Phishing en niet-toegestane betalingen in Spanje: wanneer de bank het geld moet teruggeven

Er komt een bericht binnen in dezelfde draad als elk echt bericht dat uw bank u ooit heeft gestuurd: er is een ongebruikelijke afschrijving vastgesteld, en u kunt die hier annuleren. De pagina achter de link lijkt op die van de bank. U typt uw wachtwoord. Een kwartier later zijn er betalingen van de rekening gegaan die u nooit hebt gedaan, en een week daarna meldt een e-mail dat er niets wordt terugbetaald, omdat de verrichtingen «correct waren geautoriseerd met uw gepersonaliseerde beveiligingsgegevens». Dat is in de meeste van deze zaken het eerste antwoord van de bank. Het is niet dat van de wet. Het Spaanse betalingsrecht begint aan het andere eind: een betaling is alleen toegestaan als u ermee hebt ingestemd, een niet-toegestane betaling moet uiterlijk aan het einde van de volgende werkdag zijn terugbetaald, en het is de bank, niet de klant, die fraude of grove nalatigheid moet bewijzen. Deze notitie leest de regel zoals die in oktober 2026 geldt — de wet, het arrest van het Hooggerechtshof van april 2025, twee Canarische uitspraken in hoger beroep en de cijfers van de Banco de España zelf — en zegt waar de bescherming ophoudt. Citaten staan in het Spaans, met de lezing in het Nederlands.

«Toegestaan» betekent ingestemd, niet «ingetypt met uw codes»

De regel is artikel 36 van Real Decreto-ley 19/2018, de betalingsdienstenwet: Las operaciones de pago se considerarán autorizadas cuando el ordenante haya dado el consentimiento para su ejecución — betalingstransacties worden als toegestaan beschouwd wanneer de betaler heeft ingestemd met de uitvoering ervan — en A falta de tal consentimiento la operación de pago se considerará no autorizada — bij gebreke van die instemming wordt de betalingstransactie als niet-toegestaan beschouwd. Een betaling die een vreemde doet met inloggegevens die hij u heeft ontfutseld, is gedaan met uw codes en zonder uw instemming.

Het Hooggerechtshof heeft dat met zoveel woorden gezegd in zijn arrest 571/2025 van 9 april 2025: «niet-toegestane transacties» zijn ook de transacties die zijn gestart met de gebruikersnaam en het wachtwoord van de klant en bevestigd met de code die de bank per sms stuurde, telkens wanneer de klant ontkent ze te hebben toegestaan. Het contract kan niets anders bepalen. De regeling is dwingend voor beide partijen, en een beding waarbij de klant elke verrichting met zijn sleutels als de zijne aanvaardt, zet haar niet opzij.

De terugbetaling: uiterlijk aan het einde van de volgende werkdag

Zodra de bank van een niet-toegestane betaling weet, moet zij het geld teruggeven de inmediato y, en cualquier caso, a más tardar al final del día hábil siguiente a aquel en el que haya observado o se le haya notificado la operación — onmiddellijk en in elk geval uiterlijk aan het einde van de werkdag na die waarop zij de transactie heeft opgemerkt of ervan in kennis is gesteld (artikel 45.1) — en de rekening herstellen in de toestand waarin zij zou zijn geweest. Er is één uitweg: de bank mag de terugbetaling inhouden als zij redelijke gronden heeft om fraude van de klant zelf te vermoeden en die gronden schriftelijk aan de Banco de España meedeelt. «Wij onderzoeken het» is niet die mededeling.

Uw deel: de bank meteen inlichten, en nooit later dan dertien maanden

De klant heeft twee plichten (artikel 41): todas las medidas razonables a fin de proteger sus credenciales de seguridad personalizadas — alle redelijke maatregelen nemen om zijn gepersonaliseerde beveiligingsgegevens te beschermen — en de bank onverwijld in kennis stellen van het verlies, de diefstal of het niet-toegestane gebruik van het instrument. Van de tweede hangt het recht op terugbetaling af. De bank moet worden ingelicht sin demora injustificada, en cuanto tenga conocimiento de cualquiera de dichas operaciones — zonder onnodige vertraging, zodra hij van een dergelijke transactie kennis heeft — en in elk geval dentro de un plazo máximo de trece meses contados desde la fecha del adeudo — binnen een maximumtermijn van dertien maanden vanaf de datum van de afschrijving (artikel 43.1).

Dertien maanden is de buitenmuur, niet de datum om op te mikken: elk uur tussen de fraude en het telefoontje is een uur dat de bank later tegen u zal gebruiken. Na uw melding zijn de verliezen voor de bank, tenzij u frauduleus hebt gehandeld (artikel 46.3), en de bank moet voor die melding op elk moment, en kosteloos, een kanaal openhouden (artikel 42.1.c).

Wie wat moet bewijzen

Hier is de wet op haar nuttigst. Wanneer een klant ontkent een betaling te hebben toegestaan, moet de bank aantonen dat de transactie is geauthenticeerd, juist is geregistreerd en geboekt, en dat zij niet is getroffen door een technische storing of een ander gebrek van haar dienst (artikel 44.1). Zelfs dan geldt voor de registratie dat het instrument is gebruikt: no bastará, necesariamente, para demostrar que la operación de pago fue autorizada por el ordenante — zij volstaat niet noodzakelijk om te bewijzen dat de betalingstransactie door de betaler is toegestaan — en evenmin dat hij frauduleus of met grove nalatigheid heeft gehandeld (artikel 44.2). En ook het laatste woord is bewijslast van de bank: het is aan de aanbieder om probar que el usuario del servicio de pago cometió fraude o negligencia grave — te bewijzen dat de betalingsdienstgebruiker fraude of grove nalatigheid heeft begaan (artikel 44.3).

Het Hooggerechtshof trok de gevolgen in arrest 571/2025. De aansprakelijkheid van de bank tiene carácter cuasi objetivo — is quasi-objectief van aard — in twee betekenissen: ingelicht over een niet-toegestane betaling, staat zij ervoor in tenzij zij fraude bewijst; en wanneer de klant de betaling ontkent, bevrijdt een logboek dat toont dat de juiste codes zijn gebruikt haar niet. «Gebrek van de dienst», voegde het Hof eraan toe, is niet alleen een computerstoring: het omvat cualquier falta de diligencia o mala praxis en la prestación del servicio — elk gebrek aan zorgvuldigheid of elke slechte praktijk bij het verlenen van de dienst —, gemeten naar de maatstaf van een deskundige handelaar en niet naar die van een gewoon zorgvuldig persoon, en tot de goede praktijk behoren systemen die een abnormaal betalingspatroon opmerken en stoppen.

De zaak laat zien wat dat betekent. In de nacht van 17 op 18 maart 2021 verlieten vijftien overschrijvingen een rekening in Zaragoza — tien via Bizum, vijf via internetbankieren —, € 83.692,73 met de kosten, bevestigd met codes die naar een telefoonlijn gingen waarvan de simkaart die middag in een winkel in een andere regio was gedupliceerd. De klant zei zijn kantoor al drie weken dat hij codes ontving voor overschrijvingen die hij niet had opgedragen. De bank haalde € 27.218,10 terug bij de ontvangende banken en weigerde de rest; drie rechters na elkaar veroordeelden haar tot betaling van de resterende € 56.474,63. No puede considerarse como normal e irrelevante que una persona que jamás efectúa operaciones de madrugada, de repente, proceda a llevar a cabo hasta diecisiete operaciones seguidas y por un importe tan elevado — het kan niet als normaal en onbelangrijk worden beschouwd dat iemand die nooit in de vroege ochtend verrichtingen doet, plotseling tot wel zeventien verrichtingen na elkaar uitvoert, en voor zo'n hoog bedrag.

Wat de klant kan moeten dragen: € 50, alles of niets

De € 50 is het deel van de klant wanneer een verloren of gestolen instrument wordt gebruikt: de betaler kan worden verplicht hasta un máximo de 50 euros — tot maximaal 50 euro — te dragen. Het plafond vervalt, en het hele verlies komt voor rekening van de klant, alleen als hij het heeft geleden por haber actuado de manera fraudulenta o por haber incumplido, deliberadamente o por negligencia grave, una o varias de las obligaciones que establece el artículo 41 — doordat hij frauduleus heeft gehandeld of doordat hij opzettelijk of met grove nalatigheid een of meer van de verplichtingen van artikel 41 niet is nagekomen. En waar de bank geen sterke cliëntauthenticatie eiste — twee onafhankelijke elementen uit iets wat u weet, iets wat u hebt en iets wat u bent —, el ordenante solo soportará las posibles consecuencias económicas en caso de haber actuado de forma fraudulenta — draagt de betaler de mogelijke financiële gevolgen alleen als hij frauduleus heeft gehandeld (artikel 46.2).

«Grove nalatigheid»: wat de rechters ervan hebben gemaakt

Alles draait dus om twee woorden. De Europese richtlijn achter de Spaanse wet geeft de maat, en het Hooggerechtshof citeert haar: la negligencia grave tiene que significar algo más que la mera negligencia — grove nalatigheid moet meer betekenen dan gewone nalatigheid —, gedrag dat blijk geeft van een aanzienlijke mate van onzorgvuldigheid, zoals de inloggegevens naast de kaart bewaren in een vorm die iedereen kan lezen. Misleid worden door een goed gemaakte vervalsing ligt niet op dat niveau, en de Canarische rechters hebben dat twee keer gezegd, in zaken waarvan elke cliënt de feiten zal herkennen.

In Las Palmas (Audiencia Provincial, uitspraak 207/2025 van 4 april 2025) kwam het bericht binnen per sms onder de naam van de bank: een ongebruikelijke afschrijving, een link om die te annuleren. De klant typte zijn wachtwoord voor internetbankieren op de pagina achter de link; er volgden twee kaartaankopen, samen € 3.286; de bank weigerde de terugbetaling omdat de verrichtingen «correct waren geautoriseerd». Het hof bevestigde het vonnis tegen de bank. Het certificaat dat de bank zelf had overgelegd vermeldde dat het toestel of de instantie die de klant authenticeerde niet was geïdentificeerd, en la entidad bancaria actuó sin tomar las medidas de diligencia y seguridad exigidas y la consecuencia del incumplimiento es la obligación de devolver el importe de la operación — de bank handelde zonder de vereiste zorgvuldigheids- en veiligheidsmaatregelen te nemen, en het gevolg van die tekortkoming is de verplichting om het bedrag van de transactie terug te geven.

In Santa Cruz de Tenerife (Audiencia Provincial, uitspraak 177/2024 van 23 april 2024) was de klant verder gegaan: aan de telefoon met iemand die zich voordeed als medewerker van een telefoonmaatschappij gaf hij de codes door die de bank hem stuurde, en er volgde een reeks kaartaankopen, bijna gelijktijdig gedaan vanuit steden aan tegenovergestelde kanten van de wereld; de vordering bedroeg € 44.227,28. De bank noemde het grove nalatigheid. Het hof niet. De nalatigheid die de wet vereist is cercana al concepto de falta de diligencia inexcusable, razón por la cual su apreciación debe ser de carácter restrictivo — dicht bij het begrip onverschoonbaar gebrek aan zorgvuldigheid, en daarom moet zij restrictief worden aangenomen —, en een bank die geen systeem bewijst dat zo'n reeks verrichtingen kan opmerken, vlak nadat het toegangswachtwoord en de kaartlimieten waren gewijzigd, kan het verlies niet afwentelen op een klant die te goed van vertrouwen was.

Niet elke zaak eindigt zo. De richtlijn zelf zegt dat alle omstandigheden moeten worden gewogen, en andere feiten kunnen een ander resultaat geven.

Wanneer u de overschrijving zelf hebt gedaan

Een andere fraude vraagt een andere regel. Bent u ertoe gebracht de betaling zelf op te dragen — de factuur van de leverancier met een gewijzigd rekeningnummer, de «bankmedewerker» die u overhaalt uw spaargeld naar een «veilige rekening» te verplaatsen —, dan past de wettelijke terugbetalingsregel niet zonder meer: zij is geschreven voor betalingen zonder uw instemming, en een betaling die u zelf hebt opgedragen, hoe misleid ook, is op het eerste gezicht een toegestane betaling. Het klachtenverslag van de Banco de España rekent haar tot de verrichtingen die «door misleiding zijn toegestaan» en verwijst de klant naar de politie, de consumentenautoriteiten of de rechter. Voor de rechter blijft het algemene contractenrecht over, waarin uw eigen gedrag wordt afgewogen tegen dat van de bank. Arrest 787/2026 van het Hooggerechtshof van 25 mei 2026 geeft de maat: een vennootschap waarvan de medewerkster van de treasury door iemand die zich voordeed als bestuurder ertoe was gebracht zeven overschrijvingen naar China op te dragen, kreeg de helft van haar € 1.566.951,50 terug — € 783.475,75 — omdat de bank het schriftelijke protocol had genegeerd dat de vennootschap haar had gegeven, en de vennootschap instond voor het aandeel van haar medewerkster in de misleiding.

Sinds 9 oktober 2025 werkt één instrument voordat het geld vertrekt. Bij overschrijvingen in euro moeten banken in het eurogebied de naam van de begunstigde vergelijken met het rekeningnummer voordat u autoriseert, en u zeggen wanneer die niet overeenkomen, met de waarschuwing dat autorizar la transferencia podría dar lugar a la transferencia de fondos a una cuenta de pago de la que no sea titular el beneficiario indicado por el ordenante — het autoriseren van de overschrijving ertoe zou kunnen leiden dat het geld wordt overgemaakt naar een betaalrekening waarvan de door de betaler aangeduide begunstigde niet de houder is (Verordening (EU) 260/2012, artikel 5 quater, toegevoegd in 2024). Laat de bank de controle na en gaat de betaling daardoor mis, dan moet zij het bedrag onverwijld terugbetalen; heeft zij u gewaarschuwd en bent u toch doorgegaan, dan is zij niet aansprakelijk voor de overschrijving naar de rekening die u hebt ingetypt. Een waarschuwing dat naam en nummer niet overeenkomen bij een «nieuw rekeningnummer» dat per e-mail kwam, is het moment om de leverancier te bellen op het nummer dat u al had.

Bedrijven zijn minder beschermd dan consumenten

De regels hierboven beschermen consumenten volledig, en micro-ondernemingen bijna volledig. Een grotere onderneming kan worden gevraagd er contractueel afstand van te doen: is de gebruiker geen van beide, dan kunnen partijen overeenkomen dat de artikelen 44 en 46 — de bewijslast en de grenzen van de aansprakelijkheid van de klant — niet gelden; en met elke gebruiker die geen consument is, micro-ondernemingen inbegrepen, kan een andere termijn dan de dertien maanden worden afgesproken (artikel 34.1). Lees het bankcontract van uw onderneming vóór de fraude, niet erna.

De weg: de bank, de Banco de España, de rechter

Drie stappen, in deze volgorde. Eerst komt de klantenservice van de bank, schriftelijk. Voor betalingsdiensten moet zij antwoorden a más tardar quince días hábiles después de la recepción de la reclamación — uiterlijk vijftien werkdagen na ontvangst van de klacht — en uiterlijk binnen een maand als zij de vertraging uitlegt (artikel 69).

Dan komt de Banco de España, als de bank weigert of zwijgt: haar afdeling gedragstoezicht neemt klachten online of op papier aan, en een consument heeft een jaar vanaf de klacht bij de bank om er een in te dienen. Twee dingen moet u over die weg weten voordat u hem kiest. Haar rapport zou binnen vier maanden moeten komen, en het no tiene carácter vinculante — is niet bindend (Orden ECC/2502/2012, artikel 12): de bank kan het naast zich neerleggen. En in deze materie is haar balans gemengd. In 2025 ontving de Banco de España 30.970 klachten; 30 % daarvan betrof betalingen gedaan in een context van misleiding of oplichting, ongeveer 18 % meer dan het jaar ervoor, twee derde per kaart en een derde per overschrijving — en bij kaartklachten, zegt haar eigen verslag, overwegen de beslissingen ten gunste van de banken, in dossiers die vooral gaan over frauduleuze betalingen die de sterke authenticatie hadden doorstaan. De toezichthouder kijkt of de bank de regels van goede praktijk heeft gevolgd; de rechters passen de hierboven beschreven bewijslast toe.

De rechter is de derde stap, en die waarin de hier aangehaalde uitspraken zijn verkregen. Aangifte bij de politie is geen vierde: het is een stap die de bank op de eerste dag zal vragen, zij legt de datum en de feiten vast, en wat het strafrechtelijk onderzoek daarna doet, is een aparte zaak die deze notitie niet behandelt.

Wat te doen in het eerste uur, en in de eerste twee weken

• Bel de bank en laat alles blokkeren. De kaart, internetbankieren, Bizum; vraag om de referentie van het gesprek.
• Zet het dezelfde dag op papier. Zeg dat u de betalingen niet hebt toegestaan, som ze op en vraag de terugbetaling van artikel 45, via een kanaal dat bewijs achterlaat.
• Doe aangifte bij de politie en bewaar de kopie. De bank zal erom vragen.
• Teken niets waarin staat dat u de verrichtingen hebt «geautoriseerd». Een klachtformulier is geen erkenning; lees wat erin staat.
• Laat de telefoon zoals hij is. De berichten, de bellijst en de link zijn bewijs.
• Werkte uw simkaart niet meer, schrijf dan ook de telefoonaanbieder aan. Via een duplicaat-sim is de code bij iemand anders terechtgekomen.
• Tel vijftien werkdagen. Kies daarna met de papieren in de hand tussen de Banco de España en de rechter.

De eerste brief van de bank zegt dat de codes van u waren. De wet stelt een andere vraag: hebt u ingestemd — en kan de bank bewijzen dat de fout grof was, en de uwe?

Wat ons team bankrecht doet

Wij toetsen het dossier aan de wet en aan de uitspraken hierboven — het tijdstip van elke betaling, wat de registraties van de bank werkelijk bewijzen, wat u de bank hebt gezegd en wanneer —, stellen de klacht aan de bank op en brengen de zaak, als zij weigert, voor de rechter. Het consult is betaald en wordt vooraf begroot, en niemand kan beloven wat een rechter zal beslissen. Bankklachten lijken niet allemaal op elkaar: onze notities over bodemclausules en over de IRPH-index behandelen er twee andere. De dienst staat beschreven op onze pagina bankrecht, en de contactpagina vermeldt de openingstijden van beide kantoren.

Veelgestelde vragen

De bank zegt dat de betalingen met mijn gegevens zijn geauthenticeerd. Is daarmee de kous af?

Nee. Authenticatie bewijst dat de juiste codes zijn gebruikt, niet dat u hebt ingestemd. De wet zegt dat de registratie van de bank niet noodzakelijk volstaat om de autorisatie te bewijzen (artikel 44.2), en het Hooggerechtshof oordeelde in april 2025 dat betalingen met het wachtwoord van de gebruiker en de sms-code niet zijn toegestaan als de gebruiker ze ontkent, tenzij de bank fraude of grove nalatigheid bewijst.

Hoe lang heb ik om te reclameren?

Licht de bank in op de dag dat u het ontdekt. De wet eist een melding zonder onnodige vertraging en stelt een uiterste grens van dertien maanden vanaf de afschrijving; een consument heeft daarna een jaar vanaf de klacht bij de bank om naar de Banco de España te gaan. Wachten helpt alleen de andere partij.

Ik heb op de link geklikt en mijn wachtwoord ingetypt. Was dat grove nalatigheid?

Op zichzelf niet, volgens de uitspraken die voor deze notitie zijn gelezen. Grove nalatigheid is meer dan gewone nalatigheid en wordt restrictief aangenomen; de rechters in Las Palmas en Santa Cruz de Tenerife weigerden haar aan te nemen bij klanten die waren misleid door een vervalst bankbericht en door een valse medewerker aan de telefoon, en keken in plaats daarvan naar wat de systemen van de bank niet hadden opgemerkt. Elke zaak wordt op haar eigen feiten beslist.

Beschermt dit de rekening van mijn onderneming?

Bijna volledig als de onderneming een micro-onderneming is: van de hier beschreven regels kan haar contract alleen de termijn van dertien maanden wijzigen. Het contract van een grotere onderneming kan daarnaast de regels over de bewijslast en de aansprakelijkheid hebben uitgesloten, en een fraude waarbij een werknemer de overschrijving opdroeg wordt beoordeeld naar het algemene contractenrecht, waar de eigen onzorgvuldigheid van de onderneming meetelt.

Is het rapport van de Banco de España bindend voor de bank?

Nee. Het is een gemotiveerd advies dat binnen vier maanden zou moeten komen; de bank moet zeggen of zij het aanvaardt, en zij hoeft dat niet te doen. Een rechterlijke uitspraak is de enige beslissing die de bank tot betalen verplicht.

Algemene informatie over het Spaanse recht zoals het geldt in oktober 2026 (Real Decreto-ley 19/2018, art. 34, 36, 41 tot en met 46 en 69; Verordening (EU) 260/2012, art. 5 quater; Orden ECC/2502/2012), geen advies over uw zaak: de aansprakelijkheid voor een fraude hangt af van de precieze feiten en data.