Na de kortgedingrechter volgt ook het Hof van Cassatie: extra bescherming voor slachtoffers van phishing (Forum Advocaten)

Auteurs: Charlene Pétillon & Frederic Rosiers (Forum Advocaten)

Enkele weken geleden schreven wij reeds over een opmerkelijke beschikking van de voorzitter van de ondernemingsrechtbank Antwerpen, die oordeelde dat een bank een slachtoffer van phishing in principe eerst moet terugbetalen en pas nadien kan discussiëren over de vraag of de klant uiteindelijk aansprakelijk is wegens grove nalatigheid. Volgens de kortgedingrechter laat het Wetboek van Economisch Recht immers niet toe dat een bank haar onmiddellijke terugbetalingsplicht eenvoudigweg naast zich neerlegt door te stellen dat de klant zelf onvoorzichtig is geweest. (Lees daarover meer in onze eerdere bijdrage: https://forumadvocaten.be/publicaties/)

Intussen heeft ook het Hof van Cassatie zich uitgesproken over een phishingdossier. In een arrest van 29 juni 2026 verduidelijkt het hoogste rechtscollege hoe het begrip “grove nalatigheid” uit artikel VII.44 van het Wetboek van Economisch Recht moet worden geïnterpreteerd. Daarmee spreekt het Hof zich voor het eerst uit over een rechtsvraag die in vrijwel elk phishinggeschil centraal staat.

De aanleiding voor het arrest was een dossier waarin een bankklant het slachtoffer werd van phishing en daarbij bijna 25.000 euro verloor. De bank weigerde de geleden schade terug te betalen omdat zij van oordeel was dat de klant zelf grof nalatig had gehandeld bij het gebruik van zijn betaalinstrument. De zaak kende vervolgens een jarenlang gerechtelijk verloop en belandde uiteindelijk bij het Hof van Cassatie.

Anders dan de feitenrechter onderzoekt Cassatie niet opnieuw wie gelijk heeft of hoe de feiten precies zijn verlopen. Het Hof controleert uitsluitend of de rechter die eerder over de zaak oordeelde het recht correct heeft toegepast.

Het Hof formuleerde voor het eerst een algemene rechtsregel over de wijze waarop het begrip grove nalatigheid moet worden beoordeeld. Die rechtsregel zal voortaan richtinggevend zijn voor alle rechters die zich over phishinggeschillen moeten uitspreken. Het arrest reikt dan ook veel verder dan het individuele geschil dat eraan ten grondslag ligt.

Voor slachtoffers van phishing is dat zonder twijfel goed nieuws. Waar banken zich in het verleden vaak relatief snel op grove nalatigheid beriepen om een terugbetaling te weigeren, maakt het Hof duidelijk dat niet elke onvoorzichtigheid automatisch als grove nalatigheid kan worden beschouwd. Dat onderscheid is juridisch van groot belang en versterkt de rechtspositie van slachtoffers aanzienlijk.

Eerst de kortgedingrechter, nu het Hof van Cassatie

Op het eerste gezicht lijken de beschikking van de Antwerpse kortgedingrechter en het arrest van het Hof van Cassatie over hetzelfde te gaan. Beide uitspraken hebben immers betrekking op slachtoffers van phishing en beide behandelen de verhouding tussen een bank en haar klant na een niet-toegestane betalingstransactie.

Toch beantwoorden beide beslissingen een fundamenteel verschillende juridische vraag. Precies daarom vullen zij elkaar zo mooi aan.

De beschikking van de voorzitter van de ondernemingsrechtbank Antwerpen had betrekking op de onmiddellijke terugbetalingsplicht van de bank. Centraal stond de vraag of een bank een terugbetaling onmiddellijk mag weigeren door zich te beroepen op de vermeende grove nalatigheid van haar klant. Volgens de kortgedingrechter is dat in beginsel niet het geval. Artikel VII.43 WER verplicht de bank immers om een niet-toegestane betalingstransactie onverwijld terug te betalen, behoudens uitzonderlijke omstandigheden. Pas nadien kan worden onderzocht of de klant uiteindelijk zelf aansprakelijk is en de bank de uitgekeerde bedragen alsnog kan terugvorderen.

Met andere woorden: de Antwerpse beschikking gaat in essentie over het tijdstip van de terugbetaling. De rechter benadrukte dat de wet slachtoffers van phishing een onmiddellijke bescherming wil bieden en dat banken die bescherming niet kunnen uithollen door reeds bij de eerste melding van fraude te stellen dat de klant grof nalatig zou zijn geweest. De discussie over de uiteindelijke aansprakelijkheid behoort volgens die beslissing thuis in een procedure ten gronde, waar alle feiten grondig kunnen worden onderzocht.

Het arrest van het Hof van Cassatie vertrekt vanuit een andere invalshoek. De onmiddellijke terugbetalingsplicht staat daarin niet ter discussie. De centrale vraag luidt veeleer wanneer een bank zich uiteindelijk met succes op grove nalatigheid kan beroepen om de financiële gevolgen van de phishing toch ten laste van haar klant te leggen.

Die vraag is in de praktijk minstens even belangrijk. Banken voeren immers regelmatig aan dat een klant zelf verantwoordelijk is voor de geleden schade omdat hij bijvoorbeeld op een phishinglink heeft geklikt, een verificatiecode heeft ingegeven, persoonlijke gegevens heeft meegedeeld of instructies van een vermeende bankmedewerker heeft opgevolgd. Vaak wordt uit dergelijke feiten vrij snel afgeleid dat sprake is van grove nalatigheid.

Precies daar brengt het Hof van Cassatie nu meer duidelijkheid in. Het maakt duidelijk dat dergelijke vaststellingen op zichzelf niet volstaan om automatisch te besluiten dat een slachtoffer grof nalatig heeft gehandeld. Doorslaggevend blijft steeds de vraag of het concrete gedrag van de betaler zodanig afwijkt van wat van een redelijk en normaal zorgvuldig bankgebruiker mag worden verwacht, dat het als uitzonderlijk verwijtbaar moet worden beschouwd.

Samen zorgen beide uitspraken voor een aanzienlijk duidelijker juridisch kader. De eerste uitspraak bevestigt dat een bank haar onmiddellijke terugbetalingsplicht niet lichtvaardig kan ontlopen. De tweede verduidelijkt dat ook de uiteindelijke beoordeling van de aansprakelijkheid zorgvuldig en restrictief moet gebeuren.

Wat heeft het Hof van Cassatie nu juist beslist?

Volgens het Hof handelt een betaler dus slechts grof nalatig wanneer hij een gedraging stelt of nalaat te stellen die een redelijk en normaal zorgvuldig betaler nooit zou stellen of nooit zou nalaten te stellen. Hieruit volgt dat niet elke vergissing, onoplettendheid of vorm van goedgelovigheid volstaat om een slachtoffer zijn wettelijke bescherming te ontnemen.

Dat onderscheid is essentieel. Slachtoffers van phishing handelen immers zelden volledig risicoloos. Integendeel, phishing berust net op het misleiden van nietsvermoedende bankklanten. Fraudeurs maken daarbij gebruik van technieken die steeds geraffineerder worden en spelen vaak in op tijdsdruk, angst of vertrouwen. Het enkele feit dat een slachtoffer zich heeft laten misleiden, betekent daarom nog niet dat hij zich ook juridisch schuldig heeft gemaakt aan grove nalatigheid.

Het Hof van Cassatie bevestigt met zijn arrest dat tussen gewone onvoorzichtigheid en grove nalatigheid een wezenlijk juridisch verschil bestaat. Slechts wanneer het gedrag van de betaler zo ernstig afwijkt van wat van een redelijk en normaal zorgvuldig bankgebruiker mag worden verwacht, kan worden geoordeeld dat hij de bescherming van artikel VII.44 WER verliest.

Dat betekent evenwel niet dat grove nalatigheid onmogelijk wordt. Ook na dit arrest kunnen feitenrechters nog steeds oordelen dat een bankklant grof nalatig heeft gehandeld. Denk bijvoorbeeld aan situaties waarin een klant ondanks herhaalde en duidelijke veiligheidswaarschuwingen zijn persoonlijke beveiligingscodes vrijwillig aan een derde meedeelt of manifest onzorgvuldig omspringt met de beveiliging van zijn betaalinstrument.

Het Hof maakt echter duidelijk dat dergelijke conclusie niet automatisch uit de feiten mag worden afgeleid. De rechter zal steeds concreet moeten onderzoeken of de gedragingen van de betaler daadwerkelijk beantwoorden aan de strengere maatstaf die het Hof heeft geformuleerd.

Die verduidelijking is niet alleen van belang voor de feitenrechters, maar ook voor de banken zelf. Wie zich op grove nalatigheid beroept, zal voortaan nauwkeurig moeten motiveren waarom het gedrag van de klant zo uitzonderlijk onzorgvuldig was dat het de wettelijke bescherming van artikel VII.44 WER doet vervallen. Een algemene verwijzing naar het feit dat de klant “voorzichtiger had moeten zijn” of “niet op de link had mogen klikken” zal daarvoor in beginsel niet volstaan.

Het arrest dwingt de discussie met andere woorden naar het juiste juridische niveau. Niet de vraag óf een slachtoffer een fout heeft gemaakt, staat centraal, dat zal in phishingzaken vaak het geval zijn, maar wel of die fout dermate ernstig is dat zij juridisch als grove nalatigheid kan worden aangemerkt. Dat is een wezenlijk verschil en precies daarin ligt de grote meerwaarde van dit arrest.

Waarom is dit arrest zo belangrijk?

Het arrest van het Hof van Cassatie is belangrijk omdat het duidelijkheid brengt in een discussie die al jarenlang aanleiding geeft tot uiteenlopende standpunten tussen banken en slachtoffers van phishing.

In de praktijk beroepen banken zich immers regelmatig op grove nalatigheid om een terugbetaling te weigeren of om reeds terugbetaalde bedragen alsnog op hun klant te verhalen. Daarbij wordt vaak verwezen naar concrete handelingen van het slachtoffer. Zo wordt bijvoorbeeld aangevoerd dat de klant een phishinglink heeft aangeklikt, een verificatiecode heeft ingegeven, persoonlijke gegevens heeft meegedeeld of instructies heeft opgevolgd van iemand die zich voordeed als bankmedewerker.

Dergelijke vaststellingen kunnen uiteraard relevant zijn. Zij volstaan echter niet om automatisch te besluiten dat sprake is van grove nalatigheid.

Dat is precies de boodschap die uit het arrest van het Hof van Cassatie naar voren komt. De beoordeling mag niet beperkt blijven tot de vaststelling dát een klant een fout heeft gemaakt. Vrijwel elk slachtoffer van phishing zal achteraf moeten vaststellen dat hij iets anders had kunnen of moeten doen. Dat betekent echter nog niet dat hij daarom ook grof nalatig heeft gehandeld in de zin van artikel VII.44 WER.

Het arrest versterkt daarmee niet alleen de rechtspositie van slachtoffers van phishing, maar draagt ook bij tot een grotere rechtszekerheid. Zowel banken als rechters beschikken voortaan over een duidelijk juridisch beoordelingskader voor de toepassing van het begrip grove nalatigheid. Dat zal ongetwijfeld bijdragen tot een meer uniforme rechtspraak in toekomstige phishinggeschillen.

Betekent dit dat slachtoffers voortaan altijd gelijk krijgen?

Neen.

Het arrest van het Hof van Cassatie betekent geenszins dat slachtoffers van phishing voortaan automatisch recht hebben op een terugbetaling of dat banken zich nooit meer op grove nalatigheid kunnen beroepen.

Zoals reeds aangegeven, heeft het Hof zich niet uitgesproken over de feiten van het concrete geschil. Het Hof van Cassatie beoordeelt immers niet opnieuw wie gelijk heeft, maar gaat uitsluitend na of de feitenrechter het recht correct heeft toegepast. In dit arrest verduidelijkt het Hof enkel welke juridische maatstaf moet worden gehanteerd bij de beoordeling van grove nalatigheid.

Het blijft dan ook aan de feitenrechter om die rechtsregel toe te passen op de concrete omstandigheden van elk individueel dossier. Daarbij zal telkens moeten worden onderzocht hoe de fraude precies is verlopen, welke informatie het slachtoffer op dat ogenblik ter beschikking had en of zijn gedragingen werkelijk dermate afweken van wat van een redelijk en normaal zorgvuldig betaler mag worden verwacht.

Het arrest verlaagt de drempel voor grove nalatigheid dus niet, maar maakt wel duidelijk dat die kwalificatie niet lichtvaardig mag worden aangenomen. Banken zullen hun standpunt zorgvuldig moeten motiveren en rechters zullen hun beoordeling uitdrukkelijk moeten toetsen aan de maatstaf die het Hof van Cassatie heeft geformuleerd.

Besluit

Met dit arrest zet het Hof van Cassatie een belangrijke stap in de verdere ontwikkeling van de Belgische phishingrechtspraak.

Waar de voorzitter van de ondernemingsrechtbank Antwerpen eerder reeds benadrukte dat een bank een slachtoffer van phishing in principe eerst moet terugbetalen en pas nadien de discussie over de uiteindelijke aansprakelijkheid kan voeren, verduidelijkt het Hof van Cassatie nu onder welke voorwaarden een bank zich in die latere aansprakelijkheidsfase nog op grove nalatigheid kan beroepen.

Beide uitspraken beantwoorden dus een verschillende juridische vraag, maar vullen elkaar op een bijzonder logische wijze aan. Samen bevestigen zij dat de bescherming die het Wetboek van Economisch Recht aan slachtoffers van phishing biedt, niet lichtvaardig mag worden uitgehold. Enerzijds kunnen banken hun onmiddellijke terugbetalingsplicht niet zomaar naast zich neerleggen. Anderzijds kan ook het uitzonderingsbegrip “grove nalatigheid” slechts worden toegepast wanneer aan de strenge voorwaarden is voldaan.

Voor bankklanten betekent dit geen absolute garantie op terugbetaling. Phishingdossiers zullen ook in de toekomst in belangrijke mate afhangen van hun concrete feiten en omstandigheden. Wel beschikken slachtoffers voortaan over een duidelijker juridisch kader om een weigering van hun bank kritisch te laten toetsen.

Wie na een phishingincident wordt geconfronteerd met een weigering tot terugbetaling, doet er dan ook goed aan zijn dossier juridisch te laten beoordelen. Het enkele feit dat een bank stelt dat sprake is van grove nalatigheid, betekent immers nog niet dat dit standpunt ook juridisch standhoudt. Werd ook u slachtoffer van phishing en weigert uw bank tussen te komen? Onze advocaten staan u graag bij om de kansen en mogelijkheden van uw dossier te beoordelen.

Bron: Forum Advocaten