OerlemansBlog - Blog about cybercrime and privacy

Op security.nl is bij de rubriek achtergrond een interessant bericht van de jurist Arnoud Engelfriet te lezen. Hij gaat in op de vraag of banken anti-virus software en een firewall verplicht kunnen stellen aan hun cliënten. Engelfriet beantwoordt de vraag bevestigend.

In het bericht wordt verteld dat op grond van art. 7:529 BW de klant tot 150 euro aansprakelijk is bij ‘het verlies met betrekking tot een niet-toegestane betalingstransactie dat voortvloeit uit het gebruik van een verloren of gestolen betalingsinstrument’. Oftewel, ben je het slachtoffer van phising of een frauduleuze transactie dan ben je in principe voor niet meer dan 150 euro aansprakelijk. Wel moet dan  aan de andere voorwaarden van het artikel worden gedaan.

De klant is namelijk geheel aansprakelijk als hij opzettelijk of met grove nalatigheid een of meer verplichtingen uit artikel 7:524 BW niet is nagekomen. In artikel 7:524 lid 1 sub a staat dat de betaaldienstgebruiker overeenkomstig de voorwaarden van uitgifte van het betaalinstrument moet handelen. In lid 2 wordt verder gezegd dat de klant alle redelijke maatregelen moeten nemen om de veiligheid van de gepersonaliseerde veiligheidskenmerken ervan te waarborgen. Zijn de voorwaarden in het maatschappelijk verkeer redelijk en worden de voorwaarden opzettelijk of ‘met grove nalatigheid’ niet nagekomen, dan is de klant dus aansprakelijk voor de schade dat voortvloeit uit de transacties.

Engelfriet stelt dat de eis van een bank om een geüpdate virusscanner en firewall verplicht te stellen vandaag de dag redelijk te noemen is. Als dit in de voorwaarden van een bank duidelijk staat en een klant komt deze voorwaarden niet na, dan is de klant dus aansprakelijk voor de schade dat voortvloeit uit de frauduleuze transactie. Ik ben het daarmee eens, maar wil daarbij wel wijzen op lid 3 van artikel 7:529 BW waarin staat dat de rechter de aansprakelijkheid kan beperken als de klant niet opzettelijk of frauduleus heeft gehandeld.

Na overheidscampagnes als  ‘drie keer kloppen’ en veel media-aandacht over ‘phising’ en gevaarlijke malware als ZeuS, mag duidelijk zijn dat het gevaar van frauduleuze transacties reëel is. Het is naar mijn mening redelijk te noemen zijn dat indien een bank het gebruik van anti-virussoftware verplicht stelt en dit niet wordt nageleefd een cliënt (tot op zekere hoogte) zelf aansprakelijk is. Indien er geen opzet in spel is kan de schade door een rechter worden beperkt, maar daarvoor moet wel een aparte zaak worden gestart.