Rb. Den Haag, 19-04-2023, nr. C/09/628288 / HA ZA 22-361

Het verloop van de procedure blijkt uit:

De mondelinge behandeling heeft plaatsgevonden op 6 februari 2023. Daarbij hebben de advocaten het woord gevoerd aan de hand van spreekaantekeningen die in het geding zijn gebracht. Partijen hebben over en weer hun standpunten verder toegelicht en vragen van de rechtbank beantwoord. De griffier heeft aantekening gemaakt van wat partijen tijdens de zitting hebben gezegd. Die aantekeningen zijn toegevoegd aan het griffiedossier. Ten slotte is een datum voor vonnis bepaald.

Tussen partijen is een overeenkomst gesloten op grond waarvan [eiser] op 20 mei 2020 een mobiel telefoonnummer bij T- Mobile in gebruik heeft genomen. Tot de overeenkomst behoren de algemene voorwaarden van T- Mobile (hierna: de algemene voorwaarden).

Klanten van telefoonaanbieders kunnen als hun simkaart is beschadigd of verloren is geraakt een zogenaamde simswap bij de aanbieder aanvragen. Dat is een procedure waarbij een telefoonnummer in de systemen van de aanbieder wordt ontkoppeld van de oude simkaart en vervolgens wordt gekoppeld aan een nieuwe (fysieke of elektronische) simkaart.

[eiser] is het slachtoffer geworden van simswap-fraude. Hierbij is een onbekend gebleven persoon (hierna: de crimineel) er in geslaagd om het telefoonnummer van [eiser] gekoppeld te krijgen aan een nieuwe (elektronische) simkaart, waardoor de crimineel en niet langer [eiser] kon beschikken over het telefoonnummer. Deze simswap - fraude heeft als volgt plaatsgevonden.

In de avond van 2 februari 2021 heeft de crimineel via de chatfunctie op de website van T- Mobile een simswap aangevraagd op naam van [eiser] . Om de identiteit van de aanvrager te verifiëren, heeft de medewerker van T- Mobile gevraagd naar de achternaam, het 06 nummer, de postcode, het huisnummer en de geboortedatum. Deze vragen zijn correct beantwoord. Vervolgens zijn er twee aanvullende controlevragen gesteld, namelijk vanaf welk bankrekeningnummer T- Mobile incasseert en wat het bedrag is van de laatste factuur. Nadat het juiste bankrekeningnummer was opgegeven, is de laatste vraag als volgt beantwoord: “ en precies bedrag weet ik niet maar het is altijd rond de 25 euro ”. Dit antwoord was niet juist, omdat het bedrag van de laatste factuur € 19,99 was, welk bedrag op 7 januari 2021 was afgeschreven. De medewerker van T- Mobile heeft het antwoord toch geaccepteerd en vervolgens de simswap omstreeks 20:15 uur uitgevoerd.

Ten tijde van de simswap beschikte [eiser] over cryptovaluta via accounts bij diverse cryptoexchanges . Hij had de toegang tot deze accounts beveiligd met Multi Factor Authenticatie (MFA). Dat houdt in dat er buiten de combinatie van gebruikersnaam en wachtwoord nog een of twee aanvullende ‘factoren’ worden gebruikt om in te loggen. Dat kan bijvoorbeeld een vingerafdruk zijn en/of een tijdelijke MFA-code die wordt gegenereerd door een app, zoals Authy . [eiser] gebruikte voor het overgrote deel van de accounts Authy .

Op 5 februari 2021 heeft [eiser] aangifte gedaan van cybercrime, waarbij cryptomunten van [eiser] zijn ontvreemd.

Bij brief van 26 maart 2021 heeft [eiser] T- Mobile aansprakelijk gesteld voor het verlies van cryptomunten.

Hierop heeft T- Mobile laten weten dat zij uit coulance bereid is € 500 te vergoeden. Nadere correspondentie heeft niet tot overeenstemming tussen partijen geleid.

In opdracht van [eiser] heeft adviesbureau ICTRecht B.V. (hierna: ICTRecht ) op 15 december 2021 een rapport uitgebracht over de simswap-fraude en de volgens [eiser] ontvreemde cryptovaluta.

[eiser] vordert, na wijziging van eis, dat de rechtbank bij vonnis, uitvoerbaar bij voorraad:

I voor recht verklaart dat T- Mobile jegens [eiser] onrechtmatig heeft gehandeld en voor de schade aansprakelijk is jegens [eiser] ;

II T- Mobile veroordeelt om aan [eiser] te betalen een bedrag van € 17.485,43, te vermeerderen met de wettelijke rente vanaf 2 februari 2021 tot aan de dag van algehele voldoening, als voorschot op een nader bij staat op te maken schadevergoeding;

III de zaak verwijst naar de schadestaatprocedure;

IV T - Mobile veroordeelt in de buitengerechtelijke kosten van € 949,85 en de expertisekosten van € 5.203, te vermeerderen met de wettelijke rente vanaf 6 april 2022 tot de dag van algehele voldoening;

V T- Mobile veroordeelt in de kosten van de procedure, te vermeerderen met de wettelijke rente vanaf de vijftiende dag na dagtekening van het vonnis, indien deze kosten nog niet door T- Mobile zijn vergoed.

Aan deze vorderingen legt [eiser] , samengevat, het volgende ten grondslag. De simswapfraude heeft kunnen plaatsvinden doordat T- Mobile haar protocol om de identiteit van de klant vast te stellen niet correct heeft opgevolgd. Dit is temeer verwijtbaar omdat TMobile al jaren op de hoogte is van de gevoeligheid van de e-sim voor fraude. Daarom is het onbegrijpelijk dat T- Mobile het mogelijk heeft gemaakt om via een chatfunctie een simswap te realiseren. Met de simswap heeft T- Mobile tevens inbreuk gemaakt op artikel 4 lid 12 AVG, omdat zij derden feitelijk toegang heeft verleend tot de persoonsgegevens van [eiser] . Dit brengt ook mee dat T- Mobile geen passende beveiligingsmaatregelen als bedoeld in artikel 6 lid 1 aanhef en onder f AVG heeft getroffen.

Gelet op het voorgaande is T- Mobile toerekenbaar tekortgeschoten in nakoming van haar verbintenissen uit de overeenkomst, althans heeft T- Mobile toerekenbaar onrechtmatig jegens [eiser] gehandeld en is zij schadeplichtig. Als gevolg van de simswap heeft de crimineel het e-mailaccount van [eiser] kunnen overnemen. Vervolgens heeft de crimineel zich met het e-mailaccount en het telefoonnummer toegang verschaft tot Authy . Met de nieuw ingestelde wachtwoorden, gecombineerd met de MFA-codes, heeft de crimineel daarna toegang gekregen tot de cryptoexchanges en de daarbij behorende wallets met cryptovaluta van [eiser] . De fraudeur heeft crypto’s overgeboekt naar andere, voor [eiser] onbekende wallets. De totale waarde van de ontvreemde cryptomunten bedroeg op 3 februari 2021 € 17.485,43. Dit bedrag vordert [eiser] als voorschot op de bij schadestaat nader te bepalen schadevergoeding. Daarnaast dient T- Mobile op te komen voor de kosten van het rapport van ICTRecht en buitengerechtelijke kosten.

T- Mobile concludeert tot afwijzing van de vorderingen.

Op de stellingen van partijen wordt hierna, voor zover van belang, nader ingegaan.

Allereerst moet de vraag worden beantwoord of het T- Mobile kan worden verweten dat zij heeft meegewerkt aan de onder 2.4 bedoelde simswap.

De rechtbank beantwoordt die vraag bevestigend. T- Mobile hanteerde bij een aanvraag om een simswap (via de chatfunctie) het beleid om vragen te stellen om vast te stellen of de aanvrager de juiste identiteit had. Die vragen waren bedoeld om misbruik te voorkomen. Dat het wellicht in de aard ligt van mensen om anderen te helpen, zoals TMobile heeft aangevoerd, doet er niet aan af dat T- Mobile jegens haar eigen klanten verplicht is haar beleid op dit punt te volgen. Dat is in dit geval niet gebeurd, omdat de laatste controlevraag niet juist is beantwoord. T- Mobile had de simswap dan ook moeten weigeren, wat zij heeft nagelaten. Dit leidt de rechtbank tot het oordeel dat T- Mobile jegens [eiser] toerekenbaar is tekortgeschoten in de nakoming van haar verbintenissen onder de overeenkomst en ook onrechtmatig jegens [eiser] heeft gehandeld.

Vervolgens ligt ter beoordeling voor of [eiser] als gevolg van de simswap cryptovaluta heeft verloren en, zo ja, tot welk bedrag. T- Mobile betwist niet dat [eiser] slachtoffer is geworden van cybercriminaliteit als gevolg waarvan cryptovaluta zijn ontvreemd. Zij betwist evenmin dat zonder de simswap het niet mogelijk was om de cryptovaluta te ontvreemden. Haar betoog komt erop neer dat er geen direct verband bestaat tussen het beschikken over het telefoonnummer en kunnen wegnemen van de cryptovaluta, omdat de crimineel nog diverse hordes heeft moeten nemen om de crypto’s te ontvreemden, namelijk overname van het hotmailaccount van [eiser] , toegang tot de Authy -app en toegang tot de cryptowallets. Dat was volgens T- Mobile niet mogelijk met alleen het telefoonnummer en het e-mailadres van [eiser] , althans niet binnen 24 uur. Daarnaast beroept T- Mobile zich op eigen schuld, omdat [eiser] zijn accounts onvoldoende zou hebben beveiligd.

Wat de toedracht is van de ontvreemding van de cryptovaluta en tot welk bedrag [eiser] cryto’s heeft verloren kan de rechtbank in het midden laten, nu zij van oordeel is dat T- Mobile een beroep toekomt op de aansprakelijkheidsbeperking van artikel 15 van de algemene voorwaarden (hierna: het exoneratiebeding). Dat wordt hierna toegelicht.

Artikel 15 van de algemene voorwaarden luidt, voor zover nu van belang, als volgt:

“Om onze diensten betaalbaar te houden en onze bedrijfscontinuïteit te waarborgen is de aansprakelijkheid van T- Mobile (…) uitgesloten, tenzij T- Mobile toerekenbaar is tekortgeschoten. In geen geval zal de aansprakelijkheid van T- Mobile tegenover jou hoger zijn dan EUR 500 per gebeurtenis. (…) Je zult je geleden schade moeten aantonen en binnen 1 jaar na de schadeveroorzakende gebeurtenis aan T- Mobile kenbaar moeten maken. T- Mobile is niet aansprakelijk voor immateriële schade of gevolgschade zoals gederfde winst of misgelopen opdrachten.”

Volgens [eiser] kan T- Mobile geen beroep doen op het exoneratiebeding, omdat het jegens hem als consument onredelijk bezwarend is en een oneerlijk beding inhoudt als bedoeld in de Richtlijn 93/13/EEG van de Raad van 5 april 1993 betreffende oneerlijke bedingen in consumentenovereenkomsten (hierna: Richtlijn 93/13). Hierover wordt het volgende overwogen.

Op grond van artikel 3 lid 1 Richtlijn 93/13 wordt een beding in een overeenkomst waarover niet afzonderlijk is onderhandeld, als oneerlijk beschouwd indien het, in strijd met de goede trouw, het evenwicht tussen de uit de overeenkomst voortvloeiende rechten en verplichtingen van de partijen ten nadele van de consument aanzienlijk verstoort. Daarbij worden in aanmerking genomen alle omstandigheden rond de sluiting van de overeenkomst, alsmede alle andere bedingen van de overeenkomst, op het moment waarop de overeenkomst is gesloten, rekening houdend met de aard van de goederen of diensten waarop de overeenkomst betrekking heeft (artikel 4 lid 1 Richtlijn 93/13). Deze beoordeling dient plaats te vinden naar de datum van het sluiten van de overeenkomst, waarbij dient te worden bezien welke gevolgen het beding voor de consument kan hebben.1.

Het onderzoek of een specifiek beding oneerlijk is zoals bedoeld in Richtlijn 93/13, vindt naar Nederlands recht plaats in het kader van artikel 6:233, aanhef en onder a van het Burgerlijk Wetboek (hierna: BW). Dit artikel bepaalt dat een beding in algemene voorwaarden vernietigbaar is als het beding, gelet op de aard en de overige inhoud van de overeenkomst, de wijze waarop de voorwaarden tot stand zijn gekomen, de wederzijds kenbare belangen van partijen en de overige omstandigheden van het geval, onredelijk bezwarend is voor de wederpartij.

Op grond van artikel 6:237, aanhef en onder f BW wordt het exoneratiebeding vermoed onredelijk bezwarend te zijn. De achtergrond van deze bepaling is gelegen in de gedachte dat de wettelijke regels ten aanzien van de niet-nakoming van verbintenissen uit overeenkomst op het eerste gezicht een redelijke verdeling van risico’s tussen ondernemers en consumenten bewerkstelligen. De wetgever is er daarbij van uitgegaan dat als een afwijking van de wettelijke regeling werkelijk gerechtvaardigd is, de gebruiker van de algemene voorwaarden dat zonder grote problemen zal kunnen aantonen. Uit dit systeem volgt dat een exoneratiebeding pas dan geacht wordt niet onredelijk bezwarend te zijn tegenover de consument, als de afwijking van de wettelijke regeling ‘kennelijk gerechtvaardigd’ is. Gelet op het vermoeden van artikel 6:237 onder f BW is het aan de gebruiker van het beding (hier: T- Mobile ) om de rechtbank van de kennelijke rechtvaardigheid van de afwijking te overtuigen2.. Het minste wat van een gebruiker kan worden verwacht, is dat hij aantoont dat voor afwijking van de wettelijke regeling een redelijke grond bestaat en dat de met het beding getroffen regeling daarom noodzakelijk, geschikt en proportioneel is. Hierbij kunnen onder meer de volgende elementen van belang zijn:

Met betrekking tot de omvang van de aansprakelijkheidsbeperking is in deze zaak van belang dat aansprakelijkheid voor gevolgschade is uitgesloten. Het begrip gevolgschade heeft in het recht geen vaste betekenis, maar in de praktijk wordt het begrip veelal gedefinieerd als onvoorzienbare of verder verwijderde schade en wordt - zoals in het exoneratiebeding is vermeld - winstderving daaronder geschaard. Het verlies van cryptovaluta als gevolg van de simswap kan in dit geval ook worden geschaard onder gevolgschade. Dat is ook niet in geschil. Verder is van belang dat het exoneratiebeding de aansprakelijkheid beperkt tot € 500 per gebeurtenis. In dit geval is sprake van één gebeurtenis, namelijk de onterechte simswap. Ook dat is niet in geschil.

De rechtbank is van oordeel dat T- Mobile het vermoeden dat het exoneratiebeding onredelijk bezwarend is heeft weerlegd. Hiertoe is in de eerste plaats de aard van de overeenkomst van belang. Het gaat om dienstverlening aan consumenten ten behoeve van mobiele telecommunicatie. Smartphones zijn in het leven van velen niet meer weg te denken. Deze apparaten worden tegenwoordig voor vele toepassingen gebruikt. Dit brengt voor aanbieders van telecommunicatiediensten ingeval van een fout van hen grote en vrijwel onvoorzienbare risico’s met zich mee, die niet in verhouding staan tot de relatief bescheiden maandelijkse prijs van de dienst. Bovendien zou, zoals T- Mobile ook onweersproken heeft aangevoerd, het verzekeren van de risico’s voor hen nagenoeg onbetaalbaar zijn.

Mede met het oog op het maatschappelijke en sociale belang dat wordt gehecht aan betaalbare dienstverlening aan consumenten, is een beperking van de aansprakelijkheid tot€ 500 zoals hier aan de orde dan ook noodzakelijk, geschikt en proportioneel.

Dit brengt mee dat T- Mobile uitsluitend voor de initiële en aan T- Mobile toerekenbare schade van [eiser] , het verlies van de toegang tot zijn telefoonnummer, tot een maximum van € 500 aansprakelijk kan zijn. De omvang van deze schade kan niet nauwkeurig worden bepaald (artikel 6:97 BW). De rechtbank schat de schade op het door TMobile erkende bedrag van € 500. Dit bedrag zal worden toegewezen, te vermeerderen met de daarover gevorderde wettelijke rente.

Met betrekking tot de gevorderde vergoeding van de kosten van ICTRecht wordt het volgende overwogen. Dit zijn kosten voor vaststelling van aansprakelijkheid en schade als bedoeld in artikel 6:96 lid 2 aanhef en sub b BW. Voor vergoeding hiervan is onder meer vereist dat, in de gegeven omstandigheden, de verrichte werkzaamheden redelijkerwijs noodzakelijk waren. Hieraan is in dit geval niet voldaan, omdat T- Mobile , voordat ICTRecht is ingeschakeld, aan [eiser] heeft aangeboden om ter compensatie € 500 te betalen.

De buitengerechtelijke incassokosten zijn kosten als bedoeld in artikel 6:96 lid 2 aanhef en sub c BW. Ook hiervoor geldt het vereiste dat de werkzaamheden redelijkerwijs noodzakelijk waren. Dat is niet het geval nu T- Mobile aan [eiser] heeft aangeboden€ 500 te betalen.

De rechtbank heeft hiervoor de omvang van de te vergoeden schade vastgesteld. Daarom bestaat er geen grond voor verwijzing naar de schadestaat en heeft [eiser] evenmin voldoende zelfstandig belang bij de gevorderde verklaring voor recht. Deze vorderingen zullen dan ook worden afgewezen.

Partijen zijn over en weer gedeeltelijk in het ongelijk gesteld. Om die reden compenseert de rechtbank de proceskosten tussen partijen.

De rechtbank

veroordeelt T- Mobile tot betaling aan [eiser] van € 500, te vermeerderen met de wettelijke rente vanaf 2 februari 2021 tot de dag van algehele voldoening;

verklaart dit vonnis tot zover uitvoerbaar bij voorraad;

compenseert de proceskosten tussen partijen in die zin dat iedere partij de eigen kosten draagt;

wijst het meer of anders gevorderde af.

Dit vonnis is gewezen door mr. J. Brandt en in het openbaar uitgesproken op 19 april 2023.4.