Bank moet phishing-slachtoffer direct vergoeden
Banken mogen de onmiddellijke terugbetaling van een niet-toegestane betalingstransactie niet weigeren met het argument dat de klant door grove nalatigheid slachtoffer is geworden van phishing. De Europese betalingsrichtlijn (PSD2) kent maar één uitzondering op de plicht tot directe restitutie: een gemotiveerd vermoeden van fraude door de klant zelf. Dat stelt Advocaat-Generaal Athanasios Rantos van het Hof van Justitie van de Europese Unie in een belangrijk advies.
De zaak (C-70/25) draait om een Poolse consument die haar bankrekening geplunderd zag nadat zij via een valse link op een online veilingplatform inlogde op een nagemaakte bankomgeving. Hoewel de gedupeerde de diefstal de volgende dag direct meldde bij haar bank (PKO BP) en de politie, weigerde de financiële instelling de gestolen 3.000 zloty (circa 705 euro) te vergoeden. Volgens de bank had de vrouw door grove nalatigheid gehandeld door haar inloggegevens op een verdachte site in te vullen.
De Poolse rechter legde de zaak voor aan het Europese Hof van Justitie in Luxemburg. In de praktijk weigeren banken namelijk massaal om phishing-slachtoffers direct schadeloos te stellen, waardoor gedupeerde consumenten gedwongen worden tot langslepende en kostbare rechtszaken.
Twee gescheiden stappen
Advocaat-Generaal Rantos verwerpt de opstelling van de banken. Uit een analyse van artikel 73 en 74 van Richtlijn (EU) 2015/2366 (PSD2) volgt dat het terugbetalingsproces uit twee strikt gescheiden fasen bestaat:
Directe restitutie (Stap 1): Bij een niet-toegestane transactie moet de bank de klant uiterlijk aan het einde van de eerstvolgende werkdag volledig schadeloos stellen. De enige wettelijke grond om hiervan af te wijken is wanneer de bank een sterk vermoeden heeft van fraude door de klant én dit schriftelijk heeft gemeld bij de bevoegde autoriteiten.
Aansprakelijkheid achteraf (Stap 2): Pas ná de voorlopige terugbetaling kan de bank onderzoeken of de klant grove nalatigheid verweten kan worden. Is dat het geval, dan moet de bank zelf een juridische procedure starten om het geld terug te vorderen.
Bewijslast bij de bank
Rantos benadrukt dat de Europese wetgever deze strikte regeling bewust heeft ingevoerd om consumenten een hoog beschermingsniveau te bieden. Als banken op basis van een eigen, buitengerechtelijk oordeel over 'grove nalatigheid' terugbetalingen mogen opschorten, wordt de regel van onmiddellijke restitutie holgemaakt. De proceslast en het financiële risico horen bij de professionele dienstverlener te liggen, niet bij de consument.
De Conclusie van de Advocaat-Generaal is een zwaarwegend advies aan het EU-Hof van Justitie. In de meerderheid van de gevallen volgen de rechters van het Hof dit advies in hun definitieve arrest.
Meer over cybercrime
Over Witold Kepinski
