Wijzen banken verantwoordelijkheid te snel af? "We kunnen Jan met de pet niet altijd alle schuld geven bij phishing"

Magdalena reageert op een valse sms van de bank waardoor ze 10.000 euro verliest. De bank betaalt de schade niet terug omdat ze 'grof nalatig' is geweest. Met andere woorden: Magdalena had zelf maar moeten zien dat die sms vals was. Die beslissing maakt haar boos. "Omdat ik graag de zaken op orde heb, heb ik meteen gedaan wat er in die sms stond. Namelijk mijn gegevens doorgeven voor het aanvragen van een nieuwe digipas. Achteraf blijkt dat die vraag van een phisher kwam. Maar hoe had ik dat kunnen weten?" 

Het verhaal van Magdalena is er één in een lange rij van getuigenissen die binnenkomen bij De Inspecteur. Veel mensen die het slachtoffer worden van phishing zien hun geld nooit meer terug of krijgen slechts een deel van de som terugbetaald omdat ze 'grof nalatig' zijn geweest. 

Wat is "grove nalatigheid"? 

De Inspecteur vraagt aan Reinhard Steennot wat 'grove nalatigheid' precies inhoudt. Steennot is professor consumentenrecht aan de UGent en een autoriteit als het aankomt op de problemen rond terugbetaling bij phishing. 

"Grove nalatigheid is een heel belangrijk begrip bij de aansprakelijkheid voor niet-toegestane transacties. En daar valt phishing dus ook onder.", zo stelt Steennot. Maar er moet daarbij wel een onderscheid gemaakt worden tussen 'gewone nalatigheid' en 'grove nalatigheid'. "Als je 'gewoon nalatig' bent, dan is de aansprakelijkheid van jou als klant beperkt tot 50 euro. De bank neemt de rest van de schade op zich. Als je 'grof nalatig' bent, dan ben je als klant onbeperkt aansprakelijk en komt de bank dus niet tussen." 

Een kleine fout of onvoorzichtigheid van de klant is volgens Steennot niet genoeg om te kunnen spreken van een grove nalatigheid. "Maar in het geval van phishing ben je vaak wél grof nalatig omdat je zélf je bankcodes doorgeeft aan een oplichter waarmee die vervolgens betalingen kan doen. In sommige gevallen doen slachtoffers ook zélf betalingen naar de rekening van fraudeurs. De bank ziet dat als een 'grove nalatigheid' omdat je op een onverantwoorde manier met je betaalmiddel en persoonlijke codes omgaat." 

"Jan met de pet is zich van geen kwaad bewust"

Strikt genomen mag een bank dus zeggen aan slachtoffers van phishing dat ze geen recht hebben op een terubetaling. Steennot vindt dat er op die manier een grote verantwoordelijkheid komt te liggen bij de klant. "Die phishers worden almaar beter. Ze doen zich voor als valse medewerkers van de bank, bouwen websites na die voor een leek niet te onderscheiden zijn van de echte platformen. Ook de sms'en lijken soms echt van de bank te komen waardoor je niet meer beseft dat je in de val trapt." 

Je kan je volgens Steennot de vraag stellen of banken dan niet te snel zijn in hun oordeel. "Ik denk dat we voorzichtig moeten zijn met de beoordeling van 'grove nalatigheid'. Als de beoordeling gebeurt door medewerkers van de bank die veel ervaring hebben met phishing, dan bestaat het risico dat die vergeten op welke manier 'Jan met de pet' naar die phishing berichten kijkt. Van iemand die weinig in aanraking komt met fraude kan je niet verwachten dat die elk manier van oplichting herkent."

Banken schuiven verantwoordelijkheid van zich af

Ombudsfin, de ombudsdienst van de financiële sector is van mening dat banken het begrip 'grove nalatigheid' te snel inroepen om klanten niet te moeten terugbetalen.

"De standpunten van Ombudsfin en de banken komen niet overeen", zo stelt de ombudsvrouw. "Ondanks de grote wettelijke bescherming voor consumenten, zien we dat banken de aansprakelijkheid steeds vaker doorschuiven naar de klant. De manier waarop de bank de feiten analyseert, verschilt van die van de ombudsfin. De banken geven er een interpretatie aan waarbij de klant niet goed beschermd is." 

Feitelijke omstandigheden zijn doorslaggevend

Febelfin, de Belgische federatie van de bankensector, is het er niet mee eens dat klanten te snel beschuldigd worden van 'grove nalatigheid'. "De wetgeving bepaalt wanneer klanten wel of niet worden terubetaald", zo stelt woordvoerder Isabelle Marchand. "Banken gaan bij elk dossier van phishing een grondig onderzoek opstarten. Op basis van alle feitelijke omstandigheden gaat men oordelen of de klant al dan niet kan worden terugbetaald." 

Volgens Febelfin is het moeilijk om de terugbetaling van phishing in criteria vast te leggen. "Het zijn net de feitelijke omstandigheden die maken of er sprake kan zijn van een grove nalatigheid of niet." 

De Inspecteur wil weten of er een verschil is van bank tot bank. Betaalt de ene bank misschien sneller terug als commerciële geste dan de andere? "Dat is iets wat de banken zelf in hun onderzoek gaan bekijken. We kunnen als sectorfederatie niet inschatten hoe die politiek verschilt van bank tot bank maar het is uiteraard wel zo dat elke bank zich aan de wet moet houden. Als er geen sprake is van een 'grove nalatigheid', dan moet de bank wel terugbetalen."

Marchand geeft ook aan dat er veel terugbetalingen gebeuren. "We hebben er geen exacte cijfers van maar het is wel zo dat er veel terugbetalingen gebeuren. De perceptie is soms anders. Maar het is nu eenmaal een feit dat de gevallen waarbij er geen terugbetaling is sneller in de media komen en dus ook meer aandacht krijgen." 

"Denk na over de verdeling van de aansprakelijkheid"

Professor Steennot pleit ervoor om de regeling rond aansprakelijkheid opnieuw te bekijken. "Nu is die aansprakelijkheidsverdeling een 'alles of niets' verhaal. Ofwel ben je 'niet grof nalatig' en is je aansprakelijkheid beperkt tot 50 euro. Ofwel ben je wel 'grof nalatig' en draai je op voor alle schade. Het zou beter zijn als dat anders verdeeld wordt." 

Die verdeling is een taak voor de Europese wetgever. Steennot vindt het alvast een goed idee om te kijken naar de maatregelen die een betaalaanbieder neemt. "Het zou goed zijn als er rekening wordt gehouden met welke maatregelen een bank of een webshop neemt om de risico's op fraude zo klein mogelijk te houden."