Hoe ver reikt de immuniteit van Apple en Google bij frauduleuze apps

Volgens cijfers van Febelfin, de koepelorganisatie van de Belgische financiële sector, liepen slachtoffers van phishing in 2024 minimaal 49 miljoen euro mis. Definitieve cijfers voor 2025 zijn nog niet beschikbaar, maar de verwachting is dat dit bedrag alleen maar verder oploopt.

Bij een groeiend aantal gevallen verloopt de oplichting via frauduleuze mobiele applicaties. Slachtoffers worden verleid om zulke apps te installeren, waarna valse overschrijvingen worden uitgevoerd of gevoelige gegevens worden gestolen.

Het feit dat een applicatie te vinden is in een officieel platform zoals de App Store van Apple of de Play Store van Google, wekt bij slachtoffers een zeker vertrouwen. De indruk bestaat dat niet zomaar iedereen een app kan aanbieden op deze platformen.

Toch slagen bepaalde frauduleuze applicaties erin om deze controles te omzeilen. Ontwikkelaars presenteren de app tijdens het beoordelingsproces als een onschuldige QR-codelezer of PDF-scanner, door tijdelijk verbinding te maken met een betrouwbare externe server. Zodra de goedkeuring is verleend, schakelen ze over naar een malafide server, en verandert de werking van de app volledig.

Op die manier blijven frauduleuze applicaties soms geruime tijd onopgemerkt, vooraleer ze worden verwijderd. De vraag rijst dan ook in welke mate platformexploitanten zoals Apple en Google aansprakelijk kunnen worden gesteld voor het aanbieden van zulke toepassingen.

Vonnis Ondernemingsrechtbank Antwerpen

In een vonnis van 16 januari 2025 werd Apple Distribution International Ltd. voor de Ondernemingsrechtbank van Antwerpen gedaagd door een gebruiker die stelde dat een aangeboden applicatie in strijd was met de Belgische kansspelwetgeving.

De rechtbank stelde vast dat de applicatie inderdaad de Belgische kansspelwet schond, omdat de ontwikkelaar ervan niet beschikte over een vergunning van de Kansspelcommissie. Door deze applicatie via haar platform aan te bieden, beging Apple volgens de rechtbank een fout die in beginsel aanleiding kan geven tot aansprakelijkheid.

Apple beriep zich op de aansprakelijkheidsbeperking voor hostingdiensten, zoals oorspronkelijk voorzien in de Richtlijn Elektronische Handel en inmiddels vervangen door de Digitaledienstenverordening, beter bekend als de DSA.

De DSA en de grenzen van platformimmuniteit

Artikel 6, lid 1 van de DSA voorziet in een zekere immuniteit voor platformen: zij zijn in principe niet aansprakelijk voor inhoud die door derden wordt aangeboden, tenzij zij daadwerkelijke kennis hadden van het onwettige karakter ervan en nalieten tijdig op te treden. De DSA spreekt in dit verband over “informatie” die door derden wordt gehost.

De rechtbank kwalificeerde Apple als een dienstverlener in de zin van de DSA en stelde vast dat het bedrijf effectief kennis had van de problematiek rond illegale gok-apps. De immuniteit van artikel 6, lid 1 DSA kon dan ook niet zomaar worden ingeroepen.

Cruciale vraag aan het Hof van Justitie

Een fundamentele, maar tot op heden onbeantwoorde vraag werd door de rechtbank voorgelegd aan het Hof van Justitie van de EU: valt software, en meer bepaald een mobiele applicatie, überhaupt onder het begrip “informatie” in de zin van de DSA?

Het antwoord van het Hof zal verder reiken dan deze specifieke zaak. De beslissing zal immers een belangrijke indicatie geven voor de praktische invulling van de DSA en, meer bepaald, voor de verantwoordelijkheid van platformen ten aanzien van de applicaties die zij aanbieden.

Dit opent mogelijk nieuwe perspectieven voor aansprakelijkheid in phishingzaken. Bannister Advocaten, gespecialiseerd in phishing- en bankaansprakelijkheidsdossiers, volgt de uitspraak van het Hof van Justitie nauwgezet op.