Column


IT-jurist Peter van Schelven over...

Bank, consument en IP-adressen: een gelukkig stel?

Vorige week heeft het Klachteninstituut Financiële Dienstverlening (Kifid), de instantie waar je terecht kunt wanneer je een financiële klacht over jouw bank hebt, een belangwekkende uitspraak gedaan over IP-adressen. De Commissie van Beroep van Kifid heeft geoordeeld in een zaak die door een rekeninghouder tegen ABN AMRO was aangespannen wegens mogelijke fraude bij internetbankieren. Het geschil waarover het klachteninstituut zich moest uitspreken, draaide om het volgende.

De rekeninghouder in kwestie had gedurende enkele jaren een betaal- en spaarrekening bij de bank en beschikte over een betaalpas met pincode. Op enig moment ontdekte de accountant van de rekeninghouder dat op onverklaarbaar wijze grote bedragen – voor meer dan een ton – van de spaarrekening naar de betaalrekening waren overgeboekt en dat vervolgens ten laste van de betaalrekening overboekingen naar anderen hadden plaats gehad. De rekeninghouder stelde dat deze overboekingen zonder zijn toestemming met de betaalpas door een derde waren uitgevoerd en dat liet hij zijn bank uiteraard weten. Wie de ongeautoriseerde overboekingen had gedaan, was naar zijn zeggen voor hem onbekend. Omdat van skimming van de betaalpas volgens de bank geen sprake was, sloot de rekeninghouder niet uit dat de overboeking frauduleus door een medewerker van de bank was gedaan, ook al ontbrak daarvoor iedere concrete aanwijzing. De bank wees iedere verantwoordelijkheid voor hetgeen gebeurd was van de hand, onder meer met een verwijzing naar de bankvoorwaarden.

Aangifte bij justitie
Nadat strafrechtelijke aangifte was gedaan, bleek ook justitie weinig voor de gedupeerde te kunnen betekenen. Het lukte justitie niet om bij de bank de IP-adressen van de computers waarmee de omstreden overboekingen waren gedaan, los te krijgen. In vervolg daarop stapte de betrokkene naar de Kifid, onder meer met het verzoek ABN AMRO te veroordelen de bij de transacties betrokken IP-adressen vrij te geven. De gedachte daarbij was dat met die IP-adressen de dader van de vermeend frauduleuze overboeking wellicht makkelijker zou kunnen worden achterhaald. De klager stelde zich in de procedure dus op het standpunt dat de bank onvoldoende medewerking had verleend bij het achterhalen van de dader, met name door de IP-adressen van de bij de overboekingen gebruikte computers niet te geven.

Rechtspositie bankconsument
Wie een zaak bij de Kifid aanhangig maakt, komt eerst terecht bij een geschillencommissie. Ben je het met de uitspraak van die commissie niet eens, dan staat de mogelijkheid van een hoger beroep bij de Commissie van Beroep van de Kifid open, die een voor partijen bindend oordeel geeft. In de onderhavige zaak hebben beide instanties een uitspraak gedaan over de verlangde IP-adressen. De geschillencommissie ging in haar uitspraak uit 2015 tamelijk kort door de bocht door eenvoudigweg te oordelen dat – los van de vraag of de bank IP-adressen moet bewaren – de bij de bank bekende IP-adressen van de betrokken computers niet bestemd zijn om aan consumenten te verstrekken.

Dat laatste zag de Commissie van Beroep in haar uitspraak van 23 mei 2016 duidelijk anders. In hoger beroep werd geoordeeld dat de redelijkheid en billijkheid, die de contractuele verhouding tussen bank en rekeninghouder beheersen, voor de bank ‘een gehoudenheid’ kunnen meebrengen om de IP-adressen aan belanghebbenden ter beschikking te stellen. Dat laatste lijkt mij een terechte beslissing. Ik zou menen dat de bank, mede vanwege haar positie in het maatschappelijk verkeer, een zorgplicht jegens gedupeerde rekeninghouders heeft en dat die zorgplicht zover gaat dat de bekende IP-adressen in gevallen als deze moeten worden verstrekt. De uitspraak van de Commissie van Beroep versterkt in dit opzicht de positie van consumenten tegen betaalfraude, althans op papier.

Blauwe ogen
De rekeninghouder in kwestie trok niettemin aan het kortste eind. De bank had in de procedure aangegeven de IP-adressen feitelijk niet meer te hebben. De Commissie van Beroep nam dat op de blauwe ogen van de bank aan en nam dat dus over in de uitspraak. De beroepsinstantie stuurde de gedupeerde rekeninghouder met lege handen naar huis, daarbij tevens oordelend dat er voor de bank geen wettelijke plicht bestaat om IP-gegevens op te slaan en te bewaren.

Over de juistheid van dit laatste punt valt nog wel een aardige juridische boom op te zetten. Hoe dan ook, de uitspraak leert ons dat wie van een bank de IP-adressen van betrokken computers wenst te verkrijgen, dit zo snel mogelijk - dus nog voor de feitelijke vernietiging van die gegevens - moet claimen. Alleen dan lijk je de Kifid aan je zijde te treffen.


Lees meer over