title: Obehöriga transaktioner. Konsumenten blev först uppringd av en person som utgav sig för att företräda en bank där han inte hade något konto. Han blev därefter kopplad till en man som utgav sig för att företräda hans bank. Denne skulle ordna med en brandvägg till hans wifi-anslutning. Han fick ett varningsmeddelande när han signerade nedladdningen av ett nytt BankID, han gav mannen tillgång till sin datorskärm genom en fjärrstyrning och han höjde betalgränsen för Swish. ARN har bedömt att det är otänkbart att konsumenten inte i samband med i vart fall något av de skeenden som föregick transaktionen blev medveten om att det fanns en risk för den obehöriga transaktion som kom att genomföras. Konsumentens handlande var därför särskilt klandervärt.

text: RH begärde ersättning med 98 800 kr.

text: I sin anmälan till nämnden uppgav RH följande. Den 2 augusti 2022 blev han uppringd av en person som sade sig ringa från säkerhetsavdelningen på en bank. Enligt personen som ringde hade han haft intrång på sitt konto samma dag. Han svarade att han inte hade något konto hos banken utan hos en annan bank. Han blev då kopplad till säkerhetsavdelningen hos sin egen bank. Där förklarade man att han hade blivit utsatt för falska uttag och att han skulle få hjälp med att ordna en brandvägg till sitt wifi. De skulle dessutom försöka föra tillbaka de falska uttagen. Vid samtalet underströk han att han hade säkerhetsprogram. Han fick svaret att han även måste ha en brandvägg för sitt wifi. Han blev stressad och följde den uppringandes instruktioner. Han fick en länk med AnyDesk skickad till datorn. Han uppmanades att klicka på länken och identifiera sig med BankID via QR-kod. För att få tillgång till brandväggen behövde han bekräfta med BankID flera gånger. Mannen vid banken hade därmed tagit över hans dator. Han misstänkte fortfarande inget, allt verkade trovärdigt för honom. Mannen som ringde var förtroendeingivande och verkade tekniskt kunnig.

text: På uppmaning av en anhörig ringde han upp sin personlige bankman, dock utan att få svar. Direkt därefter fick han ett sms från sin bank som uppmanade honom att genast ringa. När han gjorde det visade det sig att han hade blivit lurad och att det skett flera obehöriga transaktioner på flera konton. Totalt förlorade han 98 800 kr.

text: Han har uppfattat sig själv som ganska medveten om den här typen av hot. Trots det misstänkte han inget under samtalet. Han kopplade samtalet till ett stort antal mejl med förslag på säkerhetsprogram och uppgifter om att hans förhållanden cirkulerade på internet.

text: Banken motsatte sig kravet.

text: I sitt svar till nämnden uppgav banken följande. RH har agerat på ett sätt som inte bara är att anse som grovt oaktsamt, utan även särskilt klandervärt i betaltjänstlagens mening.

text: Av bankens utredning framgår att den transaktion som är föremål för prövning hos nämnden är signerad med ett BankID som RH under händelseförloppet laddade ned till bedragarens enhet. Inledningsvis legitimerade sig RH mot banken och höjde betalgränsen för Swish. Därefter signerade han flertalet banköverföringar. Sedan signerade han nedladdning av det nya BankID:t. Samtliga dessa åtgärder signerades med RH:s befintliga BankID i hans mobiltelefon. Han gjorde det möjligt för bedragaren att ladda ned det nya BankID:t till sin enhet genom att dela sin skärm så att bedragaren kunde skanna en QR-kod. Slutligen genomförde bedragaren Swish-transaktionen om 98 800 kr med det nya BankID:t.

text: Betaltjänstanvändaren är skyldig att noggrant granska vad som presenteras för signering vid godkännande av en betalningstransaktion. Användaren är ansvarig för skada eller förlust som åsamkas banken, tredje man eller sig själv om användaren uppsåtligen eller genom oaktsamhet inte iakttar villkoren. BankID får exempelvis bara laddas ned till en enhet som betaltjänstanvändaren har kontroll

text: över.

text: RH har i sin redogörelse för händelsen uppgett att han blev uppringd av en person som påstod sig ringa från en annan bank än hans egna. RH rättade då bedragarens uppenbara misstag genom att förklara att han inte har något engagemang i en annan bank, utan i sin egen. Bedragaren förklarade då att han ”kopplade” RH till hans bank i stället. Redan i det skedet borde RH ha förstått att det rörde sig om ett bedrägeri. Hur en annan bank skulle ha fått kännedom om att han hade haft intrång på sina konton i sin bank är oklart. Vidare måste det ha framstått som märkligt att en annan bank skulle koppla honom till sin egen bank. RH lät sig emellertid kopplas och följde den okända personens instruktioner. Den nya personen instruerade RH i att ladda ned ett program till sin dator, höja betalgränsen för Swish, signera totalt fem banköverföringar och ladda ned ett nytt BankID till bedragaren.

text: Att banken skulle be RH att ladda ned ett program på sin dator förefaller så udda att han senast vid den tidpunkten borde ha avslutat samtalet och själv ringt till bankens kundtjänst för att kontrollera att allting var i sin ordning. Det gjordes ingen ansats för att försäkra sig om att han var i kontakt med banken. Han hade ingen anledning att anta att personen han pratade med var en representant för banken. Tvärtom hade han all anledning att ifrågasätta detta. I stället för att kontrollera detta följde RH den okända personens instruktioner och laddade inledningsvis ned ett för honom främmande program på sin dator. Att ett program laddades ned till datorn saknar betydelse för bedömningen av RH:s möjligheter att uppfatta vilka åtgärder han signerade eftersom dessa genomfördes med hans mobila BankID i hans mobiltelefon. Det står emellertid klart att det nya BankID:t inte hade kunnat laddas ned till bedragarens enhet utan att RH installerade programmet och delade sin skärm med bedragaren så att bedragaren kunde skanna den QR-kod som krävs för att fullfölja nedladdningen till en ny enhet. En QR-kod skannas i enheten med det befintliga BankID:t vid inloggning i steg 2 och en ny QR-kod skannas i den nya enheten i steg 6. Vidare står det klart att AnyDesk har ett tydligt varningsmeddelande i samband med nedladdning om att aldrig ge en främmande person tillgång till sin egen enhet, tillsammans med en länk där användaren kan läsa mer om hur man undviker att bli utsatt för bedrägeri.

text: RH möjliggjorde sedan den Swish-transaktion som senare ägde rum, genom att själv höja betalgränsen för Swish till 100 000 kr. Han fick en tydlig upplysning om vad det var han signerade. Följande meddelande visades i hans BankID-app.

text: Jag vill ha en tillfällig limit i Swish tillfällig limit: 100 000,00 SEK giltig till: 2022-08-02

text: Efter att den nya betalgränsen för Swish var signerad använde RH åter sitt BankID för att signera banköverföringar. Även vid samtliga dessa tillfällen fick han tydliga upplysningar i sin BankIDapplikation om vad det var han signerade. Meddelandena såg ut som följande.

text: Jag vill betala belopp: 18 500,00 SEK mottagare: Trustly Group AB till konto: 48*******82 datum: 2022-08-02 från konto: 30*******97

text: Det framgår inte av RH:s redogörelse för händelsen varför han skulle ladda ned ett nytt BankID. Bankens utredning visar att han återigen fick en tydlig upplysning om att han signerade en sådan

text: åtgärd med sitt BankID. Till upplysningen fick RH även en tydlig varning om att aldrig ladda ned ett nytt BankID på uppmaning av någon annan, inte ens en person som han uppfattar som representant för banken. När RH signerade nedladdningen av det nya BankID:t fick han följande meddelande.

text: Jag vill ladda ner ett nytt BankID. Jag har tagit del av och godkänner Allmänna villkor

text: för BankID. UNDVIK BEDRÄGERIFÖRSÖK! Ladda aldrig ner ett BankID på uppmaning av banken eller någon annan person, oavsett orsak! Vid minsta tvekan,

text: ’Avbryt’

text: Banken har sålunda uppmanat RH att inte genomföra precis den åtgärd han ändå valde att genomföra. Det nya BankID:t laddades i strid med såväl bankens villkor som betaltjänstlagen ned till en enhet han inte hade kontroll över. Uppmaningen gav även RH ytterligare skäl att anta att han inte var i kontakt med banken. Banken är tydlig med att inga sådana förfrågningar kommer från banken. Hade RH inte tillåtit skärmdelning av sin dator hade bedragaren inte kunnat skanna den sista QR-koden och slutföra nedladdningen.

text: Att använda sitt BankID på det sätt som har skett måste anses vara förknippat med en påtaglig fara för obehöriga transaktioner och det måste rimligen krävas att man inser detta. RH kringgick skyddet med QR-kod genom att ladda ned en programvara som delade hans skärm med bedragaren. Han ignorerade varningsmeddelandet vid nedladdning av det nya BankID:t och signerade detsamma trots meddelandet. Han kringgick sedan skyddet som hindrade bedragaren från att höja betalgränsen för Swish genom att själv höja gränsen med sitt befintliga BankID. Allt detta gjorde han efter att först ha signerat flertalet banköverföringar med tydliga upplysningar om att signeringarna skulle innebära att pengar drogs från hans konto, vilka inleddes med ”Jag vill betala […]”. Att hans handlande skulle komma att medföra förlust stod således klart.

text: Slutsatsen blir därför att RH med avsikt har gett en obehörig person tillgång till sina personliga behörighetsfunktioner och att han samtidigt hade anledning att misstänka att det förelåg en betydande eller närliggande risk för att hans handlande skulle medföra en förlust.

text: Banken gör således gällande att RH på ett särskilt klandervärt sätt försummat skyldigheten att skydda sin personliga behörighetsfunktion. Banken har därför ingen skyldighet att återställa kontot. Banken lyckades återboka de behöriga transaktionerna. Den omständigheten saknar dock betydelse för ansvarsfrågan.

text: Allmänna reklamationsnämnden gjorde följande bedömning.

text: Reglerna om obehöriga transaktioner

text: I lagen (

text: ) om betaltjänster finns regler om obehöriga transaktioner. Huvudregeln är att banken ska återställa kontot till den ställning som det skulle ha haft om den obehöriga transaktionen inte hade ägt rum. Från denna regel finns emellertid undantag, som hänger samman med att kontohavaren är skyldig att skydda sina personliga behörighetsfunktioner, t.ex. koder, som är knutna till ett betalningsinstrument.

text: Kontohavaren ansvarar för obehöriga transaktioner under förutsättning att transaktionen har kunnat genomföras till följd av att kontohavaren inte har skyddat sin personliga behörighetsfunktion. Ansvaret är emellertid begränsat till 400 kr, om inte kontohavaren har agerat grovt oaktsamt eller särskilt klandervärt. Om kontohavaren är konsument och har låtit bli att skydda sina personliga behörighetsfunktioner genom grov oaktsamhet, gäller ansvaret i stället upp till 12 000 kr. Och i de fall

text: där handlandet ska anses vara särskilt klandervärt, ansvarar kontohavaren för hela förlusten oavsett hur stor den är. (Se 5 a kap. 2 § och 3 § andra stycket.)

text: Regleringen bygger på tanken att det ligger ett värde i att man kan använda kontokort och andra betalningsinstrument utan att riskera att drabbas av alltför kännbara ekonomiska förluster. Det har nämligen ansetts vara önskvärt att uppmuntra användningen av betalningsinstrument eftersom det finns ett samhällsekonomiskt och brottsförebyggande intresse av att minska kontanthanteringen. (Se

text: prop. 2009/10:122 s. 17

text: Grovt oaktsamma ageranden

text: För att vara grovt oaktsamt måste agerandet utgöra ett markant avsteg från den aktsamhet som rimligen kan krävas. Normalt förutsätts därmed att kontohavaren har varit obetänksam i en sådan grad att han eller hon inte är ursäktad. Detta innebär att lindriga fall av slarv eller tillfällig glömska inte utgör ett grovt oaktsamt agerande. Vid bedömningen måste beaktas bland annat vilka möjligheter kontohavaren har haft att skydda sig mot en obehörig transaktion. I det sammanhanget ska hänsyn tas till vad han eller hon hade kunnat göra för komma till insikt om risken för en obehörig transaktion. Ställning måste vidare tas till om det är rimligt eller inte att begära att kontohavaren gör detta. I det sammanhanget kan många olika faktorer ges betydelse, däribland hur pressande eller brådskande situationen har varit eller framstått för honom eller henne. Ytterst får en samlad bedömning göras för att avgöra om agerandet kan anses grovt oaktsamt eller inte. (Se

text: prop. 2009/10:122 s. 27

text: samt nämndens beslut den 9 november 2022 i ärendena 2021-12666, 2021-19593, 2022-01950, 2022- 02184, 2022-03987 och 2022-03828.)

text: Särskilt klandervärda ageranden

text: Särskilt klandervärt ska agerandet anses vara först vid kvalificerade former av grov oaktsamhet. Agerandet ska alltså vara allvarligare än ett markant avsteg från normal aktsamhet (se ovan). I princip krävs att konsumenten har varit likgiltig till risken för obehöriga transaktioner (se

text: prop. 2009/10:122 s. 29

text: Högsta domstolen har nämnt tre situationer där agerandet ska anses vara särskilt klandervärt. Den första av dessa är när konsumenten har agerat bedrägligt. Den andra situationen föreligger när konsumenten med avsikt har överlämnat personliga behörighetsfunktioner till en obehörig person och då insett eller haft anledning att misstänka att det förelåg en betydande eller närliggande risk för att hans eller hennes handlande kunde medföra en förlust. För det tredje nämner domstolen situationen att konsumenten har varit medveten om, dvs. faktiskt insett, att det fanns en risk för en obehörig transaktion men ändå underlåtit att skydda sina personliga behörighetsfunktioner. Bedömningen av om en konsument har agerat särskilt klandervärt ska i princip göras objektiverat. (Se ”BankIDbedrägeriet”

text: NJA 2022 s. 522

text: punkterna 26–28.)

text: Det ska noteras att kravet på insikt gäller kontohavarens faktiska uppfattning eller föreställning om risken för att en obehörig transaktion ska genomföras. Det kan inte anses tillräckligt att kontohavaren anar att en sådan risk finns. I stället får det krävas att kontohavaren är mer eller mindre säker på att en verklig risk föreligger. Det är heller inte tillräckligt att kontohavaren borde ha insett risken eller har haft anledning att tänka efter och därmed hade kunnat inse att en sådan risk förelåg.

text: Bankens bevisbörda

text: Det är banken som har bevisbördan för att kontohavaren har agerat grovt oaktsamt eller särskilt klandervärt. Bevisningens styrka ska i princip uppfylla de krav som normalt gäller i civilmål; omständigheterna ska alltså visas. (Se

text: prop. 2009/10:122 s. 28

text: och ”BankID-bedrägeriet”

text: NJA 2022 s. 522

text: punkten 29.)

text: Vad banken närmare bestämt ska visa är att omständigheter av omedelbar betydelse för bedömningen föreligger som utgör ett grovt oaktsamt eller ett särskilt klandervärt agerande, t.ex. att kontohavaren var praktiskt taget säker på att det fanns en risk för obehöriga transaktioner. Det ska samtidigt uppmärksammas att bedömningen huruvida ett agerande är grovt oaktsamt eller särskilt klandervärt kan inrymma rättsfrågor och att frågor av det slaget inte omfattas av bevisbördan, t.ex. frågan om kontohavaren har haft anledning att misstänka att det förelåg en betydande eller närliggande risk för att hans eller hennes handlande kunde medföra en förlust.

text: Beviskravet kan uppfyllas på olika sätt och genom bevisning som tar sikte på olika omständigheter. I regel kan banken lägga fram utredning som gäller användningen av ett betalningsinstrument. Denna kan många gånger innehålla uppgifter om vilket betalningsinstrument som har använts, hur detta har kommit till användning och när användningen har ägt rum. I övrigt får nämnden inte sällan lägga kontohavarens uppgifter till grund för bedömningen, något som också förutsattes i lagmotiven (se

text: prop. 2009/10:122 s. 28

text: ). Många gånger finns det således inte någon bevisning som mera direkt tar sikte kontohavarens subjektiva föreställning. Någon gång kan emellertid omständigheterna objektivt sett vara sådana att det framstår som i det närmaste otänkbart att kontohavaren var okunnig om risken för en obehörig transaktion (jfr ”Suterränghuset på Ekerö”

text: NJA 2021 s. 353

text: punkten 11).

text: Nämndens bedömning i detta fall

text: RH har förklarat att han pratade med en person som utgav sig för att företräda banken och att han under samtalet använde sitt BankID flera gånger. Han har vidare förklarat att personen tog över hans dator med hjälp av en länk till fjärrstyrningsprogrammet AnyDesk som RH fick. Av den utredning som banken har lagt fram framgår att RH med sitt BankID signerade nedladdningen av ett nytt BankID och att han genom fjärrstyrningen delade sin skärm så att personen kunde skanna en QR-kod. På det sättet kunde personen ladda ned ett nytt BankID och använda detta för att genomföra den aktuella transaktionen.

text: Det står klart att RH inte själv genomförde transaktionen och att den gjordes utan hans samtycke. Det är vidare utrett att transaktionen kunde genomföras för att RH signerade nedladdningen av ett nytt BankID och gav tillgång till den QR-kod som visades på hans datorskärm. Transaktionen är alltså obehörig men kunde genomföras för att RH inte skyddade de personliga behörighetsfunktioner som var kopplade till hans BankID.

text: Frågan är om RH genom dessa åtgärder ska anses ha agerat särskilt klandervärt.

text: Av utredningen framgår att samtalet med den förmente bankföreträdaren föregicks av att RH blev uppringd av någon som utgav sig för att ringa från säkerhetsavdelningen på en annan bank än hans egna och som förklarade att RH hade haft intrång på sitt konto. När RH förklarade att han inte hade något konto hos den banken kopplades han vidare för att få prata med någon på den bank, där RH var kund.

text: Det framstår enligt nämnden som besynnerligt att en företrädare för en bank där RH inte hade något konto kontaktade honom och kopplade honom vidare till hans bank. Detta utgör emellertid inte i sig

text: tillräcklig bevisning för att RH var medveten om att den person som han röjde uppgifterna för var obehörig eller för att det fanns en risk för obehöriga transaktioner.

text: Av utredningen framgår därtill att RH, när han signerade nedladdningen av ett nytt BankID, fick ett meddelande som uppmanade honom att aldrig ladda ned ett BankID på uppmaning av banken eller någon annan person, oavsett orsak. Det har emellertid inte framkommit någon omständighet som mera direkt talar för att RH tog del av informationen.

text: Av utredningen framgår vidare att den förmente företrädaren för banken förklarade att han skulle hjälpa RH att ordna med en brandvägg till hans wifi-anslutning. Det framgår även att RH höjde betalgränsen för Swish till 100 000 kr och att han i samband med detta i sitt BankID fick information om att han godkände en höjning av betalgränsen. Det har inte framkommit någon förklaring till varför en sådan åtgärd enligt RH:s uppfattning var nödvändig. Enligt nämndens bedömning framstår det dessutom som främmande att banken skulle ordna med en brandvägg till hans wifi-anslutning.

text: Även om de redovisade omständigheterna tagna för sig inte utgör tillräcklig bevisning framstår det vid en sammantagen bedömning som i det närmaste uteslutet att RH inte förstod att det fanns en beaktansvärd risk för att han utsattes för ett bedrägeri. Det får nämligen anses vara otänkbart att han inte i samband med i vart fall något av de skeenden som föregick transaktionen blev medveten om att det fanns en risk för den obehöriga transaktion som kom att genomföras. Nämnden gör mot den bakgrunden bedömningen att det är styrkt att RH faktiskt insåg att det fanns en sådan risk. RH har därmed försummat skyldigheten att skydda sina personliga behörighetsfunktioner på ett särskilt klandervärt sätt. Hans krav ska därför avslås.

text: Skiljaktig mening Två av ledamöterna var skiljaktiga och gjorde följande bedömning.

text: Det står klart att RH av en bedragare förmåtts att ladda ned ett program som möjliggjorde för en bedragare att fjärrstyra hans dator. Det står vidare klart att RH signerat nedladdning av ett nytt Mobilt BankID till bedragarens enhet vilket lett till att bedragaren kunnat göra transaktioner från RH:s konto. Det står även klart att transaktionerna genomförts utan RH:s samtycke vilket medför att transaktionerna är att betrakta som obehöriga. RH har därmed inte skyddat de personliga behörighetsfunktionerna som varit knutna till hans konto vilket lett till att de aktuella transaktionerna kunnat genomföras. Frågan är därmed om RH genom grov oaktsamhet har åsidosatt sin skyldighet att skydda de personliga behörighetsfunktionerna.

text: RH har signerat nedladdningen av ett nytt Mobilt BankID och låtit en bedragare fjärrstyra hans dator. Det får normalt anses förenat med risker att låta någon fjärrstyra en dator samtidigt som man hanterar koder och andra behörighetsfunktioner som man därmed riskerar att avslöja. I aktuellt fall kan det också noteras att bedragaren inledningsvis uppgav att denne ringde från en bank som RH vid det aktuella tillfället inte hade något konto i. Detta i kombination med att bedragaren angav att denne skulle ordna med en brandvägg till RH:s wifi-anslutning gör att han borde ha reagerat och ifrågasatt behovet av sådana åtgärder. Trots att RH trodde att han var i kontakt med en representant från banken får han, mot bakgrund av dessa omständigheter, anses ha avvikit från den aktsamhet som rimligen kan krävas av honom. Han har således genom grov oaktsamhet försummat skyldigheten att skydda sina personliga behörighetsfunktioner.

text: Frågan är härefter om RH:s agerande dessutom är särskilt klandervärt. Utredningen ger inte stöd för annat än att RH trodde att han, i kontakt med sin bank, godkände nedladdningen av ett

text: säkerhetsprogram. RH har hela tiden trott att hans agerande skulle medföra att de falska uttagen som gjorts från hans konto skulle återföras. Som framgår av

text: NJA 2022 s. 522

text: krävs det för att en konsument ska få stå för hela beloppet för en obehörig transaktion att denne avsiktligen lämnat uppgifter till en obehörig person och då insåg eller hade anledning att misstänka att det förelåg en betydande eller närliggande risk för att dennes handlande kunde medföra en förlust. Konsumenten får även stå för hela förlusten om denne var medveten om, dvs. faktiskt insåg, att det förelåg en risk för en obehörig transaktion men trots detta agerade i strid med sina skyldigheter. Det är banken som har att bevisa detta.

text: Banken har inte bevisat att RH avsiktligen överlämnat en personlig behörighetsfunktion till en obehörig person. Banken har heller inte visat att RH insåg att det fanns en risk för att personen skulle genomföra de transaktioner som kom att ske.

text: Banken har således inte bevisat att RH har agerat särskilt klandervärt. Han ansvarar således inte för hela förlusten utan hans ansvar är begränsat till 12 000 kronor av förlusten. Med avdrag för detta belopp ska därför banken rekommenderas att ersätta den förlust som den obehöriga transaktionen har orsakat honom.


publisher: Allmänna reklamationsnämnden

title: Obehöriga transaktioner. Konsumenten hade fått ett s.k. spoofat sms med information om att banken misstänkte bedräglig aktivitet på hennes konto. Hon ombads kontakta bankens spärrservice på ett angivet telefonnummer, vilket hon gjorde. På uppmaning av den påstådda banktjänstepersonen laddade hon ned ett fjärrstyrningsprogram och signerade nedladdningen av ett nytt BankID. ARN har bedömt att konsumentens agerade var grovt oaktsamt (men inte särskilt klandervärt) eftersom hon, trots att hon hade fått ett tydligt och kortfattat varningsmeddelande, signerade nedladdningen av ett nytt BankID.

org: arn

text: HS begärde ersättning med 290 846 kr.

type: stycke

text: I sin anmälan till nämnden uppgav HS följande. I april 2022 fick hon ett sms som såg ut att komma från banken. I sms:et stod att banken misstänkte bedräglig aktivitet på hennes konto och hon ombads att kontakta spärrservice på ett angivet nummer. Eftersom sms:et låg i samma tråd som tidigare meddelanden från banken var hon säker på att det var från banken. Hon kände inte till fenomenet spoofing.

text: Under samtalet med det som hon trodde var spärrservice fick hon information om att någon hade kommit över hennes BankID, vilket gjorde henne oerhört stressad och rädd. Kvinnan som hon pratade med rekommenderade henne att endast ha ett BankID och för att säkerställa övergången från det gamla till det nya BankID:t, som hon skulle få hjälp att ladda ned, behövdes ett supportprogram laddas ned till hennes mobil. Hon laddade sedan ned ett nytt BankID från bankens hemsida på sin dator. Kvinnan framstod som mycket professionell. Hon lämnade inte ut några uppgifter om kortnummer, koder eller dylikt under telefonsamtalet.

text: De obehöriga transaktionerna från hennes konton i banken uppgår till totalt 290 846 kr och fördelar sig på två konton: 119 656 kr från hennes personkonto samt 171 190 kr från hennes plusgirokonto. Hon driver ett aktiebolag och är anställd i företaget. Med det stulna mobila BankID:t har bedragarna genomfört obehöriga transaktioner som hon inte är ansvarig för. Som företrädare för ett mindre bolag så innebär en stöld av företagets pengar att det inte finns pengar att dela ut lön eller betala företagets utgifter med. Hon som privatperson kan bli personligt ansvarig att betala företagets skatter och avgifter om företaget saknar betalningsförmåga. Bedragarna har gjort obehöriga uttag på företagets konto med hjälp av det stulna BankID:t som utfärdats i hennes namn genom ett avtal som hon i egenskap av konsument har med banken. Detta möjliggjordes genom att hon som konsument blev bedragen och lurad, och hennes privata BankID stulet. Nämnden bör därför pröva samtliga transaktioner.

text: Banken motsatte sig kravet och begärde att nämnden ska avvisa kravet i den del det avser transaktioner som är hänförliga till HS:s näringsverksamhet samt avslå kravet i övrigt.

text: I sitt svar till nämnden uppgav företaget följande.

text: Det är HS:s bolag som har ingått avtal med banken om företagskontot, som är ett plusgirokonto. Denna kontotyp erbjuds inte till konsumenter. Transaktionerna om 171 190 kr som är hänförliga till detta konto är inte att bedöma som konsumentrelaterade. Kravet i den delen bör därför avvisas.

text: Vad gäller ärendet i övrigt gör banken gällande att transaktionerna har kunnat genomföras till följd av att en skyldighet enligt 5 kap. 6 § betaltjänstlagen har åsidosatts genom grov oaktsamhet och att

text: handlandet dessutom är att anse som särskilt klandervärt i betaltjänstlagens mening. Banken har därför inte någon skyldighet att återställa kontot i detta fall.

text: BankID är en personlig elektronisk legitimation som kan användas för legitimering (inloggning) till myndigheter och företag med e-tjänster och för underskrift (signering) av avtal eller andra överenskommelser. Syftet är alltså inte begränsat till konsumentrelaterade åtgärder.

text: Enligt bankens utredning är de transaktioner som är föremål för prövning signerade med BankID. Detta BankID skapades genom att HS först legitimerade sig med sitt mobila BankID och skannade en första QR-kod för att kunna logga in i bankens självserviceportal för BankID. Därefter signerade hon nedladdning av ett nytt mobilt BankID med sitt befintliga mobila BankID. När man signerar nedladdning av ett nytt mobilt BankID framgår det tydligt på skärmen vad signeringen avser. Det varnas även uttryckligen för att aldrig ladda ner ett BankID på uppmaning av vare sig banken eller någon annan person, oavsett orsak. Banken har alltså vid det aktuella tillfället uppmanat HS att inte signera precis den åtgärd som hon ändå valde att signera.

text: Därefter har HS slutligen möjliggjort för bedragaren att tillse att det nya BankID:t hamnade på bedragarens enhet. HS har laddat ned fjärrstyrningsappen AnyDesk till sin mobil. Genom att ladda ned fjärrstyrningsprogrammet och sedan dela sin skärm, möjliggjorde HS för bedragaren att tillse att det nya BankID:t slutligen hamnade på bedragarens enhet. HS måste ha hållit fram sin telefon mot skärmen så att bedragaren kunde starta kamera-appen och läsa med sin (bedragarens) enhet den sista QR-koden som genererades i självserviceportalen, eller på annat sätt delat QR-koden med bedragaren. Sedan signeringen av nedladdning har skett, slutförs nämligen nedladdningen av ett nytt mobilt BankID till en ny enhet genom att den nya enheten läser den andra QR-kod som genereras på skärmen.

text: Enligt bankens mening har situationen i detta fall varit sådan att anmälaren måste ha insett att hon var i färd med att bli bedragen. Bland annat ombads hon att installera och använda ett fjärrstyrningsprogram och fick även ta del av ett varningsmeddelande på sin skärm om att aldrig ladda ner ett BankID på uppmaning av vare sig banken eller någon annan person, oavsett orsak. Varningsmeddelandet gav alltså kunden anledning att anta att hon inte var i kontakt med banken eftersom man aldrig ska signera åtgärden ens på uppmaning av (det man uppfattar som) banken. Genom att trots det ändå fullfölja bedragarens instruktioner har anmälaren hanterat sina personliga behörighetsfunktioner och betalningsinstrument på ett så pass oaktsamt sätt att handlandet är såväl grovt oaktsam som särskilt klandervärt i betaltjänstlagens mening.

text: Allmänna reklamationsnämnden gjorde följande bedömning.

type: rubrik

text: Reglerna om obehöriga transaktioner

text: I lagen (

text: ) om betaltjänster finns regler om obehöriga transaktioner. Huvudregeln är att banken ska återställa kontot till den ställning som det skulle ha haft om den obehöriga transaktionen inte hade ägt rum. Från denna regel finns emellertid undantag, som hänger samman med att kontohavaren är skyldig att skydda sina personliga behörighetsfunktioner, t.ex. koder, som är knutna till ett betalningsinstrument.

text: Kontohavaren ansvarar för obehöriga transaktioner under förutsättning att transaktionen har kunnat genomföras till följd av att kontohavaren inte har skyddat sin personliga behörighetsfunktion. Ansvaret är emellertid begränsat till 400 kr, om inte kontohavaren har agerat grovt oaktsamt eller särskilt klandervärt. Om kontohavaren är konsument och har låtit bli att skydda sina personliga behörighetsfunktioner genom grov oaktsamhet, gäller ansvaret i stället upp till 12 000 kr. Och i de fall

text: där handlandet ska anses vara särskilt klandervärt, ansvarar kontohavaren för hela förlusten oavsett hur stor den är. (Se 5 a kap. 2 § och 3 § andra stycket.)

text: Regleringen bygger på tanken att det ligger ett värde i att man kan använda kontokort och andra betalningsinstrument utan att riskera att drabbas av alltför kännbara ekonomiska förluster. Det har nämligen ansetts vara önskvärt att uppmuntra användningen av betalningsinstrument eftersom det finns ett samhällsekonomiskt och brottsförebyggande intresse av att minska kontanthanteringen. (Se

text: prop. 2009/10:122 s. 17

text: Grovt oaktsamma ageranden

text: För att vara grovt oaktsamt måste agerandet utgöra ett markant avsteg från den aktsamhet som rimligen kan krävas. Normalt förutsätts därmed att kontohavaren har varit obetänksam i en sådan grad att han eller hon inte är ursäktad. Detta innebär att lindriga fall av slarv eller tillfällig glömska inte utgör ett grovt oaktsamt agerande. Vid bedömningen måste beaktas bland annat vilka möjligheter kontohavaren har haft att skydda sig mot en obehörig transaktion. I det sammanhanget ska hänsyn tas till vad han eller hon hade kunnat göra för komma till insikt om risken för en obehörig transaktion. Ställning måste vidare tas till om det är rimligt eller inte att begära att kontohavaren gör detta. I det sammanhanget kan många olika faktorer ges betydelse, däribland hur pressande eller brådskande situationen har varit eller framstått för honom eller henne. Ytterst får en samlad bedömning göras för att avgöra om agerandet kan anses grovt oaktsamt eller inte. (Se

text: prop. 2009/10:122 s. 27

text: samt nämndens beslut den 9 november 2022 i ärendena 2021-12666, 2021-19593, 2022-01950, 2022- 02184, 2022-03987 och 2022-03828.)

text: Särskilt klandervärda ageranden

text: Särskilt klandervärt ska agerandet anses vara först vid kvalificerade former av grov oaktsamhet. Agerandet ska alltså vara allvarligare än ett markant avsteg från normal aktsamhet (se ovan). I princip krävs att konsumenten har varit likgiltig till risken för obehöriga transaktioner (se

text: prop. 2009/10:122 s. 29

text: Högsta domstolen har nämnt tre situationer där agerandet ska anses vara särskilt klandervärt. Den första av dessa är när konsumenten har agerat bedrägligt. Den andra situationen föreligger när konsumenten med avsikt har överlämnat personliga behörighetsfunktioner till en obehörig person och då insett eller haft anledning att misstänka att det förelåg en betydande eller närliggande risk för att hans eller hennes handlande kunde medföra en förlust. För det tredje nämner domstolen situationen att konsumenten har varit medveten om, dvs. faktiskt insett, att det fanns en risk för en obehörig transaktion men ändå underlåtit att skydda sina personliga behörighetsfunktioner. Bedömningen av om en konsument har agerat särskilt klandervärt ska i princip göras objektiverat. (Se ”BankIDbedrägeriet”

text: NJA 2022 s. 522

text: punkterna 26–28.)

text: Det ska noteras att kravet på insikt gäller kontohavarens faktiska uppfattning eller föreställning om risken för att en obehörig transaktion ska genomföras. Det kan inte anses tillräckligt att kontohavaren anar att en sådan risk finns. I stället får det krävas att kontohavaren är mer eller mindre säker på att en verklig risk föreligger. Det är heller inte tillräckligt att kontohavaren borde ha insett risken eller har haft anledning att tänka efter och därmed hade kunnat inse att en sådan risk förelåg.

text: Bankens bevisbörda

text: Det är banken som har bevisbördan för att kontohavaren har agerat grovt oaktsamt eller särskilt klandervärt. Bevisningens styrka ska i princip uppfylla de krav som normalt gäller i civilmål; omständigheterna ska alltså visas. (Se

text: prop. 2009/10:122 s. 28

text: och ”BankID-bedrägeriet”

text: NJA 2022 s. 522

text: punkten 29.)

text: Vad banken närmare bestämt ska visa är att omständigheter av omedelbar betydelse för bedömningen föreligger som utgör ett grovt oaktsamt eller ett särskilt klandervärt agerande, t.ex. att kontohavaren var praktiskt taget säker på att det fanns en risk för obehöriga transaktioner. Det ska samtidigt uppmärksammas att bedömningen huruvida ett agerande är grovt oaktsamt eller särskilt klandervärt kan inrymma rättsfrågor och att frågor av det slaget inte omfattas av bevisbördan, t.ex. frågan om kontohavaren har haft anledning att misstänka att det förelåg en betydande eller närliggande risk för att hans eller hennes handlande kunde medföra en förlust.

text: Beviskravet kan uppfyllas på olika sätt och genom bevisning som tar sikte på olika omständigheter. I regel kan banken lägga fram utredning som gäller användningen av ett betalningsinstrument. Denna kan många gånger innehålla uppgifter om vilket betalningsinstrument som har använts, hur detta har kommit till användning och när användningen har ägt rum. I övrigt får nämnden inte sällan lägga kontohavarens uppgifter till grund för bedömningen, något som också förutsattes i lagmotiven (se

text: prop. 2009/10:122 s. 28

text: ). Många gånger finns det således inte någon bevisning som mera direkt tar sikte kontohavarens subjektiva föreställning. Någon gång kan emellertid omständigheterna objektivt sett vara sådana att det framstår som i det närmaste otänkbart att kontohavaren var okunnig om risken för en obehörig transaktion (jfr ”Suterränghuset på Ekerö”

text: NJA 2021 s. 353

text: punkten 11).

text: Nämndens bedömning i detta fall

text: Nämnden prövar endast tvister mellan näringsidkare och konsumenter. Detta villkor är inte uppfyllt när det gäller anmälan i den del som avser transaktionerna på HS:s plusgirokonto, som är ett företagskonto. Nämnden prövar därför inte ärendet i den delen.

text: När det gäller transaktionerna på personkontot gör nämnden följande bedömning.

text: Av utredningen framgår att HS fick ett sms, som hamnade i samma tråd som tidigare meddelanden från banken. Av sms:et framgick att banken misstänkte bedräglig aktivitet på hennes konto och hon ombads att kontakta bankens spärrservice på ett angivet telefonnummer. Vidare framgår att HS ringde detta nummer och att hon då pratade med en person som förklarade att någon hade kommit över hennes BankID. Det framgår utöver detta att HS laddade ned ett fjärrstyrningsprogram till sin mobil och signerade nedladdningen av ett nytt BankID, som personen använde för att genomföra de aktuella transaktionerna.

text: Det står klart att HS inte själv genomförde transaktionerna och att dessa gjordes utan hennes samtycke. Det är vidare utrett att transaktionerna kunde genomföras för att HS signerade nedladdningen av ett nytt BankID och gav tillgång till den QR-kod som visades på hennes skärm. Transaktionerna är alltså obehöriga men kunde genomföras eftersom HS inte skyddade de personliga behörighetsfunktioner som var kopplade till hennes BankID.

text: Frågan är om HS genom dessa åtgärder ska anses ha agerat särskilt klandervärt.

text: Nämnden konstaterar att det inte framgår av utredningen hur det sms såg ut som HS fick. Utgångspunkten är därför att detta inte hade en utformning eller ett innehåll som kan anses tala för att

text: HS insåg att det kunde röra sig om ett bedrägeri. Det förhållandet att meddelandet hamnade i samma tråd som tidigare meddelanden från banken talar i stället för att HS inte förstod att så var fallet.

text: Det förefaller heller inte särskilt osannolikt att det från HS:s perspektiv framstod som rimligt att hon skulle ladda ned ett fjärrstyrningsprogram för att få hjälp med att ladda ned ett nytt BankID. Enligt vad HS har berättat trodde hon som sagt att någon hade kommit över hennes BankID.

text: Av utredningen framgår därtill att HS, när hon signerade nedladdningen av ett nytt BankID, fick ett meddelande som uppmanade henne att aldrig ladda ned ett BankID på uppmaning av banken eller någon annan person, oavsett orsak. Det har emellertid inte kommit fram någon omständighet som mera direkt talar för att HS tog del av informationen.

text: Vid en sammantagen bedömning utgör de omständigheter som har kommit fram inte tillräcklig bevisning för att HS var medveten om att hon gav en obehörig person tillgång till sitt BankID eller att hon på någon annan grund insåg att det fanns en risk för obehöriga transaktioner. Slutsatsen blir därför att HS inte ska anses ha agerat särskilt klandervärt.

text: Frågan blir då om HS:s agerande ska bedömas som grovt oaktsamt.

text: Det är som sagt utrett att HS fick ett varningsmeddelande när hon skulle signera nedladdningen av ett nytt BankID. Enligt nämndens mening får det i allmänhet krävas att man tar del av meddelanden av det slaget, även om man uppfattar förhållandena som pressande. Om HS hade tagit del av meddelandet, som var tydligt och kortfattat, skulle hon ha förstått att det fanns en påtaglig risk för att transaktioner skulle genomföras utan hennes samtycke. Genom att i stället signera nedladdningen av ett nytt BankID har HS på ett mycket tydligt sätt avvikit från den aktsamhet som kan krävas av henne. Hon har således genom grov oaktsamhet försummat skyldigheten att skydda sin personliga behörighetsfunktion.

text: HS:s ansvar är således begränsat till 12 000 kr. Med avdrag för detta belopp ska banken rekommenderas att ersätta den förlust som de obehöriga transaktionerna har orsakat henne.

text: Skiljaktig mening Två av ledamöterna var skiljaktiga i fråga om motiveringen och anförde följande.

text: Vi delar majoritetens bedömning att HS genom grov oaktsamhet försummat skyldigheten att skydda sin personliga behörighetsfunktion. Vi anser emellertid inte att det i allmänhet kan krävas att konsumenter tar del av ett varningsmeddelande från BankID oaktat konsumentens upplevelse i form av stress eller press.

text: I nya och överraskande situationer känner sig konsumenter okunniga och osäkra. Detta i kombination med en upplevelse av tidspress och behov av att agera snabbt gör konsumenter stressade. Osäkra och otydliga situationer upplevs ofta som hotande vilket skapar psykologisk och fysiologisk stress. I situationer som upplevs som osäkra och stressande ökar vidare konsumenters tendenser att se till andra människor för vägledning om hur de bör agera. Konsumenter agerar enligt andras uppmaningar när situationen är osäker, särskilt om konsumenten uppfattar den andre som en auktoritet. För en konsument som försätts i en stressad situation kan därför en bedragares anvisningar framstå som både adekvata och lämpliga även om det i efterhand går att ifrågasätta rimligheten i bedragarens instruktioner. Utöver ovan nämnda allmänna faktorer så finns det ett stort antal individrelaterade faktorer som påverkar förmågan att hantera stressade situationer såsom låg ålder, hög ålder,

text: personlighet och hög osäkerhetsintolerans. Det ska vidare tilläggas att konsumenter i förhållande till banken är den svagare parten och skyddsvärda och att alltför höga krav således inte kan ställas på konsumenterna. Vi delar därmed inte majoritetens bedömning att konsumenter i allmänhet bör ta del av varningsmeddelanden från BankID även om en situation upplevs som pressande/stressande. Vi anser således inte att det förhållande att HS mottog ett varningsmeddelande har någon avgörande betydelse för bedömningen av hennes agerande. I övrigt delar vi majoritetens motivering och beslut.

type: avgorande


title: En konsument hade ingått ett avtal om leasing av en bil. Konsumenten menade att parterna avtalat om en fast leasingavgift varför det var fel av företaget att höja avgiften. Företaget hävdade å sin sida att parterna avtalat om en rörlig avgift som kunde komma att höjas på grund av det rådande ränteläget. ARN kom fram till att det av parternas avtal klart och tydligt framgick att de avtalat om en rörlig avgift. Enligt ARN var varken den avtalade avgiftsmodellen eller justeringen i avgiften oskälig mot konsumenten varför företaget haft rätt att höja avgiften på sätt som skett.

text: CV begärde att få betala en fast månadsavgift om 8 541 kr och i andra hand att avtalet skulle hävas.

text: I sin anmälan till nämnden uppgav CV följande. Enligt avtalet skulle han betala 8 541 kr i månaden. Avgiften har höjts men han har inte godkänt den ökade kostnaden, som endast står i det finstilta och som han inte informerades om. Han upplystes inte om att kostnaden skulle kunna komma att öka rejält. I stället fick han veta att det är fördelaktigt med leasing, att det är ett fast pris och att man vet vad bilen med all dess service kommer att kosta utan obehagliga överraskningar.

text: Hans totala avgift har ökat från 8 541 kr till 9 416 kr, dvs. med mer än tio procent. I avtalet finns under alla förhållanden inte något som gör tydligt att månadskostnaden kan öka så mycket.

text: Banken (leasegivaren) motsatte sig kravet.

text: I sitt svar till nämnden uppgav banken följande. CV har ingått avtalet och godkänt de aktuella villkoren. Av de allmänna villkoren framgår att banken har rätt att ändra avgiften för framtida betalningsperioder. Det framgår vidare att avgiften grundas på bankens kostnad för anskaffning av fordonet och beräknad värdeminskning. Justering kan ske bl.a. om bankens kostnader för finansiering av fordonet ökar eller minskar på grund av dyrare upplåning (se punkten 8 i de allmänna villkoren). Metoden för justering av avgiften tillämpas på samma sätt till kundens förmån. Under de förutsättningar som anges i punkten 12 i villkoren har CV rätt att säga upp avtalet i förtid.

text: Banken instruerar sina återförsäljare som förmedlar bankens privatleasingprodukt att ge kunderna rätt information om att hyresavgiften är rörlig.

text: Bankens totala upplåningskostnad påverkas av flera faktorer, bl.a. förändrade marknadsräntor, inlåningsräntan på bankens sparprodukter och fördelningen mellan olika inlåningsprodukter. De höjningar som har trätt i kraft sedan avtalet med CV träffades har föranletts av att bankens upplåningskostnader har ökat främst på grund av högre marknadsräntor (Stibor 3-månader), Riksbankens höjning av styrräntan och dess förväntade räntebana samt högre inlåningsräntor på bankens sparprodukter. Bankens mekanism för justering av räntedelen av avgifterna är baserad på de villkor för ändring av ränta som följer av

text: 17 § konsumentkreditlagen

text: . Det innebär att mekanismen för justering av avgifterna är skälig ur ett konsumentskyddsperspektiv.

text: Allmänna reklamationsnämnden gjorde följande bedömning.

text: Frågan är om CV och banken har avtalat om en leasingavgift som är fast eller om banken har haft rätt att ändra avgiften på det sätt som har skett.

text: Vid tolkningen av avtalet mellan parterna ska beaktas att villkoret rör CV:s huvudsakliga motprestation och att det gäller förhållanden som är av central betydelse för att han ska kunna bedöma de ekonomiska konsekvenserna av avtalet. Utgångspunkten måste i sådana fall vara att det ställs höga krav på klarhet och begriplighet (se bl.a. EU-domstolens domar i mål C- 26/13, Kásler och Káslerné Rábai,

text: mål C-621/17

text: , Kiss och CIB Bank, och

text: mål C-125/18

text: , Gómez del Moral Guasch).

text: I leasingavtalet mellan CV och banken, som har formen av ett kontraktsformulär, redovisas parterna och den bil som är aktuell. Under rubriken ”Hyresvillkor” finns uppgifter om leasingavgiften. Där står det ”Hyresavgift inkl moms” och i anslutning till detta anges beloppet 7 710. Under rubriken ”Särskilda villkor” anges: ”Servicekostnad tillkommer med kr 345/månad. Max körsträcka 6 000 mil under kontraktstiden. Övermil debiteras med kr 11,00/mil. Försäkring tillkommer med kr 430/månad.”.

text: Av kontraktsformuläret framgår det alltså inte att leasingavgiften kan komma att ändras. En bestämmelse om det finns dock i bankens allmänna villkor för konsumenthyra.

text: 8. HYRA, HYRESTID, ÄNDRING M.M.

text: Hyran omfattar fordonet med extra utrustning enligt specifikation. Uthyraren ska ha rätt att, vid anfordran, få kompensation av Hyrestagaren för skatter eller avgifter i övrigt som under hyrestiden debiteras Uthyraren i dess egenskap av fordonsägare eller på grund av upplåtelsen av fordonet och som inte kunnat beaktas vid hyrans bestämmande enligt detta avtal. […]

text: Hyran är grundad på Uthyrarens kostnad för anskaffning av fordonet (inklusive skatter avgifter och finansieringskostnader) samt beräknad värdeminskning (restvärdet). Uthyraren får därför med omedelbar verkan höja hyran i den utsträckning som motiveras av att Uthyrarens kostnader för finansiering av fordonet ökar på grund av dyrare upplåning, kreditpolitiska beslut eller andra kostnadsökningar som Uthyraren skäligen inte kunde förutse när hyrestiden startade. Likaså ska Uthyraren omedelbart sänka hyran om kostnaden för finansieringen minskar av samma skäl. Vid hyresändring kan Uthyraren ändra storleken av den hyresavgift som ska betalas per månad så att avtalad hyrestid kan behållas.

text: I kontraktsformuläret finns en hänvisning till de allmänna villkoren. Hänvisningen är tydlig både när det gäller sin formulering och placering i kontraktet. Enligt nämndens bedömning har de allmänna villkoren och villkoret om ändring av leasingavgiften genom hänvisningen införlivats med det enskilda avtalet (jfr rättsfallet

text: NJA 2011 s. 600

text: ). Detta gäller även om CV inte på annat sätt informerades om villkoret i samband med att avtalet träffades. Utredningen i ärendet ger inte stöd för att CV skulle ha fått information som avviker från avtalsvillkoret i samband med att avtalet ingicks.

text: Bestämmelsen om förändringar av hyran i de allmänna villkoren kan inte anses oklar. Det framgår att banken har rätt att ändra leasingavgiften bland annat om bolagets kostnader för finansiering av fordonet ökar på grund av dyrare upplåning. Den utredning som banken har presenterat i ärendet ger stöd för att så har varit fallet under avtalstiden.

text: En förutsättning för att banken ska ha rätt att höja avgiften vid en ränteuppgång är att detta är en följd av lån som bolaget har tagit på marknadsmässiga villkor (jfr rättsfallet

text: NJA 2005 s. 142

text: ). Banken har förklarat att aktuella räntejusteringar inte har skett i en högre utsträckning än utvecklingen av bl.a. Stibor 90 som måste betraktas som en allmänt accepterad referensränta. De justeringar av avgiften som har gjorts får därmed anses vara godtagbara.

text: Nämnden bedömer att varken avtalsvillkoret i sig eller justeringen av avgiften i detta fall kan anses vara oskälig mot CV.

text: Med hänsyn till det som har redovisats kommer nämnden till slutsatsen att banken har haft rätt att höja avgiften på det sätt som har skett. CV:s krav mot banken ska därför avslås.

text: Skiljaktig mening

text: Två av nämndens ledamöter reserverade sig mot beslutet och anförde följande.

text: Vid tolkningen av avtalet mellan parterna ska beaktas att villkoret rör CV:s huvudsakliga motprestation och att det gäller förhållanden som är av central betydelse för att han ska kunna bedöma de ekonomiska konsekvenserna av avtalet. Utgångspunkten är därför att det ställs höga krav på klarhet och begriplighet.

text: I kontraktsformuläret finns en hänvisning till de allmänna villkoren. Enligt vår bedömning uppfyller hänvisningen kraven på tydlighet och placering för att ha införlivats med det enskilda avtalet (jfr

text: NJA 2011 s. 600

text: ). I de allmänna villkoren framgår att hyran kan komma att ändras under vissa förhållanden, bl.a. dyrare upplåning.

text: Vid tolkningen av avtalet ska även innehållet i det enskilda avtalsformuläret beaktas. I detta anges hyresavgiften till ett bestämt belopp. I anslutning till denna uppgift finns inget som tyder på att avgiften kan komma att ändras till följd av ränteförändringar som drabbar banken. Under rubriken ”Särskilda villkor” nämns vissa tillkommande kostnader men bland dessa finns inget som anknyter till bankens upplåningskostnader. Utifrån uppgifterna i avtalsformuläret kan konsumenten således inte rimligen räkna med att den beloppsspecificerade hyresavgiften kan komma att ändras på grund av ändringar i ränteläget.

text: Sammantaget bedömer vi att avtalet inte tillräckligt begripligt klargör att leasingavgiften kan komma att ändras beroende på ändringar i bankens upplåningskostnader. CV har därför fog för sin tolkning, att hyresavgiften uppgick till 7 710 kr och inte kunde ändras med anledning av bankens upplåningskostnader. Det ska noteras att detta belopp inte inkluderar servicekostnader, försäkringskostnader och andra liknande avgifter samt att vi inte har tagit ställning till vad parterna har avtalat i fråga om sådana kostnader.

text: Banken ska alltså rekommenderas att inte kräva mer än 7 710 kr i månaden i hyresavgift och att återbetala det som CV därutöver har betalat.


title: Obehöriga transaktioner. Fråga om betydelsen av avsaknad av bevisning från banken när det gäller hur den påstått obehöriga transaktionen genomförts. ARN konstaterade att konsumentens förklaring framstod som rimlig och eftersom banken inte lagt fram någon utredning som talar för att transaktionen hade auktoriserats på annat sätt bedömde ARN att det var bevisat att konsumenten inte själv godkänt transaktionen och att den alltså var obehörig.

text: TE begärde ersättning med 52 694 kr 11 öre.

text: I sin anmälan till nämnden uppgav TE följande. I maj 2021 blev hon uppringd av en man som sade att han ringde från banken. Mannen förklarade att hennes föräldrar hade fått ett brev hemskickat, där det fanns uppgifter om att hennes sparkonto behövde ändras senast den 5 maj 2021. Mannen sade att banken inte hade fått något svar och att det var viktigt att detta korrigerades. Han förklarade att hennes sparkonto behövde ändras från ett ungdomskonto till ett vuxenkonto och att detta enkelt kunde göras om hon hade sin bankdosa i närheten. Mannen skickade en kod som kom upp i hennes bankdosa. Hon läste upp koden för honom. Mannen sade vidare att hennes konton kunde ändras om hon loggade in i sin Sparbanken-app på mobiltelefonen och att pengarna på så vis skulle föras över på det nya sparkontot. Hon fyllde i sitt namn och personnummer men inte de fyra sista siffrorna. Hon frågade honom om detta var säkert att göra, vilket mannen intygade att det var. Han sade även att hon kunde ringa huvudkontoret i Stockholm för att fråga men att det skulle innebära en lång väntetid i telefonkö. Hon ringde sina föräldrar och hade dem på högtalartelefon så att de också kunde höra samtalet.

text: Hon hade i princip aldrig använt sin bankdosa vid tillfället och förstod inte att den kunde användas på detta sätt. Bedragaren hade mycket detaljerade uppgifter om henne när han ringde, vilket gjorde att hon inte fattade några misstankar. Hon var också på väg ut ur en depression och tyckte att det kändes tryggt att en person ringde för att hjälpa henne med det problem som hade uppstått.

text: Det var bedragaren som lade upp dels ett nytt konto hos banken, dels själva överföringen. Det var inte hon själv som gjorde detta. Undermåligheten i säkerheten i bankens systemstöd, säkerhetsrutiner och säkerhetsprocesser gjorde det möjligt för bedragaren att agera på detta sätt. Skadan hade kunnat begränsas om personalen på banken hade haft bättre kunskap om hur situationer som denna ska hanteras.

text: Personen som tog emot pengarna har dömts att betala tillbaka beloppet till henne. Hon har dock inte fått någon betalning än och anser att banken bör ta över fordran. Hon blev av med 162 000 kr. Hon har fått tillbaka 109 305 kr 89 öre. Hon begär återbetalning av återstående belopp, dvs. 52 694 kr 11 öre.

text: Banken motsatte sig kravet.

text: I sitt svar till nämnden uppgav banken följande. Den reklamerade transaktionen är en överföring via internetbanken och är verifierad av TE med hennes befintliga BankID. Transaktionen har kunnat genomföras genom att verifieringskoder från säkerhetsdosan har lämnats ut till en person, som på det sättet har fått tillgång till internetbanken. Den nya mottagaren har verifierats med TE:s BankID och hon har därefter även signerat transaktionen. Eftersom TE själv har genomfört transaktionen är den inte obehörig. Banken ansvarar därför inte för beloppet.

text: Allmänna reklamationsnämnden gjorde följande bedömning.

text: Rättsliga utgångspunkter

text: I lagen (

text: ) om betaltjänster (betaltjänstlagen) finns regler om obehöriga transaktioner. Ett

text: villkor för att reglerna ska tillämpas är att transaktionen är obehörig, något som förutsätter att transaktionen har genomförts utan kontohavarens samtycke (se 1 kap. 4 § och 5 a kap. 1 §). Det är kontohavaren som ska bevisa att transaktionen är obehörig men det räcker att detta görs antagligt.

text: Om transaktionen är obehörig, är huvudregeln att banken ska återställa kontot till den ställning som det skulle ha haft om den obehöriga transaktionen inte hade ägt rum. Från denna regel finns emellertid undantag, som hänger samman med att kontohavaren är skyldig att skydda sina personliga behörighetsfunktioner, t.ex. koder, som är knutna till ett betalningsinstrument. Kontohavaren ansvarar för obehöriga transaktioner under förutsättning att transaktionen har kunnat genomföras till följd av att kontohavaren inte har skyddat sin personliga behörighetsfunktion. Ansvaret är emellertid begränsat till 400 kr, om inte kontohavaren har agerat grovt oaktsamt eller särskilt klandervärt. Om kontohavaren är konsument och har låtit bli att skydda sina personliga behörighetsfunktioner genom grov oaktsamhet, gäller ansvaret i stället upp till 12 000 kr. Och i de fall där handlandet ska anses vara särskilt klandervärt, ansvarar kontohavaren för hela förlusten oavsett hur stor den är. (Se 5 a kap. 2 § och 3 § andra stycket). Det är banken som har bevisbördan för att kontohavaren har agerat grovt oaktsamt eller särskilt klandervärt.

text: Nämndens bedömning i detta fall

text: TE har förklarat att hon lämnade ut en kod från sin bankdosa och att bedragaren med hjälp av denna kom in på hennes internetbank och lade upp såväl en ny betalningsmottagare som själva överföringen. Banken har mot detta invänt att TE själv verifierade överföringen med sitt BankID.

text: Den förklaring som TE har lämnat framstår i sig som rimlig. Banken har heller inte lagt fram någon utredning som talar för att överföringen har auktoriserats på något annat sätt. Mot den bakgrunden bedömer nämnden att det är bevisat att TE inte själv godkände transaktionen och att denna i stället genomfördes utan hennes samtycke. Det rör sig alltså om en obehörig transaktionen i den mening som avses i betaltjänstlagen. Banken har inte gjort gällande att TE underlåtit att skydda sina personliga behörighetsfunktioner genom grov oaktsamhet eller genom ett särskilt klandervärt agerande. Det framgår emellertid av det som TE själv har fört fram att transaktionen har kunnat genomföras till följd av att hon inte har skyddat en personlig behörighetsfunktion. TE ska därför svara för förlusten med 400 kr. Med avdrag för detta belopp ska banken rekommenderas att ersätta den förlust som den obehöriga transaktionen har orsakat henne.


title: En tur- och returflygresa bokades hos en resebyrå. På returresan uppstod en försening på den första av totalt två flygningar, vilket gjorde att passageraren missade den andra flygningen, som utfördes av ett annat flygbolag. Passageraren drabbades av merkostnader för ny flygbiljett till sin slutdestination samt för inkvartering. ARN kom fram till att det inte var bevisat att passageraren hade en bekräftad platsreservation som omfattade båda flygningarna. Med beaktande av EU-domstolens dom i målet C-436/21 hade hon därför inte rätt till ersättning för merkostnaderna enligt bestämmelserna i EU-förordning 261/2004. ARN ansåg dock att flygbolaget var skyldigt att ersätta henne enligt de tvingande bestämmelserna i Montrealkonventionen för den nya flygbiljetten, inkvarteringen och för förlorad arbetsförtjänst.

text: DS begärde ersättning med 616,48 kr för hotell, 2 968 kr för nya flygbiljetter, 480,71 kr för ursprunglig biljett inklusive bagage och 1 964,66 kr för förlorad inkomst. Hon begärde också standardkompensation enligt EU-förordning 261/2004.

text: I sin anmälan till nämnden uppgav DS följande. Flygresan Stockholm-London t/r bokades hos en resebyrå och kostade totalt 1 640,69 kr. Den 6 november 2022 skulle hon flyga hem från London till Stockholm med mellanlandning i Poznan. Den första delsträckan som utfördes av flygbolaget försenades, vilket medförde att hon missade anslutningsflyget med ett annat flygbolag till Stockholm (FR7679). Enligt fastställd tidtabell skulle hon ha ankommit till Stockholm kl. 23.55 men ankom i stället kl. 19.20 nästföljande dag.

text: Flygbolaget motsatte sig kravet.

text: I sitt svar till nämnden uppgav företaget följande. Flygningen W6 1908 från London ankom till Poznan 2 timmar och 11 minuter efter fastställd tidtabell. För att ha rätt till kompensation med standardbelopp enligt EU-förordning 261/2004 krävs det att förseningen uppgår till minst 3 timmar.

text: Vad gäller skadeståndskravet har flygbolaget reserverat sig från ansvar i sina villkor enligt följande.

text: ”Unless otherwise provided by the Convention or Regulation 2027/97 or any mandatory provisions of any Applicable Law we are not liable for consequential damage or losses.”

text: Villkoren godkänns vid bokning och är gällande mellan parterna. Flygbolaget kan därför inte ersätta några merkostnader.

text: EU-förordning 261/2004

text: Enligt EU-domstolens tolkning av EU-förordning 261/2004 ska passagerare som till följd av försening missar en direkt anslutande flygförbindelse, av det flygbolag som i förordningens mening är det lufttrafikföretag som utför flygningen, utan kostnad erbjudas ombokning till sin slutliga bestämmelseort snarast möjligt och om nödvändigt hotellrum. Om flygbolaget inte agerar i enlighet med detta är det, enligt EU-domstolen, i princip skyldigt att ersätta passageraren för de kostnader som han eller hon haft för ny transport till den slutliga bestämmelseorten och nödvändig inkvartering. EUdomstolen har även uttalat att passagerare som anländer till sin slutliga bestämmelseort tre timmar

text: eller mer efter fastställd tidtabell kan framställa krav på standardiserad kompensation enligt artikel 7.1 i förordningen.

text: Resan har bokats hos en resebyrå. Den fråga nämnden först har att ta ställning till är om den försening som uppstått på den flygning från London till Poznan, som utförts av flygbolaget, gör att passageraren mot detta flygbolag kan framställa krav på ersättning utifrån förordningens bestämmelser för inköp av ny flygbiljett Poznan-Stockholm och standardiserad kompensation för att hon ankommit kraftigt försenad till Stockholm, dvs. om Stockholm i förordningens bemärkelse är att anse som DS:s slutliga bestämmelseort. Flygningen Poznan-Stockholm utfördes av ett annat flygbolag.

text: I artikel 2.h i förordningen definieras begreppet slutlig bestämmelseort som den bestämmelseort som anges på den färdbiljett som visas fram vid incheckningsdisken eller, i händelse av direkt anslutande flygförbindelser, bestämmelseorten för den berörda passagerarens sista flygning. Enligt vad EUdomstolen uttalat i flera av sina avgöranden ska begreppet direkt anslutande flygförbindelser förstås så att det avser två eller flera flygningar som utgör en helhet med avseende på passagerarens rätt till ersättning enligt förordningen. Detta är, enligt domstolen, fallet när två eller flera flygningar omfattas av en enda platsreservation (se t.ex. EU-domstolens dom i

text: mål C-537/17

text: ). Begreppet platsreservation definieras i artikel 2.g som ”att passageraren har en biljett eller annat bevis som visar att platsreservationen har godkänts och registrerats.” Begreppet biljett omfattar enligt domstolen varje färdbevis som berättigar till transport och som har godkänts av ett flygbolag eller dess auktoriserade agent.

text: När det gäller flygningar som har sammanställts av en resebyrå, även om dessa utförs av olika flygbolag mellan vilka det inte föreligger ett särskilt rättsförhållande, ska de enligt EU-domstolen anses utgöra direkt anslutande flygningar förutsatt att resebyrån har fakturerat ett totalpris och utfärdat en enda biljett för transporten eller om det på annat sätt kan visas att passageraren har en platsreservation för hela transporten som har bekräftats av ett flygbolag eller dess auktoriserade agent (se EU-domstolens dom i målet

text: Nämnden konstaterar att det på den faktura som åberopas av DS endast återfinns resebyråns bokningsnummer. Eftersom det inte är bevisat att resebyrån är en auktoriserad agent är bokningsnumret i sig inte tillräckligt för att DS ska anses ha bevisat att hon har en bekräftad platsreservation för hela transporten från London till Stockholm. Flygningarna London-Poznan och Poznan-Stockholm ska således inte ses som en enhet vid bedömningen av rätten till ersättning enligt bestämmelserna i förordning 261/2004; rätten till ersättning ska enbart bedömas med hänsyn till den försenade flygningen från London till Poznan.

text: När det gäller rätten till kompensation är det i ärendet ostridigt att DS ankommit till Poznan mindre än tre timmar efter fastställd tidtabell. Detta är en för liten försening för att hon ska ha rätt till någon standardiserad kompensation.

text: Vad gäller den hotellkostnad för vilken det begärs ersättning har denna uppstått efter det att flygningen från London till Poznan har slutförts och den omfattas därför inte av förordningens bestämmelser. Detsamma gäller DS:s övriga krav.

text: Montrealkonventionen

text: Bestämmelser om rätt till ersättning vid försenad transport av passagerare finns även i Montrealkonventionen. Enligt artikel 19 i denna ansvarar transportören, i detta fall flygbolaget, för skador till följd av försenad lufttransport av passagerare. Transportören ansvarar dock inte om den kan bevisa att det inte har varit möjligt att undvika skadorna med rimliga åtgärder. Bestämmelserna i

text: Montrealkonventionen är tvingande och kan inte avtalas bort. De av flygbolaget åberopade villkoren kan därför lämnas utan avseende.

text: Förlorad arbetsförtjänst, hotellinkvartering och inköp av nya flygbiljetter på grund av missad transport får anses vara naturliga skador till följd av en flygförsening. De begärda beloppen är styrkta. Flygbolaget ska därför rekommenderas att i denna del betala totalt 5 549,14 kr.

text: När det gäller den del av kravet som avser ersättning för ursprunglig flygbiljett från Poznan till Stockholm kan kravet inte bifallas eftersom det skulle innebära att DS skulle resa gratis.


title: Obehöriga transaktioner. Konsumenten blev uppringd av en man som utgav sig för att ringa från banken. På uppmaning av mannen höjde konsumenten betalgränsen för Swish och signerade nedladdningen av ett nytt BankID. ARN har bedömt att konsumentens agerade var grovt oaktsamt (men inte särskilt klandervärt) eftersom hon, trots att hon hade fått ett tydligt och kortfattat varningsmeddelande, signerade nedladdningen av ett nytt BankID. Nämnden har i ärendet även prövat frågan om reglerna om obehöriga transaktioner kan tillämpas i förhållande till en bank där ett konto hade öppnats utan konsumentens samtycke.

text: KÖ begärde i första hand ersättning med 50 000 kr och i andra hand ersättning med 38 000 kr.

text: I sin anmälan till nämnden uppgav KÖ följande. Hon blev uppringd av en person som utgav sig ringa från bank 1:s säkerhetsavdelning med fråga om hon gjort en transaktion och uppgift om att hon var utsatt för ett bedrägeriförsök. Några år tidigare hade hennes man blivit uppringd i samband med skimning av ett kort; hon trodde därför att det var på riktigt.

text: Hon visste inte något om någon transaktion så personen kopplade henne vidare till en annan person som kallade sig Fredrik och som skulle hjälpa henne med transaktionen. Hon laddade ner två appar varav den ena hette Anydesk fjärrskrivbord som gjorde att Fredrik kunde styra hennes telefon och hon loggade in på sitt BankID. Efteråt upptäckte hon att någon swishat 50 000 kr från hennes konto till ett konto i bank 2. Hon mottog senare ett kreditkort, med hennes namn på, från bank 2.

text: Hon vill i första hand att bankerna ersätter henne med hela beloppet och i andra hand med 38 000 kr i enlighet med Högsta domstolens dom.

text: Bank 1 motsatte sig kravet.

text: I sitt svar till nämnden uppgav bank 1 följande. KÖ har agerat på ett sätt som är särskilt klandervärt i lagens mening. Bank 1 ska därför inte stå för förlusten.

text: KÖ har på uppmaning av en okänd person laddat ned två appar som enligt anmälaren har möjliggjort fjärrstyrning. Något som bevisar att denna nedladdning har skett återfinns inte i ärendet varför detta bestrids av bank 1. Bank 1 har aldrig tidigare kontaktat KÖ och bett henne att ladda ned en app för att möjliggöra fjärrstyrning av bankens medarbetare. KÖ har vana av bank 1:s säkerhetslösning och borde ha förstått att detta är ett bedrägeri.

text: Av bankens utredning framgår att de transaktioner som är föremål för prövning hos nämnden är signerade med ett BankID som KÖ under händelseförloppet laddade ned till bedragarens enhet. KÖ legitimerade sig mot banken i bankens självserviceportal för BankID. Därefter signerade hon nedladdning av det nya BankID:t till bedragarens enhet med sitt befintliga BankID. KÖ har därvid sett följande varningstext i sin BankID-app:

text: Jag vill ladda ner ett nytt BankID. Jag har tagit del av och godkänner Allmänna villkor för BankID. UNDVIK BEDRÄGERIFÖRSÖK! Ladda aldrig ner ett BankID på uppmaning av banken eller någon annan person, oavsett orsak! Vid minsta tvekan, Avbryt.

text: Denna varningstext har KÖ sett vid två tillfällen då anmälarens första försök att ladda ned ett nytt BankID misslyckats.

text: KÖ har även höjt den tillfälliga swish-limiten med sitt befintliga mobila BankID och därvid sett följande text i BankID-appen:

text: Jag vill ha en tillfällig limit i Swish tillfällig limit: 52 000,00 SEK giltig till: 2022-05-30

text: Betaltjänstanvändaren är skyldig att noggrant granska vad som presenteras för signering vid godkännande av en betalningstransaktion. Användaren är ansvarig för skada eller förlust som åsamkas banken, tredje man eller sig själv om användaren uppsåtligen eller genom oaktsamhet inte iakttar villkoren. BankID får exempelvis bara laddas ned till en enhet som betaltjänstanvändaren har kontroll över.

text: Att på uppmaning av okänd person tillåta fjärrstyrning och använda sitt BankID på det sätt som har skett måste anses vara förknippat med en påtaglig fara för obehöriga transaktioner och det måste rimligen krävas att man inser detta. Slutsatsen blir därför att KÖ har gett en obehörig person tillgång till sina personliga behörighetsfunktioner och att hon samtidigt hade anledning att misstänka att det förelåg en betydande eller närliggande risk för att hennes handlande kunde medföra en förlust.

text: Bank 1 gör således gällande att KÖ på ett särskilt klandervärt sätt försummat skyldigheten att skydda sin personliga behörighetsfunktion. Någon rätt till ersättning av banken föreligger därför inte.

text: Bank 2 motsatte sig kravet.

text: I sitt svar till nämnden uppgav bank 2 följande. Den 30 maj 2022 öppnade någon ett personkonto hos bank 2, med tillhörande debetkort, i KÖ:s namn med användande av hennes BankID. Därefter gjordes en insättning om 50 000 kr till kontot med swish. Det insatta beloppet spenderades därefter, så när som på 76,05 kr, i Spanien med användning av ett till kontot kopplat virtuellt debetkort.

text: Bank 2:s personkonto och debetkort är utformat på så sätt att den som öppnar ett personkonto i banken omgående får tillgång till ett virtuellt debetkort. Ett fysiskt debetkort tillverkas därefter och skickas till kontohavaren per post.

text: Den 16 juni 2022 kontaktade KÖ bank 2 och meddelade att hon fått ett fysiskt bankkort hemskickat men som hon inte beställt och uppgav att hon blivit utsatt för bedrägeri. Bank 2 spärrade samma dag personkontot och debetkortet från vidare transaktioner. Det återstod då en behållning på personkontot om 76,05 kr. Bank 2 har inte skickat något kreditkort till KÖ.

text: Enligt KÖ:s egna uppgifter har någon obehörigen öppnat ett personkonto och skaffat debetkort hos bank 2 i hennes namn. Det innebär att det inte föreligger något avtalsförhållande mellan bank 2 och KÖ och att hon inte är innehavare av personkontot. Bank 2 är redan av dessa skäl inte skyldigt att ersätta KÖ på avtalsrättslig grund eller att återställa personkontot enligt lagen om betaltjänster.

text: Bank 2 bestrider att banken mottagit en betalning på ett sådant sätt att reglerna om condictio indebiti eller liknande rättsprinciper kan tillämpas. Bank 2 har dessutom i god tro, inrättat sig efter transaktionen. Det föreligger inte någon skyldighet för banken att på någon annan rättslig grund betala ersättning till KÖ.

text: Bank 2 gör inte anspråk på den återstående behållningen på personkontot om 76,05 kr. Om bank 1 och KÖ gemensamt meddelar bank 2 vem av dem som har rätt till beloppet och lämnar instruktioner till vilket kontot beloppet ska betalas så är bank 2 beredd att göra detta.

text: Allmänna reklamationsnämnden gjorde följande bedömning.

text: Reglerna om obehöriga transaktioner

text: I lagen (

text: ) om betaltjänster finns regler om obehöriga transaktioner. Huvudregeln är att banken ska återställa kontot till den ställning som det skulle ha haft om den obehöriga transaktionen inte hade ägt rum. Från denna regel finns emellertid undantag, som hänger samman med att kontohavaren är skyldig att skydda sina personliga behörighetsfunktioner, t.ex. koder, som är knutna till ett betalningsinstrument.

text: Kontohavaren ansvarar för obehöriga transaktioner under förutsättning att transaktionen har kunnat genomföras till följd av att kontohavaren inte har skyddat sin personliga behörighetsfunktion. Ansvaret är emellertid begränsat till 400 kr, om inte kontohavaren har agerat grovt oaktsamt eller särskilt klandervärt. Om kontohavaren är konsument och har låtit bli att skydda sina personliga behörighetsfunktioner genom grov oaktsamhet, gäller ansvaret i stället upp till 12 000 kr. Och i de fall där handlandet ska anses vara särskilt klandervärt, ansvarar kontohavaren för hela förlusten oavsett hur stor den är. (Se 5 a kap. 2 § och 3 § andra stycket.)

text: Regleringen bygger på tanken att det ligger ett värde i att man kan använda kontokort och andra betalningsinstrument utan att riskera att drabbas av alltför kännbara ekonomiska förluster. Det har nämligen ansetts vara önskvärt att uppmuntra användningen av betalningsinstrument eftersom det finns ett samhällsekonomiskt och brottsförebyggande intresse av att minska kontanthanteringen. (Se

text: prop. 2009/10:122 s. 17

text: Grovt oaktsamma ageranden

text: För att vara grovt oaktsamt måste agerandet utgöra ett markant avsteg från den aktsamhet som rimligen kan krävas. Normalt förutsätts därmed att kontohavaren har varit obetänksam i en sådan grad att han eller hon inte är ursäktad. Detta innebär att lindriga fall av slarv eller tillfällig glömska inte utgör ett grovt oaktsamt agerande. Vid bedömningen måste beaktas bland annat vilka möjligheter kontohavaren har haft att skydda sig mot en obehörig transaktion. I det sammanhanget ska hänsyn tas till vad han eller hon hade kunnat göra för komma till insikt om risken för en obehörig transaktion. Ställning måste vidare tas till om det är rimligt eller inte att begära att kontohavaren gör detta. I det sammanhanget kan många olika faktorer ges betydelse, däribland hur pressande eller brådskande situationen har varit eller framstått för honom eller henne. Ytterst får en samlad bedömning göras för att avgöra om agerandet kan anses grovt oaktsamt eller inte. (Se

text: prop. 2009/10:122 s. 27

text: samt nämndens beslut den 9 november 2022 i ärendena 2021-12666, 2021-19593, 2022-01950, 2022- 02184, 2022-03987 och 2022-03828.)

text: Särskilt klandervärda ageranden

text: Särskilt klandervärt ska agerandet anses vara först vid kvalificerade former av grov oaktsamhet. Agerandet ska alltså vara allvarligare än ett markant avsteg från normal aktsamhet (se ovan). I princip krävs att konsumenten har varit likgiltig till risken för obehöriga transaktioner (se

text: prop. 2009/10:122 s. 29

text: Högsta domstolen har nämnt tre situationer där agerandet ska anses vara särskilt klandervärt. Den första av dessa är när konsumenten har agerat bedrägligt. Den andra situationen föreligger när konsumenten med avsikt har överlämnat personliga behörighetsfunktioner till en obehörig person och då insett eller haft anledning att misstänka att det förelåg en betydande eller närliggande risk för att

text: hans eller hennes handlande kunde medföra en förlust. För det tredje nämner domstolen situationen att konsumenten har varit medveten om, dvs. faktiskt insett, att det fanns en risk för en obehörig transaktion men ändå underlåtit att skydda sina personliga behörighetsfunktioner. Bedömningen av om en konsument har agerat särskilt klandervärt ska i princip göras objektiverat. (Se ”BankID- bedrägeriet”

text: NJA 2022 s. 522

text: punkterna 26–28.)

text: Det ska noteras att kravet på insikt gäller kontohavarens faktiska uppfattning eller föreställning om risken för att en obehörig transaktion ska genomföras. Det kan inte anses tillräckligt att kontohavaren anar att en sådan risk finns. I stället får det krävas att kontohavaren är mer eller mindre säker på att en verklig risk föreligger. Det är heller inte tillräckligt att kontohavaren borde ha insett risken eller har haft anledning att tänka efter och därmed hade kunnat inse att en sådan risk förelåg.

text: Bankens bevisbörda

text: Det är banken som har bevisbördan för att kontohavaren har agerat grovt oaktsamt eller särskilt klandervärt. Bevisningens styrka ska i princip uppfylla de krav som normalt gäller i civilmål; omständigheterna ska alltså visas. (Se

text: prop. 2009/10:122 s. 28

text: och ”BankID-bedrägeriet”

text: NJA 2022 s. 522

text: punkten 29.)

text: Vad banken närmare bestämt ska visa är att omständigheter av omedelbar betydelse för bedömningen föreligger som utgör ett grovt oaktsamt eller ett särskilt klandervärt agerande, t.ex. att kontohavaren var praktiskt taget säker på att det fanns en risk för obehöriga transaktioner. Det ska samtidigt uppmärksammas att bedömningen huruvida ett agerande är grovt oaktsamt eller särskilt klandervärt kan inrymma rättsfrågor och att frågor av det slaget inte omfattas av bevisbördan. t.ex. frågan om kontohavaren har haft anledning att misstänka att det förelåg en betydande eller närliggande risk för att hans eller hennes handlande kunde medföra en förlust.

text: Beviskravet kan uppfyllas på olika sätt och genom bevisning som tar sikte på olika omständigheter. I regel kan banken lägga fram utredning som gäller användningen av ett betalningsinstrument. Denna kan många gånger innehålla uppgifter om vilket betalningsinstrument som har använts, hur detta har kommit till användning och när användningen har ägt rum. I övrigt får nämnden inte sällan lägga kontohavarens uppgifter till grund för bedömningen, något som också förutsattes i lagmotiven (se

text: prop. 2009/10:122 s. 28

text: ). Många gånger finns det således inte någon bevisning som mera direkt tar sikte kontohavarens subjektiva föreställning. Någon gång kan emellertid omständigheterna objektivt sett vara sådana att det framstår som i det närmaste otänkbart att kontohavaren var okunnig om risken för en obehörig transaktion (jfr ”Suterränghuset på Ekerö”

text: NJA 2021 s. 353

text: punkten 11).

text: Nämndens bedömning i detta fall

text: Av utredningen framgår att KÖ blev uppringd av en person som utgav sig för att företräda bank 1. Det framgår att personen förklarade för KÖ att hon var utsatt för ett bedrägeriförsök. Av den utredning som bank 1 har lagt fram framgår att KÖ med sitt BankID signerade nedladdningen av ett nytt BankID, som personen använde för att genomföra den aktuella transaktionen.

text: Det står klart att KÖ inte själv genomförde transaktionen och att den gjordes utan hennes samtycke. Det är vidare utrett att transaktionen kunde genomföras för att KÖ signerade nedladdningen av ett nytt BankID. Transaktionen är alltså obehörig men kunde genomföras eftersom KÖ inte skyddade de personliga behörighetsfunktioner som var kopplade till hennes BankID.

text: Frågan är om KÖ genom att göra det möjligt för personen att ladda ned ett nytt BankID ska anses ha agerat särskilt klandervärt.

text: Av utredningen framgår att KÖ, när hon skulle signera nedladdningen av ett nytt BankID, fick ett meddelande som uppmanade henne att aldrig ladda ned ett BankID på uppmaning av banken eller någon annan person, oavsett orsak. Det har emellertid inte framkommit någon omständighet som mera direkt talar för att KÖ tog del av informationen.

text: Av utredningen framgår vidare att KÖ, innan transaktionen genomfördes, hade höjt betalgränsen för Swish. Det har inte framkommit någon förklaring till varför en sådan åtgärd enligt KÖ:s uppfattning var nödvändig.

text: Det kan tyckas svårt att förena nedladdningen av ett nytt BankID och höjningen av betalgränsen för Swish med att KÖ trodde att banken skulle hjälpa henne att komma till rätta med ett bedrägeriförsök. Samtidigt är det inte otänkbart att man i den situation som KÖ uppger att hon uppfattade att hon befann sig i inte fäster någon avgörande vikt vid enskildheter som man i andra situationer kanske beaktar.

text: Vid en sammantagen bedömning utgör de omständigheter som har kommit fram inte tillräcklig bevisning för att KÖ var medveten om att hon gav en obehörig person tillgång till sitt BankID eller att hon på någon annan grund insåg att det fanns en risk för obehöriga transaktioner. Slutsatsen blir därför att KÖ inte ska anses ha agerat särskilt klandervärt.

text: Frågan blir då om KÖ:s agerande ska bedömas som grovt oaktsamt.

text: Det är som sagt utrett att KÖ fick ett varningsmeddelande när hon skulle signera nedladdningen av ett nytt BankID. Enligt nämndens mening får det i allmänhet krävas att man tar del av meddelanden av det slaget, även om man uppfattar förhållandena som pressande. Om KÖ hade tagit del av meddelandet, som var tydligt och kortfattat, skulle hon ha förstått att det fanns en påtaglig risk för att transaktioner skulle genomföras utan hennes samtycke. Genom att i stället signera nedladdningen av ett nytt BankID har KÖ på ett mycket tydligt sätt avvikit från den aktsamhet som kan krävas av henne. Hon har således genom grov oaktsamhet försummat skyldigheten att skydda sin personliga behörighetsfunktion.

text: KÖ:s ansvar är således begränsat till 12 000 kr. Med avdrag för detta belopp ska bank 1 rekommenderas att ersätta den förlust som den obehöriga transaktionen har orsakat henne.

text: KÖ har även riktat krav mot bank 2.

text: En förutsättning för att reglerna om obehöriga transaktioner ska tillämpas i förhållande till bank 2 är att KÖ kan anses vara innehavare av kontot hos banken. Av utredningen framgår att kontot öppnades utan hennes samtycke med användning av det nya BankID som hade tagits ut i hennes namn. Enligt nämndens bedömning kan den rättshandling som föranledde att kontot öppnades därmed inte anses härröra från KÖ (jfr ”Låneavtalet med Svea Ekonomi”

text: NJA 2021 s. 1017

text: punkten 11). KÖ kan således inte anses vara innehavare av kontot hos bank 2. Kravet mot bank 2 ska därför avslås.

text: Nämnden noterar emellertid att bank 2 har accepterat att utbetala den återstående behållningen på kontot, om bank 1 och KÖ gemensamt meddelar bank 2 vem av dem som har rätt till beloppet.

text: Skiljaktig mening Två av ledamöterna var skiljaktiga i fråga om motiveringen och anförde följande.

text: Vi delar majoritetens bedömning att KÖ genom grov oaktsamhet försummat skyldigheten att skydda sin personliga behörighetsfunktion. Vi anser emellertid inte att det i allmänhet kan krävas att konsumenter tar del av ett varningsmeddelande från BankID oaktat konsumentens upplevelse i form av stress eller press.

text: I nya och överraskande situationer känner sig konsumenter okunniga och osäkra. Detta i kombination med en upplevelse av tidspress och behov av att agera snabbt gör konsumenter stressade. Osäkra och otydliga situationer upplevs ofta som hotande vilket skapar psykologisk och fysiologisk stress. I situationer som upplevs som osäkra och stressande ökar vidare konsumenters tendenser att se till andra människor för vägledning om hur de bör agera. Konsumenter agerar enligt andras uppmaningar när situationen är osäker, särskilt om konsumenten uppfattar den andre som en auktoritet. För en konsument som försätts i en stressad situation kan därför en bedragares anvisningar framstå som både adekvata och lämpliga även om det i efterhand går att ifrågasätta rimligheten i bedragarens instruktioner. Utöver ovan nämnda allmänna faktorer så finns det ett stort antal individrelaterade faktorer som påverkar förmågan att hantera stressade situationer såsom låg ålder, hög ålder, personlighet och hög osäkerhetsintolerans. Det ska vidare tilläggas att konsumenter i förhållande till banken är den svagare parten och skyddsvärda och att alltför höga krav således inte kan ställas på konsumenterna. Vi delar därmed inte majoritetens bedömning att konsumenter i allmänhet bör ta del av varningsmeddelanden från BankID även om en situation upplevs som pressande/stressande. Vi anser således inte att det förhållande att KÖ mottog ett varningsmeddelande har någon avgörande betydelse för bedömningen av hennes agerande. I övrigt delar vi majoritetens motivering och beslut.


title: En konsument hade bokat och betalat för ridlektioner en gång per vecka under en termin. Konsumenten begärde återbetalning för de lektioner som hon inte hade utnyttjat, vilket ridskolan nekade till med hänvisning till avtalsvillkoren. ARN bedömde att ett erbjudande om återbetalning som lämnats av ridskolan inte var bindande eftersom det återkallats innan konsumenten hade accepterat erbjudandet. ARN ansåg dock att avtalsvillkoret att konsumenten ska betala hela terminsavgiften utan möjlighet till återbetalning var oskäligt enligt 36 § avtalslagen. Villkoret lämnades därför utan avseende. Konsumentens rätt till avbeställning och ridklubbens rätt till ersättning bestämdes i stället med ledning av bestämmelserna om avbeställning i 42 § konsumenttjänstlagen.

text: JL begärde återbetalning av 2 795 kr.

text: I sin anmälan till nämnden uppgav JL följande. Den 26 maj 2022 bokade hon ridlektioner för sin dotter T hos ridskolan. Lektionerna skulle hållas en gång i veckan under hösten. Hon betalade 3 870 kr; priset per lektion var 215 kr. Bokningen gick till så att de som redan tog lektioner vid ridskolan fick meddela om de ville fortsätta under hösten. Hon tackade ja precis före sista dagen att svara. En vecka därefter meddelade ridskolan att ridläraren som skulle hålla lektionerna sagt upp sig och att det skulle bli en annan ridlärare i stället. Hon tänkte att eftersom hon redan tackat ja fick hon ge den nya ridläraren en chans. Den första lektionen gick inte alls bra och på fråga sade ridskolan att man skulle lösa det genom att antingen låta JL själv få använda lektionerna eller återbetala terminsavgiften, men att de skulle ge det ytterligare några chanser. Detta var den 25 augusti 2022. Det blev inte alls bra utan det låste sig helt för T under lektionerna och hon slutade att gå på dem. Hon frågade då om hon själv kunde använda ridlektionerna, men det fanns ingen passande grupp för henne förrän fyra veckor senare när hon efter påtryckningar fick en grupp. Hon ville då ha återbetalt för de tillfällen då T inte gått på lektionerna. Det rörde sig om totalt 13 ridlektioner som kostar 215 kr styck. Ridskolan nekade henne dock detta, sedan den som sköter faktureringen meddelat att man inte alls fick göra så här och byta person gällande grupperna. Inga pengar kunde återbetalas, resterande ridlektioner för hade T frusit inne och hon fick en faktura på lektionerna gällande sina egna lektioner.

text: Företaget motsatte sig kravet.

text: I sitt svar till nämnden uppgav företaget följande. Ridklubben anser att man har tillmötesgått anmälaren så gott man har kunnat. Det framgår av avtalet dels att man förbinder sig att betala för en termin i taget, dels när en uppsägning måste vara ridskolan tillhanda. Avtalet omfattar inte vilken lärare det ska vara. Ridklubben informerade i maj om att det skulle bli en ny ridlärare och terminen startade i augusti. Man hade godtagit en uppsägning i maj trots att sista svarsdag hade passerats. Så blev det dock inte, utan anmälaren klagade först efter att terminen hade startat.

text: Även från det att kunden själv valt att inte använda sin plats så har hennes plats varit hennes hela terminen. Ridklubben har inte kunnat ge platsen vidare till någon annan som var intresserad av att rida eftersom det står i ridklubbens villkor att man förbinder sig per termin. Därför anser ridklubben att tjänsten funnits tillgänglig och utförts till 100 procent, och man har alltså enligt signerat avtal rätt till hela det emottagna beloppet. Ridklubben har inte sluppit några kostnader då man har hållit den plats till kunden som hon bokat sig på.

text: Allmänna reklamationsnämnden gjorde följande bedömning.

text: Tvisten gäller huruvida JL har rätt till återbetalning för de ridlektioner som hon inte utnyttjat.

text: Betydelsen av löftet om återbetalning

text: Innan det finns anledning att gå närmare in i en bedömning av vilka avtalsrättsliga regler som är tillämpliga på tvisten måste nämnden ta ställning till huruvida det löfte om återbetalning som ridskolechefen lämnade i samband med terminsstarten ska betraktas som bindande. Enligt nämndens bedömning får ridskolechefen anses ha haft ställningsfullmakt att ingå rättshandlingar för ridklubbens räkning. Eftersom erbjudandet återkallades innan JL accepterat detsamma finner nämnden dock att det inte kan betraktas som bindande, och hon har därför inte rätt till återbetalning på denna grund.

text: Har JL rätt att ångra det ingångna avtalet?

text: Nämnden konstaterar vidare att JL, när hon bokade ridlektioner för sin dotters räkning i maj 2022, i praktiken tackade ja till förlängning av ett sedan många år redan existerande avtal. För att ångerrätt enligt

text: distansavtalslagen

text: ska komma i fråga vid köp av en tjänst krävs bl.a. att konsumenten har köpt tjänsten på distans inom ramen för ett av näringsidkaren organiserat system för distansförsäljning, att det inte omfattas av det i lagen särskilt angivna undantaget för fritidsaktiviteter samt att konsumenten säger upp avtalet inom 14 dagar (i vissa fall ett år och 14 dagar) från den dag då avtalet ingicks. Oavsett att de närmare omständigheterna i vissa av dessa avseenden är något oklara, får det anses klarlagt att JL inte har rätt att ångra avtalet enligt

text: distansavtalslagen

text: , varför inte heller detta utgör någon grund för återbetalning.

text: Är tjänsten att betrakta som felaktig?

text: Även om

text: konsumenttjänstlagen

text: enligt sin ordalydelse inte är direkt tillämplig på tjänster av nu aktuellt slag, dvs. ridlektioner, anser nämnden att lagen vid en bedömning av eventuella fel i tjänsten kan tillämpas analogt i ett fall som detta.

text: En tjänst är enligt

text: konsumenttjänstlagen

text: felaktig bland annat om resultatet avviker från vad konsumenten har rätt att kräva i fråga om fackmässighet eller från vad som i övrigt får anses avtalat, se

text: och

text: 9 §§

text: konsumenttjänstlagen

text: . Till de påföljder som kan göras gällande vid fel i tjänsten hör bl.a. hävning av avtalet.

text: JL ingick avtalet under förespegling att en viss ridlärare skulle hålla i lektionerna. När ridläraren sade upp sig och det kom en annan i stället ändrades förutsättningarna för hennes del; lektionerna fungerade inte längre för dottern och tjänsten förlorade därmed sitt värde. Det har dock inte framkommit vare sig att tjänsten som sådan har brustit i fackmässighet eller att det har avtalats eller på annat sätt utlovats att dottern skulle få ha tillgång till just den ursprungliga ridläraren. Varken bytet till en ny ridlärare eller någon annan av de omständigheter som lagts fram gällande tjänsten kan således betraktas som något fel i

text: konsumenttjänstlagens

text: mening. JL har alltså inte heller på denna grund rätt till återbetalning.

text: Har JL rätt att avbeställa tjänsten och i så fall på vilken grund? Fråga om lag eller villkor ska tillämpas.

text: En konsument har alltid möjlighet att avbeställa en tjänst. I vilken mån näringsidkaren i sådant fall ska ha rätt till ersättning beror på vilka regler som ska tillämpas vid avbeställningen.

text: Som framkommit tidigare är

text: konsumenttjänstlagen

text: inte direkt tillämplig på ridlektioner, men det finns möjlighet att tillämpa lagen analogt. I sådant fall är lagen emellertid inte tvingande som vid direkt tillämpning utan den får betraktas som dispositiv. Detta innebär att det är möjligt att avtala bort vad som skulle gälla om man tillämpade lagens bestämmelser (jfr Svante O. Johansson,

text: Konsumenttjänstlagen

text: – en kommentar, avsnitt 1.10.1 sista stycket). Inom många branscher har man förvisso tagit fram villkor som anpassats efter

text: konsumenttjänstlagen

text: , vilka därmed innehåller regler som erbjuder konsumentskydd

text: även när lagen inte är direkt tillämplig, men när så inte är fallet finns det alltså ett visst utrymme för näringsidkaren att själv utforma från lagen avvikande regler som i princip har företräde framför lagens bestämmelser. Så har skett i detta fall genom att ridskolan har upprättat villkor som anger vad som ska gälla för uppsägning av avtalet.

text: Oskälighetsbedömning enligt

text: 36 § avtalslagen

text: med

text: 42 § konsumenttjänstlagen

text: som riktmärke

text: Som grundregel ska näringsidkarens villkor alltså tillämpas på den nu aktuella situationen. Innan så sker måste nämnden dock ta ställning till om villkoren är skäliga. Denna fråga ska avgöras med ledning av

text: 36 § avtalslagen

text: . Högsta domstolen har härvid i sin praxis konstaterat att

text: konsumenttjänstlagen

text: inte bara kan tjäna som grund för att fastlägga dispositiv rätt, utan att reglerna även kan tjänstgöra som riktmärke för vad som bör vara en balanserad avvägning vid oskälighetsbedömningar enligt denna bestämmelse (se

text: NJA 2008 s. 24

text: Av

text: 36 § avtalslagen

text: första stycket framgår bl.a. att avtalsvillkor får jämkas eller lämnas utan avseende, om villkoret är oskäligt med hänsyn till avtalets innehåll, omständigheterna vid avtalets tillkomst, senare inträffade förhållanden och omständigheterna i övrigt. Vid prövningen ska enligt andra stycket särskild hänsyn tas till behovet av skydd för den som i egenskap av konsument eller eljest intager en underlägsen ställning i avtalsförhållandet.

text: Frågan är om ridskolans villkor om att konsumenten förbinder sig att betala för en termin i taget, utan möjlighet till återbetalning vid en avbeställning, kan anses utgöra ett sådant avsteg från det konsumentskydd som konsumentlagstiftningen erbjuder att det ska betraktas som oskäligt. Nämnden gör följande bedömning.

text: Både

text: konsumentköplagen

text: och

text: konsumenttjänstlagen

text: innehåller bestämmelser om avbeställning med innebörden att man som konsument inte ska behöva betala fullt ut för det köp eller den tjänst som man har avbeställt. Av

text: 42 § konsumenttjänstlagen

text: framgår att en konsument som avbeställer en tjänst innan den har slutförts ska betala kostnaderna för den del av tjänsten som redan har utförts och även ersätta näringsidkaren för dennes förlust med anledning av avbeställningen. Motsvarande bestämmelser finns i

text: 7 kap. 7 § konsumentköplagen

text: . Lagstiftaren har uppenbarligen ansett att det finns ett strakt konsumentskyddsintresse i att möjliggöra för konsumenten att avbeställa en tjänst eller ett köp utan att behöva fullt pris för tjänsten eller köpet.

text: Vid en jämförelse med

text: 42 § konsumenttjänstlagen

text: , som är avsedd att skydda konsumenten, framstår ridklubbens avtalsvillkor om uppsägning som utformade för att ensidigt gynna näringsidkaren. Till de omständigheter som enligt

text: 36 § avtalslagen

text: ska beaktas vid en oskälighetsbedömning hör inte bara avtalets innehåll som sådant utan även bl.a. senare inträffade förhållanden och omständigheterna i övrigt. Nämnden konstaterar att bytet av ridlärare, med de problem som detta medförde för dotterns del, kan ses som en sådan senare inträffad omständighet som bör beaktas vid bedömningen av om villkoret om att hela den betalda terminsavgiften är förverkad ska anses som skäligt i den uppkomna situationen. Ridskolechefens löften om återbetalning som senare återkallades utgör enligt nämndens mening på liknande sätt en anledning att ifrågasätta villkorets skälighet under de givna omständigheterna.

text: Sammanfattande slutsats

text: Vid en sammantagen bedömning av vad som nu har anförts anser nämnden att avtalsvillkoret om att konsumenten ska betala hela terminsavgiften är oskäligt enligt

text: 36 § avtalslagen

text: . Villkoret ska därför lämnas utan avseende och i stället ska rättsförhållandet avvecklas med ledning av bestämmelserna i

text: 42 § konsumenttjänstlagen

text: . Ridklubben har inte visat att man har haft kostnader eller förluster av det slag som skulle medföra rätt att behålla något utöver kostnaden för de lektioner som JL eller hennes

text: dotter deltagit i. Hon ska därför endast betala för dessa och har rätt till återbetalning av kostnaden för tjänsten i övrigt, dvs. för 13 lektioner. Ridklubben ska således rekommenderas att betala 2 795 kr avseende dessa lektioner till JL.