En transaktion är enligt 1 kap. 4 § första stycket moment 34 betaltjänstlagen obehörig om den genomförs utan samtycke från kontohavaren eller någon annan som enligt kontoavtalet är behörig att använda kontot. Frågan om transaktionen varit obehörig ska avgöras enligt vad som fastställdes i NJA 2017 s. 1105. Betaltjänstleverantören har bevisbördan för att en transaktion har genomförts med kontohavarens betalningsinstrument, medan kontohavaren sedan har att göra antagligt att det inte är innehavaren själv, eller någon med dennes samtycke, som genomfört transaktionen. Är det innehavaren av BankID:et själv som har godkänt transaktionen är den alltså att anse som behörig, och det gäller även i de ofta förekommande fallen då inneh avaren utsatts för bedrägeri och lurats godkänna transaktionen. Se t.ex. ARN 2019-11253, ARN 201914354 och ARN 2019-08258. Förutsättningen för att transaktionen ska anses behörig är emellertid att den information som framgått i BankID:et uppfyller kraven i 5 b kap. 4 § andra stycket betaltjänstlagen så att det tydligt framgår att det som godkänts varit en betalning med visst belopp till viss mottagare.
Hänvisas från p. 4 (s. 76)
1.tillvägagångssätt och prejudikatets räckvidd En av utmaningarna med att konkretisera ansvarsbedömningen vid obehöriga transaktioner är att det sätt på vilket denna sorts bedrägerier genomförs varierar, och ständigt ändras. Detsamma gäller hur olika betalningsinstrument fungerar och hur säkerhetsanordningarna som syftar till att reducera risken för obehörig användning utformats.s. 75
2.Ett exempel på variationer kopplat till det sista är vilken sorts information som dyker upp i BankID:et vid olika dispositioner. Förutom att BankID som verktyg ständigt utvecklas och ändras, har betaltjänstleverantörerna ofta viss valfrihet med hänsyn till vilken information de vill ska dyka upp när BankID:et används till annat än att godkänna en betalning, något som kan göra det svårare för kunden att veta vad den kan förvänta sig och vad som är normalt. Ett annat exempel är om det BankID som används måste befinna sig på samma fysiska ställe som den enhet där dispositionen företas eller inte. Ett tredje exempel är om det krävs en kombination av användning av BankID och en traditionell bankdosa för att genomföra vissa dispositioner. I flera banker kan man beställa ytterligare mobila BankID uteslutande med hjälp av sitt befintliga mobila Bank ID, men i det aktuella målet verkar koddosan ha behövts, eller åtminstone föredragits av bedragaren.s. 75
3.HD har i avgörandet haft fokus på situationen då konsumenten har överlämnat personliga behörighetsfunktioner till en person som visar sig vara obehörig. HD framhöll också att kunden uppvisat en betydande vårdslöshet ”genom att vid det andra samtalet lämna ut koderna från bankdosan”. Detta kan ge intryck av att det bara är just utlämnandet av koder som var grovt vårdslöst och inget annat. Eftersom konsumenten hade lämnat ut svarskoder från sin bankdosa och även erkänt att han agerat grovt oaktsamt, är det givetvis rimligt att frågan inte diskuteras närmare. Dock kan detta fokus på just överlämnande av personliga behörighetsfunktioner innebära att osäkerhet uppkommer gällande avgörandets betydelse för framtida rättstillämpning i fall där konsumenten inte givit ut personliga behörighetsfunktioner men ändå, efter att ha utsatts för ett förslaget bedrägeri, rent faktiskt har bidragit till att obehöriga transaktioner kunnat genomföras.s. 75
4.Detta kan typiskt sett ske på två sätt. Det ena är om kunden själv har godkänt transaktionen med sitt BankID, om än efter att ha blivit vilseledd av bedragaren. I dessa fall är emellertid transaktionen att anse som behörig, varför frågan om ansvarsfördelning mellan kund och bank inte uppkommer. Det andra är om transaktionen godkänts med ett betalningsinstrument som utställts i kundens namn, men som kunden inte vet om att det existerar, eftersom det beställts och kontrolleras av bedragaren. I dagens digitala verklighet är det alltså inte nog att kunden noga skyddar de betalningsinstrument och personliga behörighetsfunktioner som den själv har fått från banken. För att vara säker, måste också förhindras att någon annan får möjlighet att själv skapa nya betalningsinstrument i kundens namn, vilket alltså ofta har skett genom att kunden har lurats att godkänna sådana beställningar med sitt befintliga BankID, utan att själv förstå att det är vad som händer.s. 76
5.Detta anknyter till en problematik som HD inte uttryckligen hanterar i mål T4623-21, nämligen betydelsen av att kundens brister inte nödvändigtvis rört hanteringen av BankID:et eller bankdosan som betalningsinstrument, utan som legitimeringsverktyg och som elektronisk underskrift i samband med beställning av ett nytt BankID, vilket sedan använts för att genomföra de obehöriga transaktionerna. Legaldefinitionen av ett betalningsinstrument är enligt 1 kap. 4 § första stycket moment 9 betaltjänstlagen ”ett kontokort eller något annat personligt instrument eller rutin som enligt avtal används för att initiera en betalningsorder”. När ett BankID används till annat än att initiera en betalningsorder, används det alltså inte som ett betalningsinstrument och är därför inte föremål för reglering i 5 och 5 a kap. betaltjänstlagen.s. 76
6.Bankens ansvar för att återställa kontot enligt 5 a kap. 1 § betaltjänstlagen är oberoende av om den obehöriga transaktionen genomförts av annan med hjälp av kundens betalningsinstrument, ett betalningsinstrument som getts ut till bedragaren i kundens namn, genom digital manipulation eller på annat vis. I alla dessa fall handlar det om obehöriga transaktioner på kundens konto. Bestämmelsen i 5 a kap. 3 § jämförd med 5 kap. 6 § uppställer emellertid endast ansvar för kunden till följd av dennes brister i att skydda de personliga behörighetsfunktioner som är knutna till betalningsinstrumentet och att följa de villkor som gäller för användningen av betalningsinstrumentet. Regleringen verkar alltså bygga på en förutsättning att det betalningsinstrument som använts utställts till den aktuella kunden på korrekt vis.s. 77
7.Om de obehöriga transaktionerna genomförts med ett betalningsinstrument som kunden inte själv beställt eller ens varit medveten om att det har utgivits, är det därför något ansträngt att se det som att den obehöriga transaktionen har kunnat genomföras till följd av att kunden har åsidosatt skyldigheterna att skydda sitt betalningsinstrument eller de till betalningsinstrumentet knutna personliga behörighetsfunktionerna (som kunden alltså inte känner till).s. 77
8.Det verkar rimligt att utgå ifrån att beteendet strider mot användarvillkoren som kunden är bunden av enligt avtal med både banken och utgivaren av BankID:et, om dessa inte är samma aktör. Samtidigt kan det ifrågasättas om villkor som inte gäller kundens hantering av BankID eller bankdosa som betalningsinstrument ska kunna leda till ett ansvar med stöd i 5 a kap. 3 § jämförd med 5 kap. 6 § första stycket 3 betaltjänstlagen. Dessutom kan det diskuteras om det verkligen är nödvändigt (och ur säkerhetssynpunkt acceptabelt) att beställning av nya betalningsinstrument kan göras så snabbt och enkelt som idag. Det som ur praktisk synvinkel är mycket lyckat, nämligen att ett och samma verktyg med stor lätthet kan användas för olika ändamål och i olika sammanhang, blir i detta sammanhang en omständighet som kan skapa osäkerhet kring regleringens tillämpning.s. 77
9.Det skulle emellertid givetvis leda till oacceptabla resultat om kunden kunde låta obehöriga personer gå in i internetbanken och medverka till att ett nytt betalningsinstrument utges till bedragaren, utan att riskera att bli ställd till svars för de obehöriga transaktioner som därmed möjliggörs. Särskilt gäller detta eftersom de efterföljande transaktionerna som görs med det nya mobila BankID:et är att anse som obehöriga transaktioner som enligt 5 a kap. 1 § ska återställas och att det bara är tillfälligheter, vanligen bedragarens val av tillvägagångssätt, som avgör om agerandet omedelbart leder till en obehörig transaktion eller inte.s. 78
10.Konsekvensen av en sträng tolkning av 5 a kap. 3 § betaltjänstlagens tillämpningsområde skulle dock inte nödvändigtvis leda till att förlusten slutligt skulle hamna på betaltjänstleverantören. Om kunden genom att släppa in obehöriga i internetbanken har möjliggjort för att ett nytt betalningsinstrument har beställts, och därmed har brutit mot villkor i de avtal som gäller med banken eller utställaren av BankID:et, kunde man istället tänka sig att kundens avtalsbrott skulle leda till att kunden åläggs ett kontraktsrättsligt ersättningsansvar för bankens förlust till följd av att den varit skyldig att återställa kundens konto.s. 78
11.En sådan rättstillämpning skulle emellertid innebära ett tydligt åsidosättande av det skydd som följer av 5 a kap. 1 § betaltjänstlagen. Att komplettera regleringen med annars gällande principer för inomkontraktuellt ansvar skulle nämligen leda till ett väsentligt mer långtgående ansvar för kunden i de fall då bedragaren varit förslagen nog att först skaffa sig ett nytt mobilt BankID i kundens namn, istället för att direkt genomföra den obehöriga transaktionen. Att på detta vis sänka tröskeln för kundens ansvar i ett typfall som ur kundens perspektiv kan vara än svårare att avslöja som ett bedrägeri, framstår som mindre välmotiverat. Det kan också diskuteras om inte regleringen i 5 a kap. betaltjänstlagen, som trots allt är tänkt att balansera motstående intressen och i icke oväsentlig omfattning utgöra en skyddsreglering för kunderna, bör anses uttömmande reglera kundens potentiella ansvar. Att komplettera regleringen med allmänna principer för inomkontraktuellt skadestånd framstår mot denna bakgrund som principiellt problematiskt. Samtidigt skulle det leda till olämpliga resultat att tillämpa ansvarsregeln i 5 a kap. 3 § jämförd med 5 kap. 6 § strikt efter ordalagen och principiellt utesluta ansvar för kunden i alla de fall då själva de obehöriga transaktionerna gjorts med ett betalningsinstrument upprättat av bedragaren. Fastän ansvarsbedömningen nödvändigtvis kommer att påverkas av hur bedrägeriet konkret har gått till, framstår det också som en synnerligen dålig och oförutsägbar ordning om kundens ansvar vid obehöriga transaktioner på det egna kontot ska bedömas efter olika mönster beroende på bedragarens tillvägagångssätt i det enskilda fallet.s. 78
12.Fastän slutsatsen inte har så tydligt stöd i vare sig lagstiftningen eller praxis som vore önskvärt, verkar den i sammanhanget klart bästa lösningen vara att tilllämpa ansvarsreglerna i 5 a kap. 2–6 §§ betaltjänstlagen också i fall då kundens eventuella vårdslöshet gäller hanteringen av den egna e-legitimation på ett sätt som har möjliggjort skapande av nya betalningsinstrument, som sedan använts för att genomföra obehöriga transaktioner. Efter BankID-bedrägeriet får denna slutsats också anses ha visst stöd i praxis, trots att frågan inte uppmärksammades uttryckligen. Detta leder alltså till en i viss omfattning utvidgad tolkning av kundens skyldigheter, genom att plikten att skydda sitt betalningsinstrument också får anses innebära en plikt att förhindra att nya betalningsinstrument ges ut i kundens namn, samtidig som tolkningen innebär ett ökat skydd för kunden jämfört med det annars mest närliggande alternativet.s. 79