ARN har kommit fram till att en konsument i normalfallet endast ska stå för en självrisk vid obehöriga transaktioner som genomförts av samma betaltjänstleverantör men från flera olika kort eller konton under förutsättning att det agerande som läggs kontohavaren till last kan hänföras till ett och samma händelseförlopp.

HS begärde ersättning med 67 099 kr 50 öre.

I sin anmälan uppgav AG följande. Han har blivit utsatt för ett bedrägeri. Någon har kontaktat honom per telefon och utgett sig ringa från banken. En annan person har också kontaktat honom via Viber. Till följd av dessa samtal har han förmåtts att skapa ett nytt bank-id genom att signera med sitt bankid. På detta sätt har obehöriga transaktioner kunnat ske med två olika kort som tillhör honom.

Transaktionerna på det ena kortet uppgår till 47 859 kr 70 öre. Transaktionerna på det andra kortet uppgår till 19 239 kr 80 öre. Båda korten är utfärdade av kreditmarknadsbolaget.

Kreditmarknadsbolaget motsatte sig kravet.

I sitt svar till nämnden uppgav kreditmarknadsbolaget följande. De reklamerade transaktionerna är obehöriga. HS har dock agerat särskilt klandervärt eller, i andra hand, grovt oaktsamt. Vid signeringen för nytt bank-id har han presenterats med en text som bland annat varnar för att banken aldrig kommer att ringa för att be honom logga in. Att ladda ner ett mobilt bank-id till en enhet man inte har kontroll över, efter att ha blivit varnad i samband med nedladdning, måste anses vara förknippat med en påtaglig fara för obehöriga transaktioner. HS måste även ha uppfattat det som märkligt att han efter det första samtalet med banken blev uppringd på nytt av en okänd person via chattjänst-appen Viber som skulle hjälpa honom att genomföra en transaktion. HS hade ingen anledning att anta att personen han pratade med var en representant för banken.

Om det ska anses vara fråga om grov oaktsamhet är HS betalningsansvarig för 12 000 kr per kort.

Allmänna reklamationsnämnden gjorde följande bedömning

Rättsliga utgångspunkter

I lagen (2010:751) om betaltjänster (betaltjänstlagen) finns regler om obehöriga transaktioner (se 5 a kap.). Huvudregeln är att banken ska återställa kontot till den ställning som det skulle ha haft om den obehöriga transaktionen inte hade genomförts. Som utgångspunkt ska konsumenten alltså inte svara för någon del. Från denna regel finns emellertid vissa undantag, som hänger samman med att kontohavaren är skyldig att skydda sina personliga behörighetsfunktioner, t.ex. koder, som är knutna till ett betalningsinstrument.

Om transaktionen har kunnat genomföras till följd av att kontohavaren inte har skyddat sina personliga behörighetsfunktioner, ansvarar kontohavaren för förlusten med som mest 400 kr (se 5 a kap. 2 §). Ifall kontohavaren genom grov oaktsamhet har låtit bli att skydda sina personliga behörighetsfunktioner, är ansvaret begränsat till högst 12 000 kr (se 5 a kap. 3 §). Kontohavaren ska alltså bära en slags självrisk som varierar beroende på den utsträckning i vilken kontohavaren kan lastas för förlusten. Tanken är att kontohavaren därmed ska ha ett incitament att följa de villkor som gäller för användningen av ett betalningsinstrument.

Det är inte särskilt reglerat i vilka situationer kontohavaren är skyldig att stå för mer än ett självriskbelopp. Det framgår av lagtexten att självrisken avser ”obehöriga transaktioner”. Detta ger stöd för att endast en självrisk ska betalas och för att detta gäller även om det är flera transaktioner som har orsakat förlusten. I lagmotiven sägs dessutom att begräsningen gäller oavsett om det är en eller flera personer som har utfört de obehöriga transaktionerna och oaktat om flera skyldigheter har

åsidosatts eller kontohavaren har varit grovt oaktsam i flera avseenden. I dessa fall ska kontohavaren alltså stå för endast ett självriskbelopp. (Se prop. 2009/10:122 s. 27 och 29.)

Enligt nämndens mening är det därmed tydligt att kontohavaren som utgångspunkt inte är skyldig att stå för mer än ett självriskbelopp.

Samtidigt är det en outtalad förutsättning för de redovisade uttalandena i lagmotiven att det som läggs kontohavaren till last, även om det avser flera skyldigheter, kan hänföras till ett och samma händelseförlopp. Detta är väl förenligt med syftet att kontohavaren ska ha tydliga incitament att följa de villkor som gäller för användningen av betalningsinstrument. Det kan inte rimligen vara meningen att begränsningen ska gälla för åsidosättanden som äger rum vid olika tillfällen och utan att det finns något samband mellan dem. Det ska vidare noteras att kontohavarens skyldigheter gäller i förhållande till var och en av de betaltjänstleverantörer med vilka ett avtalsförhållande föreligger och att det som läggs kontohavaren till last i förhållande till olika betaltjänstleverantörer därför i regel inte kan sägas vara hänförligt till ett och samma förlopp.

Mot bakgrund av detta är det nämndens mening att kontohavaren i normalfallet ska stå för en självrisk men bara under förutsättning att det som läggs kontohavaren till last kan hänföras till ett och samma händelseförlopp och att transaktionerna har genomförts av en och samma betaltjänstleverantör. Bedömningen av om kontohavarens agerande ska hänföras till samma förlopp får i övrigt göras efter en helhetsbedömning av omständigheterna i det enskilda fallet. Hänsyn bör då tas till det tidsmässiga sambandet mellan kontohavarens åsidosättanden, om transaktionerna har genomförts med olika betalningsinstrument och om det för de olika betalningsinstrumenten gäller väsentligen olika villkor.

Bedömningen i detta fall

Av handlingarna i ärendet framgår att HS trodde att han pratade med någon på banken och att han i samband med detta förmåddes att göra signeringar med sitt bank-id. På det sättet skapade han ett nytt bank-id, som bedragaren kunnat använda för att därefter genomföra transaktioner på två av HS kort. Eftersom de aktuella transaktionerna inte är genomförda med HS samtycke, är de obehöriga.

Utredningen ger inte stöd för att HS avsåg att ge en obehörig person tillgång till sitt bank-id eller för att han var medveten om att det fanns en risk för obehöriga transaktioner. Genom att göra signeringar som han inte själv hade initierat eller kontrollerat följderna av har han emellertid agerat på ett sätt som tydligt avviker från den aktsamhet som kan krävas av honom. Därmed har han försummat skyldigheten att skydda sitt bank-id genom grov oaktsamhet. Den självrisk som han ska stå för uppgår således till 12 000 kr.

Kreditmarknadsbolaget har framfört att en självrisk ska gälla för vart och ett av de två korten.

Som framgår av det föregående är utgångspunkten att en kontohavare inte är skyldig att stå för mer än ett självriskbelopp, om det som läggs kontohavaren till last kan hänföras till ett och samma händelseförlopp. Nämnden konstaterar att det som läggs HS till last är att han laddade ned ett nytt bank-id. Transaktionerna genomfördes därefter med två olika kort men hans agerande kan inte gärna förbindas med mer än ett förlopp.

Vid en sammantagen bedömning får det som läggs HS till last anses vara hänförligt till ett och samma händelseförlopp. Det finns således inte skäl att frångå den angivna utgångspunkten. HS ansvar är alltså begränsat till endast ett självriskbelopp, dvs. 12 000 kr.