Obehöriga transaktioner.

KÖ begärde i första hand ersättning med 50 000 kr och i andra hand ersättning med 38 000 kr.

I sin anmälan till nämnden uppgav KÖ följande. Hon blev uppringd av en person som utgav sig ringa från bank 1:s säkerhetsavdelning med fråga om hon gjort en transaktion och uppgift om att hon var utsatt för ett bedrägeriförsök. Några år tidigare hade hennes man blivit uppringd i samband med skimning av ett kort; hon trodde därför att det var på riktigt.

Hon visste inte något om någon transaktion så personen kopplade henne vidare till en annan person som kallade sig Fredrik och som skulle hjälpa henne med transaktionen. Hon laddade ner två appar varav den ena hette Anydesk fjärrskrivbord som gjorde att Fredrik kunde styra hennes telefon och hon loggade in på sitt BankID. Efteråt upptäckte hon att någon swishat 50 000 kr från hennes konto till ett konto i bank 2. Hon mottog senare ett kreditkort, med hennes namn på, från bank 2.

Hon vill i första hand att bankerna ersätter henne med hela beloppet och i andra hand med 38 000 kr i enlighet med Högsta domstolens dom.

Bank 1 motsatte sig kravet.

I sitt svar till nämnden uppgav bank 1 följande. KÖ har agerat på ett sätt som är särskilt klandervärt i lagens mening. Bank 1 ska därför inte stå för förlusten.

KÖ har på uppmaning av en okänd person laddat ned två appar som enligt anmälaren har möjliggjort fjärrstyrning. Något som bevisar att denna nedladdning har skett återfinns inte i ärendet varför detta bestrids av bank 1. Bank 1 har aldrig tidigare kontaktat KÖ och bett henne att ladda ned en app för att möjliggöra fjärrstyrning av bankens medarbetare. KÖ har vana av bank 1:s säkerhetslösning och borde ha förstått att detta är ett bedrägeri.

Av bankens utredning framgår att de transaktioner som är föremål för prövning hos nämnden är signerade med ett BankID som KÖ under händelseförloppet laddade ned till bedragarens enhet. KÖ legitimerade sig mot banken i bankens självserviceportal för BankID. Därefter signerade hon nedladdning av det nya BankID:t till bedragarens enhet med sitt befintliga BankID. KÖ har därvid sett följande varningstext i sin BankID-app:

Jag vill ladda ner ett nytt BankID. Jag har tagit del av och godkänner Allmänna villkor för BankID. UNDVIK BEDRÄGERIFÖRSÖK! Ladda aldrig ner ett BankID på uppmaning av banken eller någon annan person, oavsett orsak! Vid minsta tvekan, Avbryt.

Denna varningstext har KÖ sett vid två tillfällen då anmälarens första försök att ladda ned ett nytt BankID misslyckats.

KÖ har även höjt den tillfälliga swish-limiten med sitt befintliga mobila BankID och därvid sett

följande text i BankID-appen:

Jag vill ha en tillfällig limit i Swish tillfällig limit: 52 000,00 SEK giltig till: 2022-05-30

Betaltjänstanvändaren är skyldig att noggrant granska vad som presenteras för signering vid godkännande av en betalningstransaktion. Användaren är ansvarig för skada eller förlust som åsamkas banken, tredje man eller sig själv om användaren uppsåtligen eller genom oaktsamhet inte iakttar villkoren. BankID får exempelvis bara laddas ned till en enhet som betaltjänstanvändaren har kontroll över.

Att på uppmaning av okänd person tillåta fjärrstyrning och använda sitt BankID på det sätt som har skett måste anses vara förknippat med en påtaglig fara för obehöriga transaktioner och det måste rimligen krävas att man inser detta. Slutsatsen blir därför att KÖ har gett en obehörig person tillgång till sina personliga behörighetsfunktioner och att hon samtidigt hade anledning att misstänka att det förelåg en betydande eller närliggande risk för att hennes handlande kunde medföra en förlust.

Bank 1 gör således gällande att KÖ på ett särskilt klandervärt sätt försummat skyldigheten att skydda sin personliga behörighetsfunktion. Någon rätt till ersättning av banken föreligger därför inte.

Bank 2 motsatte sig kravet.

I sitt svar till nämnden uppgav bank 2 följande. Den 30 maj 2022 öppnade någon ett personkonto hos bank 2, med tillhörande debetkort, i KÖ:s namn med användande av hennes BankID. Därefter gjordes en insättning om 50 000 kr till kontot med swish. Det insatta beloppet spenderades därefter, så när som på 76,05 kr, i Spanien med användning av ett till kontot kopplat virtuellt debetkort.

Bank 2:s personkonto och debetkort är utformat på så sätt att den som öppnar ett personkonto i banken omgående får tillgång till ett virtuellt debetkort. Ett fysiskt debetkort tillverkas därefter och skickas till kontohavaren per post.

Den 16 juni 2022 kontaktade KÖ bank 2 och meddelade att hon fått ett fysiskt bankkort hemskickat men som hon inte beställt och uppgav att hon blivit utsatt för bedrägeri. Bank 2 spärrade samma dag personkontot och debetkortet från vidare transaktioner. Det återstod då en behållning på personkontot om 76,05 kr. Bank 2 har inte skickat något kreditkort till KÖ.

Enligt KÖ:s egna uppgifter har någon obehörigen öppnat ett personkonto och skaffat debetkort hos bank 2 i hennes namn. Det innebär att det inte föreligger något avtalsförhållande mellan bank 2 och KÖ och att hon inte är innehavare av personkontot. Bank 2 är redan av dessa skäl inte skyldigt att ersätta KÖ på avtalsrättslig grund eller att återställa personkontot enligt lagen om betaltjänster.

Bank 2 bestrider att banken mottagit en betalning på ett sådant sätt att reglerna om condictio indebiti eller liknande rättsprinciper kan tillämpas. Bank 2 har dessutom i god tro, inrättat sig efter transaktionen. Det föreligger inte någon skyldighet för banken att på någon annan rättslig grund betala ersättning till KÖ.

Bank 2 gör inte anspråk på den återstående behållningen på personkontot om 76,05 kr. Om bank 1 och KÖ gemensamt meddelar bank 2 vem av dem som har rätt till beloppet och lämnar instruktioner till vilket kontot beloppet ska betalas så är bank 2 beredd att göra detta.

Allmänna reklamationsnämnden gjorde följande bedömning.

Reglerna om obehöriga transaktioner

I lagen (2010:751) om betaltjänster finns regler om obehöriga transaktioner. Huvudregeln är att

banken ska återställa kontot till den ställning som det skulle ha haft om den obehöriga transaktionen inte hade ägt rum. Från denna regel finns emellertid undantag, som hänger samman med att kontohavaren är skyldig att skydda sina personliga behörighetsfunktioner, t.ex. koder, som är knutna till ett betalningsinstrument.

Kontohavaren ansvarar för obehöriga transaktioner under förutsättning att transaktionen har kunnat genomföras till följd av att kontohavaren inte har skyddat sin personliga behörighetsfunktion. Ansvaret är emellertid begränsat till 400 kr, om inte kontohavaren har agerat grovt oaktsamt eller särskilt klandervärt. Om kontohavaren är konsument och har låtit bli att skydda sina personliga behörighetsfunktioner genom grov oaktsamhet, gäller ansvaret i stället upp till 12 000 kr. Och i de fall där handlandet ska anses vara särskilt klandervärt, ansvarar kontohavaren för hela förlusten oavsett hur stor den är. (Se 5 a kap. 2 § och 3 § andra stycket.)

Regleringen bygger på tanken att det ligger ett värde i att man kan använda kontokort och andra betalningsinstrument utan att riskera att drabbas av alltför kännbara ekonomiska förluster. Det har nämligen ansetts vara önskvärt att uppmuntra användningen av betalningsinstrument eftersom det finns ett samhällsekonomiskt och brottsförebyggande intresse av att minska kontanthanteringen. (Se prop. 2009/10:122 s. 17.)

Grovt oaktsamma ageranden

För att vara grovt oaktsamt måste agerandet utgöra ett markant avsteg från den aktsamhet som rimligen kan krävas. Normalt förutsätts därmed att kontohavaren har varit obetänksam i en sådan grad att han eller hon inte är ursäktad. Detta innebär att lindriga fall av slarv eller tillfällig glömska inte utgör ett grovt oaktsamt agerande. Vid bedömningen måste beaktas bland annat vilka möjligheter kontohavaren har haft att skydda sig mot en obehörig transaktion. I det sammanhanget ska hänsyn tas till vad han eller hon hade kunnat göra för komma till insikt om risken för en obehörig transaktion. Ställning måste vidare tas till om det är rimligt eller inte att begära att kontohavaren gör detta. I det sammanhanget kan många olika faktorer ges betydelse, däribland hur pressande eller brådskande situationen har varit eller framstått för honom eller henne. Ytterst får en samlad bedömning göras för att avgöra om agerandet kan anses grovt oaktsamt eller inte. (Se prop. 2009/10:122 s. 27 samt nämndens beslut den 9 november 2022 i ärendena 2021-12666, 2021-19593, 2022-01950, 2022- 02184, 2022-03987 och 2022-03828.)

Särskilt klandervärda ageranden

Särskilt klandervärt ska agerandet anses vara först vid kvalificerade former av grov oaktsamhet. Agerandet ska alltså vara allvarligare än ett markant avsteg från normal aktsamhet (se ovan). I princip krävs att konsumenten har varit likgiltig till risken för obehöriga transaktioner (se prop. 2009/10:122 s. 29).

Högsta domstolen har nämnt tre situationer där agerandet ska anses vara särskilt klandervärt. Den första av dessa är när konsumenten har agerat bedrägligt. Den andra situationen föreligger när konsumenten med avsikt har överlämnat personliga behörighetsfunktioner till en obehörig person och då insett eller haft anledning att misstänka att det förelåg en betydande eller närliggande risk för att

hans eller hennes handlande kunde medföra en förlust. För det tredje nämner domstolen situationen att konsumenten har varit medveten om, dvs. faktiskt insett, att det fanns en risk för en obehörig transaktion men ändå underlåtit att skydda sina personliga behörighetsfunktioner. Bedömningen av om en konsument har agerat särskilt klandervärt ska i princip göras objektiverat. (Se ”BankID -

bedrägeriet” NJA 2022 s. 522 punkterna 26 – 28.)

Det ska noteras att kravet på insikt gäller kontohavarens faktiska uppfattning eller föreställning om risken för att en obehörig transaktion ska genomföras. Det kan inte anses tillräckligt att kontohavaren anar att en sådan risk finns. I stället får det krävas att kontohavaren är mer eller mindre säker på att en verklig risk föreligger. Det är heller inte tillräckligt att kontohavaren borde ha insett risken eller har haft anledning att tänka efter och därmed hade kunnat inse att en sådan risk förelåg.

Bankens bevisbörda

Det är banken som har bevisbördan för att kontohavaren har agerat grovt oaktsamt eller särskilt klandervärt. Bevisningens styrka ska i princip uppfylla de krav som normalt gäller i civilmål; omständigheterna ska alltså visas. (Se prop. 2009/10:122 s. 28 oc h ”BankID - bedrägeriet” NJA 2022 s. 522 punkten 29.)

Vad banken närmare bestämt ska visa är att omständigheter av omedelbar betydelse för bedömningen föreligger som utgör ett grovt oaktsamt eller ett särskilt klandervärt agerande, t.ex. att kontohavaren var praktiskt taget säker på att det fanns en risk för obehöriga transaktioner. Det ska samtidigt uppmärksammas att bedömningen huruvida ett agerande är grovt oaktsamt eller särskilt klandervärt kan inrymma rättsfrågor och att frågor av det slaget inte omfattas av bevisbördan. t.ex. frågan om kontohavaren har haft anledning att misstänka att det förelåg en betydande eller närliggande risk för att hans eller hennes handlande kunde medföra en förlust.

Beviskravet kan uppfyllas på olika sätt och genom bevisning som tar sikte på olika omständigheter. I regel kan banken lägga fram utredning som gäller användningen av ett betalningsinstrument. Denna kan många gånger innehålla uppgifter om vilket betalningsinstrument som har använts, hur detta har kommit till användning och när användningen har ägt rum. I övrigt får nämnden inte sällan lägga kontohavarens uppgifter till grund för bedömningen, något som också förutsattes i lagmotiven (se prop. 2009/10:122 s. 28). Många gånger finns det således inte någon bevisning som mera direkt tar sikte kontohavarens subjektiva föreställning. Någon gång kan emellertid omständigheterna objektivt sett vara sådana att det framstår som i det närmaste otänkbart att kontohavaren var okunnig om risken för en obehörig transaktion (jfr ”Suterränghuset på Ekerö” NJA 2021 s. 353 punkten 11).

Nämndens bedömning i detta fall

Av utredningen framgår att KÖ blev uppringd av en person som utgav sig för att företräda bank 1. Det framgår att personen förklarade för KÖ att hon var utsatt för ett bedrägeriförsök. Av den utredning som bank 1 har lagt fram framgår att KÖ med sitt BankID signerade nedladdningen av ett nytt BankID, som personen använde för att genomföra den aktuella transaktionen.

Det står klart att KÖ inte själv genomförde transaktionen och att den gjordes utan hennes samtycke. Det är vidare utrett att transaktionen kunde genomföras för att KÖ signerade nedladdningen av ett nytt BankID. Transaktionen är alltså obehörig men kunde genomföras eftersom KÖ inte skyddade de personliga behörighetsfunktioner som var kopplade till hennes BankID.

Frågan är om KÖ genom att göra det möjligt för personen att ladda ned ett nytt BankID ska anses ha agerat särskilt klandervärt.

Av utredningen framgår att KÖ, när hon skulle signera nedladdningen av ett nytt BankID, fick ett meddelande som uppmanade henne att aldrig ladda ned ett BankID på uppmaning av banken eller någon annan person, oavsett orsak. Det har emellertid inte framkommit någon omständighet som mera direkt talar för att KÖ tog del av informationen.

Av utredningen framgår vidare att KÖ, innan transaktionen genomfördes, hade höjt betalgränsen för Swish. Det har inte framkommit någon förklaring till varför en sådan åtgärd enligt KÖ:s uppfattning var nödvändig.

Det kan tyckas svårt att förena nedladdningen av ett nytt BankID och höjningen av betalgränsen för Swish med att KÖ trodde att banken skulle hjälpa henne att komma till rätta med ett bedrägeriförsök. Samtidigt är det inte otänkbart att man i den situation som KÖ uppger att hon uppfattade att hon befann sig i inte fäster någon avgörande vikt vid enskildheter som man i andra situationer kanske beaktar.

Vid en sammantagen bedömning utgör de omständigheter som har kommit fram inte tillräcklig bevisning för att KÖ var medveten om att hon gav en obehörig person tillgång till sitt BankID eller att hon på någon annan grund insåg att det fanns en risk för obehöriga transaktioner. Slutsatsen blir därför att KÖ inte ska anses ha agerat särskilt klandervärt.

Frågan blir då om KÖ:s agerande ska bedömas som grovt oaktsamt.

Det är som sagt utrett att KÖ fick ett varningsmeddelande när hon skulle signera nedladdningen av ett nytt BankID. Enligt nämndens mening får det i allmänhet krävas att man tar del av meddelanden av det slaget, även om man uppfattar förhållandena som pressande. Om KÖ hade tagit del av meddelandet, som var tydligt och kortfattat, skulle hon ha förstått att det fanns en påtaglig risk för att transaktioner skulle genomföras utan hennes samtycke. Genom att i stället signera nedladdningen av ett nytt BankID har KÖ på ett mycket tydligt sätt avvikit från den aktsamhet som kan krävas av henne. Hon har således genom grov oaktsamhet försummat skyldigheten att skydda sin personliga behörighetsfunktion.

KÖ:s ansvar är således begränsat till 12 000 kr. Med avdrag för detta belopp ska bank 1 rekommenderas att ersätta den förlust som den obehöriga transaktionen har orsakat henne.

KÖ har även riktat krav mot bank 2.

En förutsättning för att reglerna om obehöriga transaktioner ska tillämpas i förhållande till bank 2 är att KÖ kan anses vara innehavare av kontot hos banken. Av utredningen framgår att kontot öppnades utan hennes samtycke med användning av det nya BankID som hade tagits ut i hennes namn. Enligt nämndens bedömning kan den rättshandling som föranledde att kontot öppnades därmed inte anses härröra från KÖ (jfr ”Låneavtalet med Svea Ekonomi” NJA 2021 s. 1017 punkten 11). KÖ kan således inte anses vara innehavare av kontot hos bank 2. Kravet mot bank 2 ska därför avslås.

Nämnden noterar emellertid att bank 2 har accepterat att utbetala den återstående behållningen på kontot, om bank 1 och KÖ gemensamt meddelar bank 2 vem av dem som har rätt till beloppet.

________

Skiljaktig mening Två av ledamöterna var skiljaktiga i fråga om motiveringen och anförde följande.

Vi delar majoritetens bedömning att KÖ genom grov oaktsamhet försummat skyldigheten att skydda sin personliga behörighetsfunktion. Vi anser emellertid inte att det i allmänhet kan krävas att konsumenter tar del av ett varningsmeddelande från BankID oaktat konsumentens upplevelse i form av stress eller press.

I nya och överraskande situationer känner sig konsumenter okunniga och osäkra. Detta i kombination med en upplevelse av tidspress och behov av att agera snabbt gör konsumenter stressade. Osäkra och otydliga situationer upplevs ofta som hotande vilket skapar psykologisk och fysiologisk stress. I situationer som upplevs som osäkra och stressande ökar vidare konsumenters tendenser att se till andra människor för vägledning om hur de bör agera. Konsumenter agerar enligt andras uppmaningar när situationen är osäker, särskilt om konsumenten uppfattar den andre som en auktoritet. För en konsument som försätts i en stressad situation kan därför en bedragares anvisningar framstå som både adekvata och lämpliga även om det i efterhand går att ifrågasätta rimligheten i bedragarens instruktioner. Utöver ovan nämnda allmänna faktorer så finns det ett stort antal individrelaterade faktorer som påverkar förmågan att hantera stressade situationer såsom låg ålder, hög ålder, personlighet och hög osäkerhetsintolerans. Det ska vidare tilläggas att konsumenter i förhållande till banken är den svagare parten och skyddsvärda och att alltför höga krav således inte kan ställas på konsumenterna. Vi delar därmed inte majoritetens bedömning att konsumenter i allmänhet bör ta del av varningsmeddelanden från BankID även om en situation upplevs som pressande/stressande. Vi anser således inte att det förhållande att KÖ mottog ett varningsmeddelande har någon avgörande betydelse för bedömningen av hennes agerande. I övrigt delar vi majoritetens motivering och beslut.