En konsument blev uppringd av en man som utgav sig för att ringa från banken.

GL begärde ersättning med i första hand 154 179 kr och i andra hand 142 179 kr.

I sin anmälan till nämnden uppgav GL följande. Den 8 oktober 2021 fick han först reklam om bankens nya nätbank. Han försökte logga in på denna utan att lyckas. En dryg timme senare blev han uppringd av en person som sa sig ringa från banken och som, väl insatt och mycket professionellt, beskrev att många hade problem med den nya sidan och att han ville hjälpa till att lösa detta. Mannen bad honom hämta sin bankdosa (som han normalt inte använder längre) och beskrev hur han skulle göra för att logga in på sidan. Mannen bad honom trycka på LOGIN, ange tre siffror och sen trycka på OK. Därefter blev han ombedd att själv slå in sin personliga kod på sin dator. Mannen påstod då att något blev fel och bad honom att slå in allt igen. Efter det kom han in på nätbanken som vanligt igen. Därefter avslutades samtalet.

Inga koder från bankdosan eller hans mobila BankID lämnades ut under samtalet. Inga betalkortsnummer eller personnummer heller. Han är 84 år och har under de 50 år han varit kund hos banken haft regelbunden kontakt via telefon med banken. Då personen var så väl insatt i bankens nya nätbank, artig och service minded kunde han därför aldrig föreställa sig att han blev utsatt för ett bedrägeri.

Efter att samtalet avslutades vet han inte vad som hänt fram till den 18 oktober då han upptäckte att obehöriga transaktioner ägt rum på hans konton. Banken har ersatt de obehöriga transaktionerna som gjorts via kortköp med 23 575 kr. Beloppet om 154 179 kr som förts över till konto i annan bank har han inte fått ersättning för.

Banken motsatte sig kravet .

I sitt svar till nämnden uppgav banken följande. Av bankens tekniska utredning framgår att GL med sin e-kod godkänt en nedladdning av ett nytt mobilt BankID. Säkerhetslösningen innebär att man använder sitt kort, dosa och PIN-kod. Det mobila BankID:t som laddats ner med GL:s kort och dosa har sedan använts för att logga in på internetbanken och genomföra en överföring. Vidare har det mobila BankID:t använts för att avsluta, ansluta och aktivera swish. Swishlimiten har höjts till 15 000 kr och en swishöverföring om 15 000 kr har genomförts.

GL har inte haft kort och kod under tillräcklig uppsikt, hanterat kortet på ett betryggande sätt, hållit koden hemlig eller vidtagit tillräckliga åtgärder för att skydda sig mot obehöriga transaktioner. De obehöriga transaktionerna har kunnat genomföras till följd av att GL:s skyldighet enligt betaltjänstlagen att följa de villkor som enligt avtalet gäller för användning av betalningsinstrument har åsidosatts på ett sätt som är att anse som inte bara grovt oaktsamt utan också särskilt klandervärt i lagens mening. Banken anser därför att GL ska stå för hela beloppet.

Allmänna reklamationsnämnden gjorde följande bedömning.

Rättsliga utgångspunkter

I lagen (2010:751) om betaltjänster finns regler om obehöriga transaktioner (se 5 a kap.). Huvudregeln är att kontohavarens betaltjänstleverantör (banken) ska återställa kontot till den ställning som det skulle ha haft om den obehöriga transaktionen inte hade genomförts. Men om transaktionen har kunnat genomföras för att kontohavaren har agerat särskilt klandervärt eller grovt oaktsamt, ska kontohavaren ansvara för hela eller delar av förlusten. För hela förlusten ska kontohavaren ansvara om agerandet anses vara särskilt klandervärt medan ansvaret är begränsat till 12 000 kr i fall av grov oaktsamhet under förutsättning att kontohavaren är en konsument.

Om kontohavaren varken har agerat särskilt klandervärt eller grovt oaktsamt är ansvaret begränsat till 400 kr under förutsättning att de obehöriga transaktionerna har kunnat genomföras till följd av att kontohavaren inte har skyddat sin personliga behörighetsfunktion.

För att kontohavarens agerande ska bedömas som särskilt klandervärt krävs i princip att han eller hon har varit likgiltig till risken för obehöriga transaktioner. Det kan t.ex. röra sig om fall där kontohavaren faktiskt insett att det fanns en risk för en obehörig transaktion men ändå har låtit bli att skydda sin kod. Vid denna bedömning får det särskild betydelse till vem kontohavaren uppfattade att den personliga behörighetsfunktionen lämnades ut. Agerandet får i regel anses särskilt klandervärt även i fall där kontohavaren lämnar ut sina personliga behörighetsfunktioner till någon och samtidigt dels är medveten om att det rör sig om en obehörig person, dels inser eller har anledning att misstänka att det föreligger en betydande eller närliggande risk för att handlandet kan medföra en förlust. (Se rättsfallet NJA 2022 s. 522 ”BankID - bedrägeriet”. )

I fall där kontohavaren inte har varit likgiltig till risken för de obehöriga transaktionerna kan agerandet i allmänhet inte bedömas som särskilt klandervärt. Men om det kan anses att kontohavaren i stället har haft anledning att räkna med risken för en obehörig transaktion, kan agerandet bedömas som grovt oaktsamt. Vid bedömningen av om kontohavaren kan anses ha agerat grovt oaktsamt, måste man beakta vad han eller hon hade kunnat göra för att komma till insikt om hur det faktiskt förhöll sig och ta ställning till om det kan begäras att han eller hon gör detta. Grovt oaktsamt ska agerandet anses vara om det utgör ett markant avsteg från den aktsamhet som kan krävas. (Se nämndens beslut den 9 november 2022 i ärende nr 2021- 12666, 2021-19593, 2022-01950, 2022-02184, 2022-03987 och 2022-03828.)

Nämndens bedömning

Av utredningen i ärendet framgår att GL blivit uppringd av en person som felaktigt påstod att han ringde från banken. Det framgår att han förmåddes tro att mannen som han pratade med skulle hjälpa honom att logga in på den nya nätbanken. Under samtalet lurades han att använda sin säkerhetsdosa på ett sätt som gjorde att transaktionerna kunde genomföras. Det står således klart att inte har skyddat de personliga behörighetsfunktioner som har varit knutna till hans säkerhetsdosa och att transaktionerna kunde genomföras till följd av denna GL:s underlåtenhet.

Det är även utrett att bedragaren genomförde transaktionerna utan att GL hade samtyckt till detta. Det rör sig alltså om obehöriga transaktioner.

Nästa fråga för nämnden att bedöma är om GL:s agerande har varit grovt oaktsamt.

GL har gjort gällande att han inte muntligen har lämnat ut några koder under samtalet utan att han endast har knappat in dessa på bankdosan och på sin dator. Nämnden konstaterar att banken inte har motsatt sig detta påstående. Det går heller inte att avgöra av det tekniska underlaget om GL har lämnat ut koderna muntligt eller om bedragarna har fått tillgång till dessa på annat sätt. Nämnden bedömer därför att annat inte är visat än att GL har agerat på det sätt som han har påstått.

Nämnden bedömer att agerandet inte innebär en sådan avvikelse från normal aktsamhet att det är att anse som grovt oaktsamt. Vid den bedömningen beaktar nämnden också GL:s höga ålder samt att det rört sig om ett förslaget bedrägeri. Detta innebär att GL:s ansvar är begränsat till 400 kr. Med avdrag för detta belopp ska banken därför rekommenderas att ersätta den förlust som de obehöriga transaktionerna har orsakat honom.