Banken moeten klanten die het slachtoffer van fraude zijn geworden, zoals phishing, meteen vergoeden, ook als er sprake is van grove nalatigheid. De bank kan daarna wel proberen om de schade op de klant te verhalen als die grof nalatig heeft gehandeld. Dat heeft het Europees Hof van Justitie vandaag geoordeeld in de zaak van een Poolse bankklant (pdf).

De klant werd slachtoffer van een phishingaanval toen zij een product op een online marktplaats aanbood. De aanvaller benaderde de klant en deed zich voor als koper, waarbij de aanvaller een link verstuurde om zogenaamd de verkoop te bevestigen. In werkelijkheid ging het om een phishingpagina waarop de Poolse bankklant haar gegevens invulde. Met de ingevoerde gegevens werd vervolgens 700 euro van de bankrekening van de klant gestolen.

De bank weigerde de schade te vergoeden, omdat het vond dat de klant grof nalatig had gehandeld. Ze had de verplichting om haar inloggegevens te beschermen geschonden, stelde de bank. Daarop stapte de klant naar een Poolse rechtbank, die het Europees Hof van Justitie vroeg of de bank verplicht is om de ongeautoriseerde transactie te vergoeden, ook als het vindt dat de klant grof nalatig heeft gehandeld. Volgens het hof moeten banken dit inderdaad doen. Het gestolen bedrag zou binnen één dag op de rekening van de klant moeten staan.

Alleen als een bank opzettelijke fraude door de klant vermoedt en de gronden waarop dit is gebaseerd kenbaar maakt aan de bevoegde 'nationale autoriteit', hoeft het geld niet te worden vergoed. In het geval de bank vindt dat de klant zich grof nalatig heeft gedragen kan het wel proberen om de schade op de klant te verhalen. Het is daarbij aan de bank om te bewijzen dat er sprake van grove nalatigheid is aan de kant van de klant.