ARN har kommit fram till att kontohavare har rätt till dröjsmålsränta vid återställande av konto efter en obehörig transaktion.

ÅJ begärde ersättning med 53 000 kr samt ränta från och med den 2 november 2022 med referensränta med ett tillägg av två procentenheter.

I sin anmälan till nämnden uppgav ÅJ följande. Den 2 november 2022 fick han ett samtal från en man som påstod sig ringa från Sergel Inkasso. Mannen sa att de hade ett inkassoärende på honom gällande en mobiltelefon som han hade köpt hos Telia till en kostnad av 10 500 kr. Han sa att detta inte stämde. Mannen uppgav då en mejladress och undrade om den var hans, vilket han förnekade. Mannen sade att de hade försökt att nå honom på den adressen. Det skulle även ha gjorts försök att gå in på både Swish och personkonto på banken, enligt mannen. Han blev därför vidarekopplad till banken för att få hjälp att reda ut saken. Efter en stund svarade en man som presenterade sig som Niklas Ström på bankens säkerhetsavdelning. Niklas konstaterade att han är premiekund hos banken, vilket stämde, och ville hjälpa honom att teckna en försäkring ”My Safety”. Han skulle då behöva ha 100 000 kr på sitt konto för att få maximalt försäkringsskydd. Han förde därför över pengar till sitt personkonto så att han fick ett saldo på 110 000 kr.

Samtalet varade i över två timmar. Någon gång under den senare delen av samtalet använde han sin dosa och sitt BankID. Han upplevde personerna som han talade med som mycket vänliga och hjälpsamma och han kände ett förtroende för dem.

Han vaknade under natten och insåg vad som hänt. Han spärrade omedelbart sitt BankID och kontaktade banken direkt morgonen efter. Han förlorade 110 000 kr. Av detta belopp har banken lyckats återföra 57 000 kr. Han begär ersättning med återstående belopp samt ränta.

Han är 78 år gammal. Hans ovana vid datorer kan ha varit en bidragande orsak till att bedrägeriet lyckades. År 2015 gjorde han två överföringar till en annan bank. Banken ringde då upp honom och undrade om överföringarna var korrekta. Banken borde ha reagerat på de stora uttag som gjordes vid detta tillfälle, tre swish á 5 000 kr och en swish på 95 000 kr.

Banken motsatte sig kravet.

I sitt svar till nämnden uppgav företaget följande. ÅJ har agerat på ett sätt som inte bara är att anse som grovt oaktsamt, utan även särskilt klandervärt i lagens mening.

ÅJ har själv uppgett att han blev uppringd av en person som påstod sig ringa från ett inkassobolag. Mannen från inkassobolaget kopplade sedan ÅJ vidare till vad han påstod var ÅJ:s bank. Redan den omständigheten att ett inkassobolag skulle ringa upp och sedan koppla ÅJ till banken måste ha framstått som märklig och borde ha väckt misstanke. Det gjordes ingen ansats för att försäkra sig om att han var i kontakt med banken. Han hade ingen anledning att anta att personen han pratade med var en representant för banken. I stället för att kontrollera detta följde ÅJ den okända personens instruktioner.

Av bankens utredning framgår att transaktionerna är signerade med ett BankID som ÅJ under händelseförloppet laddade ned till bedragarens enhet. ÅJ använde inledningsvis sin bankdosa tillsammans med sitt bankkort och PIN-kod och lämnade ut fyra svarskoder. Dessa svarskoder användes för legitimering hos banken och nedladdning av det nya BankID:t.

Strax därefter signerade ÅJ, med sitt befintliga BankID, en höjning av den tillfälliga betalgränsen för Swish. Transaktionerna genomfördes sedan med det nya BankID:t. ÅJ kringgick därmed det skydd som banken av säkerhetsskäl infört genom att själv signera höjningen med sitt befintliga mobila BankID. Han har gjort det på uppmaning av en okänd person vars identitet han inte kontrollerade.

Av det meddelande ÅJ fick i BankID-appen när han signerade den tillfälliga höjningen av swishlimiten till 100 000 kr framgick följande information:

Jag vill ha en tillfällig limit i Swish tillfällig limit: 100 000,00 SEK giltig till: 2022-11-02.

Betaltjänstanvändaren är skyldig att noggrant granska vad som presenteras för signering vid godkännande av en betalningstransaktion. Användaren är ansvarig för skada eller förlust som åsamkas banken, tredje man eller sig själv om användaren uppsåtligen eller genom oaktsamhet inte iakttar villkoren. BankID får exempelvis bara laddas ned till en enhet som betaltjänstanvändaren har kontroll över.

Att använda sina säkerhetslösningar på det sätt som har skett måste anses vara förknippat med en påtaglig fara för obehöriga transaktioner och det måste rimligen krävas att man inser detta. Slutsatsen blir därför att ÅJ har gett en obehörig person tillgång till sina personliga behörighetsfunktioner och att han samtidigt hade anledning att misstänka att det förelåg en betydande eller närliggande risk för att hans handlande kunde medföra en förlust. Banken gör således gällande att ÅJ på ett särskilt klandervärt sätt försummat skyldigheten att skydda sina personliga behörighetsfunktioner. Banken har därför ingen skyldighet att återställa kontot.

Någon rätt till dröjsmålsränta föreligger inte, vare sig enligt betaltjänstlagen eller de allmänna villkoren. Redan av ordalydelsen i 5 a kap. 1 § betaltjänstlagen framgår att det inte är fråga om en betalningsförpliktelse som kan förenas med ränta, utan ett rent administrativt återställande av kontoställningen till den ställning kontot skulle ha haft om transaktionerna inte hade ägt rum. Mot bakgrund av vad som ovan anförts bestrider banken kravet i sin helhet.

Allmänna reklamationsnämnden gjorde följande bedömning.

Reglerna om obehöriga transaktioner

I lagen (2010:751) om betaltjänster finns regler om obehöriga transaktioner. Huvudregeln är att banken ska återställa kontot till den ställning som det skulle ha haft om den obehöriga transaktionen inte hade ägt rum. Från denna regel finns emellertid undantag, som hänger samman med att kontohavaren är skyldig att skydda sina personliga behörighetsfunktioner, t.ex. koder, som är knutna till ett betalningsinstrument.

Kontohavaren ansvarar för obehöriga transaktioner under förutsättning att transaktionen har kunnat genomföras till följd av att kontohavaren inte har skyddat sin personliga behörighetsfunktion. Ansvaret är emellertid begränsat till 400 kr, om inte kontohavaren har agerat grovt oaktsamt eller särskilt klandervärt. Om kontohavaren är konsument och har låtit bli att skydda sina personliga behörighetsfunktioner genom grov oaktsamhet, gäller ansvaret i stället upp till 12 000 kr. Och i de fall där handlandet ska anses vara särskilt klandervärt, ansvarar kontohavaren för hela förlusten oavsett hur stor den är. (Se 5 a kap. 2 § och 3 § andra stycket.)

Regleringen bygger på tanken att det ligger ett värde i att man kan använda kontokort och andra betalningsinstrument utan att riskera att drabbas av alltför kännbara ekonomiska förluster. Det har nämligen ansetts vara önskvärt att uppmuntra användningen av betalningsinstrument eftersom det

finns ett samhällsekonomiskt och brottsförebyggande intresse av att minska kontanthanteringen. (Se prop. 2009/10:122 s. 17.)

Grovt oaktsamma ageranden

För att vara grovt oaktsamt måste agerandet utgöra ett markant avsteg från den aktsamhet som rimligen kan krävas. Normalt förutsätts därmed att kontohavaren har varit obetänksam i en sådan grad att han eller hon inte är ursäktad. Detta innebär att lindriga fall av slarv eller tillfällig glömska inte utgör ett grovt oaktsamt agerande. Vid bedömningen måste beaktas bland annat vilka möjligheter kontohavaren har haft att skydda sig mot en obehörig transaktion. I det sammanhanget ska hänsyn tas till vad han eller hon hade kunnat göra för komma till insikt om risken för en obehörig transaktion. Ställning måste vidare tas till om det är rimligt eller inte att begära att kontohavaren gör detta. I det sammanhanget kan många olika faktorer ges betydelse, däribland hur pressande eller brådskande situationen har varit eller framstått för honom eller henne. Ytterst får en samlad bedömning göras för att avgöra om agerandet kan anses grovt oaktsamt eller inte. (Se prop. 2009/10:122 s. 27 samt nämndens beslut den 9 november 2022 i ärendena 2021-12666, 2021-19593, 2022-01950, 2022- 02184, 2022-03987 och 2022-03828.)

Särskilt klandervärda ageranden

Särskilt klandervärt ska agerandet anses vara först vid kvalificerade former av grov oaktsamhet. Agerandet ska alltså vara allvarligare än ett markant avsteg från normal aktsamhet (se ovan). I princip krävs att konsumenten har varit likgiltig till risken för obehöriga transaktioner (se prop. 2009/10:122 s. 29).

Högsta domstolen har nämnt tre situationer där agerandet ska anses vara särskilt klandervärt. Den första av dessa är när konsumenten har agerat bedrägligt. Den andra situationen föreligger när konsumenten med avsikt har överlämnat personliga behörighetsfunktioner till en obehörig person och då insett eller haft anledning att misstänka att det förelåg en betydande eller närliggande risk för att hans eller hennes handlande kunde medföra en förlust. För det tredje nämner domstolen situationen att konsumenten har varit medveten om, dvs. faktiskt insett, att det fanns en risk för en obehörig transaktion men ändå underlåtit att skydda sina personliga behörighetsfunktioner. Bedömningen av om en konsument har agerat särskilt klandervärt ska i princip göras objektiv erat. (Se ”BankID bedrägeriet” NJA 2022 s. 522 punkterna 26– 28.)

Det ska noteras att kravet på insikt gäller kontohavarens faktiska uppfattning eller föreställning om risken för att en obehörig transaktion ska genomföras. Det kan inte anses tillräckligt att kontohavaren anar att en sådan risk finns. I stället får det krävas att kontohavaren är mer eller mindre säker på att en verklig risk föreligger. Det är heller inte tillräckligt att kontohavaren borde ha insett risken eller har haft anledning att tänka efter och därmed hade kunnat inse att en sådan risk förelåg.

Bankens bevisbörda

Det är banken som har bevisbördan för att kontohavaren har agerat grovt oaktsamt eller särskilt klandervärt. Bevisningens styrka ska i princip uppfylla de krav som normalt gäller i civilmål; omständigheterna ska alltså visas. (Se prop. 2009/10:122 s. 28 oc h ”BankID - bedrägeriet” NJA 2022 s. 522 punkten 29.)

Vad banken närmare bestämt ska visa är att omständigheter av omedelbar betydelse för bedömningen föreligger som utgör ett grovt oaktsamt eller ett särskilt klandervärt agerande, t.ex. att kontohavaren var praktiskt taget säker på att det fanns en risk för obehöriga transaktioner. Det ska samtidigt uppmärksammas att bedömningen huruvida ett agerande är grovt oaktsamt eller särskilt klandervärt

kan inrymma rättsfrågor och att frågor av det slaget inte omfattas av bevisbördan, t.ex. frågan om kontohavaren har haft anledning att misstänka att det förelåg en betydande eller närliggande risk för att hans eller hennes handlande kunde medföra en förlust.

Beviskravet kan uppfyllas på olika sätt och genom bevisning som tar sikte på olika omständigheter. I

regel kan banken lägga fram utredning som gäller användningen av ett betalningsinstrument. Denna kan många gånger innehålla uppgifter om vilket betalningsinstrument som har använts, hur detta har kommit till användning och när användningen har ägt rum. I övrigt får nämnden inte sällan lägga kontohavarens uppgifter till grund för bedömningen, något som också förutsattes i lagmotiven (se prop. 2009/10:122 s. 28). Många gånger finns det således inte någon bevisning som mera direkt tar sikte kontohavarens subjektiva föreställning. Någon gång kan emellertid omständigheterna objektivt sett vara sådana att det framstår som i det närmaste otänkbart att kontohavaren var okunnig om risken för en obehörig transaktio n (jfr ”Suterränghuset på Ekerö” NJA 2021 s. 353 punkten 11).

Nämndens bedömning av ÅJ:s agerande

ÅJ har förklarat att han pratade med en person som utgav sig för att företräda banken och att han under samtalet använde sin bankdosa och sitt BankID. Av den utredning som banken har lagt fram framgår vidare att ÅJ lämnade ut fyra svarskoder från sin bankdosa och att dessa koder användes för legitimering hos banken och nedladdning av ett nytt BankID, som användes för att genomföra transaktionerna.

Det står klart att ÅJ inte själv genomförde transaktionerna och att dessa gjordes utan hans samtyckte. Det är vidare utrett att transaktionerna kunde genomföras för att ÅJ lämnade ut koder från sin bankdosa. Transaktionerna är alltså obehöriga men kunde genomföras eftersom ÅJ inte skyddade de personliga behörighetsfunktioner som var kopplade till hans bankdosa.

Frågan är om ÅJ genom att lämna ut koderna ska anses ha agerat särskilt klandervärt.

Av utredningen framgår att samtalet med den förmente bankföreträdaren föregicks av att ÅJ blev uppringd av någon som utgav sig för att företräda inkassobolaget Sergel Inkasso. Under samtalet lurades han att tro att det hade gjorts försök att gå in på hans Swish och personkonto på banken. Personen kopplade vidare samtalet för att ÅJ skulle få prata med någon på banken.

Det kan tyckas vara egendomligt att en företrädare för ett inkassobolag har uppgifter om aktiviteter på någons bankkonto. I någon mån kan det även framstå som underligt att en sådan person kopplar ett samtal vidare till banken. Enligt nämndens bedömning är skeendet emellertid inte osannolikt i sådan grad att det kan anses visat att ÅJ förstod att han hade blivit lurad och att han i själva verket inte pratade med en företrädare för banken eller att det på någon annan grund fanns en beaktansvärd risk för att transaktioner skulle genomföras utan hans samtycke.

Av utredningen framgår vidare att transaktionerna föranleddes av att den påstådde bankföreträdaren förklarade att han skulle hjälpa ÅJ att teckna en försäkring och att ÅJ behövde ha 100 000 kr på kontot för att få maximalt försäkringsskydd. ÅJ överförde därför 100 000 kr till det konto varifrån transaktionerna sedan genomfördes. Det framgår även att ÅJ, innan transaktionerna genomfördes, hade höjt den tillfälliga betalgränsen för Swish.

Enligt nämndens bedömning kan inte heller dessa omständigheter läggas till grund för slutsatsen att ÅJ var medveten om att han lämnade ut koderna till en obehörig person eller att han på någon annan grund insåg att det fanns en risk för obehöriga transaktioner. Det förefaller nämligen inte särskilt osannolikt att det från ÅJ:s perspektiv framstod som rimligt att genomföra dessa åtgärder.

De omständigheter som har kommit fram utgör inte heller sammantagna tillräcklig bevisning för att ÅJ var medveten om att han lämnade ut koderna till en obehörig person eller att han på någon annan grund insåg att det fanns en risk för obehöriga transaktioner. Slutsatsen blir därför att ÅJ inte ska anses ha agerat särskilt klandervärt.

Frågan blir då om ÅJ:s agerande ska bedömas som grovt oaktsamt.

Som nämnden har konstaterat i tidigare ärenden är det normalt förenat med tydliga risker att överlämna koder till någon annan utan möjlighet att kontrollera hur koderna används eller sprids. Därför får det i regel krävas att man ifrågasätter behovet av att överlämna koder under sådana förhållanden och att man gör vad man kan för att kontrollera vem man överlämnar koderna till.

Nämnden bedömer att ÅJ under de redovisade omständigheterna borde ha förstått att det finns en risk för att de obehöriga transaktionerna skulle äga rum om han lämnade ut koderna. Genom att muntligen lämna ut koderna har ÅJ på ett mycket tydligt sätt avvikit från den aktsamhet som kan krävas av honom. Han har således genom grov oaktsamhet försummat skyldigheten att skydda sin personliga behörighetsfunktion.

ÅJ:s ansvar är således begränsat till 12 000 kr. Med avdrag för detta belopp ska banken rekommenderas att ersätta den förlust som de obehöriga transaktionerna har orsakat honom.

Rätten till dröjsmålsränta

Räntelagen (1975:635) är tillämplig på penningfordringar på förmögenhetsrättens område men gäller inte i den mån annat är särskilt föreskrivet (se 1 §). Dröjsmålsränta utgår enligt räntelagen på fordringen från förfallodagen, om denna är bestämd i förväg (3 § första stycket).

När banken är skyldig att återställa kontot ska detta ske omedelbart och senast i slutet av den bankdag som inträffar efter det att betaltjänstleverantören har fått kännedom om transaktionen. Om det finns anledning att misstänka att transaktionen är behörig, har banken emellertid rätt till en skälig tid för att undersöka saken (se 5 a kap. 1 § första stycket betaltjänstlagen). I lagmotiven framhålls att en återbetalning ska göras omedelbart utom i de fall då kontohavaren ska stå för förlusten (se prop. 2017/18:77 s. 202). Det framgår även att undantag ska göras inte endast när det finns anledning att misstänka att kontohavaren genom svikligt handlande har bidragit till transaktionen utan i stället i alla de situationer där det finns anledning att misstänka att de aktuella transaktionerna i själva verket är behöriga (se prop. prop. 2017/18:77 s. 202 och 203).

Den rätt att få kontot återställt som kontohavaren har utgör en penningfordran och denna hör till det förmögenhetsrättsliga området. Det kan vidare konstateras att förfallodagen är bestämd i förväg genom det som föreskrivs i betaltjänstlagen om när återställningen ska ske. Eftersom betaltjänstlagen inte föreskriver något om kontohavarens rätt till dröjsmålsränta, gäller räntelagens reglering.

ÅJ har rätt till dröjsmålsränta

Som framgår av det föregående ska banken i en situation som denna återställa kontot senast i slutet av den bankdag som inträffar efter det att banken har fått kännedom om transaktionen. Det framgår av utredningen att ÅJ informerade banken om transaktionerna den 3 november 2022. Banken, som inte har gjort gällande att det fanns anledning att misstänka att transaktionen var behörig, var alltså skyldig att återställa kontot senast den 4 november 2022. Dröjsmålsränta ska därför utgå från den dagen.