Is de bank aansprakelijk bij phishing als privégeld via een professionele rekening wordt gestolen?

Phishing blijft een enorme plaag, waarbij fraudeurs steeds inventiever te werk gaan. Een complex vraagstuk ontstaat wanneer fraudeurs privégelden eerst doorsluizen naar een vennootschapsrekening van het slachtoffer, om het vervolgens te stelen. Kan de bank zich dan verschuilen achter de minder strenge regels voor bedrijven? Blijkens een vonnis van de Nederlandstalige Ondernemingsrechtbank Brussel van 13 maart 2025 is het antwoord duidelijk: neen. Zolang de fraude start in de privésfeer, geniet u consumentenbescherming en moet de bank terugbetalen, tenzij zij grove nalatigheid hard kan maken.

De feiten: een complex fraudecircuit

In deze zaak werden de slachtoffers, die tevens bestuurders waren van een besloten vennootschap (BV), geconfronteerd met grootschalige fraude.

Tussen 1 en 4 augustus 2021 vonden er verdachte transacties plaats. De modus operandi was specifiek: de fraudeurs schreven eerst € 40.000 over van de privérekeningen van de slachtoffers naar hun eigen professionele vennootschapsrekening. Vervolgens werd het geld vanaf die vennootschapsrekening weggesluisd naar derden.

De bank (KBC) weigerde het grootste deel van de schade (€ 37.766,12) te vergoeden. De bank argumenteerde dat de uiteindelijke diefstal plaatsvond vanaf de bedrijfsrekening, waardoor de slachtoffers niet als consumenten maar als professionelen moesten worden beschouwd. Bovendien verweet de bank de slachtoffers “grove nalatigheid” omdat de transacties met de app waren ondertekend.

De beslissing van de rechtbank

De rechtbank stelde de slachtoffers volledig in het gelijk en veroordeelde de bank tot terugbetaling van de integrale som, vermeerderd met interesten en kosten.

De rechter baseerde zich op drie elementen:

1. De oorsprong van het geld telt: Hoewel het geld effectief verdween via de vennootschapsrekening, oordeelde de rechtbank dat de fraude begon op de privérekeningen. De slachtoffers handelden op dat moment als consument. Dat het geld via hun vennootschap werd getransiteerd, verandert hun hoedanigheid niet.
2. Geen uitsluiting van aansprakelijkheid: Omdat de slachtoffers als consument werden aangemerkt, kon de bank zich niet beroepen op contractuele clausules die de aansprakelijkheid beperken (zoals vaak het geval in B2B-relaties).
3. Geen bewijs van grove nalatigheid: De bank slaagde er niet in om te bewijzen dat de slachtoffers hun codes hadden gedeeld of op een phishing-link hadden geklikt. Loutere loggegevens van de bank die tonen dat de app werd gebruikt, volstaan niet als bewijs van grove nalatigheid.

Juridische analyse en duiding

Dit vonnis is van belang voor de rechtspraak rond artikel VII.44 van het Wetboek van Economisch Recht (WER). Dit artikel regelt de aansprakelijkheid bij niet-toegestane betalingstransacties.

Consument vs. professioneel (Art. VII.29 WER)

In het bankrecht is het onderscheid tussen consument en professioneel belangrijk. Bij professionele klanten (B2B) staat artikel VII.29 WER toe dat partijen contractueel afwijken van de strenge aansprakelijkheidsregels. Banken proberen in fraudedossiers vaak de zaak naar de professionele sfeer te trekken om zo de strikte consumentenbescherming te omzeilen.

De rechtbank doorprikt hier echter de “constructie” van de fraudeurs. De rechter kijkt naar de economische realiteit: het verlies trof het privévermogen. De rechtbank bevestigt hiermee dat de bescherming van artikel VII.44 WER van dwingend recht is wanneer de schade zijn oorsprong vindt in de privésfeer, ongeacht de technische route die het geld aflegt.

De bewijslast van grove nalatigheid (Art. VII.44, §4 WER)

Het vonnis herbevestigt de zware bewijslast die op banken rust. Volgens artikel VII.44, §4 WER moet de bank bewijzen dat er sprake is van fraude of grove nalatigheid.

De rechtbank past hier artikel 8.4 van het Burgerlijk Wetboek strikt toe: bij twijfel wordt de partij die de bewijslast draagt (de bank) in het ongelijk gesteld. Het argument van de bank dat de installatie van de app noodzakelijkerwijs het gebruik van de kaartlezer en geheime code vereist, en dat er dus sprake moet zijn van nalatigheid, wordt als onvoldoende beschouwd. Zonder concreet bewijs van een actieve handeling (zoals het doorgeven van een code aan een derde), kan grove nalatigheid niet worden aangenomen.

Wat dit concreet betekent voor u

Deze uitspraak heeft belangrijke gevolgen voor slachtoffers van bankfraude:

• Voor particulieren met een vennootschap: Als fraudeurs uw privérekening en uw zakelijke rekening “vermengen” tijdens de diefstal, verliest u niet automatisch uw bescherming als consument. De bank moet u vergoeden volgens de consumentenregels als de fraude privé begon.
• Bewijspositie: U hoeft als slachtoffer niet te bewijzen hoe de fraudeurs exact te werk zijn gegaan. Het is aan de bank om aan te tonen dat u grof nalatig bent geweest. Een enkele bewering van de bank dat “het technisch onmogelijk is zonder uw code” volstaat niet in de rechtbank.
• Meldingsplicht: In dit dossier speelde in het voordeel van de slachtoffers dat zij onmiddellijk (de dag van vaststelling) de bank contacteerden en klacht indienden bij de politie. Snelle actie blijft essentieel.

Veelgestelde Vragen (FAQ)

Wat is “grove nalatigheid” bij phishing?
Grove nalatigheid is meer dan een simpele onoplettendheid. Het gaat om een verregaande vorm van onvoorzichtigheid, zoals het vrijwillig doorgeven van uw pincode en bankkaart aan een wildvreemde. Het louter aanklikken van een link of slachtoffer worden van geavanceerde spoofing wordt door rechters vaak niet als grove nalatigheid gezien.

Is de bank altijd aansprakelijk voor gestolen geld?
In principe wel, tenzij de bank kan bewijzen dat u zelf fraudeerde of grof nalatig was (art. VII.44 WER). Tot aan dat bewijs moet de bank de niet-toegestane transacties onmiddellijk terugbetalen. Er geldt wel vaak een eigen risico van maximaal € 50, tenzij u de fraude niet kon opmerken.

Geldt consumentenbescherming ook voor de rekening van mijn vennootschap?
Standaard niet. Voor professionele rekeningen kunnen banken in hun algemene voorwaarden de aansprakelijkheid beperken. Echter, zoals dit vonnis aantoont: als de fraude start met privégelden die door de fraudeur naar uw BV worden overgeboekt, kunt u mogelijk toch een beroep doen op consumentenbescherming.

Conclusie

Banken proberen in complexe fraudedossiers vaak de verantwoordelijkheid af te wimpelen door te schermen met technische logs of het zakelijke karakter van een rekening. De rechtspraak toont echter aan dat rechters een zeer kritische houding aannemen tegenover deze argumenten. De bewijslast voor grove nalatigheid ligt zeer hoog en rust volledig bij de bank.