Op 1 augustus 2025 heeft het Hof van Justitie van de Europese Unie (HvJEU) een uitspraak gedaan waarin zij de uitleg van de term ‘onverwijld’ toelicht in het kader van de meldplicht van consumenten aan betalingsdienstaanbieders bij ongeautoriseerde transacties.
De zaak betrof een consument met een gouddepositorekening bij Veracash SAS. In maart 2017 ontving deze een nieuwe betaalkaart, waarmee tussen maart en mei dagelijks geld werd opgenomen. De consument stelde echter dat hij de kaart nooit had ontvangen en de transacties niet had goedgekeurd. De consument meldde de transacties binnen de wettelijke termijn van 13 maanden, echter pas bijna twee maanden na de eerste afschrijving.
Het HvJEU oordeelt dat een consument het recht op terugbetaling van een ongeautoriseerde transactie kan verliezen als hij de transactie niet “onverwijld”, dat wil zeggen zo snel mogelijk, meldt aan zijn betaaldienstverlener ondanks het feit dat dit binnen de uiterste wettelijke termijn is. De term “onverwijld” heeft een autonoom karakter en dient ter bescherming van de belangen van zowel de consument als de betaaldienstverlener.
Het HvJEU stelt dat de consument alleen zijn recht op terugbetaling verliest bij verlies, diefstal of misbruik van een betaalinstrument, als hij opzettelijk of door grove nalatigheid heeft verzuimd tijdig te melden. De bewijslast hiervoor ligt bij de betaaldienstverlener, die moet aantonen dat de transactie correct is geauthentiseerd, juist geregistreerd en geboekt is.
De uitspraak kan ook relevant zijn voor de uitleg van de termijn voor het melden voor datalekken, nu verwerkingsverantwoordelijken datalekken zonder onredelijke vertraging en uiterlijk binnen 72 uur moeten melden aan de toezichthouder. Tot nu toe werd in de praktijk aangenomen dat een melding in ieder geval voldoet aan de eis van “zonder onredelijke vertraging” indien zij binnen 72 uur is gemaakt. Het HvJEU maakt nu duidelijk dat beide voorwaarden cumulatief zijn: de eerste is subjectief van aard en afhankelijk van de omstandigheden van het geval, terwijl de tweede objectief van aard is.
Dit betekent dat een melding binnen 72 uur te laat zou kunnen zijn indien de verwerkingsverantwoordelijke eerder op de hoogte was van het datalek en verzuimd heeft om direct actie te nemen na kennisname ervan. Verwerkingsverantwoordelijken kunnen dus niet zonder meer wachten tot het uiterste moment van 72 uur na kennisname, maar zullen zo snel mogelijk actie moeten nemen om de melding te doen. Een voorlopige melding zou daarbij uitkomst kunnen bieden.
