Het Europees Hof van Justitie verplichtte banken donderdag tot onmiddellijke terugbetaling na phishing, ook bij grove nalatigheid. Een dag later keurde de federale regering een wetsontwerp goed dat banken vijftien werkdagen uitstel geeft.
Een bank moet een overschrijving waarvoor de klant geen toestemming gaf uiterlijk de volgende werkdag terugbetalen, oordeelde het Hof van Justitie van de Europese Unie op 15 oktober in zaak C-70/25. Aanleiding was een Poolse klant die ongeveer 700 euro verloor via een nagemaakte bankwebsite. Ook bij grove nalatigheid betaalt de bank eerst terug; nadien kan ze het geld via de rechter terugvorderen als ze die nalatigheid bewijst. De enige uitzondering is een redelijk vermoeden dat de klant zelf fraudeerde.
Vrijdagavond raakte de federale regering het eens over een wetsontwerp van minister van Economie David Clarinval (MR) en minister van Consumentenbescherming Rob Beenders (Vooruit). De Tijd kon de tekst inkijken. Een bank mag de terugbetaling na phishing uitstellen wanneer ze ‘objectief gerechtvaardigde redenen’ heeft om grove nalatigheid of opzet te vermoeden. Ze krijgt dan vijftien werkdagen om de zaak te onderzoeken en kan daarna gemotiveerd weigeren.
Bewijslast voor terugbetaling na phishing
Elders versterkt het ontwerp de positie van slachtoffers. Een transactie geldt als niet-toegestaan wanneer een fraudeur ze zonder toestemming van de betaler opstart of wijzigt, ook als die bepaalde codes doorgaf. Dat geldt ook voor betalingen vanuit een bankapp op het toestel van de fraudeur, tenzij de klant elke overschrijving nadien zelf bevestigde, bijvoorbeeld via Itsme.
De bank moet zelf bewijzen dat een klant instemde, fraudeerde of grof nalatig was. Zwijgt de klant, dan mag de bank daar geen conclusie uit trekken, en ze mag geen bewijs eisen waarover de klant redelijkerwijs niet beschikt, zoals opnames van telefoongesprekken. Factuurfraude en oplichting waarbij het slachtoffer zelf geld overschrijft, blijven toegestane transacties zonder recht op terugbetaling.
Het Hof van Cassatie omschreef grove nalatigheid eerder dit jaar als ‘een gedraging die een redelijk, normaal zorgvuldig betaler nooit zou stellen of nooit zou nalaten te stellen’. Het hof van beroep in Antwerpen legde het volledige verlies van 44.300 euro na phishing bij een scholengroep in Wilrijk bij KBC. Ombudsfin maakt zijn adviezen over betaalfraude voortaan publiek, met de naam van de bank en, bij een weigering, haar motivering ernaast.
Wet loopt vooruit op Europese verordening
Een eerste versie van de wet, die Beenders voor de zomer voorlegde, bevatte die uitstelregeling nog niet en raakte toen niet goedgekeurd. De toevoeging gaat in tegen de betaalrichtlijn PSD2, waarop het Hof zijn arrest baseerde. De regering loopt vooruit op de Europese verordening betalingsdiensten (PSR), die banken bij fraude meer ruimte laat, maar pas in de tweede helft van 2028 van toepassing wordt.
De Raad van State moet nu adviseren of België mag afwijken van een geldende Europese richtlijn. Daarna volgen een tweede lezing in de regering en het parlement. De nieuwe regels gelden alleen voor transacties vanaf de inwerkingtreding. Tot dan schikken de banken zich naar het arrest, liet Febelfin al na de uitspraak weten.