This post is also available in:

Het cassatiearrest verscherpt het begrip grove nalatigheid, maar maakt de bank nog geen automatische phishingverzekeraar

In een arrest van 29 juni 2026 heeft het Hof van Cassatie het begrip grove nalatigheid bij phishing verduidelijkt. Het arrest verhoogt onmiskenbaar de eisen voor banken die het verlies definitief ten laste van hun klant willen laten. Het betekent echter niet dat elk slachtoffer van phishing moet worden vergoed, noch dat elke onvoorzichtigheid voortaan zonder juridische gevolgen blijft.

Om de draagwijdte van het arrest correct te begrijpen, moeten twee vragen worden onderscheiden die in het publieke debat regelmatig door elkaar worden gehaald.

De eerste vraag betreft de onmiddellijke en voorlopige terugbetaling van een betwiste transactie. De tweede betreft de definitieve aansprakelijkheid: wie moet het verlies uiteindelijk dragen, de klant of de bank?

Die twee vragen worden door verschillende regels beheerst en hoeven niet op hetzelfde ogenblik te worden beantwoord.

Fraude via een vals fiscaal bericht

De zaak voor het Hof betrof een klant die op 23 januari 2020 een sms-bericht ontving over een vermeende belastingschuld van 89 euro. Het bericht bevatte een betaallink.

Door de voorgestelde procedure te volgen, betaalde de klant echter niet alleen die beweerde schuld. De uitgevoerde handelingen maakten het mogelijk om KBC Mobile te installeren en te activeren op een nieuw toestel dat door de fraudeur werd gecontroleerd. Vanuit die toepassing werden vervolgens verschillende transacties uitgevoerd voor een totaalbedrag van 24.852,15 euro.

Het hof van beroep te Brussel oordeelde dat de klant grof nalatig had gehandeld. Het stelde onder meer vast dat hij het bestaan van de belastingschuld niet had gecontroleerd, een link in een algemeen geformuleerd bericht had gevolgd, zijn beveiligingsgegevens op onbeveiligde pagina’s had gebruikt en noodzakelijkerwijs een boodschap over de activering van een nieuw mobiel abonnement had gevalideerd.

Het Hof van Cassatie vernietigde die beslissing.

Grove nalatigheid is een gekwalificeerde nalatigheid

Het Hof stelt eerst vast dat de uitlegging van het begrip grove nalatigheid een rechtsvraag is. De feitenrechter beoordeelt de concrete feiten, maar de juridische kwalificatie die hij eraan geeft, kan door het Hof van Cassatie worden gecontroleerd.

Volgens het Hof vormt grove nalatigheid een gekwalificeerde schending van de zorgvuldigheidsplicht. Er is slechts sprake van grove nalatigheid wanneer de betaler een gedraging stelt die een redelijk en normaal zorgvuldig betaler nooit zou stellen, of een gedraging nalaat die een dergelijke betaler nooit zou nalaten.

Dat is een strenge maatstaf.

Een gewone fout, een verkeerde inschatting of een beperkte onvoorzichtigheid volstaan niet noodzakelijk. Het gedrag moet blijk geven van een aanzienlijke mate van onvoorzichtigheid. De rechter moet bovendien rekening houden met alle concrete omstandigheden.

Het Hof herinnert er ook aan dat de grove nalatigheid betrekking moet hebben op een van de verplichtingen van artikel VII.38 van het Wetboek van economisch recht. De klant moet zijn betaalinstrument overeenkomstig de toepasselijke voorwaarden gebruiken, alle redelijke maatregelen nemen om de veiligheid van het instrument en de persoonlijke beveiligingsgegevens te waarborgen, en de bank onverwijld informeren bij verlies, misbruik of niet-toegestaan gebruik.

Het volstaat dus niet om vast te stellen dat de klant in algemene zin onvoorzichtig was. De rechter moet bepalen welke concrete verplichting werd geschonden en waarom die schending voldoende ernstig was om als grove nalatigheid te worden beschouwd.

Wat het Hof niet heeft beslist

Het arrest werd soms voorgesteld alsof banken voortaan ook kennelijk onvoorzichtige slachtoffers van phishing zouden moeten terugbetalen.

Die lezing gaat te ver.

Het Hof van Cassatie heeft niet zelf geoordeeld dat de betrokken klant niet grof nalatig was. Het heeft de bank evenmin definitief tot terugbetaling veroordeeld.

Het Hof oordeelde dat de appelrechters op basis van de door hen vermelde redenen niet wettig konden besluiten dat de klant een van zijn wettelijke veiligheidsverplichtingen door grove nalatigheid had geschonden. Het bestreden arrest werd vernietigd en de zaak werd verwezen naar het hof van beroep te Antwerpen, dat de zaak opnieuw zal moeten beoordelen.

Het arrest verleent phishing­slachtoffers dus geen algemene immuniteit. Het verhoogt wel de eisen die aan het bewijs en de motivering van grove nalatigheid worden gesteld.

Een geauthenticeerde transactie is niet noodzakelijk toegestaan

Een essentieel onderscheid in het betalingsrecht is dat tussen de authenticatie en de toestemming voor een betalingstransactie.

Een transactie is geauthenticeerd wanneer ze werd uitgevoerd met het betaalinstrument en de bijbehorende beveiligingsgegevens, zoals een pincode, kaartlezer, bankapplicatie, elektronische handtekening of sterke klantauthenticatie.

Het correcte technische gebruik van die middelen bewijst echter niet noodzakelijk dat de klant heeft ingestemd met de transactie zoals die uiteindelijk werd uitgevoerd.

Bij veel phishingmethodes denkt de klant dat hij een welbepaalde verrichting bevestigt, bijvoorbeeld de betaling van een kleine schuld of de bevestiging van zijn identiteit. De gegenereerde gegevens worden in werkelijkheid door de fraudeur gebruikt om een nieuw toestel te activeren of andere transacties uit te voeren.

Het bewijs van authenticatie volstaat dus op zichzelf niet om de toestemming aan te tonen. Het volstaat evenmin om automatisch grove nalatigheid te bewijzen.

Dat betekent niet dat elke technisch geauthenticeerde betaling noodzakelijk niet-toegestaan is. De feitelijke omstandigheden blijven doorslaggevend: wat kreeg de klant te zien, wat heeft hij begrepen, welke verrichting dacht hij te bevestigen en welke contextboodschappen werden hem voorgelegd?

Eerste vraag: moet de bank onmiddellijk terugbetalen?

Artikel VII.43 van het Wetboek van economisch recht regelt de onmiddellijke terugbetaling van een niet-toegestane betalingstransactie.

Wanneer de klant een transactie betwist en stelt dat hij ze niet heeft toegestaan, moet de bank het bedrag in beginsel onmiddellijk en uiterlijk aan het einde van de eerstvolgende werkdag terugstorten.

Die terugbetaling gebeurt voordat de definitieve aansprakelijkheid vaststaat. Zij houdt dus niet noodzakelijk een erkenning van aansprakelijkheid door de bank in.

De logica is duidelijk: een klant die stelt dat een aanzienlijk bedrag zonder zijn toestemming van zijn rekening is verdwenen, moet niet noodzakelijk maanden of jaren wachten op de uitkomst van een gerechtelijke procedure voordat hij opnieuw over het geld kan beschikken.

De bank mag de terugbetaling uitstellen wanneer zij gegronde redenen heeft om fraude door de betaler zelf te vermoeden en die redenen schriftelijk meedeelt aan de FOD Economie.

Een vermoeden van nalatigheid, zelfs grove nalatigheid, is evenwel niet hetzelfde als een vermoeden van fraude door de klant. Fraude veronderstelt een opzettelijke of oneerlijke betrokkenheid van de betaler, niet alleen een onvoorzichtige reactie op de misleiding door een derde.

Tweede vraag: wie draagt het verlies definitief?

De definitieve aansprakelijkheid wordt hoofdzakelijk geregeld door artikel VII.44 van het Wetboek van economisch recht.

Bij niet-toegestane transacties is de aansprakelijkheid van de betaler voor bepaalde transacties vóór de kennisgeving van het verlies, de diefstal of het misbruik van het betaalinstrument in beginsel beperkt tot maximaal 50 euro.

In bepaalde gevallen draagt de klant helemaal geen verlies, onder meer wanneer hij de fraude vóór de betaling redelijkerwijs niet kon vaststellen of wanneer de vereisten inzake sterke klantauthenticatie niet werden nageleefd.

De klant kan daarentegen alle verliezen moeten dragen wanneer hij zelf frauduleus heeft gehandeld of wanneer hij opzettelijk of door grove nalatigheid zijn verplichtingen inzake het gebruik en de veiligheid van zijn betaalinstrument heeft geschonden.

Het arrest van 29 juni 2026 heeft rechtstreeks betrekking op die tweede vraag.

De onmiddellijke terugbetaling van artikel VII.43 en de definitieve verdeling van het verlies op grond van artikel VII.44 mogen dus niet met elkaar worden verward.

De bank kan verplicht zijn voorlopig terug te betalen en later de teruggave van dat bedrag vorderen wanneer zij fraude of grove nalatigheid van de klant bewijst. Omgekeerd betekent de weigering om onmiddellijk terug te betalen niet noodzakelijk dat de bank uiteindelijk niet aansprakelijk zal zijn.

Eerst terugbetalen betekent met andere woorden niet noodzakelijk definitief betalen.

De rol van de kortgedingrechter

Wanneer de bank weigert onmiddellijk terug te betalen, stappen sommige klanten naar de kortgedingrechter.

Een Antwerpse beschikking veroordeelde een bank bijvoorbeeld tot de voorlopige terugbetaling van bijna 50.000 euro aan een ouder koppel, voordat de definitieve aansprakelijkheid was beoordeeld.

Een kort geding wordt daardoor echter niet automatisch mogelijk.

Twee Brusselse beschikkingen van 9 en 10 juni 2026 herinnerden eraan dat de dringendheid concreet moet worden aangetoond. De omvang van het verloren bedrag volstaat op zichzelf niet om te bewijzen dat een uitspraak in een gewone procedure niet kan worden afgewacht.

In een van die zaken vroeg een vennootschap een voorlopige terugbetaling van meer dan 238.000 euro. De rechter hield rekening met haar beleggingen, liquiditeiten en het kaskrediet waarover zij beschikte. De onderneming had niet aangetoond dat haar financiële situatie de uitzonderlijke procedure van het kort geding rechtvaardigde.

Het onderscheid is dus duidelijk: de wettelijke verplichting tot onmiddellijke terugbetaling bestaat onafhankelijk van de dringendheid, maar een tussenkomst van de kortgedingrechter vereist dat de eiser de vereiste procedurele urgentie aantoont.

De bijzondere positie van ondernemingen

Ondernemingen bevinden zich niet noodzakelijk in dezelfde positie als consumenten.

Een deel van de regels inzake betalingsdiensten is dwingend ten voordele van consumenten. Voor professionele klanten kunnen bepaalde beschermingsregels binnen de door het Wetboek toegelaten grenzen contractueel worden aangepast of uitgesloten.

Een onderneming moet daarom niet alleen de feiten van de fraude onderzoeken, maar ook de bijzondere en algemene voorwaarden van haar bankrelatie, de aan de gebruikers toegekende bevoegdheden, de interne validatieprocedures en eventuele afwijkende contractuele bepalingen.

Betaalfraude is voor een onderneming tegelijk:

• een IT-incident;
• een contractuele kwestie;
• een bewijsprobleem;
• een vraag van interne governance;
• en soms een onmiddellijk liquiditeitsrisico.

Er moet onder meer worden nagegaan wie de transactie heeft geïnitieerd of gevalideerd, welke interne controles werden omzeild, welke authenticatieboodschappen werden weergegeven, wanneer de fraude werd gemeld en welke maatregelen de bank na de kennisgeving heeft genomen.

Ook moet een onderscheid worden gemaakt tussen phishing dat tot een niet-toegestane transactie leidt en fraude waarbij het slachtoffer zelf bewust de technische betalingsopdracht naar een verkeerd rekeningnummer geeft. Factuurfraude en CEO-fraude vallen niet noodzakelijk onder hetzelfde beschermingsregime, omdat de klant het overschrijvingsbevel technisch en juridisch zelf kan hebben toegestaan, ook al werd zijn toestemming door bedrog verkregen.

Wat betekent het arrest voor banken?

Het arrest neemt de mogelijkheid om grove nalatigheid in te roepen niet weg. Het verplicht banken wel om die nalatigheid nauwkeuriger te omschrijven en te bewijzen.

Een bank zal zich niet kunnen beperken tot de vaststelling dat de klant een link heeft aangeklikt, een code heeft ingevoerd of een kaartlezer heeft gebruikt. Zij zal het volledige fraudeverloop moeten reconstrueren en uitleggen:

• welke wettelijke of contractuele verplichting werd geschonden;
• welk bericht of welke informatie de klant heeft ontvangen;
• waarom die informatie argwaan had moeten wekken;
• welk gedrag van een redelijk zorgvuldige betaler mocht worden verwacht;
• en waarom het concrete gedrag van de klant verder ging dan gewone onvoorzichtigheid.

Het bewaren van technische gegevens, authenticatieschermen, contextboodschappen, meldingen aan de klant en interne waarschuwingen wordt daardoor nog belangrijker.

Ook de motivering van een weigering tot onmiddellijke terugbetaling wint aan belang. Een standaardverwijzing naar de “validatie met persoonlijke codes” kan onvoldoende zijn wanneer niet wordt uitgelegd wat de klant precies heeft gevalideerd en in welke omstandigheden.

Meer bescherming, maar geen automatische verzekering

De rechtspraak evolueert duidelijk naar een strengere controle op de wijze waarop grove nalatigheid wordt aangevoerd en bewezen.

Ook het parlementaire debat volgt die richting. Een amendement van juni 2026 stelt onder meer voor om de betalingsdienstaanbieder een termijn van dertien maanden te geven om de consument mee te delen dat hij de voorlopige terugbetaling wil terugvorderen. Bij gebrek aan een tijdige kennisgeving zou het recht op terugvordering vervallen.

Die voorgestelde regeling bevestigt de logica van het systeem: snel terugbetalen en de definitieve aansprakelijkheid vervolgens binnen een afgebakende termijn bespreken.

Maar noch het cassatiearrest, noch de verplichting tot onmiddellijke terugbetaling maakt van de bank een automatische verzekeraar van elke vorm van onlinefraude.

De juiste vraag is niet of de bank altijd of nooit moet betalen. Er moet achtereenvolgens worden onderzocht:

1. of de transactie toegestaan of niet-toegestaan was;
2. of ze alleen technisch werd geauthenticeerd dan wel werkelijk werd toegestaan;
3. of een voorlopige terugbetaling verschuldigd was;
4. welke verplichtingen de klant moest naleven;
5. of de eventuele schending daarvan werkelijk een grove nalatigheid vormde;
6. en wie het verlies uiteindelijk definitief moet dragen.

Het arrest van 29 juni 2026 beëindigt die discussie niet. Het verplicht banken en rechters vooral om ze nauwkeuriger te voeren.

Gilles Laguesse
Advocaat gespecialiseerd in bank- en financieel recht