1.5.1 En helhetsbedömning som inte skiljer mellan rättsfrågor, bevisbördefrågor och bevisvärderingsfrågor NJA 2022 s. 522 ”BankID-bedrägeriet” gäller en fråga om tillämpning av regler om betaltjänster och om en konsument ska bära ett begränsat ansvar vid grov vårdslöshet eller ett obegränsat ansvar vid särskilt klandervärt handlande. Dessa båda lagtextbegrepp aktualiserar således frågan om konsumentens ansvarsgrad. Vid tolkningen av de båda begreppen gjorde HD inga uttalanden om att det ska göras en helhetsbedömning.s. 477
2.Sedan HD avgjort fallet i juni 2022 har ARN i november samma år avgjort nio fall med ledning av ”BankID-bedrägeriet. I samtliga fall uttalade ARN att ansvarsgraden får avgöras efter en nyanserad helhetsbedömning av omständigheterna i varje enskilt fall. Uttalandet om en helhetsbedömning innebär att alla relevanta förhållanden ska vägas in samtidigt och läggas till grund för en övergripande totalbedömning. Det sägs i detta sammanhang inte något om typen av omständigheter som ska helhetsbedömas och om betydelsen av att helhetsbedömningen ska vara nyanserad. Ska den vara finstämd, mångsidig och/eller varierad? ARN gör inte någon skillnad mellan rättsfrågor och sakfrågor. Inte heller uttalar sig ARN om betydelsen av att vissa omständigheter utgör rättsfakta som är föremål för bevisbörda och att vissa andra omständigheter utgör bevisfakta som ska bevisvärderas och bli föremål för sammanvägning om de avser samma bevistema. Termen helhetsbedömning döljer sålunda behovet av att göra distinktioner mellan olika bevisrättsliga och civilrättsliga frågor.s. 477
3.HD har i flera prejudikat slagit fast att bevisbördan inte avser rättsliga bedömningar. Innan de rättsliga frågorna avgörs måste det ofta efter bevisvärdering först avgöras vilka fakta som styrkts i målet och vilka fakta som efter en bevisbördebedömning måste vara styrkta för att kunna läggas till grund för en efterföljande materiellträttslig bedömning. Som sagts i avsnitt två innebär detta att flera steg ingår i domstolens bedömning: 1) Civilrättslig beskrivning av rättsfrågan 2) beskrivning av den prövningsram som följer av yrkandena och åberopade rättsfakta 3) bevisvärdering som anger vilka fakta som är styrkta, 4) bedömning av rättsliga frågor om bevisbörda och beviskrav beträffande samtliga icke styrkta rättsfakta, 5) en tillämpning av bevisbördereglerna för att avgöra vilka rättsfakta som får läggas till grund för domen och sedan 6) en civilrättslig bedömning som kan innehålla flera steg. Det rör sig inte om en samtidig helhetsbedömning av faktiska och rättsliga omständigheter.s. 477
4.I prejudikatet ”BankID-bedrägeriet” gjorde HD uttalanden med tanke på tre olika fall vilka faktiska handlingar och vilka faktiska insikter som utgör särskilt klandervärt handlande. Ansvarsgrunderna i de tre fallen är uppbyggda som implikationer där rättsföljden (ett obegränsat ansvar) inträder då vissa objektiva och subjektiva rekvisit är uppfyllda. Det rör sig således inte om ett argumentprejudikat där ett antal uppräknade argument kan tillmätas en varierande relevans men där deras sammantagna vikt är avgörande för om en domstol ska tillämpa den civilrättsliga rättsgrundsatsen om obegränsat ansvar. Det första fallet avser situationer då konsumenten har agerat bedrägligt. De båda andra implikationerna är komplicerade. Dessa båda fall ska behandlas här.s. 478
5.HD nämnde det andra fallet ”då konsumenten med avsikt har överlämnat personliga behörighetsfunktioner …till en obehörig person och då insåg eller hade anledning misstänka att det förelåg en betydande eller närliggande risk för att hans eller hennes handlande kunde medföra en förlust” (betecknas som avsiktsfallet). Kortfattat uttryckt utvecklar HD lagtextrekvisitet ”särskilt klandervärt handlande” så att det består av fem rekvisit, 1) avsiktligt 2) kodöverlämnande 3) till en obehörig person och 4) riskinsikt eller misstanke om risk 5) avseende förlust. Det ska inte ske en avvägning av samtliga moment t.ex. av överlämnandeavsikt och riskinsikt. Prejudikatets fem angivna rekvisit ska separatbedömas.s. 478
6.HD anförde därefter för det tredje att det föreligger särskilt klandervärt agerande om konsumenten varit likgiltig till risken för en obehörig transaktion. Likgiltigheten sägs innebära att konsumenten faktiskt insåg risken för en obehörig transaktion men ändå agerade i strid mot regeln om betaltjänstanvändarens skyddsskyldighet och anmälningsskyldighet eller i strid mot avtalsvillkor (betecknas här som likgiltighetsfallet). Man kan urskilja fyra rekvisit 1) en sådan insikt med viss misstankegrad, 2) som ska vara faktisk 3) risk för obehörig transaktion och 4) likgiltighetshandling (ändå handlat i strid mot en viss lagregel eller ett avtalsvillkor). Det ska inte ske en avvägning av dessa rekvisit och inte heller av likgiltigheten och riskinsikten eftersom dessa båda språkliga uttryck sägs avse samma sak.s. 478
7.Bedömningen av om en konsument har agerat särskilt klandervärt ska göras objektiverat i de båda fallen. Under en särskild punkt slog HD sedan fast att betaltjänstleverantören har bevisbördan för att konsumenten handlat särskilt klandervärt. Bevisbörderegeln gäller sålunda för samtliga tre fall.s. 479
8.Vid bedömningen av det föreliggande fallet gjorde HD två uttalanden om de ovan berörda fallen nummer två och tre. HD:s uttalanden innebär att banken inte fullgjort sin bevisskyldighet. HD kom fram till att det inte var bevisat att konsumenten i samband med två telefonsamtal avsiktligen lämnat ut koderna till en obehörig person. Vidare ansåg HD att det inte heller kunde anses bevisat att konsumenten agerade som han gjorde med insikt om att det fanns risk för de obehöriga transaktionerna som kom att utföras. Två fall och deras rekvisit separatbedömdes således av HD och det anges att betaltjänstleverantörens bevisskyldighet inte fullgjorts i någotdera fallet. HD ansåg därför att det alltså inte varit fråga om ett sådant agerande som krävs för att en konsument ska anses ha handlat särskilt klandervärt. Resonemangen i de båda fallen kan inte betecknas som helhetsbedömningar.s. 479
9.Rekvisit som ska vara uppfyllda för att en regels rättsföljd ska inträda är något helt annat än argument som talar för eller emot att en rättsregel är tillämplig och som är av betydelse för om regelns rättsföljd ska inträda. Om ett av regelns rekvisit inte är uppfyllt får regeln inte tillämpas när varje rekvisit enligt lagregeln utgör en nödvändig betingelse för rättsföljdens inträde. Detta gäller även om ett annat rekvisit är ”mycket väluppfyllt”. Rekvisiten ska separatbedömas. Ser man saken så att regeln tillämpas i kraft av de angivna rekvisiten skulle man kunna säga att någon kraftöverföring från ett rekvisit till ett annat normalt sett inte ska förekomma när det fastslagits att ett rekvisit inte är uppfyllt. Det är en annan sak att ett rekvisit kan tolkas i ljuset av ett annat. Om flera argument ska beaktas vid en helhetsbedömning utgör de inte nödvändiga eller tillräckliga betingelser. Argumentationen får inte begränsas till ett eller några argument när fler är relevanta. Om ett pro-argument väger lätt kan det kompenseras av att andra pro-argument väger tungt. Argumentens sammanlagda vikt är av avgörande på samma sätt som det sammanlagda bevisvärdet av alla bevisfakta är avgörande för om ett rättsfaktum är styrkt. Det krävs att de klarläggs för ettvart argument om det vilar på bevisade premisser och om det har större eller mindre relevans vid den efterföljande sammanvägningen.s. 479
10.ARN:s novemberavgöranden har bedömts med ledning av HD:s prejudikat ”BankID-bedrägeriet”. Likväl avviker ARN:s uttalanden från HD:s. Det bör emellertid finns ett visst utrymme för ARN att föra rättsutvecklingen framåt genom preciseringar och konsumentvänliga bedömningar. Sedan ARN uttalat att det ska göras en nyanserad helhetsbedömning nämns med tanke på försummad skyddsskyldighet att särskilt avseende bör fästas vid vad kontohavaren insett eller bort inse ifråga om risken för obehöriga transaktioner. Dessa båda insiktsförhållanden kan uppfattas som argument, men inte som två tillräckliga betingelser. ARN nämner sedan några kriterier varefter det tilläggs att kontohavarens agerande i regel får anses som särskilt klandervärt ”om något av dessa kriterier är uppfyllt”. Det sista uttrycket tyder på att varje sådant kriterium är en tillräcklig betingelse. Det framgår emellertid av de fortsatta beslutsskälen att dessa kriterier knappast kan vara tillräckliga betingelser för ett obegränsat ansvar. ARN säger sålunda att kontohavarens agerande inte ska anses som särskilt klandervärt om ”tungt vägande motstående intressen föranleder att det ändå inte kan anses vara stötande att kontohavaren inte ansvarar för förlusten i dess helhet.” Det vore en fördel om ARN framdeles tydligare kunde klargöra vilka förhållanden som utgör tillräckliga betingelser för ett obegränsat konsumentansvar och vilka förhållanden som endast utgör argument vid en nyanserad helhetsbedömning. 5.2 Bevisbördan för att en betaltjänst genomförts utan kontohavarens samtycke (obehörig transaktion) Om någon obehörig person genomför en transaktion från en kontohavares konto gäller enligt betaltjänstlagen att leverantören ska återställa kontot till den ställning som det skulle ha haft om transaktionen inte hade genomförts. Med termen obehörig transaktion avses en transaktion som kontohavaren inte samtyckt till, dvs. som denne inte godtagit. Det följer av det andra betaltjänstdirektivet artikel 73 och allmänna fordringsrättsliga principer att kontohavaren inte är betalningsansvarig för en fordran som uppkommit genom att någon obehörigen har använts hans eller hennes betalningsinstrument.s. 479
11.Helt allmänt gäller att en fördelaktig rättsföljd ibland kan inträda till förmån för en av parterna om samtycke eller tillstånd lämnats av motparten. Då ligger bevisbördan i allmänhet på den part som påstår att samtycke lämnats. Den part som gynnas av ett samtycke bör sålunda se till att motparten lämnar ett skriftligt samtycke.s. 480
12.Av betaltjänstlagen framgår att frånvaro av samtycke från kontohavarens sida gjorts till förutsättning för bankens skyldighet att återställa kontot. Påstår kontohavaren att han inte lämnat samtycke till en transaktion ankommer det på banken att bevisa att samtycke lämnats av kontohavaren. Allmänt sett är det svårt för en part att bevisa ickeexistensen av ett faktum eftersom detta inte lämnar några spår; frånvaron av något ger inte upphov till några kausala bevis. I betaltjänstlagen sägs att leverantören ska kunna styrka att transaktionen godkänts genom betalarens uttryckliga samtycke. Bankens bevisskyldighet avser sålunda ett aktivt agerande från kontohavarens sida. Detta låter sig bevisas genom att banken ser till att kontohavaren samtyckt till varje betalning som görs från dennes konto. Om det inte framgår av bankens digitala kontoregistreringar att en transaktion godtagits av kontohavaren kan det uppkomma betydande bevissvårigheter för banken. Kan den inte med digitala registreringar motbevisa kontohavarens påstående om att han inte lämnat något samtycke kommer dennes uppgifter ofta att godtas.s. 480
13.Det andra betaltjänstdirektivet innehåller två bevisregler som inte utgör explicita bevisbörderegler i den svenska lagen, men som finns intagna i det andra betaltjänstdirektivet artikel 72.2. Dessa båda regler implementerades ursprungligen inte i svensk lag, trots att Europeiska kommissionen påpekat för Sverige att det nationella införlivandet ska vara tillräckligt klart och precist enligt EU-domstolens praxis. Det är tveksamt om de båda direktivreglerna endast utgör bevisvärderingsregler eller om de också ställer krav på en parts bevisning och såtillvida utgör en slags bevisbörderegler som hade bort implementeras.s. 481
14.Den första bevisregeln i artikel 72.2 tar sikte på fall då en betaltjänstanvändare nekar till att han eller hon auktoriserat en genomförd betalningstransaktion. Om användningen av betalningsinstrumentet registrerats hos betaltjänstleverantören ska detta ”inte nödvändigtvis räcka som bevis för att betalaren auktoriserat betalningstransaktionen.”s. 481
15.Att bevisningen är otillräcklig kan bero på att den efter bevisvärdering inte når upp till beviskravet. Det är en brist att beviskravet inte anges. Denna tolkning innebär inte något annat än att domstolar ska tillämpa principen om fri bevisprövning.s. 481
16.För det andra kan anledningen till att bevisningen är otillräcklig bero på att regeln antyder en beviskravshöjning. Det anges inte under vilka villkor och hur mycket beviskravet kan skärpas. Kritik kan riktas mot användningen av termen ”otillräcklig” för att ange beviskravet eftersom det lämnas öppet vilket krav som ställs upp. De digitala registreringarnas höga bevisvärde kan jämföras med bevisvärdet av löpande skuldebrev. Det får anses att HD avstått från att låta ett skuldebrev få presumtionsverkan utan att HD i stället ansett att ett skuldebrev har ett så utomordentlig starkt bevisvärde att borgenärens bevisskyldighet normalt är fullgjord om han åberopar ett skuldebrev. Det beviskrav som riktas mot en borgenär kan gå längre än det beviskrav som följer enbart av ett skuldebrevs bevisvärde såsom standardbevis. På samma sätt kan man anse att direktivets bevisregel utgör en slags beviskravsskärpning som går utöver vad som i allmänhet följer av betaltjänstleverantörens digitala registreringar.s. 481
17.Direktivets bevisregel har inte implementerats i den svenska betaltjänstlagen. Regeln får inte ges ett förändrat innehåll med hänvisning till svensk bevisrätt.s. 482
18.Den andra bevisregeln som inte implementerats tar sikte bl.a. på situationer då betaltjänstleverantören gör gällande att betalaren varit grovt vårdslös. Leverantören ska då lägga fram styrkande handlingar för att bevisa grov vårdslöshet från betaltjänstutövarens sida. Regeln innefattar ett åliggande för den bevisskyldige leverantören att lägga fram bevisning av viss art (skriftlig bevisning, ej muntlig). Regeln avser bevisföring men inte bevisvärdering. Regeln är väl förenlig med den nationella regeln i RB 35:6 om att en domstol inte inhämtar bevisning ex officio i dispositiva tvistemål. 5.3 Kontohavarens skyddsskyldighet Betaltjänstlagen innehåller en regel om att kontohavaren är skyldig att skydda en personlig kod som han eller hon har fått. Detta är viktigt eftersom tillgodohavandena på konton ofta kan uppgå till några hundratusen kronor eller i vart fall flera tusen kronor. Underlåtenhet att skydda sitt betalningsinstrument kan leda till att en obehörig transaktion kunnat genomföras.s. 482
19.Betaltjänstlagen 5 a kap. 2 § innehåller en rättsregel som knyter an till begreppet skyddsskyldighet. Om en obehörig transaktion från en kontohavares konto kunnat genomföras till följd av att kontohavaren inte har skyddat sin personliga behörighetsfunktion gäller enligt regeln att kontohavaren ansvarar för beloppet, dock högst för 400 kronor.s. 482
20.Kontohavarens ansvar är således begränsat till 400 kronor. Banken bär bevisbördan för att kontohavaren inte skyddat sina koder. Bankens vinst vid fullgjord bevisskyldighet är högst begränsad, t.ex. vid bedrägerier som avser tiotusentals kronor. Banken har sällan någon särskild anledning att inleda en process mot kontoinnehavaren för att få ut 400 kronor när banken under alla förhållanden i stort sett måste stå för hela förlusten. Rör bedrägeriet många tusen kronor gör sig konsumenten ofta inte besväret att begära en nämndprövning om han ska stå för 400 kronor; han eller hon är oftast nöjd med att banken får bära ansvaret för i stort sett hela förlusten. Regeln om konsumentens 400 kronors-ansvar leder i praktiken till att domstolsprocesser och nämndtvister rörande detta belopp blir ovanliga. 5.4 Särskilt klandervärt handlande Med tanke på fall då skyddsskyldigheten åsidosatts av en konsument sägs i betaltjänstlagen 5 a kap. 3 § 2 st. att kontohavaren svarar för hela beloppet om han eller hon handlat särskilt klandervärt. Begreppet finns inte i andra betaltjänstdirektivet. Det är sålunda rent nationellt. Med ett sådant begrepp får inte uppnås resultat som är mindre förmånliga för konsumenten än vad som följer av direktivet. Liksom begreppet culpa och grov culpa kan det särskilt klandervärda handlandet komma till uttryck på så många sätt att det därför bör krävas att leverantören anger på vilket konkret sätt kontohavaren handlat särskilt klandervärt. Annars vet inte konsumenten hur han ska tillvarata sina intressen i en betaltjänsttvist. Om kravet på konkretion inte är uppfyllt har banken inte fullgjort den processuella åberopsskyldigheten. Den kontradiktoriska principen måste upprätthållas.s. 482
21.”BankID-bedrägeriet” avser frågan om konsumenten handlat särskilt klandervärt och därför bär ett obegränsat ansvar. Fallet rör sålunda inte vad som närmare bestämt avses med sådan grov oaktsamhet som medför ett begränsat ansvar för kontohavaren. HD ansåg emellertid att detta civilrättsliga begrepp kan lämna ledning vid tolkning och att det krävs något mer än att agerandet är grovt vårdslöst för att det ska anses särskilt klandervärt. Det innebär inte att en prövning av vad som är särskilt klandervärt måste föregås av en bedömning att kraven för grov oaktsamhet är uppfyllda. Prövningen av vad som utgör särskilt klandervärt handlande kan sålunda inriktas direkt på en bedömning av de krav som HD uppställt för att det ska föreligga särskild klandervärdhet. 5.4.1 HD:s bedömning av likgiltighetsfallet HD beskriver tre fall som utmärks av att kraven för särskild klandervärdhet är uppfyllda. I de tre fallen anges sålunda rekvisit för att konsumenten bär ett obegränsat ansvar. Med tanke på ett av de tre fallen förklarade HD att det fick anses vara särskilt klandervärt när konsumenten var likgiltig till risken för obehöriga transaktioner.Uttalandet kan uppfattas så att en viss risklikgiltighet utgör ett rättsfaktum som ska bevisas. Det rör sig väsentligen om ett subjektivt rekvisit (viljeinriktning). Likgiltigheten med dess föremål kan ofta inte styrkas av leverantören med digital bevisning och inte heller genom utfrågning av konsumenten.s. 483
22.HD har förklarat innebörden av risklikgiltighet. HD uttalade att risklikgiltigheten innebär att konsumenten ”faktiskt insåg, att det fanns en risk för en obehörig transaktion men ändå agerade på ett sätt som innebar ett brott mot 5 kap. 6 §”. Bevistemat avser fyra delar. Alla dessa moment ska vara styrkta. Det följer av HD:s generella uttalande om att leverantören har bevisbördan för att konsumenten handlat särskilt klandervärt. För det första krävs en insikt med viss misstankegrad. Det räcker inte med att kontohavaren hyser en mycket svag misstanke eller att han tror något på lösliga grunder.s. 484
23.Vidare krävs för det andra en faktisk insikt. Insikt avser tankar och uppfattningar som rört sig i någons hjärna. Man kan inte höra vad någon tänker och inser. Insikt avser mycket svårbevisade mentala förhållanden och det kan t.ex. vara lika svårt att bevisa ond tro som att bevisa god tro. Uttalandet om kravet på faktisk insikt motsägs av uttalandet under den följande punkten. HD uttalade att bedömning av om en konsument har agerat särskilt klandervärt ska i princip göras objektiverat, dvs. utifrån hur en konsument av motsvarande slag i samma situation typiskt sett skulle ha agerat. Detta objektiverade ansvar för konsumentens agerande innebär enligt HD att hänsyn också bör tas till vad konsumenten bort förstå. Det ligger en motsägelse i att insikten ska vara faktisk samtidigt som det räcker att konsumenten borde ha förstått något. En objektiverad bedömning om vad kontohavare i allmänhet bort inse kan inte styrka faktisk insikt. Se vidare om ARN:s syn på objektiverat ansvar avsnitt 5.4.4.s. 484
24.För det tredje ställs krav på att kontohavaren faktiskt insett just risken för obehöriga transaktioner. I likhet med vad som är fallet vid straffrättsligt likgiltighetsuppsåt ska likgiltighetsbedömningen avse en viss följd, inte ett flertal obestämda vaga följder.s. 484
25.Slutligen fordras för det fjärde att konsumenten faktiskt har agerat i strid mot lagen genom att lämna ut sin kod. Detta är inte något insiktsrekvisit.s. 484
26.HD tillade till sist att det vid denna prövning får särskild betydelse till vem behörighetsfunktionerna lämnades ut enligt konsumentens uppfattning. Detta är inte ett rekvisit utan ett argument som kan tillmätas varierande betydelse. Inget sägs om vilka mottagarkategorier som är av särskild betydelse. Av ARN:s praxis framgår att det har stor betydelse att bedragaren har påstått sig vara företrädare för en bank.s. 485
27.Det är mycket svårt för en betaltjänstleverantör att styrka de tre första momenten eftersom de avser konsumentens insikt. Det sista kravet som avser konsumentens faktiska handlande kan vara lättare att styrka med digital bevisning.s. 485
28.Likgiltighetsbedömningen ska tidsmässigt utgå från handlingsögonblicket och inte från vad som långt senare inträffar då en bedragare eller en lojal person använder koden. Frågan om konsumenten haft insikt om att en viss förlust skulle uppkomma för honom om han lämnade ut sin kod kan denne ofta inte ha haft en bestämd uppfattning om. I handlingsögonblicket gör denne ofta inte en riskbedömning. Det efterföljande faktiska utfallet av konsumentens handlande kan inte läggas till grund för bedömningen av förekomsten av en tidigare riskinsikt. Bevisning om kontohavarens insikt behöver inte avse endast vad denne tänkt och avsett. Vad en person trott och inte trott kan nämligen många gånger utläsas ur hans eller hennes beteende och uttalanden. 5.4.2 HD:s bedömning av avsiktsfallet Undersökningen lämnar nu likgiltighetsfallet och övergår till vad här betecknas som avsiktsfallet. I ”BankID-bedrägeriet” beskriver HD rekvisiten för särskild klandervärdhet på ett sätt som liknar de rekvisit som gäller för likgiltighetsfall. De finns emellertid skillnader på avgörande punkter. I båda fallen finns ett första svårbevisat rekvisit som avser konsumentens mentala inställning. Därefter följer i båda fallen likartade riskrekvisit.s. 485
29.HD beskriver avsiktsfallet så att konsumenten med avsikt har överlämnat personliga behörighetsfunktioner till en obehörig person. Det betyder att det ställs krav inte bara på avsiktligt utlämnande av koder utan också att avsikten då ska avse det förhållandet att mottagaren är obehörig. Om konsumenten varit osäker på om mottagaren varit behörig eller obehörig uppstår fråga om avsiktsrekvistet skulle vara uppfyllt i det hypotetiska fallet att han skulle ha lämnat ut koderna även om han varit säker på att mottagaren var obehörig (straffrättsligt eventuellt uppsåt) eller förhållit sig likgiltig till om mottagaren var behörig eller obehörig. Utöver avsiktsrekvisitet uppställde HD ett insiktsrekvist som skiljer sig från det som gäller för likgiltighetsfallen. HD ställde krav på att konsumenten vid överlämnandet ”då insåg eller hade anledning att misstänka” en förlust. Med misstankeanledning torde avses vad en konsument bort inse. Faktisk insikt behöver inte styrkas. Det räcker att konsumenten bort inse en förlustrisk. En objektiverad bedömning kan då utvisa att konsumenten bort inse risken. Man kunde därför tycka att det skulle vara enklare för leverantören att styrka särskilt klandervärt handlande i en betaltjänsttvist om han åberopade avsiktsfallets rekvisit i stället för likgiltighetsfallets rekvisit.s. 485
30.En bank kan sällan bevisa att en kontohavares avsikt var att överlämna en kod till en person som enligt kontohavarens egen uppfattning otvivelaktigt var obehörig. Avsiktsrekvistet har därför till konsumentens förmån en lika långtgående ansvarsbegränsande effekt som insiktsrekvisitet i likgiltighetsfallet. De beror på att kraven på att det ska föreligga en viss avsikt eller en viss insikt är svårbevisade och inte kan klarläggas genom digital bevisning.s. 486
31.ARN har gjort ett uttalande om objektiverat ansvar för konsumenter i allmänhet. Ansvaret innebär att leverantören inte behöver styrka att kontohavaren i den enskilda fallet faktiskt insåg faran för obehörig användning. Nämnden ansåg att det rimligen måste krävas att man inser att det är förknippat med påtaglig fara för obehörig användning om man avslöjar svarskoder för en okänd person. De båda orden ”måste krävas” ger inte uttryck för ett beviskrav för insikt om en fara. Det rör sig i stället om ett materiellträttsligt objektiverat aktsamhetskrav som följer av skyddsskyldigheten. Detta insiktskrav gäller konsumenter i allmänhet; det rör sig om något ”man” måste inse. En sådan insikt behöver inte styrkas i de konkreta fallen. Kravet på styrkt faktisk insikt behöver inte vara uppfyllt. Det är en annan sak att banken måste visa att svarskoderna faktiskt utlämnats till en person som var okänd för konsumenten. Objektiverat ansvar förekommer relativt ofta och denna ansvarsform förenklar bevisbedömningen. 5.4.3 ARN:s praxis i likgiltighetsfall sedan HD avgjort ”BankID-bedrägeriet” Samtliga ARN:s nio novemberbeslut 2022 berör olika former av likgiltighetsbedömning och avsiktsbedömning. ARN har gjort sina ställningstaganden med ledning av det tidigare avgjorda HD-fallet ”BankID-bedrägeriet”. Först ska redovisas hur nämnden bedömde likgiltighet och sedan de fall då avsiktlighet prövades.s. 486
32.I sex fall ansåg ARN att det inte framkommit något som talade för att kontohavaren vid utlämnandet av koder insåg att det fanns en risk för att mottagaren skulle genomföra den transaktion som kom att ske. Därmed ansåg ARN att kontohavaren inte varit likgiltig till risken för obehöriga transaktioner. Frånvaron av insikt förklarades med att kontohavarna hade blivit lurade och trodde att utlämnanden var nödvändiga för att skydda deras tillgångar. I fem fall utlämnades koder till någon som utgav sig vara företrädare för en bank. Dessa ärenden belyser inte närmare bevisbördefrågor men är av intresse ur bevisvärderingssynpunkt. Frånvaro av riskinsikt uteslöt likgiltighetsinställning.s. 486
33.I ett fall beaktade nämnden kontohavarens höga ålder och sjukdom. Man kan fråga sig om beslutsskälen kan kritiseras därför att de bygger på asymmetrisk avvägning. Asymmetrisk avvägning kan förekomma vid bedömningen av en rättsfråga då olika pro- och kontraargument förs fram. Avvägning blir asymmetrisk då föremålet för argumentationen inte är samma rättsuppfattning utan något olika. Som exempel på asymmetri kan nämnas att ett beskrivet pro-argument talar för en viss rättsuppfattning och ett angivet kontra-argument för en annan mer eller mindre olik uppfattning. Det är således viktigt att argumenten tar sikte på samma rättsuppfattning. Någon asymmetrisk avvägning gjordes inte i det förevarande fallet. Detta ska utvecklas.s. 487
34.Kontohavarens ålder och sjukdom kan få betydelse på två sätt, dels bevisbetydelse för kontohavarens insikt, dels civilrättslig betydelse som ett argument för ansvarsfrihet. ARN ansåg att kontohavarens vägran att lämna ut sina kortuppgifter till den som ringde upp henne talade för att hon insåg en risk för obehöriga transaktioner. Hennes vägran utgjorde ett bevisfaktum för hennes riskinsikt. Nämnden uttalade vidare att kontohavaren var 90 år, sjuk i covid-19 och hade feber. Detta ansågs var utrett och på detta plan förelåg inte några bevismässiga problem. Nämnden ansåg att dessa förhållanden måste vägas in vid bedömningen av hennes handlande. Det sägs sålunda inte att omständigheterna ska vägas in vid bedömningen av förekomsten av faktisk riskinsikt. Efter beaktande av hennes ålder och sjukdom ansåg nämnden att det inte var bevisat att kontohavaren, när hon överlämnade kortet och koden, var likgiltig inför risken för obehöriga transaktioner som sedan skedde. Hennes ålder och sjukdom ansågs utgör bevisfakta vid bedömningen av frågan om det var bevisat att hon var likgiltig inför risken för obehöriga transaktioner. Hennes fysiska och mentala hälsa utgjorde förmodligen skäl för att hon ansågs sakna intellektuell förmåga att inse följderna av att kortuppgifter lämnades ut. Hennes ålder och sjukdom utgjorde här inte rättsliga argument som innebar att nämnden beaktade att det förelåg ömmande skäl för att begränsa hennes ansvar. Nämnden tillade avslutningsvis att det vid en sammantagen bedömning fick anses att kontohavaren inte agerat särskilt klandervärt. Nämnden gör inte något uttalande om vad som är bevisat. Orden särskilt klandervärt tyder på att resonemanget är rättsligt och inte bevismässigt. Det skulle innebära att kontohavarens ålder och hälsa utgjorde sådana ömmande skäl som talade för att hon inte handlat särskilt klandervärt.s. 487
35.Det rör sig inte om ett fall där man söker besvara en enda fråga efter att ha låtit argumentationen avse två något olikartade rättsuppfattningar vid behandling av argumentens relevans och tyngd. De rör sig i stället om bedömningar av två skilda frågor där ett och samma argument får olika relevans. Argumentet kan beskrivas som intellektuellt bristande förmåga på grund av hög ålder och allvarlig sjukdom. Detta argument har tillagts bevisbetydelse när ARN bedömd insiktsfrågan och en annan betydelse av civilrättslig art vid helhetsbedömningen av frågan om det funnits ömmande skäl att befria kontohavaren från ansvar. 5.4.4 ARN:s praxis i avsiktsfall sedan HD avgjort ”BankID-bedrägeriet” I flera fall har nämnden uttalat att utredningen inte visar annat än att kontohavaren trodde att han eller hon lämnade koderna till företrädaren för en bank och att denna person var behörig att använda svarskoderna. Nämnden ansåg att kontohavaren då alltså inte avsiktligen överlämnat koderna till en obehörig person. Leverantören har då inte fullgjort sin skyldighet att bevisa att kontohavaren insåg eller hade anledning misstänka att det förelåg förlustrisk. I nämndfallen är situationerna bevismässigt av annan art; kontohavaren har styrkt frånvaron av insikt och misstankeanledning.s. 488
36.I endast ett av de nio novemberfallen fann nämnden att kontohavaren handlat särskilt klandervärt. Kontohavaren hade lämnat ut uppgifter till en person som uppgav sig vilja hyra ut en lägenhet till henne. Kontohavaren använde då sitt BankID i enlighet med givna instruktioner. Nämnden ansåg att det därmed var klart att hon var medveten om att personen inte var behörig att hantera hennes uppgifter. Nämnden ansåg att det visserligen kan vara så att hon då inte insåg att det fanns en stor sannolikhet för att uppgifterna skulle missbrukas. Detta uttalande får uppfattas så att nämnden inte ansåg det bevisat att kontohavaren hade faktisk riskinsikt. Nämnden gjorde emellertid härefter uttalanden som utvidgar kontohavarens ansvar. Det rör sig om en objektiverad prövning. Att avslöja sina kortuppgifter för en okänd person och använda sitt BankID på sätt som skett måste enligt nämnden anses vara förknippat med en påtaglig fara för obehöriga transaktioner. Nämnden ansåg att det rimligen måste krävas att man inser detta. Det sägs inte att kontohavaren måste ha insett detta utan att ”man” måste ha insett detta. Insikten grundas på en rimlighetsbedömning, inte på en bevisvärdering. Ansvaret kommer med denna konstruktion att avse vad en kontohavare bort inse utan att det förebringas bevisning om dennes faktiska insikt. Slutsatsvis ansåg nämnden att kontohavaren med avsikt har gett en obehörig person tillgång till sina personliga behörighetsfunktioner. Det tillades att hon samtidigt hade anledning att misstänka att det förelåg en betydande eller närliggande risk för att hennes handlande kunde medföra en förlust. Nämnden förklarade således inte att kontohavaren misstänkt en risk utan att hon haft anledning att misstänka en förlustrisk. Uttrycket ”anledning att misstänka” klargör att faktisk misstanke inte behöver styrkas eftersom det obegränsade ansvaret följer av den uppkomna misstankeanledningen. 5.4.5 Möjlighet för kontohavaren att kringgå verkningarna av att bedragaren uppgett sig företräda någon annan än en bank Bedragarens uppgivna yrkesverksamhet har betydelse för bedömningen av frågan om kontohavaren varit risklikgiltig och därmed handlat särskilt klandervärt. HD har uttalat att det vid likgiltighetsbedömningen får särskild betydelse till vem han eller hon uppfattade att den personliga behörighetsfunktionen lämnades till. I flera fall har ARN vid sin avsiktsbedömning och likgiltighetsbedömning ansett att utredningen inte bevisade annat än att kontohavaren trodde att han lämnade koderna till en företrädare för sin bank och att kontohavaren inte varit likgiltig till risken för obehöriga transaktioner. I andra fall har kontohavaren påstått att han blivit uppringd av en person som sagt sig vara teleoperatör eller vilja hyra ut ett rum. Nämnden ansåg att det därmed stod klart att han eller hon var medveten om att personen inte var behörig att hantera hans eller hennes uppgifter. Att avslöja den typen av uppgifter för en okänd person på det sätt som skett måste enligt nämnden anses förknippat med en påtaglig fara för obehörig användning. Fallen visar att uppgiftslämnande till andra personer än en företrädare för en bank kan medföra att handlandet anses särskilt klandervärt. Kontohavarens ansvar är då beloppsmässigt obegränsat.s. 488
37.En kontohavare som blivit uppringd av en bedragare kan med orätt påstå att denne sagt sig vara företrädare för en bank, trots att bedragaren t.ex. förklarat att han ringde för ett bolag som utförde effektivitetskontroller av kontohavarnas BankID. Påstår banken häremot att bedragaren inte kan ha uppgett att han företrädde en bank ligger bevisbördan på banken/betaltjänstleverantören. Det går inte att bevisa den uppringande partens påstådda uppdragstyp med digital bevisning. En bank saknar möjlighet att bevisa vad som sagts vid samtalet mellan kontohavaren och bedragaren. Sedan en konsument blivit uppringd av någon som inte sagt sig vara företrädare för en bank kan konsumenten i syfte att undgå det obegränsade ansvaret som följer av särskilt klandervärt handlande likväl hävda han blivit uppringd av en banktjänsteman. Om banken förnekar konsumentens påstående om att en bankföreträdare ringt kan nämnden komma att avvisa ärendet på grund av att muntlig bevisning inte kan tas upp när uppgift står mot uppgift. Efter domstolsprövning kan rätten då finna att leverantören inte fullgjort sin bevisskyldighet. Därmed kan konsumentens ansvar begränsas till 400 kronor eller 12 000 kronor. 5.5 Grov oaktsamhet Om en obehörig transaktion från ett konto kunnat genomföras till följd av att en skyldighet i betaltjänstlagen 5 kap. 6 § åsidosatts genom grov oaktsamhet från kontohavarens sida ansvarar denne för 12 000 kronor under förutsättning att han är konsument. Det är en stor skillnad i förhållande till konsumentens obegränsade ansvar i de fall hans handlande är särskilt klandervärt.s. 489
38.Begreppen vårdslöshet och grov vårdslöshet är välkända begrepp i svensk rätt. Vid bedömningen av frågan om ett handlande är grovt vårdslöst måste skillnad göras mellan alla de bevisbara faktiska förhållanden som kan konstituera vårdslöshet och som kan göra att denna är grov. Det kan ha betydelse för frågan om åberopsskyldigheten är fullgjord. I många fall kan fakta som innefattar vårdslöshet och som gör den grov vara sammanflätade. Samma handlande som konstituerar vårdslöshet kan också göra den grov. I rättskällorna anges ofta faktorer som ska eller kan tillmätas betydelse. Det är viktigt att man noga undersöker om de avser faktiska eller rättsliga förhållanden. I ”BankIDbedrägeriet” nämnde HD tolkningsrelevanta förhållanden i betaltjänsttvister. Vid bedömningen, som ska göras med ledning av nationell rätt, bör grov vårdslöshet omfatta uppträdanden som uppvisar en betydande grad av oaktsamhet. Som exempel nämndes att kontohavaren förvarat behörighetsuppgifterna intill betalningsinstrumentet i ett format som är öppet och lätt att upptäcka för tredje man.s. 490
39.I förarbetena sägs vidare att det måste vara fråga om ett markant avsteg från aktsamhetsnormen där kontohavaren har varit obetänksam i sådan grad att han eller hon inte är ursäktad; lindriga fall av slarv eller tillfällig glömska utgör inte ett grovt oaktsamt agerande. Alla dessa fakta avser rättsliga bedömningar, ofta graderingsfrågor. Leverantörens bevisbörda kan inte omfatta dessa rättsfrågor men det kan krävas att leverantören bevisar omständigheter som ska läggas till grund för sådana rättsliga bedömningar som får anses utgöra moment i det rättsfaktum som benämns som grov oaktsamhet. I ett visst fall föreligger inte avsaknaden av bevisbarhet. Påstår leverantören att konsumenten förvarat behörighetuppgifter på ett öppet åtkomligt sätt rör det sig om faktiska förhållanden. Det krävs då att leverantören styrker påståendet såvida inte det anses vara ett bevisfaktum.s. 490
40.Går man till andra rättskällor än betaltjänstlagen finner man exempel på faktiska omständigheter som indikerar grov vårdslöshet och som kan behöva styrkas i en betaltjänsttvist. Faktisk kunskap om en skaderisk kan vara ett bevisbart förhållande och även frånvaron av vissa myndighetsföreskrivna beräkningar. Medvetet/uppsåtligt risktagande kan utgöra grov vårdslöshet liksom risktagande i fall då den hotande skadans omfattning är mycket stor. Om kontoinnehavaren lämnar ut koder kan det ha betydelse att flera hundratusen kronor finns på kontot och att detta höga belopp kan göras åtkomligt för en bedragare. En näringsidkares underlåtenhet att företa försiktighetsåtgärder kan faktisk ha medfört en förhöjd skaderisk. Underlåtenheten och den förhöjda skaderisken kan bli föremål för bevisning. En betaltjänstleverantörs bevisskyldighet omfattar inte endast det ”grova” utan också handlingar och underlåtenhet som konstituerar vårdslöshet. Vid bedömningen av vad som rättsligt sett är vårdslöshet och vad som gör denna grov gäller inte någon bevisbörderegel.s. 491
41.Flera av ARN:s novemberbeslut innehåller en abstrakt formel för vad som utgör grov vårdslöshet. Det finns anledning att undersöka om tolkningsförklaringar måste göras med tanke på att det rör sig om en rekommenderad objektiverad bedömning, en standardbedömning och om summarisk rättstillämpning. Nämnden har många gånger uttalat: Det får normalt anses vara förenat med tydliga risker att överlämna koder till någon annan och utan möjlighet att kontrollera hur koderna använts eller sprids. Därför får det i regel krävas att man ifrågasätter behovet av att överlämna koder på det sätt som har skett och att man gör vad man kan för att kontrollera vem man har överlämnat koderna till i en situation som denna. Detta gäller även om man uppfattat förhållandena som pressade och oavsett om det har saknats särskilda skäl att ifrågasätta bedragarens uppgifter.” Dessa generella beslutsskäl tar inte sikte på bedömningen av ett enda konkret fall, utan på de normalt förekommande tydliga riskerna med att lämna ut koder utan att göra någon användningskontroll. Det allmänna kravet på att ”man” ska ifrågasätta behovet av kodöverlämnande och kravet på att ”man” gör behövliga kontroller av vem koderna utlämnas till tyder på att kraven gäller helt allmänt. Uppfattningen vinner stöd av att krav ställs på att man handlar på visst sätt, inte att en kontohavare har handlat på ett visst sätt i ett enskilt fall. Det rör sig om en normativ bedömning hur man bör handla. Detta objektiverade normativa ansvar fordrar inte att betaltjänstleverantören ska bevisa vad kontohavaren insett och trott. Leverantören ska bevisa att kontohavaren lämnat ut sina koder.s. 491
42.Om en kontohavare i ett enskilt fall påstår att han eller hon faktiskt genomfört kontroller är det inte alldeles säkert att leverantören ska bevisa frånvaron av sådana kontroller; det kan i stället ankomma på kontohavaren att göra det sannolikt att han utfört de påstådda kontrollerna. Anledningen till att leverantören inte skulle anses bevisskyldig skulle möjligtvis kunna vara att det rör sig om ett rättsupphävande faktum och att leverantören enligt direktivet inte skulle behöva styrka ett sådant faktum.s. 492
43.I enskilda konkreta fall har grov oaktsamhet ansetts föreligga enbart på grund av att koder lämnats ut, något som sägs innebära att kontohavaren på ett mycket tydligt sätt har avvikit från den aktsamhet som krävs. I andra fall har nämnden prövat om kodutlämnande skulle vara en tillräcklig betingelse för grov oaktsamhet. En avvägning har gjorts av rättsliga argument. Det rör sig således inte om avvägning av bevisfakta vid bevisvärdering. I ett fall beaktades kontraargument som bestod i kontohavarens höga ålder och bedragarens hembesök. Nämnden ansåg emellertid att avvikelsen från aktsamhetsansvar var så pass allvarlig att kontohavaren trots sin belägenhet fick anses ha försummat skyddsskyldigheten genom grov oaktsamhet. Motargumenten vägde tydligen inte tillräckligt tungt för att rubba normen om att kodutlämnande innefattar grov oaktsamhet.s. 492
44.Blotta kodutlämnandet är i allmänhet tillräckligt för att kontohavaren ska anses ha handlat grovt oaktsamt. Man kan fråga sig om det rör sig om en alltför förenklad bedömning där olika argument inte fått inverka vid en helhetsavvägning på sätt HD:s utveckling av begreppet grov oaktsamhet antyder. Möjligen kan en målsättning med ARN:s rättstillämpning vara att skapa standardiserade normer som på ett enkelt sätt lämnar besked om att konsumentens yrkande ska ogillas eller bifallas. Nämnden bedömning ska då endast kräva några få raders motivering. Häremot kan invändas att ARN framhållit att helhetsbedömningarna ska vara nyanserade. Häri ligger att det ska göras en noggrann prövning i det enskilda fallet och inte bara en mer allmänt hållen standardiserad prövning. ARN har gjort mera konkreta bedömningar i två enskilda fall där kontohavarens höga ålder och andra faktorer fått spela en viss roll. Också då har nämnden ansett att det rört sig om grov oaktsamhet. 5.6 Påverkan som följer av ett tekniskt fel eller av en betaltjänstbrist Internetbankerna kan någon gång stängas ned helt på grund av dataintrång eller tekniska fel. Kontohavare som därmed berövas möjligheten att göra rättidiga betalningar kan drabbas av förluster. Här ska inte undersökas i vad mån de då kan få ut skadestånd av banken.s. 492
45.I betaltjänsttvister kan banken hävda att en obehörig transaktion beror på att kontohavaren lämnat ut sina koder. Häremot kan denne påstå att det obehöriga uttaget beror på ett tekniskt fel och att banken ska bära hela ansvaret för uppkomna förluster. I betaltjänstlagen anges att leverantören ansvarar gentemot betalaren för att betalarens betalningsorder genomförts korrekt. Det anges uttryckligen att leverantören ska kunna styrka att betalningen utförts korrekt. I kravet på ett korrekt utförande ligger att leverantören ska kunna styrka att en betalningstransaktion inte påverkats av ett tekniskt fel eller någon annan brist i den tjänst som tillhandahålls av betaltjänstleverantören. Denna bevisskyldighet avser felfrihet vid tidpunkten då transaktionen företogs. Bevisskyldigheten avser också ett kausalitetskrav uttryckt som krav på frånvaro av påverkan. Om det bevisligen förelegat ett tekniskt fel kan leverantören undgå ansvar om han bevisar att felet inte påverkat betalningstransaktionen. Här inriktas bedömningen på ett specifikt fel vid en bestämd tidpunkt.s. 493
46.Man kan vid första påseende få intrycket att bevistemat rörande ett tekniskt fel är annorlunda uttryckt av HD i fallet ”Låneavtalet med 4finance” som rör elektronisk underskrift. HD ansåg att det måste ankomma på långivaren, som är den part som tillhandahåller det bakomliggande tekniska systemet, att säkerställa att tekniken motsvarar högt ställda kvalitetskrav. Uttalandet antyder att leverantören ska bevisa att systemet som en helhet är välfungerande över tid. Emellertid gör HD ett tillägg som klargör att bevistemat avser den specifika tekniska lösning som använts för att ingå det särskilda låneavtalet. Det räcker inte att bankens sakkunniga kan visa att systemet var välfungerande under lång tid i olika avseenden om de inte berört förekomsten av ett specifikt påtalat fel vid transaktionstidpunken.s. 493