Phishingslachtoffers krijgen steun van de rechter: bank moet eerst terugbetalen, discussie volgt later

Een verlies van bijna 50.000 euro door phishing

De zaak betrof een hoogbejaard echtpaar van 90 en 93 jaar dat slachtoffer werd van een phishingoproep. De man werd tijdens het uitvoeren van een bankverrichting telefonisch gecontacteerd door iemand die zich voordeed als medewerker van de bank.

Later diezelfde dag bleek dat er twee overschrijvingen waren uitgevoerd naar een onbekende rekening in Portugal. In totaal verdween 49.958 euro van hun rekening. De zoon van het echtpaar verwittigde onmiddellijk Card Stop, meldde de feiten via de fraudelijn van de bank en diende klacht in bij de politie.

Toen de bank weigerde om het bedrag terug te betalen, stapte het echtpaar naar de kortgedingrechter.

Wat zegt de wet?

De Belgische wetgeving bevat duidelijke regels voor niet-toegestane betalingstransacties.

Artikel VII.43 van het Wetboek Economisch Recht (WER), dat de Europese PSD2-richtlijn omzet, bepaalt dat een bank een niet-toegestane betalingstransactie onmiddellijk moet terugbetalen en uiterlijk tegen het einde van de eerstvolgende werkdag nadat zij kennis heeft gekregen van de transactie.

Op deze verplichting bestaat slechts één uitzondering: wanneer de bank redelijke gronden heeft om fraude door de rekeninghouder zelf te vermoeden én zij die vermoedens schriftelijk meldt aan de FOD Economie.

Pas in een tweede fase komt de vraag aan bod wie uiteindelijk aansprakelijk is voor de schade. Die regeling is opgenomen in artikel VII.44 WER. Daar kan onder meer worden onderzocht of de klant grof nalatig heeft gehandeld.

De wetgever heeft deze twee stappen bewust van elkaar gescheiden:

Eerst terugbetalen, daarna discussiëren over aansprakelijkheid.

Waarom weigerde de bank terug te betalen?

De bank voerde aan dat de verrichtingen enkel mogelijk waren nadat alle beveiligingsstappen succesvol waren doorlopen, waaronder het gebruik van de debetkaart, digipas, pincode en unieke sms-codes.

Volgens de bank ging het daarom om een toegestane transactie.

Daarnaast stelde zij dat het echtpaar minstens grof nalatig was geweest. Om die reden zou de terugbetalingsverplichting volgens haar niet gelden.

De rechter volgt die redenering niet

De voorzitter van de ondernemingsrechtbank Antwerpen verwierp beide argumenten.

Volgens de rechter hoeft in een kortgedingprocedure niet onderzocht te worden of een transactie al dan niet toegestaan was. Indien een dergelijke inhoudelijke beoordeling vooraf noodzakelijk zou zijn, zou de wettelijke verplichting om uiterlijk de volgende werkdag terug te betalen haar nut verliezen.

Ook het argument van grove nalatigheid werd niet aanvaard.

De rechtbank verwees daarbij naar het recente advies van de advocaat-generaal bij het Hof van Justitie van de Europese Unie in zaak C-70/25. Volgens dat advies blijft de onmiddellijke terugbetalingsplicht gelden, zelfs wanneer de bank vermoedt dat de klant grof nalatig heeft gehandeld.

In dat geval moet de bank:

1. eerst de rekeninghouder vergoeden;
2. vervolgens, indien zij meent dat de klant aansprakelijk is, een afzonderlijke procedure opstarten om de schade terug te vorderen.

De rechter benadrukte dat het procedurerisico volgens de Europese regelgeving bewust bij de bank wordt gelegd en niet bij het slachtoffer van de fraude.

Volledige terugbetaling bevolen

De rechtbank veroordeelde de bank tot de terugbetaling van het volledige verdwenen bedrag van 49.958 euro.

Daarnaast moest de bank ook:

• wettelijke interesten betalen vanaf de datum van de frauduleuze overschrijvingen;
• de dagvaardingskosten dragen;
• de rechtsplegingsvergoeding betalen;
• het rolrecht vergoeden.

Wat betekent deze uitspraak voor consumenten?

Deze beslissing bevestigt een belangrijk beschermingsmechanisme voor slachtoffers van phishing en andere vormen van betaalfraude.

Concreet betekent dit dat:

1. Banken in principe onmiddellijk moeten terugbetalen

Wanneer een klant een niet-toegestane betalingstransactie meldt, moet de bank het bedrag in beginsel onmiddellijk terugstorten en uiterlijk de volgende werkdag.

2. Een vermoeden van nalatigheid volstaat niet

Het loutere vermoeden dat een klant onvoorzichtig of zelfs grof nalatig heeft gehandeld, laat de bank niet toe om de terugbetaling op te schorten.

3. De aansprakelijkheidsdiscussie volgt later

Indien de bank meent dat de klant verantwoordelijk is voor de schade, moet zij dat nadien aantonen in een procedure ten gronde.

4. Kort geding kan een krachtig middel zijn

Voor slachtoffers die geconfronteerd worden met een weigering van terugbetaling, kan een kortgedingprocedure een snelle en doeltreffende oplossing bieden.

Besluit

De beschikking van de ondernemingsrechtbank Antwerpen bevestigt een fundamenteel uitgangspunt van de PSD2-regelgeving: de bescherming van de rekeninghouder staat centraal. De wettelijke terugbetalingsplicht van artikel VII.43 WER is de regel en niet de uitzondering.

Banken kunnen zich niet zomaar beroepen op een vermoeden van toestemming of op vermeende grove nalatigheid om een terugbetaling te weigeren. Zij moeten eerst vergoeden en kunnen pas nadien de aansprakelijkheid van de klant laten beoordelen.

Hoewel het om een voorlopige uitspraak in kort geding gaat en de definitieve aansprakelijkheidsvraag nog in een procedure ten gronde kan worden onderzocht, vormt deze beslissing een belangrijk signaal naar de bancaire sector én een geruststelling voor slachtoffers van phishing.