ARN 2021-16843. 1 1 ARN 2021-19593. 12 ARN 2022-01950. 13 ARN 2022-02184. 14 ARN 2021-12666. 15 ARN 2022-03828. 16 ARN 2022-04140. 17 ARN 2022-03987. 1 8 Se närmare Heuman i SvJT 2023 s. 470. 1 9 Olika verktyg och behörighetsfunktioner har lite olika användningsområden, vilket får stor betydelse för bedömningen av situationen och till vem det för kunden kan ha verkat förnuftigt att förlita sig på. 20 ARN 2022-04140. 2 1 Muntligen, genom att kontohavaren själv knappat in dem, eller, som i ett av avgörandena (ARN 2021-19593), fysiskt till bedragarna som kommit hem till kontohavaren för att hämta bankkort med tillhörande kod. 22 Se exempelvis ARN 2021-18725, ARN 2021-16194 och ARN 2022-03446 som avgjordes 15 december 2022 samt ARN 2022-00229 och ARN 2021-16636 som avgjordes 30 december 2022. 2 3 Denna uppfattning är dock inte utan vidare lätt att förena med HD:s bedömning i ”BankID-bedrägeriet” eftersom kunden i det fallet inte ansågs ha varit medveten om att koden lämnats ut till en obehörig person, fastän det rent objektivt var vad som skett. 24 Se utfallet i ARN 2021-12666 där det inte var fråga om ett förslaget bedrägeri och där inga personliga omständigheter förelåg, varför kontohavarens agerande enligt bankledamöterna var att anse som särskilt klandervärt. 25 ARN 2022-03987. 2 6 Man kan också notera att HD:s uttalande i p. 27 endast avser det ena av de två typfallen som beskrivs, nämligen det som Heuman i SvJT 2023 s. 470 mot bakgrund av HD:s domskäl i p. 27 omtalar som likgiltighetsfallet, och alltså inte avsiktsfallet som behandlas i HD:s domskäl p. 26. 2 7 Dessa två steg, och att kunden bara måste göra antagligt att transaktionen varit obehörig, följer bland annat av NJA 2017 s. 1105. 28 I NJA 2022 s. 522 hade de obehöriga transaktionerna utförts med ett bedrägligt BankID. Det uppmärksammades dock inte särskilt i domskälen, utan bedömningen av kundens ansvar gjordes mot bakgrund av kundens brister i att skydda det som bevisligen var hans e-legitimation, vilket möjliggjorde att ett bedrägligt BankID skapades varefter obehöriga transaktioner genomfördes. 2 9 Se ARN 2019-14354, ARN 2019-11253 och ARN 2019-08258. 30 ARN tog i besluten avstamp i NJA 2017 s. 1105. Obehörig användning är sådan användning som sker av någon annan än innehavaren av underskriften utan att denne haft innehavarens samtycke till användningen eller annars haft rätt att använda underskriften. En liknande formulering användes i NJA 2021 s. 1017 (”Låneavtalet med Svea Ekonomi”) p. 11. 31 Se exempelvis ARN 2019-08258.
Hänvisas från p. 5 (s. 459)
1.3.1 Behovet av ytterligare vägledning Den 9 november 2022 meddelade ARN beslut i nio ärenden som rörde obehöriga transaktioner. Det var fråga om nio olika varianter på bedrägerier som är vanligt förekommande i de anmälningar som inkommer till ARN.s. 459
2.Någon kanske undrar varför tvisterna prövades i utökad sammansättning när HD redan och dessutom alldeles nyligen hade klargjort rättsläget. HD:s dom hade utan tvekan bidragit till ett klargörande, men det var endast ett fall som prövades. Även om HD i och för sig lade fram en metod för hur prövningen ska gå till, är det alltid omständigheterna i det enskilda fallet som blir avgörande för utgången. Behovet av ytterligare vägledning fanns alltså kvar även efter HD:s dom.s. 459
3.Det riktades också tidigt en del kritik mot HD:s domskäl, bland annat för att HD radade upp en del omständigheter som kan få betydelse för bedömningar i enskilda fall, men som sedan inte på ett tydligt sätt tillämpades vid bedömningen av det aktuella fallet. HD uttalade också lite svepande, efter att domstolen kommit fram till att det inte hade varit fråga om ett särskilt klandervärt beteende, att kundens förfarande hade varit grovt oaktsamt. Det var inte klart om den aktuella situationen var ett ”typfall” av grov oaktsamhet, om beteendet var precis under gränsen för vad som är särskilt klandervärt eller var på skalan det annars skulle placeras. Det fanns mot denna bakgrund ett stort värde i att pröva fler tvister där den metod som HD lade fram i sin dom tillämpades på ett antal olika typsituationer som är vanligt förekommande i ARN. 3.2 Nio olika situationer De nio avgörandena representerar alltså ett antal olika situationer. Kortfattat kan de beskrivas enligt följande.s. 459
4.I fall 1 blev anmälaren uppringd av en man som utgav sig för att ringa från hennes bank. Bankdosan användes.s. 459
5.I fall 2 blev anmälaren uppringd av en person som utgav sig för att ringa från ett inkassobolag på grund av en obetald faktura som hon påstods ha. Personen fick henne att tro att hon hade blivit utsatt för en identitetskapning och sa att han skulle koppla henne vidare till hennes banks säkerhetskontroll. Personen fick henne att använda bankdosan.s. 459
6.I fall 3 blev anmälaren uppringd av en person som påstod sig ringa från hans bank och som sa att han precis hade blivit utsatt för ett bedrägeri. Personen sa också att banken var tvungen att spärra hans konto och att en representant för banken skulle komma hem till honom och hämta hans bankkort och kod.s. 459
7.I fall 4 fick anmälaren ett sms som såg ut att komma från banken; det innehöll bland annat bankens logga och informationen verkade seriös. I sms:et stod det att banken misstänkte obehörig aktivitet på hans konto och att han uppmanades kontakta banken snarast på ett angivet telefonnummer. Han ringde upp numret och en person svarade i påstådd egenskap av bankens spärrservice. Mannen använde sin bankdosa och lämnade ut koder.s. 460
8.I fall 5 blev anmälaren uppringd av en person som uppgav att han ringde från hennes banks säkerhetstjänst. Mannen lät mycket trovärdig och uppgav att någon höll på att få tillgång till hennes konto och ta ut hennes pengar. Mannen bad henne lämna ut kortuppgifter och koder för att lösa problemet.s. 460
9.I fall 6 blev anmälaren uppringd av en person som utgav sig för att ringa från hennes bank. Mannen påstod att banken hade observerat att det pågick ett bedrägeriförsök på hennes konto och bad henne att ta fram sin bankdosa, som sedan användes.s. 460
10.I fall 7 fick anmälaren ett sms som såg ut att komma från hans bank med information om att han behövde beställa ett nytt BankID, eftersom banken misstänkte bedräglig aktivitet på hans konto. Han ringde numret som stod i sms:et och kom, som han uppfattade det, till bankens växel. Mannen lurades till att ladda ner ett program som gav den utomstående möjlighet att fjärrstyra hans dator, samtidigt som han förmåddes att skapa ett nytt BankID.s. 460
11.I fall 8 blev anmälaren uppringd av en man som felaktigt utgav sig för att ringa från anmälarens teleoperatör. Han lurades till att tro att han skulle tillgodoräknas en seniorrabatt och att han behövde logga in på sin internetbank för att där godkänna utbetalningen genom att legitimera sig med sitt BankID.s. 460
12.I fall 9 kom anmälaren via en bostadsgrupp på Facebook i kontakt med en kvinna som hyrde ut en lägenhet. Kvinnan påstod att hon ville ta en kreditupplysning på anmälaren och i samband med detta uppmanade kvinnan anmälaren att skanna en QR-kod som BankID:et hade genererat. 3.3 Om ARN:s prövningsordning Det var i samtliga fall fråga om obehöriga transaktioner, vilket ARN inledde med att konstatera. ARN prövade därefter frågan om kontohavaren hade varit oaktsam i någon grad och denna prövning gjordes utifrån bankernas invändningar, vilket innebar att nämnden började med att pröva om kontohavaren hade varit särskilt klandervärd.s. 460
13.Rent allmänt kan man säga att kontohavarens ansvar aktualiseras i tre situationer. Den första är om kontohavaren har varit medveten om att de obehöriga transaktionerna skulle komma att ske. Kunden har då agerat bedrägligt och haft uppsåt i förhållande till de obehöriga transaktionerna, typiskt sett i samråd med bedragaren. Att agerandet varit särskilt klandervärt och att kunden ska bära förlusten i dessa fall står klart. Den andra är om kontohavaren har agerat medvetet oaktsamt. Detta innebär att kunden varit medveten om risken för de obehöriga transaktionerna men ändå gjort som bedragaren har begärt. Också i dessa fall har agerandet varit särskilt klandervärt. Den tredje är om kontohavaren har agerat omedvetet oaktsamt. Kunden har alltså inte varit medveten om risken för de obehöriga transaktionerna, men borde ha insett denna. I denna situation har agerandet inte varit särskilt klandervärt, men det kan ha varit grovt oaktsamt.s. 461
14.Den första situationen, det vill säga de bedrägliga fallen, är sällan aktuella. Vad ARN normalt sett har att bedöma är alltså om kontohavaren har agerat medvetet eller omedvetet oaktsamt. Att skilja de medvetet från de omedvetet oaktsamma fallen är inte alldeles lätt. Det är exempelvis svårt att föra bevisning om vad en person faktiskt har insett, och detta är även svårt att i realiteten bedöma.s. 461
15.Det är därför nästan ofrånkomligt att man måste falla tillbaka på mer eller mindre objektiverade bedömningar. Detta har HD också uttalat och det blir särskilt tydligt i ARN:s praxis. Detta gäller alltså både för att bedöma om det är fråga om ett särskilt klandervärt agerande och om det är grovt oaktsamt. Det förhållandet att bedömningen i båda fallen blir i någon mån objektiverad anses också vara en ofrånkomlig följd av att aktsamhetsnormen är just en norm, även om den mer exakta innebörden av den kan variera från fall till fall.s. 461
16.För ARN:s del finns det dessutom kanske ett särskilt behov av objektiverande eftersom någon muntlig bevisning inte förekommer, och möjligheten till att lägga mer individuella förhållanden till grund för att avgöra exempelvis vad någon faktiskt insåg om risken för obehöriga transaktioner är mer begränsad. Vid en sådan objektiverad bedömning får det särskild betydelse till vem kontohavaren uppfattade att den personliga behörighetsfunktionen lämnades ut.s. 461
17.När man väl har bestämt om kontohavarens handlande ska bedömas som medvetet eller omedvetet oaktsamt kommer man till nästa led i prövningen. Om agerandet har varit medvetet oaktsamt måste man ta ställning till om det finns några omständigheter som talar emot att bedöma agerandet som särskilt klandervärt. Olika omständigheter kan spela roll och i det här ledet kan mera personliga och specifika förhållanden få betydelse. Om agerandet i stället har varit omedvetet oaktsamt, återstår att pröva om oaktsamheten har varit grov eller inte. 3.4 ARN:s bedömning i de aktuella fallen När det gäller de bedömningar som ARN gjorde i de nio novemberbesluten så kan de delas in i några kategorier eller grupper.s. 461
18.Den första frågan som ARN:s avgöranden bygger på är vem kontohavaren tror att han eller hon har lämnat uppgifterna till. Det måste dock i detta sammanhang särskilt framhållas att fallen huvudsakligen handlat om situationer där kontohavaren muntligen har lämnat ut personliga behörighetsfunktioner till en för honom eller henne okänd person. Det handlar alltså inte om att kontohavaren exempelvis trott att hen uteslutande har legitimerat sig via sitt BankID. Detta är viktigt eftersom betydelsen av till vem behörighetsfunktionen har lämnats ut, inte kan avgöras utan att också beakta vilken behörighetsfunktion det handlar om.s. 462
19.Om kontohavaren trott sig tala med en företrädare för banken, har nämnden i de nio novemberfallen haft lättare för att anse att kontohavaren också trott att personen var behörig att hantera uppgifterna. Kontohavaren har då alltså inte medvetet lämnat uppgifterna till en obehörig person. Har kontohavaren i stället trott sig ha kontakt med en utomstående organisation eller person, det vill säga någon annan än banken, har nämnden i stället gjort bedömningen att kontohavaren varit medveten om att personen inte var behörig att hantera uppgifterna. Det innebar i sin tur att nämnden ansett att det rimligen måste krävas att man inser att det finns en påtaglig fara för obehörig användning. Detta tydliga fokus på huruvida samtalet ägt rum med någon som kunden trott var banken eller inte har samband med att det handlar om användning av, och koder från, just en bankdosa.s. 462
20.I en sådan situation, alltså där kontohavaren lämnat ifrån sig koder till någon som inte ens påstått sig företräda banken, är det enligt nämnden mycket som talar för att agerandet ska bedömas som särskilt klandervärt. Dock måste, som i ett av novemberärendena, kontohavarens personliga omständigheter beaktas. I det fallet innebar kontohavarens ålder och funktionsnedsättningar att det inte rimligen kunde krävas att han skulle inse hur stor risken faktiskt var.s. 462
21.I en situation där kontohavaren har trott sig tala med företrädare för banken är nästa steg i bedömningen om det kan anses utrett att kontohavaren insett risken för obehöriga transaktioner. I de fall då svaret på den frågan blivit nekande, har nämnden inte bedömt agerandet som särskilt klandervärt.s. 463
22.I de fall då nämnden kom fram till att agerandet inte kunde anses vara särskilt klandervärt (vilket var i åtta av de nio fallen) gick nämnden vidare till att avgöra om det i stället skulle bedömas som grovt oaktsamt.s. 463
23.Nämnden har konstaterat att det rent allmänt finns en tydlig risk med att lämna ut koder till en annan person på ett sådant sätt att man helt förlorar kontrollen över hur koderna används eller sprids. Mot den bakgrunden måste det krävas av kontohavaren att denne ifrågasätter behovet och gör vad han eller hon kan för att kontrollera vem koderna överlämnas till. Har man inte gjort det, får agerandet enligt ARN:s bedömning i normalfallet anses vara grovt oaktsamt. Vid denna bedömning kan dock också beaktas hur många koder som har lämnats ut, hur de har lämnats, hur pressande situationen har uppfattats och hur förslaget bedrägeriet har varit.s. 463
24.Fastän det inte gällde något av de nio novemberavgörandena ska också tilläggas att ARN redan nu ser att fler fall än tidigare bedöms tillhöra den lägsta graden av oaktsamhet där kontohavaren endast behöver stå för 400 kr av det frånlurade beloppet. 3.5 Nämndens skiljaktiga meningar Ovan har huvuddragen i nämndens prövningsordning redovisats. Nämnden var emellertid inte enig i besluten. Samtliga ledamöter var i de flesta fall överens om utgången, alltså hur beslutet skulle bli, men motiveringarna till besluten skiljde sig åt.s. 463
25.De två ledamöter som var utsedda av Svenska Bankföreningen var skiljaktiga beträffande motiveringen i sju av nio beslut och beträffande utgången i två av besluten.s. 463
26.De skiljaktiga bankledamöterna ansåg att man måste utgå från att konsumenten känner till vad en kod och en svarskod används till och har för funktion, och att bara konsumenten själv är behörig att hantera koderna. Med andra ord att man känner till att alla andra personer utom du själv är obehöriga att hantera dina koder. När man då lämnar ut koder till någon annan (oavsett vem) så lämnar man avsiktligen ut koden till en obehörig person, även om denna är (eller utger sig för att vara) banktjänsteman. Man inser då även att det innebär en risk för obehöriga transaktioner att lämna ut koden till denna person, oavsett vem personen är.s. 463
27.Med denna utgångspunkt ansåg de skiljaktiga ledamöterna att det krävs något mer som talar för att konsumenten i det aktuella fallet inte insett att personen varit obehörig. Det kan exempelvis handla om att bedrägeriet varit särskilt förslaget, att personen har hög ålder, har en funktionsnedsättning eller är ovan eller okunnig vad gäller användning av bankdosa, BankID eller liknande. Någon sådan omständighet var alltså enligt bankledamöterna nödvändig för att konsumenten inte skulle anses ha agerat särskilt klandervärt.s. 464
28.I det ärende där majoriteten ansåg att kontohavaren hade varit särskilt klandervärd genom att lämna ut information till någon som hon visste inte var en banktjänsteman, var en ledamot från konsumentsidan skiljaktig. Ledamoten ansåg i denna situation att nämnden inte kunde konstatera att kontohavaren varit medveten om att hon lämnat ut uppgifterna till en obehörig person bara för att det inte rört sig om en banktjänsteman. Det krävdes enligt konsumentledamoten mer än så för att konstatera att man varit likgiltig inför risken för obehöriga transaktioner.s. 464
29.I just detta sista fall är det för en utomstående inte alldeles lätt att få grepp om hur det hela rent faktiskt gått till. Det verkar, mot bakgrund av referatet, som om kunden dels hade lämnat ut kortnummer till ett betalkort, dels använt sitt BankID för att skapa ett nytt mobilt BankID. Fastän det kan finnas situationer då det är rimligt att förvänta sig att även någon annan än en banktjänsteman begär att man legitimerar sig, är det svårt att se hur kundens förklaring och agerandet i det aktuella fallet går ihop.s. 464
30.Man kan sammanfatta det hela med att skillnaderna i bedömningarna rör vad man kan ha för underförstådda presumtioner i oaktsamhetshänseende. Bankledamöterna ställde alltså högst krav på vad kontohavaren ska känna till när det gäller hanteringen av sina koder: alla utom de själva är obehöriga att hantera deras koder och det förväntas de veta. Majoriteten ansåg att man rimligen bör känna till att man inte får lämna ut koder från en bankdosa, som alltså till skillnad från BankID endast används vid kontakter med sin bank, till någon person eller organisation utanför banken (exempelvis ett telefonbolag eller en uthyrare av en lägenhet), men däremot inte nödvändigtvis att man inte får lämna ut dem till företrädare för banken. Konsumentledamoten ansåg däremot att det inte allmänt kan förväntas att man är medveten om att personer är obehöriga bara för att de inte är banktjänstemän.s. 464
31.Majoritetens resultat försöker balansera en svår gränsdragning mellan dessa ytterpunkter, men har också kritiserats i efterhand. Till exempel har det framhållits att ett så tydligt fokus på om bedrägeriet utförts av någon som påstått sig ringa från banken eller från någon annan aktör kan tänkas ge ett olyckligt incitament för kunderna att i sina anmälningar anpassa beskrivningen av hur bedrägeriet gått till, vilket utan möjlighet till vittnesförhör under sanningsförsäkran torde vara mer eller mindre omöjligt för bankerna att motbevisa. Det är också tveksamt om det var ett sådant ”antingen banken eller någon annan”- tänk som HD syftade på när domstolen i ”BankID-bedrägeriet” p. 27 uttalade att det i bedömningen av kundens beteende kan förväntas spela stor roll vem bedragaren utgett sig för att vara.s. 465
32.Som utomstående är det inte svårt att ur en mer principiell synvinkel förstå vare sig bankledamöternas eller konsumentledamöternas skiljaktiga meningar gällande betydelsen av till vem kunden trott att koderna har lämnats. Å ena sidan ska koder och dylikt vara rent personliga behörighetsfunktioner som aldrig ska lämnas till någon annan. Å andra sidan används numera olika e-legitimationer, i synnerhet BankID, i många olika sammanhang och gentemot många olika sorters verksamheter. Den kund som är van vid att använda sitt BankID för att komma åt information om sitt mobiltelefonabonnemang, kanske inte reagerar mer på att ett telefonbolag begär koder från en bankdosa, än att banken begär detsamma. Fastän det rent objektivt finns större anledning att reagera på att någon annan än banken vill att du lämnar ut bankkoder än att banken begär detsamma, är det inte alldeles säkert att de flesta människor har tillräcklig stor förståelse för hur olika e-legitimationer och betalningsinstrument fungerar för att inse skillnaden.s. 465
33.Dessutom är det, som nämnts ovan, inte alldeles lätt att ur referaten få helt tydligt för sig exakt vad som egentligen har hänt, och om det verkligen bara handlar om att koder från bankdosan har lämnats ut, eller om det också rör annat. När det faktiska tillvägagångssättet anses ha betydelse för hur de objektiverade bedömningarna formuleras, är det överlag önskvärt att tvistelösaren uttryckligen formulerar förutsättningarna för olika nivåer av (o)aktsamhet.s. 465