This post is also available in:
Phishing en fraude met betaalinstrumenten zitten helaas in de lift. “Phishing” is een vorm van oplichting via e-mail, sms, WhatsApp of enig ander online communicatiemiddel, waarbij hackers trachten de persoonsgegevens van internetgebruikers te bemachtigen om ze frauduleus te gebruiken. De daders doen zich voor als bekende ondernemingen, in berichten die er vandaag echter uitzien dan ooit. Banken en hun cliënten vormen uiteraard een geliefd doelwit.
Ondanks de toenemende waarschuwingen van overheden en grote ondernemingen, financieel of niet, trappen sommige cliënten toch in de val die voor hen wordt gespannen, en het aantal slachtoffers blijft stijgen. In haar jaarverslag 2021 telde Ombudsfin 1.268 klachten over betalingsdiensten (tegenover 261 in 2015), waarvan er 658 een internetfraude betroffen (tegenover 221 in 2019). Het verslag 2023 van Ombudsfin is nog schrijnender.
Het toepasselijke Belgische recht bij betalingsfraude
In het Belgische recht bevat Boek VII van het Wetboek van economisch recht (WER) de toepasselijke bepalingen. Deze werden aangenomen ter omzetting van de richtlijn “PSD II” 2015/2366/EU van 25 november 2015 betreffende betalingsdiensten in de interne markt, met name door de wet van 11 maart 2018 en de wet van 19 juli 2018 tot wijziging en invoeging van bepalingen inzake betalingsdiensten in verschillende boeken van het WER.
Artikel VII.38 WER bepaalt voortaan dat de betalingsdienstgebruiker die gemachtigd is een betaalinstrument te gebruiken, de volgende verplichtingen heeft: 1° hij gebruikt het betaalinstrument overeenkomstig de voorwaarden die de uitgifte en het gebruik ervan regelen, welke objectief, niet-discriminerend en evenredig moeten zijn. Ter uitvoering hiervan neemt de gebruiker, zodra hij een betaalinstrument ontvangt, in het bijzonder alle redelijke maatregelen om de veiligheid van het betaalinstrument en van de gepersonaliseerde veiligheidsgegevens te waarborgen.
Artikel VII.42 WER bepaalt dat, wanneer een gebruiker ontkent een uitgevoerde betalingstransactie te hebben toegestaan of stelt dat de transactie niet correct is uitgevoerd, het aan de betalingsdienstaanbieder toekomt te bewijzen dat de transactie werd geauthenticeerd, correct geregistreerd en geboekt, en niet door een technisch of ander falen werd beïnvloed. Belangrijk: het door de aanbieder geregistreerde gebruik van een betaalinstrument volstaat op zich niet noodzakelijk om te bewijzen dat de transactie door de betaler werd toegestaan, dat hij bedrieglijk heeft gehandeld, of dat hij opzettelijk of door grove nalatigheid tekort is geschoten aan zijn verplichtingen uit artikel VII.38. De aanbieder moet ondersteunende elementen aandragen om de fraude of grove nalatigheid te bewijzen.
De niet-toegestane betalingstransactie
Artikel VII.43 WER bepaalt vervolgens dat de betalingsdienstaanbieder van de betaler, bij een niet-toegestane transactie, de betaler het bedrag ervan onmiddellijk moet terugbetalen nadat hij van de transactie kennis heeft genomen of erover werd geïnformeerd, en in elk geval uiterlijk aan het einde van de eerstvolgende werkdag, tenzij hij “goede redenen” heeft om fraude te vermoeden en hij die redenen schriftelijk aan de FOD Economie meedeelt. Analoge regels gelden wanneer de transactie via een betalingsinitiatiedienstaanbieder wordt geïnitieerd.
Wie draagt de schade tussen de bank en de cliënt?
Artikel VII.44 WER bevat de afwijkingen op de hierboven vermelde algemene regels. Het bepaalt dat de betaler, tot een bedrag van 50 EUR, tot aan de kennisgeving overeenkomstig artikel VII.38, § 1, 2°, de verliezen draagt die voortvloeien uit elke niet-toegestane transactie ten gevolge van het gebruik van een verloren of gestolen betaalinstrument of van het onrechtmatig gebruik ervan.
De betaler draagt daarentegen geen enkel verlies indien (i) het verlies, de diefstal of het onrechtmatig gebruik van het betaalinstrument voor hem niet detecteerbaar was vóór de betaling, behoudens bedrieglijk handelen, of (ii) het verlies te wijten is aan handelingen of nalatigheid van een werknemer, agent of bijkantoor van de aanbieder of van een entiteit waarnaar diens activiteiten werden uitbesteed.
In § 3 herneemt artikel VII.44 grotendeels het beginsel dat de betaler geen enkel financieel gevolg draagt van het gebruik van een verloren, gestolen of onrechtmatig gebruikt betaalinstrument na de kennisgeving van artikel VII.38, § 1, 2°, tenzij de aanbieder bewijst dat de betaler bedrieglijk heeft gehandeld.
Zoals voorheen draagt de betaler evenwel alle verliezen uit niet-toegestane transacties indien die voortvloeien uit een bedrieglijk handelen van zijn kant, ofwel uit het feit dat hij opzettelijk of door grove nalatigheid tekort is geschoten aan één of meer van zijn verplichtingen uit artikel VII.38. In die gevallen geldt de vrijstelling van 50 EUR niet.
De grove nalatigheid bij betalingsfraude
Artikel VII.44, § 4 WER voegt eraan toe dat met name als grove nalatigheid wordt beschouwd: het feit dat de betaler zijn gepersonaliseerde veiligheidsgegevens, zoals zijn persoonlijk identificatienummer of enige andere code, noteert in een gemakkelijk herkenbare vorm, en met name op het betaalinstrument of op een voorwerp of document dat samen met het instrument wordt bewaard of meegedragen, alsook het niet melden van het verlies of de diefstal zodra hij daarvan kennis had. Bij de beoordeling van de nalatigheid houdt de rechter rekening met alle feitelijke omstandigheden.
Hieruit volgt dat, vóór de kennisgeving, de aansprakelijkheid van de gebruiker verschilt naargelang zijn gedrag: ofwel is het verlies, de diefstal of het onrechtmatig gebruik hem niet toe te rekenen, en is zijn aansprakelijkheid beperkt tot 50 EUR; ofwel is het te wijten aan zijn grove nalatigheid ten aanzien van zijn wettelijke of contractuele verplichtingen, of heeft hij bedrieglijk gehandeld, in welk geval hij volledig aansprakelijk is voor de verliezen uit de niet-toegestane transactie.
Van de gebruiker van een betaalinstrument wordt dan ook verwacht dat hij het gebruikt overeenkomstig de uitgiftevoorwaarden, alle redelijke maatregelen neemt om de veiligheid van het instrument en de vertrouwelijkheid van de eraan verbonden gegevens te waarborgen, en de uitgever onmiddellijk verwittigt van elk verlies, elke diefstal of elk onrechtmatig of niet-toegestaan gebruik.
Bij de beoordeling van de grove nalatigheid komt het uiteindelijk aan de hoven en rechtbanken toe om te oordelen of er al dan niet grove nalatigheid is. De samenloop van meerdere feitelijke elementen laat de rechter toe te vermoeden dat de niet-toegestane transactie wel degelijk voortvloeit uit grove nalatigheid van de gebruiker.
In welke gevallen weerhielden de rechtbanken reeds grove nalatigheid?
De rechtspraak weerhield grove nalatigheid onder meer in de volgende omstandigheden: vertrouwelijke en persoonlijke codes toevertrouwen aan een derde; geen aandacht schenken aan een onbekende, ingaan op diens uitnodiging en de bankkaart en geheime code invoeren in diens aanwezigheid, waardoor frauduleuze geldopname mogelijk wordt; een geheime code kiezen die verband houdt met de geboortedatum van de rekeninghouder; of een houding aannemen waardoor derden de geheime code gemakkelijk kunnen achterhalen.
Wij menen, met andere auteurs, dat de situatie in deze materie objectief moet worden beoordeeld en niet aan de hand van de wijze waarop de houder verklaart de situatie te hebben ervaren. De analyse moet rekening houden met alle omstandigheden van de zaak en met het gedrag dat een voorzichtig persoon in dezelfde situatie zou aannemen.
Antwerpen, 5 november 2020: de beoordeling in abstracto
In ons vorige overzicht bespraken wij twee beslissingen van de rechtbank van eerste aanleg te Antwerpen. De cliënten hadden een e-mail ontvangen, zogezegd van de “klantendienst”, met de vraag om via een onlineprocedure hun bankkaart te vervangen. De rechtbank oordeelde dat de grove nalatigheid buiten kijf stond, aangezien de aandacht van de cliënten had moeten worden getrokken door de reeks verontrustende elementen bij het lezen en behandelen van de frauduleuze e-mail.
Eén van die beslissingen werd in beroep bevestigd door het hof van beroep te Antwerpen, dat herinnerde aan de verplichtingen uit artikel VII.38 WER. Volgens het hof had een reeks elementen de aandacht van de cliënt moeten trekken, ondanks zijn 89 jaar: naast de eerder vermelde elementen bevatte de phishing-e-mail het logo van de bank niet, en werd het daaropvolgende telefoongesprek op een zaterdag herhaald terwijl de zaak geen urgentie vertoonde. Het negeren van die elementen, samen met het doorgeven van de persoonlijke codes, vormen evenzovele grove nalatigheden die de onbeperkte aansprakelijkheid van de cliënt meebrengen.
Wat de hoge leeftijd betreft, herinnerde het hof eraan dat de grove nalatigheid wordt beoordeeld volgens het criterium van een normaal voorzichtige en zorgvuldige betalingsdienstgebruiker, geplaatst in dezelfde externe omstandigheden. Met de eigen kenmerken van de gebruiker, zoals de leeftijd, kan dus geen rekening worden gehouden. In casu had het slachtoffer sinds meerdere jaren een abonnement op de elektronische betalingsdiensten en maakte hij er gebruik van, zodat hij als elke andere “normale” gebruiker moest worden beschouwd. Bovendien had hij, zoals alle cliënten van de betrokken bank, reeds meerdere waarschuwingen over phishing ontvangen, wat een verhoogde waakzaamheid had moeten meebrengen, die in casu ontbrak.
Zo verankert het hof, net als de rechtbank vóór haar, een beoordeling van de grove nalatigheid in abstracto, en niet in concreto: het foutieve gedrag van de houder moet objectief worden beoordeeld, en niet aan de hand van zijn persoonlijke kenmerken, met name zijn leeftijd of de wijze waarop hij een gegeven situatie ervaart.
Luik, 9 januari 2020: informaticafraude via Anydesk of valse Microsoft-oproep
Voor het hof van beroep te Luik was een cliënte het slachtoffer geworden van informaticafraude nadat zij was gecontacteerd door Engelstalige personen die zich voordeden als verantwoordelijken van “Windows”. Zij hadden haar overtuigd beveiligingssoftware ter waarde van 25 EUR aan te schaffen. Bij het openen van de software, samen met de bankwebsite, verrichtte zij de betaling via haar gebruikelijke software voor bankieren op afstand. Nadien werden de wachtwoorden gewijzigd en werd haar rekening met een aanzienlijk bedrag gedebiteerd.
De debetverrichting was gevalideerd via een UCR-handtekening, dus met een kaartlezer. In beroep oordeelde het hof dat de debitering niet anders te verklaren viel dan door de mededeling, door de cliënte, van de codes die nodig waren om een elektronische handtekening voor de overschrijving aan te maken. Aangezien de kaartlezer steeds in haar bezit was gebleven, werd de hypothese van “hacking op afstand” door geen enkele technische expertise gestaafd. De overschrijving werd overeenkomstig het WER als toegestaan beschouwd, nu de toestemming was gegeven in de tussen partijen overeengekomen vorm. Het hof weerhield de grove nalatigheid: de betaling kon enkel met medewerking van de cliënte tot stand komen, die haar codes ofwel aan de fraudeurs meedeelde, ofwel rechtstreeks op hun instructies invoerde.
Gent, 15 januari 2020: gebruik van een kredietkaart door een derde
In een dossier over zogezegd niet-toegestane transacties met een kredietkaart voerde de kaartuitgever, als grove nalatigheid, de laattijdigheid aan waarmee de kaarthouder het niet-toegestane karakter had gemeld. De houder verklaarde gedurende een bepaalde periode geen rekeninguittreksels te hebben ontvangen, zonder zich daarover te verwonderen omdat hij de kaart slechts zelden gebruikte. Het verzendadres van de uittreksels was bovendien gewijzigd, kennelijk zonder zijn toestemming, en de kaart was vermoedelijk gestolen zonder dat hij het merkte.
Het hof van beroep te Gent oordeelde dat de kaarthouder geen grove nalatigheid had begaan. De veiligheidsvragen bij de adreswijziging waren immers eenvoudig te beantwoorden door een naaste (enkel de geboortedatum volstond). De gestolen kaart had bovendien geen chip en kon worden gebruikt door louter doorhalen en handtekening. De grove nalatigheid werd verworpen.
Brussel, 14 mei 2020: onderneming slachtoffer van een frauderende werknemer
In een laatste zaak was een onderneming het slachtoffer geworden van de frauduleuze handelingen van een werkneemster, die papieren overschrijvingen aan de bank bezorgde zonder daartoe formeel gemachtigd te zijn. De bank had die betalingen uitgevoerd tot een audit de fraude blootlegde. Het hof van beroep te Brussel weerhield de aansprakelijkheid van de bank en verwierp elke aansprakelijkheid van de onderneming, die de verrichtingen op haar uittreksels nochtans niet had betwist.
Besluit
De aansprakelijkheid hangt af van de vraag of het eigen gedrag van de cliënt, het meedelen van codes, het negeren van alarmsignalen, de fraude mogelijk heeft gemaakt, objectief beoordeeld en op een goed gedocumenteerd dossier. Beschikt de bank over dat bewijs (eerdere phishingwaarschuwingen, meldingen van een nieuw toestel, de betrokkenheid van de cliënt bij de validatie), dan laat de Belgische rechtspraak de schade doorgaans bij de grof nalatige cliënt.
Dit artikel is een vertaling. Enkel de Franse versie is authentiek. Het wordt louter ter informatie verstrekt en vormt geen juridisch advies.
Geef een reactie