2 · Närmare om omständigheter, grunder och underinstansernas

Norrköpings tingsrätts dom 23 mars 2020 i mål T 2617-18, Göta hovrätts dom 18 januari 2021 i mål T 1115-20. 1 0 De två avgörandena har kommenterats av flera, både var för sig och med fokus på hur de förhåller sig till varandra. Se som ett axplock Svensson, Viljeförklaring och tillitsfullmakt, JT 2015–16 s. 330–356 (främst om 2014-års fall), Lundberg, Ytterligare om tillitsfullmakter, JT 2015–16 s. 735–740 (båda fallen), Wännström i SvJT 2019 s. 8–26 (främst om 2014-års fall), Ramberg, HD:s moderna fullmaktslära, JT 2014–15 s. 406–413 (om 2013-års fall) och Christine Stridsberg, Tillitsfullmakter — nytt klargörande om befogad tillit som behörighetsgrund, JT 2014–15 s. 619–629 (främst om 2014-års fall). Se också, som det hittills senaste bidraget, och med mer övergripande och allmänt fokus, Samuelsson (2023). Jag kommer i detta bidrag inte göra något försök till att närmare hur NJA 2021 s. 1017 fullmaktsteoretiskt förhåller sig till de tidigare avgörandena, eller hur de tidigare avgörandena förhåller sig till varandra. 11 Se liknande Unnersjö JT 2022–23 s. 654 f. 12 I NJA 2021 s. 1017 p. 21 anger HD detta som två olika kriterier, på samma vis som i NJA 2014 s. 684 p. 14. När det kommer till den närmare beskrivningen av hur tillitsfullmaktskonstruktionen ser ut i typfallet, och i bedömningen av det aktuella fallet, verkar HD hantera det som ett mer integrerat kriterium. 13 NJA 2021 s. 1017 p. 33. 14 Alltså vad som i (och efter) NJA 2013 s. 659 ofta omtalats som ett härrörandekrav. 15 Detta tredje kriterium har mot bakgrund av avgörandena i NJA 2013 s. 659 och NJA 2014 s. 684 lett till viss diskussion i doktrinen. Se särskilt Håstad, Befogad och obefogad tillit i fullmaktsläran, SvJT 2020 s. 323–332 [Håstad (2020)] och Lindskog, Tillitsfullmakten — en replik, SvJT 2020 s. 785–797 [Lindskog (2020)]. 16 NJA 2021 s. 1017 p. 24 med vidare hänvisning till NJA 2014 s. 684 p. 21. Som Samuelsson (2023) s. 98 anför, kan det diskuteras om HD:s sätt att i 2021 års fall återge vad som sades i 2014 års fall har blivit något olyckligt. 17 Som Unnersjö JT 2022–23 s. 661 framhåller kan dessa formuleringar också uppfattas som att de gäller två helt olika bedömningskriterier. 1 8 Funktionen ”min BankID-historik” finns, och gör att man kan se vilka transaktioner som har utförts för samtliga BankID utgivna till ett och samma personnummer. Här framgår dock inte det närmare innehållet i en transaktion eller vad som skrevs under. 19 Sådan kontroll torde däremot ha kunnat få betydelse om bedömningen istället avsåg innehavarens culpa. 20 Se närmare avsnitt 6 nedan. 21 På denna punkt blir det något av en praktisk skillnad mellan dessa situationer och situationer då det är en rent fysisk handling som kommit på avvägar. Den senare kan man inte hur som helst återvinna kontrollen över, medan framtida användning av en e-legitimation normalt är enkelt att förhindra om man bara vet om att den finns. Det är dock främst möjligheten att spärra ett BankID som står öppen. Att ändra kod skulle förutsätta dels att personen vet vilken den gamla koden är, något som inte behöver vara fallet vid bedrägligt upprättade BankID, dels att den har rådighet över den enhet på vilken BankID:et har installerats. 22 NJA 2021 s. 1017 p. 37–39. 23 Se närmare Petter Dahl, Praktiska erfarenheter från BankID, SvJT 2023 s. 429. 24 Därtill kommer alla de fall då någon närstående obehörigen har kommit åt en e-legitimation som i och för sig har utgivits till rätt innehavare. 2 5 Även Unnersjö JT 2022–23 s. 655 framhåller betydelsen av tredje mans faktiska tillit. 26 Se NJA 2021 s. 1017 p. 37 och nedan i avsnitt 5. 2 7 Ponera exempelvis att det är femtioelfte gången under en kortare tidsperiod som samma person gör en kreditansökan om ett mindre belopp hos den aktuella kreditgivaren, eller att kreditansökningen görs mitt i natten från en IP-adress i utlandet av Britt-Marie 98 år. All exemplifiering riskerar att visa fördomar som inte behöver stämma på individnivå, och det kan givetvis inte uteslutas att även farfars mor åker iväg på semester, sitter uppe hela natten och bestämmer sig för att låna lite pengar, men exemplet torde ändå kunna tjäna sitt syfte. 28 I NJA 2014 s. 684 handlade det om en person i chefsställning för en avgränsad och självständig del av verksamheten. 29 I NJA 2013 s. 659 handlade det om en kontraktör som vid vissa förhandlingar representerade ett reseföretag på en geografisk avgränsad marknad. 3 0 Omskrivningen till en tänkt tredje man är medveten. Konkret tillit till behörigheten är endast intressant i den mån som den aktuella tredje mannen borde ha förstått mer än vad en annan, vilken som helst, tredje man i motsvarande situation hade uppfattat mot bakgrund av de aktuella omständigheterna. 31 Med e-legitimation kan man — som några exempel — underteckna kreditavtal, öppna nya konton i en ny bank, underteckna skuldebrev, underteckna ett avtal om köp av bil, böcker, kläder, barnprylar, lämna in årsredovisning till Bolagsverket eller deklarationen till Skatteverket, eller nästan vad som helst annat där marknaden har velat anpassa sig och göra det enkelt att delta digitalt. 3 2 Eventuella rättsliga begränsningar i möjligheten att hantera data om kunden kan dock tänkas få betydelse här. Banken kan agera som kreditgivare, eller som kontoförvaltande betaltjänstleverantör. Fastän den kontoförvaltande banken också i sig är en mellanman, blir det därför enligt min uppfattning relevant att i detta sammanhang anse banken som tredje man. Målet HD avgjorde i NJA 2021 s. 1017 gällde en kreditgivare, och gränsdragningen obehörig-behörig får stor betydelse även för vilka transaktioner som omfattas av skyldigheten att återställa ett konto enligt 5 a kap. 1 § betaltjänstlagen och det kan diskuteras om även denna gränsdragning har påverkats av avgörandet, se avsnitt 8 nedan. 33 För att kunna upptäcka konstigheter skulle det dock behövas kontrollsystem med hög grad av detalj- och personanpassning. Det är inte givet att övervakningsmekanismerna vare sig kan eller får utformas så detaljerat som skulle vara nödvändigt. Dessutom kommer sådan transaktionsövervakning bara upptäcka transaktioner om sticker ut, vilket exempelvis låneupptaget i det aktuella målet nog inte hade ansetts göra. 34 Överskuldsättning är exempelvis ett allvarligt, och för både staten och samhället i övrigt, mycket kostsamt problem. Se Riksrevisionens rapport Överskuldsättning — hur fungerar samhällets stöd och insatser? (RiR 2015:14). I rapporten har den sammanlagda samhällskostnaden beräknats till anmärkningsvärda 201,4 miljarder på årsbasis. 35 Jfr Unnersjö JT 2022–23 s. 663 som omtalar avgörandet som ett ”tydligt medskick till banker och andra kreditgivare om att det ofta kan vara bra att för säkerhets skull använda både hängslen och livrem.” 36 Liknade argumentation kopplat till beloppets storlek och ett rent digitalt förfarande återfinns i det norska avgörandet HR-2020-2021-A p. 104. Høyesterett fäste då avseende vid att banken som professionell aktör hade ”valt att ingå ett kreditavtal om ett, för en enskild konsument, högt belopp uteslutande genom” elektronisk identifiering. Se Aagaard, Kreditgivares ersättningsanspråk efter obehörig användning av bank-id, Kommentar till Høyesteretts avgörande HR-2020-2021-A, SvJT 2021 s. 235 på s. 246. 37 Kanske kan synpunkten egentligen anses vara uttryck för en underförstådd tanke om riskfördelning, och att det finns en gräns för vilka risker som en kreditgivare får ta genom hur den väljer att lägga upp sin verksamhet innan de negativa följderna av dessa val också bör bäras av näringsidkaren själv. 38 Något som inte kan uteslutas kan ha varit fullt medvetet för att begränsa risken för att marknadens aktörer anpassar sig för att försöka optimera sitt skydd. Exakta beloppsgränser skulle exempelvis kunna leda till risk för att mellanmannen väljer att ansöka om högre belopp för att reducera risken för att innehavaren av e-legitimationen ska bli bunden till kreditavtalet. Fastän mellanmannen väljer att missbruka det förtroende innehavaren har visat den, behöver det inte innebära att mellanmannen är helt utan omsorg för innehavaren. 39 Bedömningen kommer i dessa fall normalt inte att bygga på hur en eller flera fysiska människor uppfattat situationen vid mottagandet av viljeförklaringen, utan det hela sköts huvudsakligen av elektroniska och automatiserade system. Det är normalt först i efterhand, när något väl visat sig ha gått snett, som riktiga människor närmare granskar den enskilda transaktionen. Detta är inget säreget för situationen då man försöker avgöra tredje mans befogade tillit, utan samma problematik aktualiseras i andra typsituationer där avtalsslutet sker digitalt och med hjälp av automatiserade system och där det är av rättslig betydelse hur mottagaren uppfattat omständigheterna kring mottagandet av viljeförklaringen. 4 0 Liknande Unnersjö JT 2022–23 s. 655 och 661. 41 När HD i p. 37 anger att det inte framkommit något som gav kreditgivaren skäl att göra särskilda kontroller, får det helst uppfattas som att bevisbördan för att identifiera omständigheter som kan bryta presumtionen om behörig användning har lagts på innehavaren. 42 Se om mottagarens faktiska tillit och dess (bristande) betydelse annars, Samuelsson (2023) s. 27 f. 43 Ett potentiellt problem i sammanhanget är också den ofta mycket svåra bevissituationen som råder gällande den grundläggande frågan om hur användaren egentligen har kommit åt e-legitimationen. Fastän tredje man har bevisbördan för att kriterierna för en tillitsfullmakt faktiskt är uppfyllda, och att det enligt NJA 2017 s. 1105 räcker att innehavaren gör antagligt att användningen skett obehörigen, finns det risk för ett expansivt tillämpningsområde av fullmaktsspåret till följd av svårigheterna som ofta följer med en skyldighet att föra bevisning för icke-existensen av ett handlande. Se Heuman, Bevisbörda och beviskrav i tvistemål, Norstedts Juridik, Stockholm 2022 [Heuman (2022)] s. 398 ff. 4 4 Se Heuman (2022) s. 64 om att bevisbördan inte bör läggas på en person vars intresse är att bevisskyldigheten inte ska fullgöras. 45 Vilken teknisk bevisning man har åtkomst till beror bl.a. på om den aktuella dispositionen har godkänts med hjälp av en e-legitimation som aktören själv har utgivit till innehavaren. I dessa fall har aktören insikt i väsentligt mer data och information än om det istället handlar om användning av en e-legitimation som har utställts av en annan aktör. Orsaken är regler om banksekretess som begränsar möjligheten att dela information mellan aktörerna. 46 Se närmare i avsnitt 8 nedan. 47 Att omständigheterna kan påverka möjligheten att nå fram med argumentationen, alltså dra slutsatsen att en tillitsfullmakt uppkommit, är en annan sak. 4 8 Utom i fall av teknisk brist eller vid en banks åsidosättande av reglerna för utgivande av BankID, som dock inte är väldigt aktuella. 49 Ponera exempelvis att ditt vuxna barn som är hemma på jullov har lyckats gissa koden till din mobiltelefon som låg på laddning i vardagsrummet när du sov, och koden till telefonen råkar (så klart) vara den samma som koden till ditt mobila BankID. Någon dag senare upptäcker du att pengar försvunnit från kontot, och efter konfrontation erkänner det vuxna barnet vad som hänt. Istället för att byta kod nöjer du dig emellertid med ett löfte om att barnet givetvis aldrig ska göra något liknande igen. Några månader senare trillar, föga förvånande för oss andra, brev från ett inkassobolag in i brevlådan. 5 0 Formuleringen antyder alltså att det är själva rättshandlingen som ska härröra från innehavaren, vilket inte får förväxlas med det andra kriteriet för en tillitsfullmakt, nämligen att tredje mans befogade tillit ska bygga på omständigheter som härrör från innehavaren. 51 Mot bakgrund av HD:s sätt att beskriva dikotomin behörig-obehörig i domskälen, kan det också vara läge att diskutera en annan fråga, nämligen relationen mellan fullmaktsreglerna och ogiltighetsreglerna. Genom uttalandena antyds att den som, genom ett agerande som träffas av avtalslagens svaga ogiltighetsgrunder (eller kanske inte ens når upp till den tröskeln) förleds att ge annan fullmakt, inte behöver oroa sig för att en godtroende tredjeman ska kunna påstå att det föreligger en fullmakt. Det är i så fall en ståndpunkt som står i viss motsättning till sedvanlig uppfattning i frågan, nämligen att en godtroende medkontrahent vanligtvis antas kunna stå fast vid avtalet. Kanske är det dock nödvändigt till följd av särdragen med e-legitimationsfallen, men det kan också diskuteras om det inte kanske istället är tillitsfullmaktskonstruktionen som sådan som skapar det huvudsakliga problemet i detta avseende. 5 2 Där framgår, i samband med behandlingen av just härrörandekravet, att det inte ska leda till bundenhet om ”någon i förhållande till huvudmannen helt utomstående” har givit tredje man anledning att tro att han företräder huvudmannen. Frågan är hur mycket som kan läsas in i uttalandet, och hur stort överföringsvärde det har till en situation då e-legitimationsinnehavaren rent faktiskt varit involverad. 53 Annorlunda hade det förhållit sig om domskälen hade formulerats lika, men omständigheterna hade varit andra. Då hade man fått en tydligare prövning av regelns räckvidd. 54 Typfallet är inte identisk med den situation som skisseras i NJA 2014 s. 684 p. 18, eftersom huvudmannen till följd av e-legitimationens personliga karaktär kommer ha behövt medverka (rent faktiskt) till att mellanmannen fick åtkomst till densamma. 55 Här kan kanske principen som kommer till uttryck i 19 § avtalslagen ge viss ledning för tanken. Fastän en fullmakt har återkallats, och därför alltså inte längre finns, kan huvudmannen bli bunden om han har ”särskild anledning” att befara att fullmäktigen kan tänkas använda fullmakten för att ”företaga rättshandling gentemot viss man, vilken kan antagas sakna vetskap om dess upphörande…”. 56 Rättstillämparen måste då göra en noggrann bedömning av om de konkreta omständigheterna gör det rimligt att uppfatta passiviteten som uttryck för en viljeförklaring. Särskilt viktigt blir det i typfall då innehavaren befinner sig i en destruktiv relation och därför inte förmår reagera lika snabbt, eller på samma sätt, som vi skulle förvänta av någon som utsatts för ett bedrägeri av en okänd person. Jfr exempelvis med omständigheterna i Svea hovrätts dom 2 februari 2022 i mål T 3618-21, där kvinnan till följd av den destruktiva relation hon levde i och allvarlig psykisk ohälsa inte förmådde reklamera obehörig användning av sitt BankID till banken förrän efter flera månader. Hon ansågs i fallet vara återbetalningsskyldig enligt läran om misstagsbetalningar för en kredit som pojkvännen hade tagit med hjälp av hennes BankID. 57 Personligen anser jag nog att typfallet med annans användning av e-legitimation när samtycke eller uppdrag saknas rent allmänt helst borde hanteras enligt sådana regler. Se nedan i avsnitt 8. 5 8 En invändning mot att ens diskutera detta, kan vara att det trots allt finns möjlighet att få bankfullmakt så att en anhörig kan logga in med sin egen e-legitimation och sköta personens bankärenden. Dock verkar de tekniska lösningarna hos olika banker fungera rätt olika i detta avseende, och åtminstone i vissa fall får den fullmäktige i sådana fall inte insyn i exempelvis inkomna e-fakturor. För att kunna hjälpa den närstående, måste fullmäktigen då ändra från e-faktura till brevfaktura och få fakturorna skickade hem till sig, för att på något smidigt sätt kunna säkerställa att de blir betalda i tid. Dessutom ger en bankfullmakt bara åtkomst till en bank i taget, och det finns i dagsläget ingen möjlighet att upprätta mer omfattande generalfullmakter som ger möjlighet för inloggning i olika system. En förutsättning för att en sådan teknisk lösning ska kunna skapas, är att det skapas ett register över företrädare. 59 Det kan finnas olika orsaker till att någon medverkar till att skapa en e-legitimation som ska användas av annan, exempelvis för att upprätta bolag, men ofta handlar det om omständigheter som åtminstone ligger nära hot, utnyttjande eller annat vilseledande. 60 Detta torde, åtminstone som en utgångspunkt, också anses följa av NJA 2014 s. 684 p. 20. Se också Samuelsson (2023) s. 98. 61 Exempelvis är det vanligt förekommande att bedragare lyckas förmå innehavare att ge ifrån sig koder eller på annat sätt agera så att bedragaren kommer åt innehavarens e-legitimation eller innehavarens internetbank så att denne kan upprätta ett bedrägligt BankID. Att bundenhet inte bör kunna uppkomma för dispositioner som företagits innan innehavaren haft praktisk möjlighet att spärra en e-legitimation som bedragaren fått tillgång till, är uppenbart. 62 Se dock nedan under avsnitt 8. Det är nämligen inte alls säkert att en tillitsfullmakt kan likställas med kontohavarens samtycke så att transaktionen faktiskt måste anses som behörig i betaltjänstlagens mening. 63 Se Lindskog (2020) på s. 793 f. som för ett liknande resonemang grundat i systembetraktelser. 6 4 Se 15 kap. 12 § första stycket brottsbalken. 6 5 Jfr beskrivningen av vad som utgör ett särskilt klandervärt agerande i NJA 2022 s. 522 p. 27. 66 Hur ansvaret för obehöriga transaktioner ska fördelas, följer av 5 a kap. betaltjänstlagen. Definitionen av vad som utgör en obehörig transaktion följer däremot av 1 kap. 4 § mom. 32. 6 7 Vilket alltså torde vara fallet i de fall som också möjliggör uppställande av en tillitsfullmakt eller bundenhet på annan väg. Se närmare NJA 2022 s. 522 och Aagaard, BankID-Bedrägeriet, JT 2022–23 s. 63–80.

Hänvisas från p. 3 (s. 543)