heeft de consument niet voldaan aan haar verplichting om voldoende inzicht te geven in de omstandigheden waaronder een derde de beveiliging van haar telefoon kon gebruiken.

Hoewel de bewijslast voor grove nalatigheid in beginsel bij de bank ligt, geldt volgens de Geschillencommissie ook een verzwaarde motiveringsplicht voor de consument. Die moet ten minste enige uitleg geven over de manier waarop de beveiligingsgegevens in verkeerde handen terecht konden komen.

Omdat de vrouw daarin volgens de commissie niet was geslaagd, moest worden aangenomen dat zij de veiligheidsregels voor Apple Pay in uitzonderlijk ernstige mate niet was nagekomen.

Daarmee was volgens Kifid sprake van grove nalatigheid. De commissie heeft overigens niet vastgesteld op welke concrete manier de dieven de toegangscode daadwerkelijk hebben verkregen.

Volledige financiële schade blijft bij klant

De vrouw had de commissie ook gevraagd haar financiële aansprakelijkheid te beperken wanneer zij toch verantwoordelijk zou worden gehouden voor de betalingen. Ook dat verzoek werd afgewezen.

Volgens Kifid waren er onvoldoende aanknopingspunten om de aansprakelijkheid van de consument op grond van artikel 7:529 lid 2 van het Burgerlijk Wetboek te verminderen.

Het gevolg is dat zij de volledige schade van 3.515 euro zelf moet dragen. Rabobank hoeft het bedrag niet terug te betalen en ook de gevorderde wettelijke rente wordt niet toegewezen.

De uitspraak van 29 oktober 2026, gepubliceerd op 5 november, is gegeven als bindend advies. Vanwege het bredere belang van de zaak heeft de Geschillencommissie wel uitdrukkelijk bepaald dat beroep mogelijk is bij de Commissie van Beroep van Kifid. Daarvoor geldt een termijn van zes weken na verzending van de uitspraak.

Uitspraak belangrijk voor andere bankklanten

De beslissing kan van betekenis zijn voor andere consumenten die slachtoffer worden van fraude of diefstal waarbij digitale betaalmiddelen worden gebruikt. Zij maakt duidelijk dat het ontbreken van toestemming voor een betaling niet automatisch betekent dat de bank uiteindelijk de financiële schade moet dragen.

Tegelijkertijd betekent de uitspraak niet dat iedere consument van wie een telefoon wordt gestolen automatisch grof nalatig heeft gehandeld. De commissie benadrukt dat de beoordeling afhankelijk blijft van de omstandigheden van het individuele geval.

Voor bankklanten onderstreept de uitspraak het belang van het zorgvuldig beschermen van toegangscodes en andere beveiligingsgegevens. Ook is het belangrijk een vermiste telefoon onmiddellijk bij de bank te melden, betaalmiddelen te blokkeren en aangifte te doen van diefstal.

Met uitspraak GC 2026-1106 heeft de Geschillencommissie een nieuwe uitleg gegeven aan het begrip grove nalatigheid bij niet-toegestane betalingen. Of die uitleg in eventuele beroepsprocedures volledig overeind blijft, moet nog blijken.