EU-hof: banken moeten fraudeslachtoffers eerst terugbetalen, ook bij schuld

Het Hof van Justitie van de Europese Unie (HvJEU) bepaalde op 15 oktober 2026 dat banken en andere betalingsdienstaanbieders niet kunnen weigeren of vertraging kunnen toepassen op de terugbetaling aan een klant die getroffen is door een ongeautoriseerde transactie, alleen omdat zij vermoeden dat de klant ernstig schuldig was aan nalatigheid. Het vonnis werd gegeven in zaak C-70/25, N.O. tegen PKO BP S.A., naar aanleiding van een verzoek om een prejudiciële uitspraak van een rechtbank te Koszalin, Polen, ingediend op 3 februari 2025.

Wat gebeurde er in de onderliggende zaak

De zaak begon met een klant van een Poolse bank, aangeduid in gerechtelijke stukken alleen als N.O., die werd gericht door een oplichter die zich voordeed als een koper op een online verkoopplatform. De oplichter stuurde een frauduleuze betalingslink die vermomd was als een bericht van het platform. Nadat de klant op de link klikte en haar bankgegevens op een nepinlogpagina invoerde, transfereerde de oplichter ongeveer 700 euro van haar rekening. Haar bank, PKO BP, weigerde haar terug te betalen, stellende dat zij ernstig schuldig was aan nalatigheid door haar gegevens op de neppage in te voeren.

Wat het Hof besloot

Het HvJEU stelde vast dat het EU-zakenrecht voor betalingsdiensten – de Betalingsdiensten Richtlijn (Richtlijn 2015/2366, bekend als PSD2) – vereist dat een bank het bedrag van een ongeautoriseerde transactie onmiddellijk terugbetaalt, en niet later dan het einde van de werkdag na melding door de klant, ongeacht of de bank gelooft dat de klant schuldig was aan grove nalatigheid. Het Hof stelde vast dat het toestaan aan banken om de terugbetaling in te houden terwijl zij nalatigheidsclaimsonderzoeken uit te voeren, de terugbetalingsverplichting van zijn praktische gevolgen zou beroven en slachtoffers zou dwingen naar de rechtbank te gaan, alleen om hun eigen geld terug te krijgen.

Het vonnis verhindert niet dat banken later proberen het terugbetaalde bedrag terug te halen. Indien een bank gelooft dat de klant opzettelijk of door grove nalatigheid zijn gepersonaliseerde beveiligingsreferenties niet heeft beschermd, kan het later een vordering tegen de klant instellen – maar de bewijslast voor die nalatigheid rust op de bank, gewoonlijk voor een rechter, en niet op de klant op het moment van de fraude.

Waarom het belangrijk is in de hele EU

Omdat PSD2 een EU-richtlijn is die in alle 27 lidstaten wordt toegepast, is het vonnis bindende richtlijn voor nationale rechtbanken en regelgevers in het hele blok, niet alleen in Polen. Consumentenorganisaties zeggen dat het praktische effect significant is omdat veel banken routinematig de reeks hebben omgekeerd die de wet bedoeld had: eerst vermoede nalatigheid onderzoeken en alleen daarna uitbetalen, zo niet helemaal. De Belgische consumentengroep Test-Achats/Testaankoop noemde het besluit een keerpunt. De woordvoerder ervan, Julie Frère, vatte de verplichting samen als "Les banques doivent payer d'abord, discuter ensuite" ("banken moeten eerst betalen, daarna overleggen"), stellende dat het een regel bevestigt die banken in de praktijk hebben omzeild.

The Brussels Times rapporteerde dat het vonnis de huidige praktijk bij Belgische banken rechtstreeks ter discussie stelt, waarvan er enkele onmiddellijke terugbetaling hebben geweigerd terwijl zij onderzoeken of een klant onzorgvuldig was met aanmeldingsgegevens of eenmalige codes. Juridische commentaren op de zaak, waaronder analyse gepubliceerd door Spaans outlet Ara, merken op dat het antwoord van het Hof specifiek van toepassing is op de terugbetalingsdeadline zoals gesteld in PSD2, dat het vonnis spreekt in termen van 'betalingsdienstaanbieders' meer in het algemeen in plaats van alleen banken, en dat het leveranciers vrij laat om grove nalatigheid apart voor de rechter uit te vechten, nadat het geld al is terugbetaald.

De omvang van het probleem

Het vonnis komt op een moment dat de verliezen door betalingsfraude stijgen in de hele EU en de Europese Economische Ruimte. Een gezamenlijk rapport van de Europese Bankautoriteit en de Europese Centrale Bank stelde vast dat de totale verliezen door betalingsfraude in 2024 4,2 miljard euro bereikten, tegenover 3,5 miljard euro in 2023 en 3,4 miljard euro in 2022 – een stijging van ongeveer 20% van 2023 tot 2024. Binnen dat totaal steeg fraude met betrekking tot krediettransfers met 16% jaar-op-jaar naar 2,2 miljard euro, en fraude op kaarten uitgegeven door de EU en EER steeg met 29% naar ongeveer 1,33 miljard euro. Voor krediettransfersfraude specifiek stelde hetzelfde rapport vast dat betalingsdiensten gebruikers ongeveer 85% van de resulterende verliezen droegen, vooral omdat oplichting mensen ertoe brengt de transfer zelf goed te keuren.

Wat blijft nog onduidelijk

Het vonnis behandelt ongeautoriseerde transacties – zaken waarbij iemand anders toegang heeft gehad tot of het geld van de klant heeft afgeleid, zoals bij phishing. Het verandert niet de afzonderlijke juridische behandeling van situaties waarin een bank objectieve gronden heeft om te vermoeden dat de klant de betaling zelf heeft goed gekeurd of medeplichtig was aan de fraude, wat nog steeds kan rechtvaardigen om terugbetaling in te houden. Hoe snel individuele banken in de hele EU hun interne terugbetalingsprocedures wijzigen in reactie op het vonnis, en of nationale regelgevers het actief zullen handhaven, bleef afwachten op 16 oktober 2026.