Obehöriga transaktioner.

TE begärde ersättning med 52 694 kr 11 öre.

I sin anmälan till nämnden uppgav TE följande. I maj 2021 blev hon uppringd av en man som sade att han ringde från banken. Mannen förklarade att hennes föräldrar hade fått ett brev hemskickat, där det fanns uppgifter om att hennes sparkonto behövde ändras senast den 5 maj 2021. Mannen sade att banken inte hade fått något svar och att det var viktigt att detta korrigerades. Han förklarade att hennes sparkonto behövde ändras från ett ungdomskonto till ett vuxenkonto och att detta enkelt kunde göras om hon hade sin bankdosa i närheten. Mannen skickade en kod som kom upp i hennes bankdosa. Hon läste upp koden för honom. Mannen sade vidare att hennes konton kunde ändras om hon loggade in i sin Sparbanken-app på mobiltelefonen och att pengarna på så vis skulle föras över på det nya sparkontot. Hon fyllde i sitt namn och personnummer men inte de fyra sista siffrorna. Hon frågade honom om detta var säkert att göra, vilket mannen intygade att det var. Han sade även att hon kunde ringa huvudkontoret i Stockholm för att fråga men att det skulle innebära en lång väntetid i telefonkö. Hon ringde sina föräldrar och hade dem på högtalartelefon så att de också kunde höra samtalet.

Hon hade i princip aldrig använt sin bankdosa vid tillfället och förstod inte att den kunde användas på detta sätt. Bedragaren hade mycket detaljerade uppgifter om henne när han ringde, vilket gjorde att hon inte fattade några misstankar. Hon var också på väg ut ur en depression och tyckte att det kändes tryggt att en person ringde för att hjälpa henne med det problem som hade uppstått.

Det var bedragaren som lade upp dels ett nytt konto hos banken, dels själva överföringen. Det var inte hon själv som gjorde detta. Undermåligheten i säkerheten i bankens systemstöd, säkerhetsrutiner och säkerhetsprocesser gjorde det möjligt för bedragaren att agera på detta sätt. Skadan hade kunnat begränsas om personalen på banken hade haft bättre kunskap om hur situationer som denna ska hanteras.

Personen som tog emot pengarna har dömts att betala tillbaka beloppet till henne. Hon har dock inte fått någon betalning än och anser att banken bör ta över fordran. Hon blev av med 162 000 kr. Hon har fått tillbaka 109 305 kr 89 öre. Hon begär återbetalning av återstående belopp, dvs. 52 694 kr 11 öre.

Banken motsatte sig kravet.

I sitt svar till nämnden uppgav banken följande. Den reklamerade transaktionen är en överföring via internetbanken och är verifierad av TE med hennes befintliga BankID. Transaktionen har kunnat genomföras genom att verifieringskoder från säkerhetsdosan har lämnats ut till en person, som på det sättet har fått tillgång till internetbanken. Den nya mottagaren har verifierats med TE:s BankID och hon har därefter även signerat transaktionen. Eftersom TE själv har genomfört transaktionen är den inte obehörig. Banken ansvarar därför inte för beloppet.

Allmänna reklamationsnämnden gjorde följande bedömning.

Rättsliga utgångspunkter

I lagen (2010:751) om betaltjänster (betaltjänstlagen) finns regler om obehöriga transaktioner. Ett

villkor för att reglerna ska tillämpas är att transaktionen är obehörig, något som förutsätter att transaktionen har genomförts utan kontohavarens samtycke (se 1 kap. 4 § och 5 a kap. 1 §). Det är kontohavaren som ska bevisa att transaktionen är obehörig men det räcker att detta görs antagligt.

Om transaktionen är obehörig, är huvudregeln att banken ska återställa kontot till den ställning som det skulle ha haft om den obehöriga transaktionen inte hade ägt rum. Från denna regel finns emellertid undantag, som hänger samman med att kontohavaren är skyldig att skydda sina personliga behörighetsfunktioner, t.ex. koder, som är knutna till ett betalningsinstrument. Kontohavaren ansvarar för obehöriga transaktioner under förutsättning att transaktionen har kunnat genomföras till följd av att kontohavaren inte har skyddat sin personliga behörighetsfunktion. Ansvaret är emellertid begränsat till 400 kr, om inte kontohavaren har agerat grovt oaktsamt eller särskilt klandervärt. Om kontohavaren är konsument och har låtit bli att skydda sina personliga behörighetsfunktioner genom grov oaktsamhet, gäller ansvaret i stället upp till 12 000 kr. Och i de fall där handlandet ska anses vara särskilt klandervärt, ansvarar kontohavaren för hela förlusten oavsett hur stor den är. (Se 5 a kap. 2 § och 3 § andra stycket). Det är banken som har bevisbördan för att kontohavaren har agerat grovt oaktsamt eller särskilt klandervärt.

Nämndens bedömning i detta fall

TE har förklarat att hon lämnade ut en kod från sin bankdosa och att bedragaren med hjälp av denna kom in på hennes internetbank och lade upp såväl en ny betalningsmottagare som själva överföringen. Banken har mot detta invänt att TE själv verifierade överföringen med sitt BankID.

Den förklaring som TE har lämnat framstår i sig som rimlig. Banken har heller inte lagt fram någon utredning som talar för att överföringen har auktoriserats på något annat sätt. Mot den bakgrunden bedömer nämnden att det är bevisat att TE inte själv godkände transaktionen och att denna i stället genomfördes utan hennes samtycke. Det rör sig alltså om en obehörig transaktionen i den mening som avses i betaltjänstlagen. Banken har inte gjort gällande att TE underlåtit att skydda sina personliga behörighetsfunktioner genom grov oaktsamhet eller genom ett särskilt klandervärt agerande. Det framgår emellertid av det som TE själv har fört fram att transaktionen har kunnat genomföras till följd av att hon inte har skyddat en personlig behörighetsfunktion. TE ska därför svara för förlusten med 400 kr. Med avdrag för detta belopp ska banken rekommenderas att ersätta den förlust som den obehöriga transaktionen har orsakat henne.