Aanleiding van het arrest
Een Poolse bankklant werd slachtoffer van phishing. Via een nagemaakte bankwebsite gaf zij haar inlog- en bevestigingsgegevens door. Met deze gegevens maakte de fraudeur vervolgens ongeveer € 700 over naar zijn eigen rekening. De klant meldde de fraude de volgende dag bij de bank. De bank weigerde het bedrag terug te betalen. Volgens de bank had de klant zelf ernstig onvoorzichtig gehandeld door haar beveiligingsgegevens onvoldoende te beschermen. De Poolse rechter vroeg het Hof van Justitie of een betaaldienstaanbieder de onmiddellijke terugbetaling van een niet-toegestane betaling mag weigeren wanneer de gebruiker door grove nalatigheid de fraude mogelijk heeft gemaakt.
Wat zegt de wet?
De zaak draait om de uitleg van de herziene Europese richtlijn voor betalingsdiensten (PSD2). Deze richtlijn bepaalt dat een betalingsdienstaanbieder een betaling die niet door de rekeninghouder is toegestaan, in beginsel onmiddellijk moet terugbetalen. Dat moet uiterlijk aan het einde van de eerstvolgende werkdag nadat de betalingsdienstaanbieder de transactie heeft opgemerkt of daarvan op de hoogte is gesteld.
Tegelijkertijd verplicht de richtlijn gebruikers om zorgvuldig met hun betaalmiddelen en persoonlijke beveiligingsgegevens om te gaan. Bij verlies, diefstal of misbruik moeten zij de betalingsdienstaanbieder zo snel mogelijk informeren en alle redelijke maatregelen te nemen om zijn persoonlijke beveiligingsgegevens te beschermen.
Wanneer een gebruiker deze verplichtingen opzettelijk of door grove nalatigheid schendt, kan hij zelf (deels) aansprakelijk zijn voor de financiële schade. De vraag is echter of een betalingsdienstaanbieder vanwege die mogelijke aansprakelijkheid de terugbetaling direct mag weigeren.
Oordeel van het Hof
Het Hof oordeelt dat dit niet is toegestaan. Een betalingsdienstaanbieder moet het bedrag van een niet-toegestane betaling in beginsel onmiddellijk terugbetalen, ook wanneer zij vermoedt dat sprake is van grove nalatigheid door de gebruiker bij de bescherming van de beveiligingsgevens. De richtlijn kent slechts één uitzondering op deze verplichting. Een betalingsdienstaanbieder mag onmiddellijke terugbetaling achterwege laten als zij (i) redelijke gronden heeft om fraude door de gebruiker zelf te vermoeden, én (ii) dit vermoeden schriftelijk meldt aan de bevoegde nationale autoriteit. Dit zijn twee cumulatieve vereisten. Het Hof maakt daarmee een duidelijk onderscheid tussen de verplichting om direct terug te betalen en de vraag wie uiteindelijk verantwoordelijk is voor de schade.
Terugbetaling en aansprakelijkheid
Dat de betalingsdienstaanbieder eerst moet terugbetalen, betekent niet dat de gebruiker nooit zelf voor de schade hoeft op te draaien. Wanneer de betalingsdienstaanbieder kan aantonen dat de gebruiker opzettelijk of door grove nalatigheid zijn verplichtingen heeft geschonden en daardoor schade is ontstaan, kan zij het terugbetaalde bedrag onder voorwaarden terugvorderen. De bewijslast ligt daarbij bij de betalingsdienstaanbieder. Zij moet aantonen dat sprake is van grove nalatigheid en dat de schade daarvan het gevolg is.
Met deze uitspraak bevestigt het Hof dat een vermoeden van grove nalatigheid niet voldoende is om een onmiddellijke terugbetaling te weigeren. De beoordeling van de uiteindelijke aansprakelijkheid vindt afzonderlijk plaats. Dat weerspiegelt de bedoeling van de wetgever om de gebruiker te beschermen.
Wat betekent deze uitspraak?
Voor banken en andere betaaldienstaanbieders bevestigt het arrest dat zij bij niet-toegestane betalingen onderscheid moeten maken tussen de terugbetalingsplicht en de uiteindelijke aansprakelijkheid van de gebruiker. Een vermoeden van grove nalatigheid is op zichzelf geen reden om terugbetaling uit te stellen. Voor rekeninghouders betekent dit dat zij in beginsel recht hebben op snelle terugbetaling van een niet-toegestane betaling, ook wanneer een betalingsdienstaanbieder twijfelt aan hun zorgvuldigheid. Dat neemt niet weg dat zij later alsnog aansprakelijk kunnen worden gehouden voor de schade.
Het arrest heeft betrekking op betalingen die niet door de rekeninghouder zijn toegestaan. Bij betalingen die een gebruiker zelf uitvoert nadat hij is misleid, kan de juridische beoordeling anders zijn.
