Actualiteit
Coördinatie: Vincent Sagaert
Hof van Justitie verduidelijkt de onmiddellijke terugbetalingsverplichting bij bepaalde vormen van phishing
In zijn arrest van 15 oktober 2026 in de zaak Tukowiecka (C-70/25) verduidelijkt het Hof van Justitie de verplichting van betalingsdienstaanbieders om het bedrag van een niet-toegestane betalingstransactie onmiddellijk terug te betalen nadat de betaler daar tijdig kennis heeft van gegeven. Het Hof oordeelt dat een betalingsdienstaanbieder deze terugbetaling niet mag weigeren omdat de betaler de frauduleuze transactie door grove nalatigheid mogelijk zou hebben gemaakt.
De zaak betreft een Poolse consument die op een onlineplatform een voorwerp te koop aanbood. Een fraudeur, die zich voordeed als een geïnteresseerde koper, bezorgde haar een link waarmee zij de verkoop zogenaamd kon bevestigen. Via deze link kwam zij terecht op een website die de website van haar bank nabootste. Daar voerde zij haar aanmeldgegevens voor internetbankieren in. De fraudeur gebruikte deze gegevens om 3.000 Poolse zloty (ongeveer 705 euro) van haar rekening naar zijn eigen rekening over te schrijven. De transactie werd bevestigd met een sms-code die hij eveneens door misleiding had verkregen.
De consument meldde de fraude de volgende dag aan haar bank, die weigerde het bedrag terug te betalen. Volgens de bank had de consument door grove nalatigheid haar verplichting geschonden om haar gepersonaliseerde veiligheidsgegevens te beschermen. De Poolse rechter vroeg daarop aan het Hof van Justitie of een dergelijke grove nalatigheid de betalingsdienstaanbieder ontslaat van zijn onmiddellijke terugbetalingsverplichting.
Het Hof beantwoordt deze vraag ontkennend. Artikel 73, lid 1 van Richtlijn 2015/2366 (PSD2), dat werd omgezet in artikel VII.43 WER, verplicht de betalingsdienstaanbieder om het bedrag van een niet-toegestane betalingstransactie onmiddellijk terug te betalen, i.e. uiterlijk aan het einde van de eerstvolgende werkdag nadat hij van de transactie kennis heeft gekregen of daarvan in kennis is gesteld. Slechts wanneer de betalingsdienstaanbieder gegronde redenen heeft om fraude door de betaler zelf te vermoeden en deze redenen schriftelijk aan de bevoegde nationale autoriteit (FOD Economie) meedeelt, kan hij de onmiddellijke terugbetaling achterwege laten.
Het Hof benadrukt dat artikel 74, lid 1 PSD2 (= art. VII.44, § 1 WER), dat bepaalt dat de betaler de verliezen draagt die voortvloeien uit een opzettelijke of grovelijk nalatige schending van zijn verplichtingen, geen bijkomende uitzondering op de onmiddellijke terugbetalingsverplichting creëert. Het Hof bevestigt aldus het onderscheid tussen enerzijds de verplichting om het bedrag van een niet-toegestane betalingstransactie onmiddellijk terug te betalen en anderzijds de vraag wie de daaruit voortvloeiende verliezen uiteindelijk moet dragen.
Deze interpretatie wordt volgens het Hof bevestigd door de doelstelling van PSD2 om een hoog niveau van consumentenbescherming te waarborgen. Indien de betalingsdienstaanbieder de onmiddellijke terugbetaling zou kunnen weigeren door zich op grove nalatigheid te beroepen, zou de betaler zelf een gerechtelijke procedure moeten instellen om terugbetaling te verkrijgen, met de daaraan verbonden kosten en moeilijkheden. Dit zou afbreuk doen aan de nuttige werking van de onmiddellijke terugbetalingsverplichting.
Het arrest heeft belangrijke gevolgen voor de behandeling van betwistingen over niet-toegestane betalingstransacties. Een betalingsdienstaanbieder kan de terugbetaling niet uitstellen totdat definitief is vastgesteld of de betaler grof nalatig heeft gehandeld. Het is in beginsel de betalingsdienstaanbieder die het initiatief moet nemen wanneer hij meent dat de betaler uiteindelijk de verliezen moet dragen.
Twee nuanceringen zijn evenwel essentieel. Ten eerste geldt de onmiddellijke terugbetalingsverplichting van artikel 73 PSD2 (art. VII.43 WER) uitsluitend voor niet-toegestane betalingstransacties. Zij is dus niet van toepassing wanneer een fraudeur de consument door misleiding ertoe brengt zelf een betalingstransactie toe te staan (authorised push payment fraud), zoals dat bijvoorbeeld het geval is bij factuurfraude en WhatsApp-fraude. Ten tweede betekent de onmiddellijke terugbetalingsverplichting niet dat de terugbetaling definitief is. De betalingsdienstaanbieder kan het terugbetaalde bedrag nadien opnieuw van de betaler terugvorderen wanneer hij overeenkomstig artikel 74 PSD2 (art. VII.44 WER) bewijst dat de verliezen voortvloeien uit een opzettelijke of grovelijk nalatige schending van diens verplichtingen om alle redelijke maatregelen te nemen om de veiligheid van het betaalinstrument en de persoonlijke beveiligingsgegevens ervan te waarborgen (zie art. VII. 38 WER) (zie verder in de nummer op p. 379: Cass. 29 juni 2026, met noot van Reinhard Steennot en Jarich Werbrouck). Het arrest verschuift aldus niet noodzakelijk de uiteindelijke aansprakelijkheid, maar wel het initiatief en het procesrisico bij de betwisting daarvan.
Reinhard Steennot
Hoogleraar UGent, Instituut Financieel Recht