Een bank mag een slachtoffer van phishing niet direct een vergoeding weigeren met een beroep op grove nalatigheid. Dat heeft het Hof van Justitie van de Europese Unie bepaald in een zaak tussen een Poolse bank en een klant die slachtoffer werd van online-fraude.
De zaak draaide om een vrouw die via een online verkoopplatform een artikel aanbood. Een vermeende koper stuurde haar een frauduleuze link die leek bedoeld om de verkoop te bevestigen. Via die link kwam zij terecht op een website die eruitzag als de omgeving van haar bank. Daar voerde ze haar gegevens voor internetbankieren in. Met die gegevens wist de fraudeur ongeveer zevenhonderd euro van haar rekening over te maken naar een eigen bankrekening. De volgende dag meldde de klant de ongeautoriseerde transactie bij haar bank. PKO Polski Bank.
Bank weigerde terugbetaling
De bank wees haar verzoek om terugbetaling af. De financiële instelling stelde dat de klant door grove nalatigheid had gehandeld. Volgens de bank had zij onvoldoende zorgvuldig omgesprongen met haar persoonlijke beveiligingsgegevens en daarmee de frauduleuze transactie mogelijk gemaakt. De klant stapte daarna naar de rechter. Deze Poolse rechter legde de kwestie vervolgens voor aan het Hof van Justitie van de Europese Unie. De centrale vraag was of een betaaldienstverlener verplicht is het bedrag van een niet-toegestane betaling onmiddellijk terug te betalen, ook wanneer deze van mening is dat de klant grof nalatig heeft gehandeld.
Het Europese hof antwoordt bevestigend. Volgens de uitspraak moet een betaaldienstverlener in principe het bedrag van een ongeautoriseerde betaling onmiddellijk terugbetalen. Dat moet uiterlijk gebeuren aan het einde van de eerstvolgende werkdag nadat de instelling de transactie heeft opgemerkt of nadat de klant melding heeft gedaan.
Op die regel bestaat slechts één uitzondering. Een bank mag een onmiddellijke terugbetaling alleen weigeren wanneer zij gegronde redenen heeft om te vermoeden dat de klant zelf fraude heeft gepleegd. In dat geval moet de instelling die vermoedens bovendien melden aan de bevoegde nationale autoriteiten.
Consumentenbescherming
Dat een bank van mening is dat een klant grof nalatig heeft gehandeld, bijvoorbeeld door onvoldoende zorgvuldig om te gaan met inloggegevens, is volgens het hof geen geldige reden om een directe terugbetaling te weigeren. Het hof maakt onderscheid tussen twee vragen: de onmiddellijke terugbetaling van het geld en de uiteindelijke verdeling van de schade.
Eerst moet de betaaldienstverlener het bedrag terugstorten aan de klant. Daarna kan de bank alsnog proberen de schade op de klant te verhalen. Dat kan alleen wanneer wordt aangetoond dat de verliezen het gevolg zijn van opzettelijk handelen of grove nalatigheid van de rekeninghouder. De bewijslast ligt daarbij volledig bij de betaaldienstverlener. De bank moet dus kunnen aantonen dat sprake was van grove nalatigheid.
Volgens het hof sluit deze uitleg aan bij het doel van de Europese regelgeving voor betaaldiensten: een hoog niveau van consumentenbescherming. Als banken vanaf het begin een beroep zouden kunnen doen op vermeende grove nalatigheid, zou de verplichting tot onmiddellijke terugbetaling grotendeels haar betekenis verliezen. In dat geval zouden consumenten zelf juridische procedures moeten starten om hun geld terug te krijgen, met de kosten en onzekerheden die daarbij horen.
