Europees Hof: bank moet phishing meteen terugbetalen, ook bij nalatigheid van de klant
Het Hof van Justitie van de Europese Unie oordeelt op 15 oktober 2026 dat banken slachtoffers van phishing onmiddellijk moeten terugbetalen, ook wanneer de klant zelf nalatig was. De bank kan het bedrag later terugvorderen, maar moet dan zelf grove nalatigheid bewijzen. Voor een KMO betekent dat een sterker recht en een scherpere deadline om verdachte transacties te melden.
Banken moeten slachtoffers van phishing meteen terugbetalen, ook wanneer de klant zelf nalatig is geweest. Dat oordeelt het Hof van Justitie van de Europese Unie op 15 oktober 2026. De bank kan het geld achteraf wel terugvragen, maar alleen als ze grove nalatigheid kan bewijzen.
Waar de zaak over ging
Een klant van een Poolse bank bood online een voorwerp te koop aan. Iemand reageerde op de advertentie en stuurde een link door om de verkoop te bevestigen. Die link leidde naar een nagemaakte pagina van de bank. De klant vulde daar zijn inloggegevens in. Met die gegevens maakte de oplichter ongeveer 700 euro over naar een andere rekening.
De klant meldde de frauduleuze transactie de volgende dag. De bank weigerde terug te betalen. Ze stelde dat de klant zijn persoonlijke beveiligingsgegevens niet veilig had bewaard, en dat dit grove nalatigheid was.
De klant vocht die weigering aan bij een Poolse rechtbank. Die legde de vraag voor aan het Hof van Justitie van de Europese Unie. Dat Hof waakt erover dat Europese regels in alle lidstaten op dezelfde manier worden toegepast.
Wat het Hof nu beslist
Het Hof bevestigt dat een bank een niet-toegestane betaling onmiddellijk moet terugbetalen. Dat moet uiterlijk op het einde van de werkdag die volgt op de dag waarop de transactie werd vastgesteld. Of op het einde van de werkdag waarop de bank op de hoogte werd gebracht.
Het vermoeden van grove nalatigheid verandert daar niets aan. Dat vermoeden is geen uitzondering op de terugbetalingsplicht. De bank kan het bedrag later wel terugvorderen, maar dan moet ze zelf bewijzen dat er echt sprake was van grove nalatigheid bij de klant.
Er is maar een uitzondering. Wanneer de bank ernstige aanwijzingen heeft dat de klant zelf fraude pleegde, valt de terugbetalingsplicht weg. Voorwaarde blijft dat de klant de fraude zonder onnodige vertraging meldt.
Het arrest gaat over 700 euro, maar de gevolgen reiken verder. Europees recht heeft voorrang op nationale rechtspraak. Volgens VRT NWS sluit deze uitspraak aan bij eerdere uitspraken van Belgische rechtbanken.
Wat dit voor uw zaak betekent
Wie met een KMO betaalt en facturen verstuurt, zit in dezelfde keten als die Poolse klant. Een mail met een link naar een betaalpagina, een leverancier die plots een nieuw rekeningnummer doorgeeft, een klant die vraagt om een factuur opnieuw te versturen: het zijn gewone momenten in een werkweek.
Het arrest geeft een bedrijf twee dingen. Ten eerste een steviger rechtspositie. Gaat iemand met gestolen inloggegevens aan de haal met geld van uw rekening, dan moet de bank meteen terugbetalen. Ze kan dat niet weigeren met het argument dat u voorzichtiger had moeten zijn. Ten tweede een deadline voor uzelf. Hoe sneller u een verdachte transactie meldt, hoe sterker uw dossier.
Dat tweede punt is in de praktijk het lastigste. Veel ondernemers merken een verdachte betaling pas bij de maandelijkse afrekening. Dan ontstaat er al discussie over de vraag of de melding snel genoeg gebeurde.
Vijf afspraken die u vandaag kan vastleggen
Zet de melding op een plek. Spreek af wie de bank belt bij een verdachte transactie. Leg vast dat die persoon niet wacht tot de boekhouder langskomt.
Laat elke betaling boven een vast bedrag door twee mensen goedkeuren. Een iemand die de factuur controleert en een iemand die de overschrijving uitvoert.
Controleer een nieuw rekeningnummer altijd via een tweede kanaal. Bel het nummer dat u al jaren gebruikt, niet het nummer uit de mail.
Leer medewerkers de nagemaakte pagina herkennen. Wie een inlogscherm via een link opent, is al te laat. De veilige route is altijd de app of de site die u zelf intikt.
Hou een melding kort en concreet. Datum, bedrag, tegenpartij en wat u zag. Dat is precies wat de bank nodig heeft.
Waarom uw website hier deel van uitmaakt
Uw website is vaak de plek waar klanten en leveranciers hun eerste indruk opdoen. Een contactformulier dat iemand misbruikt, een mailadres dat openbaar op een pagina staat, een oude pagina die nog online staat: het zijn kleine openingen. Wie zijn site en zijn maildomein goed opvolgt, verkleint de kans dat oplichters zich voordoen als uw zaak. Hoe u dat aanpakt, staat op onze pagina over beveiliging.
De regels voor betalingen veranderen. De gewoontes in uw zaak veranderen niet vanzelf. Dat tweede hebt u zelf in de hand.
Wilt u zien wat er voor uw eigen zaak mogelijk is? Vraag een gratis proefhomepage aan via https://www.hisarweb.be/proefhomepage.
Omslagbeeld: AI-gegenereerd.
