Goedkope rekening voor VVE: Kritisch kijkje naar Bunq en de risico’s van digitale bankieren

Inleiding

Voor Vrijwillige Verenigingen van Eigendom (VVE’s) is het kiezen van een betaalrekening een essentieel proces, waarbij zowel kosten als beveiliging centraal staan. In de huidige digitale omgeving lijken digitale banken zoals Bunq een aantrekkelijke optie vanwege hun lage kosten en moderne interface. Echter, recente gebeurtenissen tonen aan dat het gebruik van dergelijke diensten ook aanzienlijke risico’s met zich meebrengt, vooral in de context van datalekken, phishing en fraude.

In deze artikel worden de mogelijkheden en risico’s van Bunq als goedkope rekeningprovider voor VVE’s beoordeeld. Het focuspunt ligt op de vraag of Bunq, gezien de recente incidenten en het coulancebeleid, geschikt is voor een VVE. Hierbij worden zowel de financiële voordelen als de juridische en beveiligingsaspecten onderzocht. De analyse is gebaseerd op concrete gegevens uit gerapporteerde incidenten, waardoor de conclusie zowel realistisch als voorzichtig is.

Bunq: Een overzicht van het coulancebeleid en de financiële voorwaarden

Bunq is een digitale bank die bekend staat om zijn lage kostenstructuur en gebruiksvriendelijke interface. In 2024 heeft Bunq een aanzienlijke toename gemeld in het aantal vergoedingen aan klanten die slachtoffer werden van phishing en bankhelpdeskfraude. In dat jaar keerde de bank ruim 10 miljoen euro uit aan klanten, een fors stijging van 500 keer ten opzichte van 2023 (203.000 euro). Deze vergoedingen worden uitgekeerd ook in gevallen waarin er geen juridisch recht op bestaat, mits er sprake is van tegenspoed. Dit coulancebeleid maakt Bunq aantrekkelijk voor klanten die bang zijn voor financiële verlies bij cyberfraude.

Hoewel het coulancebeleid een positieve uitstraling heeft, is het belangrijk om te begrijpen dat dit geen garantie is op vergoeding in alle gevallen. De eindverantwoordelijkheid ligt bij de klant om adequaat te beschermen tegen cyberbedreigingen, zoals phishing- en social engineering-technieken. VVE’s, die vaak bestaan uit meerdere eigenaren met delen in een woning, moeten extra voorzichtig zijn bij het beheren van gezamenlijke rekeningen, aangezien een enkele verkeerde actie van een lid van de VVE kan leiden tot financiële schade voor alle betrokkenen.

Risico’s bij Bunq: Datalekken en interne oorzaken

Hoewel Bunq bekend staat om zijn moderne en goedkope dienstverlening, zijn er recente incidenten geweest die het licht op de beveiligingsrisico’s werpen. In juni 2024 meldde Bunq bij de Autoriteit Persoonsgegevens een mogelijk datalek, waarbij medewerkers mogelijk ongeautoriseerd toegang hadden tot klantenrekeningen. Hoewel de exacte impact en aard van het lek nog onduidelijk zijn, heeft de bank bevestigd dat het in enkele gevallen om een ‘grijs gebied’ ging, waarbij betrokken medewerkers zijn aangesproken.

Dit incident roept vragen op over de naleving van de bankierseed en de bescherming van klantgegevens. Voor een VVE is het van groot belang dat zowel de bank als de administrateurs zich aan strikte beveiligingsprotocollen houden. Een datalek kan leiden tot ongeoorloofde toegang tot gevoelige informatie, zoals de namen, adressen en bankgegevens van VVE-leden. Bovendien kan dit het vertrouwen onder de leden ondermijnen, wat van invloed kan zijn op de samenwerking binnen de VVE.

Juridische en regulatoire aspecten: Naleving van de AVG

De Algemene Verordening Gegevensbescherming (AVG) stelt strengere eisen aan de verwerking van persoonsgegevens, waaronder de verplichting om datalekken binnen 72 uur te melden. In het geval van Bunq is het duidelijk dat de bank zich bewust is van deze verplichting en bij een vermoed lek melding maakt bij de Autoriteit Persoonsgegevens. Dit is een positief signaal, aangezien het toont dat Bunq het kader van de AVG serieus neemt.

Toch is het belangrijk om hier ook een kritisch oog op te houden. Het feit dat er sprake is geweest van een incident waarbij medewerkers mogelijk ongeautoriseerd toegang hadden tot klantgegevens, suggereert dat er interne beveiligingsprotocollen niet altijd strikt worden nageleefd. Voor een VVE is het van belang om te weten dat er binnen de bank adequaat toezicht is op de verwerking van persoonsgegevens, zowel bij klantadministratie als bij medewerkers.

Een ander voorbeeld van AVG-naleving is het incident bij de Partij voor de Vrijheid (PVV) Overijssel, waarbij een e-mail was verzonden zonder de BCC-optie, waardoor de e-mailadressen van 101 geadresseerden zichtbaar werden. Hierdoor werd een boete van 7500 euro opgelegd door de Autoriteit Persoonsgegevens. Dit duidt op de consequenties van nalatigheid in het beheren van persoonsgegevens, ook voor organisaties die geen professionele bankdienstverlening bieden. Voor een VVE is dit een duidelijk waarschuwing dat zelfs kleine fouten in de administratie ernstige juridische gevolgen kunnen hebben.

Cyberfraude: Phishing en BEC-incidenten

De twee belangrijkste vormen van cyberfraude die in de bronnen aan de orde komen, zijn phishing en Business Email Compromise (BEC). In 2024 heeft Bunq ruim 10 miljoen euro uitgekeerd aan slachtoffers van deze vormen van fraude, wat duidelijk maakt dat deze risico’s niet te verwaarlozen zijn. Phishing houdt in dat slachtoffers worden misleid via elektronische communicatie, zoals e-mails of berichten, om gevoelige informatie vrij te geven of geld over te maken. BEC is iets subtieler en gaat om het misbruiken van vertrouwen in zakelijke contexten, bijvoorbeeld door vervalste documenten te gebruiken om betalingen te laten doen.

Een ander voorbeeld van BEC is het incident bij de Nederlandse Waterschapsbank, die in 2021 voor 12 miljoen euro opgelicht werd met vervalste documenten. De bank had in naam van de Brabantse gemeente Steenbergen een lening aangevraagd en uitbetaald. De details van het incident werden niet verder gedeeld vanwege het lopende onderzoek, maar het is duidelijk dat dergelijke fraudeincidenten ook voor professionele financiële instellingen voorkomen. Voor een VVE, die vaak geen professionele administratie heeft, is het risico op BEC aanzienlijk.

De rol van de VVE in het beveiligingsproces

Hoewel digitale banken zoals Bunq pogingen doen om hun klanten te beschermen tegen cyberfraude, is het uiteindelijk de verantwoordelijkheid van de VVE om voorzichtig te zijn bij het beheren van financiële transacties. De rol van de VVE omvat het opstellen van interne beveiligingsprotocollen, het informeren van leden over de gevaren van phishing en BEC, en het controleren van transacties voordat ze worden uitgevoerd.

Een VVE zou bijvoorbeeld standaard kunnen vereisen dat alle uitgaven boven een bepaalde drempel worden goedgekeurd door meerdere leden of het bestuur. Bovendien is het aan te raden om gebruik te maken van tweeledige verificatie (2FA) en andere beveiligingsmaatregelen die worden aangeboden door de bank. Dit zijn maatregelen die de kans op succesvolle fraude aanzienlijk kunnen verminderen.

De juridische verantwoordelijkheid van de bank

Hoewel de VVE een belangrijke rol speelt in het beveiligingsproces, is het ook belangrijk om duidelijk te maken welke verantwoordelijkheid op de bank rust. In de meeste gevallen is de bank verantwoordelijk voor schade als het resultaat van een technische fout of een interne beveiligingslek, zoals bij de Nederlandse Waterschapsbank. Echter, in gevallen van phishing of BEC die het gevolg zijn van menselijke fouten, is de verantwoordelijkheid vaak verdeeld of volledig bij de VVE.

De recente incidenten tonen aan dat Bunq een relatief brede coulance toepast, met het uitkeren van schade ook in gevallen waarin er geen juridisch recht op is. Echter, dit coulancebeleid is geen garantie en kan in de toekomst worden gewijzigd. Bovendien is het niet duidelijk of dit beleid ook van toepassing is op VVE-rekeningen, aangezien deze vaak worden gebruikt voor collectieve uitgaven en dus ook andere risico’s bevatten.

Conclusie

De keuze voor een goedkope rekening bij Bunq voor een VVE biedt duidelijke voordelen in termen van kosten en gebruiksvriendelijkheid. Het coulancebeleid van de bank in 2024, waarbij ruim 10 miljoen euro aan klanten is uitgekeerd voor schade door phishing en BEC, geeft een bepaalde mate van zekerheid. Echter, de recente incidenten tonen ook aan dat Bunq niet volledig vrij is van beveiligingsrisico’s. Het geval van het potentiële datalek en het incident met medewerkers die mogelijk ongeautoriseerd toegang hadden tot klantrekeningen roept vragen op over de interne controles binnen de bank.

Voor een VVE is het van groot belang om niet alleen te kijken naar de kosten, maar ook naar de beveiligingsaspecten en de juridische verantwoordelijkheid. Hoewel Bunq een aantrekkelijke optie lijkt, is het aan te raden om het gebruik van dergelijke digitale banken te begeleiden met interne protocollen en een duidelijke rolverdeling tussen leden en bestuur.

De beschikbare bronnen tonen aan dat cyberfraude en datalekken geen zeldzaamheid meer zijn, ook bij professionele banken. Voor een VVE, die vaak geen professionele administratie heeft, is het dus belangrijk om extra voorzichtig te zijn en te investeren in beveiliging en bewustwording onder de leden. In de huidige omgeving is het kiezen van een goedkope rekening een verantwoordelijkheid die niet licht genomen mag worden.