Rättsfall
NJA 2017 s. 1105
RättskälldiskussionÖppna i bibliografi
Citera
NJA 2017 s. 1105
BibTeX
@misc{nja-2017-s-1105,
author = {{Högsta domstolen}},
title = {{NJA 2017 s. 1105}},
year = {2017},
howpublished = {Rättsfall}
}Dom
Hämtar dom…
Omtalad i rättsvetenskapen
24 hänvisningar i 10 artiklar · 23 stycken/fotnoter
Obehörig användning av e-legitimation: Rättsliga utmaningar och nordiska utvecklingslinjer2 hänvisningar
- Som Mathias A. Bjerkhaug och Peter Carlstedts anförande visade, finns det emellertid all anledning att fundera över hur exempelvis HD i NJA 2017 s. 1105 i sin bedömning verkar ha bortsett från viktiga förutsättningar som gäller för de olika nivåerna av säkerhet för en e-legitimation enligt eIDAS-förordningen.
- Särskilt viktigt är det att påpeka att EU-rätten och civilrätten i många delar är — eller åtminstone är tänkta att vara — dels överlappande, dels sammanfallande. Främst gäller detta frågorna som idag regleras av betaltjänstlagen, men även mycket av den tekniska infrastrukturen på området är underställd detaljerad reglering från EU. Vi kanske inte alltid ser eller behöver analysera denna reglering i det dagliga livet, men som påpekades av föredragshållarna Mathias A. Bjerkhaug och Peter Carlstedt i relation till NJA 2017 s. 1105, kan det leda till problem i rättstillämpningen om den tappas bort. Något som kanske kan förvåna är också att implementeringen av rättsakterna från EU faktiskt skiljer sig åt mellan de nordiska länderna, fastän syftet med regleringen delvis är att skapa enhet på en inre marknad. Ett antal skillnader låter sig relativt enkelt identifieras, även där det åtminstone inte verkar finnas utrymme för skillnader i implementeringen. Exempelvis satte doktoranden Vebjørn Wold fingret på en intressant skillnad mellan Norge och Sverige gällande skyldigheten att återställa kundens konto efter en obehörig transaktion. Den svenska lagstiftaren har i 5 a kap. 1 § betaltjänstlagen begränsat bankens skyldighet att återställa kontot på ett sätt som kan framstå som diskutabelt. Den norska lagstiftaren har valt en annan, och enligt Wolds uppfattning mer korrekt, implementering samtidigt som norska banker agerar som om regleringen motsvarade den svenska. Mer systematisk forskning på temat behövs.
ARN och obehöriga transaktioner1 hänvisning
- Ordet ”sammantaget” används också ofta. Se t.ex. ”Advokaten och arvodesdebiteringen” Mål Ö 2239-22 p. 7. — Ackumulerat resultat kan betyda en över tid hopsamlad mängd. I denna betydelse ligger något mer än en helhet, nämligen den hopsamling av olika företeelser som leder fram till helheten. Därmed är inte sagt att denna alltid ska betraktas som något statiskt oföränderligt. 1 2 Heuman, Metoder för rättstillämpning och lagtolkning, s. 50 och 251. 13 Heuman, Metoder för rättstillämpning och lagtolkning, s. 51. 14 Heuman, Metoder för rättstillämpning och lagtolkning, s. 252 med rättsfall angivna i not 785. 1 5 Føllesdal, Walløe och Elster, Argumentationsteori, språk och vetenskapsfilosofi, Thales 2009, s. 109 ff. 1 6 Se till det anförda Heuman, Metoder för rättstillämpning och lagtolkning, s. 270 ff. 17 Se om delresonemang Heuman, Metoder för rättstillämpning och lagtolkning, s. 42 ff. och JT 2020–21 s. 25 ff. 18 Dir 2022:7 s. 13 ff. Se om rättshjälp NJA 1999 s. 465. 19 Se härtill lag (2011:1211) om Konsumentombudsmannens medverkan i vissa tvister. 2 0 Schelin, Bevisvärdering av utsagor i brottmål, Norstedts Juridik 2007, s. 164 f. och Heuman Bevisbördan, s. 269 om läkares dokumentation. 21 INFR(2018)0099, C(2021)7160 final och prop. 2021/22:202 s. 6. Se vidare Heuman, Bevisbördan, s. 42 ff. Jfr häremot följande uttalanden i Marknadsdomstolen 2009:11: ”I motiven till KL anges att en avsikt med konkurrenslagstiftningen är att den så långt möjligt uppnår materiell rättslikhet med EG:s konkurrensregler (prop. 1992/93:56 s. 21). Vid tillämpningen av 6 § KL ska således EG-rätten vara vägledande. I förarbetena till den nya KL framhålls att den vägledning som EGrätten kan ge i första hand rör tolkningen av de materiella bestämmelserna under det att EG-domstolens och kommissionens uttalanden har mindre betydelse när det gäller frågor om förfarandet. Här får i stället vägledning främst hämtas i svenska förarbeten, praxis och doktrin (prop. 2007/08:135 s. 77 f.). Vad gäller frågor om beviskrav och bevisbörda är det således i första hand nationella regler som ska tillämpas. Enligt Marknadsdomstolens mening hindrar dock detta inte att det vid tillämpningen av nationella regler kan hämtas viss vägledning från EG-rätten i frågor som beviskrav och bevisbörda.” 22 C 460/20 p. 68, 71 och 72. 2 3 Betaltjänstlagen 5 kap. 3 §. Se närmare om detta fall Rødvei Aagard, JT 2022–23 s. 63 ff. 24 ARN Änr 2022-01950, Änr 2021-19593, Änr 2022-03828, Änr 2022-03339, Änr 2021-16843, Änr 2021-12666, Änr 2022-04140, Änr 2022-03987 och Änr 2022-02184. 25 Se om det sammanvägda bevisvärdet av flera bevisfakta Ekelöf, Edelstam och Heuman, Rättegång, Fjärde häftet, Sjunde upplagan, Norstedts Juridik 2009, s. 201 ff. 26 Heuman, Bevisbördan, s. 135 f. 2 7 Heuman, Metoder för rättstillämpning och lagtolkning, s. 96. 28 HD p. 26. 29 HD p. 26. 30 Detta andra fall kan uppfattas så att en tillräcklig betingelse består av två nödvändiga betingelser. 31 HD p. 27. 32 Det rör sig om ett viktigt argument, dvs en faktor av betydelse för ansvarsbedömningen, men inte om ett rekvisit när HD uttalar att det ”vid denna bedömning får särskild betydelse till vem han eller hon uppfattade att den personliga behörighetsfunktionen lämnades ut.” HD p. 27. Rekvisit uttrycks med HD:s ord att konsumenten ska ansvara eller att särskilt klandervärt agerande föreligger. HD p. 26 och 27. 33 HD p. 28. 34 HD p. 29. 35 HD p. 34. 36 Heuman, Metoder för rättstillämpning och lagtolkning, s. 240. 37 Heuman, JT 2015–16 s. 760 ff. 3 8 ARN Änr 2922-01950 s. 3, Änr 2021-19593 s. 3, Änr 2022-03828, Änr 2022-03339 s. 3, Änr 2021-16843 s. 3, Änr 2021-12666 s. 3 f., Änr 2022-04140 s. 3, Änr 2022-03987 s. 3 och Änr 2022-02184. 39 Betaltjänstlagen 5 a kap. 1 §. 1 st. 40 Prop. 2009/10:122 s. 11 och 24. 41 Betaltjänstdirektivet artikel 60 och prop. 2009/10:122 s. 23. 42 Heuman, Bevisbördan, s. 364. 43 Betaltjänstlagen 5 a kap. 1 §. 4 4 Heuman, Bevisbördan, s. 396 ff. 45 Betaltjänstlagen 5 kap. 3 § 2 st. och prop. 2021/22:202 s. 4 och 8. Se även det andra betaltjänstdirektivet artikel 59. 46 INFR(2018)0099, C(2021) 7160 final s. 3 f. De sägs också att de personer som berörs ska, av rättssäkerhetsskäl, ges möjlighet att få full kännedom om sina rättigheter och, i förekommande fall, ges möjlighet att göra dem gällande vid de nationella domstolarna. 47 Prop. 2017/18:77 s. 166. 48 Heuman, Bevisbördan, s. 105 f. 4 9 NJA 1975 s. 577, s. 582 och Heuman Bevisbördan, s. 61, 289, 605 och 619. Se härtill ”Smyckesköpet” NJA 2019 s. 617 p. 23 50 Prop. 2021/22:202 s. 4 f., 8 f. och 14. 51 Betaltjänstlagen 5 a kap. 3 §. 52 ”BankID-bedrägeriet” p. 13 och 15. 53 Prop. 2009/10:122 s. 28 och ”BankID-bedrägeriet” p. 29. 5 4 HD p. 21. 55 HD p. 22 och 25. 56 HD p. 27. 5 7 HD p. 27. 58 HD p. 29. 59 I avsiktsfall som berörs av HD under p. 26 räcker det för att en kontohavare ska vara ansvarig att denne haft anledning misstänka att det förelåg risk att kontohavarens handlande kunde medföra förlust. 60 I fallet ARN Änr 2022-02184 antyds att om det är utrett att kontohavaren uppfattade att det fanns en risk är det något annat än att kontohavaren faktiskt förstod att så var fallet. Det förklaras inte varför en persons bevisade riskuppfattning är något annat än en persons bevisade faktiska riskförståelse. — I rättsfallet ”BDO” anges att den faktiska tilliten ska bevisas men att den kan presumeras. Av detta fall om revisorsansvar kan inte dras bevismässiga slutsatser om vad som ska gälla för betaltjänsttvister. NJA 2014 s. 272 p. 28 61 Heuman, Bevisbördan, s. 537 ff. 62 HD p. 28. 63 Adlercreutz, Gorton och Lindell-Frantz, Avtalsrätt I, Fjortonde upplagan, Juristförlaget i Lund 2016, s. 47. 64 Asp, Ulväng och Jareborg, Kriminalrättens grunder, Andra upplagan, Iustus förlag 2013, s. 293 och NJA 2016 s. 723 p. 18 (likgiltighet som avser andra brottsförutsättningar än en effekt). 6 5 NJA 2016 s. 763 p. 13, 16 och 21. 6 6 Se ”BankID-bedrägeriet” p. 26 med hänvisning till p. 20 och upplysningen om att dansk rätt bygger på ett ansvar för vad kontohavaren insåg eller borde ha insett. 67 ARN Änr 2022-03987 s. 4 och Änr 2022-04140 s. 4. 68 Det behöver inte bevisas av leverantören att kontohavaren faktiskt var medveten om att det fanns en stor sannolikhet för att de utlämnade uppgifterna skulle komma att missbrukas. 6 9 ARN Änr 2022-01950 s. 4, Änr 2021-19593, Änr 2022-03828, Änr 2022-03339, Änr 2021-16843 samt Änr 2021-12666. 70 ARN Änr 2022-02184. Se även det likartade fallet ARN Änr 2022-04140 (76 år gammal, flera strokes och funktionsnedsättningar.) 71 Kontohavarens vägran och hennes ålder och sjukdom kan anses utgöra relevanta bevisfakta för väsentligen samma bevistema, nämligen riskinsikt och likgiltighet. 7 2 ARN Änr 2022-01950, Änr 2021-19593, Änr 2022-03828, Änr 2022-03339, Änr 2021-16843, Änr 2021-12666. 73 ARN Änr 2022-03987 s. 6. 7 4 Se även ARN Änr 2022-0410 s. 4. 75 ”BankID-bedrägeriet” p. 27. 76 ARN Änr 2022-04140 och Änr 2022-0389. 7 7 Betaltjänstlagen 5 a kap. 3 § st. 1 och 2. 78 HD p. 23. 79 HD p. 24. 8 0 NJA 1992 s.130, s. 137 f. och prop. 2009/10:122 s. 30 (bevisning om faktisk vetskap om en obehörig transaktion). 81 Hellner och Radetzki, Skadeståndsrätt, Elfte upplagan, Norstedts juridik 2021, s. 146 f. 82 NJA 1996 s. 118, s. 127. 83 ARN Änr 2022-01950, Änr 2021-19593, Änr 2022-03828, Änr 2022-03339, Änr 2021-16843, Änr 2022-12666 och Änr 2022-02184. Se även Änr 2022-03828 (konsumenten lämnade tillåtelse till fjärrstyrning och motargumentet pressande förhållanden). 8 4 Heuman, Bevisbördan, s. 360. 85 Det andra betaltjänstdirektivet artikel 72. 86 ARN Änr 2022-01950, Änr 2021-16843, Änr 2021-12666 och Änr 2022-04140. Se även Änr 2022-03828 där det inte rörde sig om kodutlämnande utan tillåtelse till fjärrstyrning. Se även det likartade fallet Änr 2022-03339. 87 ARN Änr 2021-19593. Se även det likartade fallet Änr 2022-02184. 88 ”BankID-bedrägeriet” p. 23 och 24. 89 SOU 2007:26 s. 211 och SOU 2014:47 s. 322 samt Heuman, Reklamationsnämnder och försäkringsnämnder, s. 21 och 571 ff. 90 ARN Änr 2022-04140 och Änr 2022-02184. 9 1 NJA 1991 s. 217 och Heuman, Bevisbördan, s. 571 f. 92 Betaltjänstlagen 5 kap. 47 §. 93 Andra betaltjänstdirektivet artikel 72.1 första stycket samt prop. 2021/22:202 s. 14 och prop. 2017/18:77 s. 165. 94 ”Låneavtalet med 4Finance” NJA 2017 s. 1105 p. 16. 95 Europaparlamentets och rådets förordning (EU) nr 910/2014 av den 23 juli 2014 om elektronisk identifiering och betrodda tjänster för elektroniska transaktioner på den inre marknaden och om upphävande av direktiv 1999/93/EG, artikel 1. 9 6 Prop. 2015/16:72 s. 36. 97 Se härtill Förordningen preambel (18). 98 Lag (2016:561) med kompletterande bestämmelser till EU:s förordning om elektronisk identifiering. Ingen av de åtta paragraferna innehåller någon bevisbörderegel. 99 HD p. 15. 1 00 Prop. 2017/18:77 s. 165 f. 101 Prop. 2021/22:202 s. 4 ff. 102 Europaparlamentets och Rådets förordning EU nr 910/2014 artikel 13 om skadeståndsansvar och bevisbördan för avsikt och oaktsamhet hos en icke kvalificerad tillhandahållare avser inte tvister om obehörig användning av en elektronisk underskrift. 103 Heuman, Bevisbörda, s. 84 ff., s. 234 och 695 samt NJA 2021 s. 983 ”Bilbranden i Sollentuna”. 104 HD p. 19. 1 05 Heuman, Bevisbördan, s. 410 ff. 106 Heuman, Bevisbördan, s. 398 ff. 107 HD p. 16. 108 HD p. 16. 1 09 HD p. 19. 110 HD p. 23. 111 HD p. 19. Se härtill Heuman, Bevisbördan, s. 362, 548 och 639 om det aktiebolagsrättsliga fallet NJA 1995 s. 437. 112 HD p. 20 och 9 samt NJA 1992 s. 263. 113 Se härtill Rødvei Aagard, JT 2022–23 s. 77 med not 36.
- Rättsfallet ”Låneavtalet med 4Finance” NJA 2017 s. 1105 avser frågan om en person (sambo), utverkat ett lån med betalningsansvar för en kontohavare vars elektroniska underskrift ostridigt hade använts. Med undantag från ett stycke i domskälen avser prejudikatet frågan om den elektroniska underskriften kan vara äkta i den meningen att den faktiskt har använts och att användningen skett med tillämpning av relevanta säkerhetslösningar, t.ex. med angivande av innehavarens personliga kod. HD ansåg att därav inte går att dra någon slutsats beträffande frågan om det är innehavaren eller någon annan som har använt underskriften. Fråga uppkommer om banken bär bevisbördan för att underskriften använts av dess innehavare eller om underskriftsinnehavaren bär bevisbördan för att underskriften använts av någon obehörig (okänd) person som lyckats tillgodogöra sig ett belopp. Bevistemat avser frågan om äkthet. Ett likartat bevisbördefall uppkommer vid tillämpning av lagen om betaltjänster om en okänd bedragare genom vilseledande lyckats få kontoinnehavaren att lämna ut sin kod och därefter lyckats ta ut ett belopp från dennes konto. Bevisbördefrågan i tvister rörande elektroniska underskrifter är snarlik den som uppkommer i betaltjänsttvister, men bevistemat är i underskriftsfallen äkthet, inte kontohavarens samtycke.
Låneavtalet med Svea Ekonomi2 hänvisningar
- Norrköpings tingsrätts dom 23 mars 2020 i mål T 2617-18, Göta hovrätts dom 18 januari 2021 i mål T 1115-20. 1 0 De två avgörandena har kommenterats av flera, både var för sig och med fokus på hur de förhåller sig till varandra. Se som ett axplock Svensson, Viljeförklaring och tillitsfullmakt, JT 2015–16 s. 330–356 (främst om 2014-års fall), Lundberg, Ytterligare om tillitsfullmakter, JT 2015–16 s. 735–740 (båda fallen), Wännström i SvJT 2019 s. 8–26 (främst om 2014-års fall), Ramberg, HD:s moderna fullmaktslära, JT 2014–15 s. 406–413 (om 2013-års fall) och Christine Stridsberg, Tillitsfullmakter — nytt klargörande om befogad tillit som behörighetsgrund, JT 2014–15 s. 619–629 (främst om 2014-års fall). Se också, som det hittills senaste bidraget, och med mer övergripande och allmänt fokus, Samuelsson (2023). Jag kommer i detta bidrag inte göra något försök till att närmare hur NJA 2021 s. 1017 fullmaktsteoretiskt förhåller sig till de tidigare avgörandena, eller hur de tidigare avgörandena förhåller sig till varandra. 11 Se liknande Unnersjö JT 2022–23 s. 654 f. 12 I NJA 2021 s. 1017 p. 21 anger HD detta som två olika kriterier, på samma vis som i NJA 2014 s. 684 p. 14. När det kommer till den närmare beskrivningen av hur tillitsfullmaktskonstruktionen ser ut i typfallet, och i bedömningen av det aktuella fallet, verkar HD hantera det som ett mer integrerat kriterium. 13 NJA 2021 s. 1017 p. 33. 14 Alltså vad som i (och efter) NJA 2013 s. 659 ofta omtalats som ett härrörandekrav. 15 Detta tredje kriterium har mot bakgrund av avgörandena i NJA 2013 s. 659 och NJA 2014 s. 684 lett till viss diskussion i doktrinen. Se särskilt Håstad, Befogad och obefogad tillit i fullmaktsläran, SvJT 2020 s. 323–332 [Håstad (2020)] och Lindskog, Tillitsfullmakten — en replik, SvJT 2020 s. 785–797 [Lindskog (2020)]. 16 NJA 2021 s. 1017 p. 24 med vidare hänvisning till NJA 2014 s. 684 p. 21. Som Samuelsson (2023) s. 98 anför, kan det diskuteras om HD:s sätt att i 2021 års fall återge vad som sades i 2014 års fall har blivit något olyckligt. 17 Som Unnersjö JT 2022–23 s. 661 framhåller kan dessa formuleringar också uppfattas som att de gäller två helt olika bedömningskriterier. 1 8 Funktionen ”min BankID-historik” finns, och gör att man kan se vilka transaktioner som har utförts för samtliga BankID utgivna till ett och samma personnummer. Här framgår dock inte det närmare innehållet i en transaktion eller vad som skrevs under. 19 Sådan kontroll torde däremot ha kunnat få betydelse om bedömningen istället avsåg innehavarens culpa. 20 Se närmare avsnitt 6 nedan. 21 På denna punkt blir det något av en praktisk skillnad mellan dessa situationer och situationer då det är en rent fysisk handling som kommit på avvägar. Den senare kan man inte hur som helst återvinna kontrollen över, medan framtida användning av en e-legitimation normalt är enkelt att förhindra om man bara vet om att den finns. Det är dock främst möjligheten att spärra ett BankID som står öppen. Att ändra kod skulle förutsätta dels att personen vet vilken den gamla koden är, något som inte behöver vara fallet vid bedrägligt upprättade BankID, dels att den har rådighet över den enhet på vilken BankID:et har installerats. 22 NJA 2021 s. 1017 p. 37–39. 23 Se närmare Petter Dahl, Praktiska erfarenheter från BankID, SvJT 2023 s. 429. 24 Därtill kommer alla de fall då någon närstående obehörigen har kommit åt en e-legitimation som i och för sig har utgivits till rätt innehavare. 2 5 Även Unnersjö JT 2022–23 s. 655 framhåller betydelsen av tredje mans faktiska tillit. 26 Se NJA 2021 s. 1017 p. 37 och nedan i avsnitt 5. 2 7 Ponera exempelvis att det är femtioelfte gången under en kortare tidsperiod som samma person gör en kreditansökan om ett mindre belopp hos den aktuella kreditgivaren, eller att kreditansökningen görs mitt i natten från en IP-adress i utlandet av Britt-Marie 98 år. All exemplifiering riskerar att visa fördomar som inte behöver stämma på individnivå, och det kan givetvis inte uteslutas att även farfars mor åker iväg på semester, sitter uppe hela natten och bestämmer sig för att låna lite pengar, men exemplet torde ändå kunna tjäna sitt syfte. 28 I NJA 2014 s. 684 handlade det om en person i chefsställning för en avgränsad och självständig del av verksamheten. 29 I NJA 2013 s. 659 handlade det om en kontraktör som vid vissa förhandlingar representerade ett reseföretag på en geografisk avgränsad marknad. 3 0 Omskrivningen till en tänkt tredje man är medveten. Konkret tillit till behörigheten är endast intressant i den mån som den aktuella tredje mannen borde ha förstått mer än vad en annan, vilken som helst, tredje man i motsvarande situation hade uppfattat mot bakgrund av de aktuella omständigheterna. 31 Med e-legitimation kan man — som några exempel — underteckna kreditavtal, öppna nya konton i en ny bank, underteckna skuldebrev, underteckna ett avtal om köp av bil, böcker, kläder, barnprylar, lämna in årsredovisning till Bolagsverket eller deklarationen till Skatteverket, eller nästan vad som helst annat där marknaden har velat anpassa sig och göra det enkelt att delta digitalt. 3 2 Eventuella rättsliga begränsningar i möjligheten att hantera data om kunden kan dock tänkas få betydelse här. Banken kan agera som kreditgivare, eller som kontoförvaltande betaltjänstleverantör. Fastän den kontoförvaltande banken också i sig är en mellanman, blir det därför enligt min uppfattning relevant att i detta sammanhang anse banken som tredje man. Målet HD avgjorde i NJA 2021 s. 1017 gällde en kreditgivare, och gränsdragningen obehörig-behörig får stor betydelse även för vilka transaktioner som omfattas av skyldigheten att återställa ett konto enligt 5 a kap. 1 § betaltjänstlagen och det kan diskuteras om även denna gränsdragning har påverkats av avgörandet, se avsnitt 8 nedan. 33 För att kunna upptäcka konstigheter skulle det dock behövas kontrollsystem med hög grad av detalj- och personanpassning. Det är inte givet att övervakningsmekanismerna vare sig kan eller får utformas så detaljerat som skulle vara nödvändigt. Dessutom kommer sådan transaktionsövervakning bara upptäcka transaktioner om sticker ut, vilket exempelvis låneupptaget i det aktuella målet nog inte hade ansetts göra. 34 Överskuldsättning är exempelvis ett allvarligt, och för både staten och samhället i övrigt, mycket kostsamt problem. Se Riksrevisionens rapport Överskuldsättning — hur fungerar samhällets stöd och insatser? (RiR 2015:14). I rapporten har den sammanlagda samhällskostnaden beräknats till anmärkningsvärda 201,4 miljarder på årsbasis. 35 Jfr Unnersjö JT 2022–23 s. 663 som omtalar avgörandet som ett ”tydligt medskick till banker och andra kreditgivare om att det ofta kan vara bra att för säkerhets skull använda både hängslen och livrem.” 36 Liknade argumentation kopplat till beloppets storlek och ett rent digitalt förfarande återfinns i det norska avgörandet HR-2020-2021-A p. 104. Høyesterett fäste då avseende vid att banken som professionell aktör hade ”valt att ingå ett kreditavtal om ett, för en enskild konsument, högt belopp uteslutande genom” elektronisk identifiering. Se Aagaard, Kreditgivares ersättningsanspråk efter obehörig användning av bank-id, Kommentar till Høyesteretts avgörande HR-2020-2021-A, SvJT 2021 s. 235 på s. 246. 37 Kanske kan synpunkten egentligen anses vara uttryck för en underförstådd tanke om riskfördelning, och att det finns en gräns för vilka risker som en kreditgivare får ta genom hur den väljer att lägga upp sin verksamhet innan de negativa följderna av dessa val också bör bäras av näringsidkaren själv. 38 Något som inte kan uteslutas kan ha varit fullt medvetet för att begränsa risken för att marknadens aktörer anpassar sig för att försöka optimera sitt skydd. Exakta beloppsgränser skulle exempelvis kunna leda till risk för att mellanmannen väljer att ansöka om högre belopp för att reducera risken för att innehavaren av e-legitimationen ska bli bunden till kreditavtalet. Fastän mellanmannen väljer att missbruka det förtroende innehavaren har visat den, behöver det inte innebära att mellanmannen är helt utan omsorg för innehavaren. 39 Bedömningen kommer i dessa fall normalt inte att bygga på hur en eller flera fysiska människor uppfattat situationen vid mottagandet av viljeförklaringen, utan det hela sköts huvudsakligen av elektroniska och automatiserade system. Det är normalt först i efterhand, när något väl visat sig ha gått snett, som riktiga människor närmare granskar den enskilda transaktionen. Detta är inget säreget för situationen då man försöker avgöra tredje mans befogade tillit, utan samma problematik aktualiseras i andra typsituationer där avtalsslutet sker digitalt och med hjälp av automatiserade system och där det är av rättslig betydelse hur mottagaren uppfattat omständigheterna kring mottagandet av viljeförklaringen. 4 0 Liknande Unnersjö JT 2022–23 s. 655 och 661. 41 När HD i p. 37 anger att det inte framkommit något som gav kreditgivaren skäl att göra särskilda kontroller, får det helst uppfattas som att bevisbördan för att identifiera omständigheter som kan bryta presumtionen om behörig användning har lagts på innehavaren. 42 Se om mottagarens faktiska tillit och dess (bristande) betydelse annars, Samuelsson (2023) s. 27 f. 43 Ett potentiellt problem i sammanhanget är också den ofta mycket svåra bevissituationen som råder gällande den grundläggande frågan om hur användaren egentligen har kommit åt e-legitimationen. Fastän tredje man har bevisbördan för att kriterierna för en tillitsfullmakt faktiskt är uppfyllda, och att det enligt NJA 2017 s. 1105 räcker att innehavaren gör antagligt att användningen skett obehörigen, finns det risk för ett expansivt tillämpningsområde av fullmaktsspåret till följd av svårigheterna som ofta följer med en skyldighet att föra bevisning för icke-existensen av ett handlande. Se Heuman, Bevisbörda och beviskrav i tvistemål, Norstedts Juridik, Stockholm 2022 [Heuman (2022)] s. 398 ff. 4 4 Se Heuman (2022) s. 64 om att bevisbördan inte bör läggas på en person vars intresse är att bevisskyldigheten inte ska fullgöras. 45 Vilken teknisk bevisning man har åtkomst till beror bl.a. på om den aktuella dispositionen har godkänts med hjälp av en e-legitimation som aktören själv har utgivit till innehavaren. I dessa fall har aktören insikt i väsentligt mer data och information än om det istället handlar om användning av en e-legitimation som har utställts av en annan aktör. Orsaken är regler om banksekretess som begränsar möjligheten att dela information mellan aktörerna. 46 Se närmare i avsnitt 8 nedan. 47 Att omständigheterna kan påverka möjligheten att nå fram med argumentationen, alltså dra slutsatsen att en tillitsfullmakt uppkommit, är en annan sak. 4 8 Utom i fall av teknisk brist eller vid en banks åsidosättande av reglerna för utgivande av BankID, som dock inte är väldigt aktuella. 49 Ponera exempelvis att ditt vuxna barn som är hemma på jullov har lyckats gissa koden till din mobiltelefon som låg på laddning i vardagsrummet när du sov, och koden till telefonen råkar (så klart) vara den samma som koden till ditt mobila BankID. Någon dag senare upptäcker du att pengar försvunnit från kontot, och efter konfrontation erkänner det vuxna barnet vad som hänt. Istället för att byta kod nöjer du dig emellertid med ett löfte om att barnet givetvis aldrig ska göra något liknande igen. Några månader senare trillar, föga förvånande för oss andra, brev från ett inkassobolag in i brevlådan. 5 0 Formuleringen antyder alltså att det är själva rättshandlingen som ska härröra från innehavaren, vilket inte får förväxlas med det andra kriteriet för en tillitsfullmakt, nämligen att tredje mans befogade tillit ska bygga på omständigheter som härrör från innehavaren. 51 Mot bakgrund av HD:s sätt att beskriva dikotomin behörig-obehörig i domskälen, kan det också vara läge att diskutera en annan fråga, nämligen relationen mellan fullmaktsreglerna och ogiltighetsreglerna. Genom uttalandena antyds att den som, genom ett agerande som träffas av avtalslagens svaga ogiltighetsgrunder (eller kanske inte ens når upp till den tröskeln) förleds att ge annan fullmakt, inte behöver oroa sig för att en godtroende tredjeman ska kunna påstå att det föreligger en fullmakt. Det är i så fall en ståndpunkt som står i viss motsättning till sedvanlig uppfattning i frågan, nämligen att en godtroende medkontrahent vanligtvis antas kunna stå fast vid avtalet. Kanske är det dock nödvändigt till följd av särdragen med e-legitimationsfallen, men det kan också diskuteras om det inte kanske istället är tillitsfullmaktskonstruktionen som sådan som skapar det huvudsakliga problemet i detta avseende. 5 2 Där framgår, i samband med behandlingen av just härrörandekravet, att det inte ska leda till bundenhet om ”någon i förhållande till huvudmannen helt utomstående” har givit tredje man anledning att tro att han företräder huvudmannen. Frågan är hur mycket som kan läsas in i uttalandet, och hur stort överföringsvärde det har till en situation då e-legitimationsinnehavaren rent faktiskt varit involverad. 53 Annorlunda hade det förhållit sig om domskälen hade formulerats lika, men omständigheterna hade varit andra. Då hade man fått en tydligare prövning av regelns räckvidd. 54 Typfallet är inte identisk med den situation som skisseras i NJA 2014 s. 684 p. 18, eftersom huvudmannen till följd av e-legitimationens personliga karaktär kommer ha behövt medverka (rent faktiskt) till att mellanmannen fick åtkomst till densamma. 55 Här kan kanske principen som kommer till uttryck i 19 § avtalslagen ge viss ledning för tanken. Fastän en fullmakt har återkallats, och därför alltså inte längre finns, kan huvudmannen bli bunden om han har ”särskild anledning” att befara att fullmäktigen kan tänkas använda fullmakten för att ”företaga rättshandling gentemot viss man, vilken kan antagas sakna vetskap om dess upphörande…”. 56 Rättstillämparen måste då göra en noggrann bedömning av om de konkreta omständigheterna gör det rimligt att uppfatta passiviteten som uttryck för en viljeförklaring. Särskilt viktigt blir det i typfall då innehavaren befinner sig i en destruktiv relation och därför inte förmår reagera lika snabbt, eller på samma sätt, som vi skulle förvänta av någon som utsatts för ett bedrägeri av en okänd person. Jfr exempelvis med omständigheterna i Svea hovrätts dom 2 februari 2022 i mål T 3618-21, där kvinnan till följd av den destruktiva relation hon levde i och allvarlig psykisk ohälsa inte förmådde reklamera obehörig användning av sitt BankID till banken förrän efter flera månader. Hon ansågs i fallet vara återbetalningsskyldig enligt läran om misstagsbetalningar för en kredit som pojkvännen hade tagit med hjälp av hennes BankID. 57 Personligen anser jag nog att typfallet med annans användning av e-legitimation när samtycke eller uppdrag saknas rent allmänt helst borde hanteras enligt sådana regler. Se nedan i avsnitt 8. 5 8 En invändning mot att ens diskutera detta, kan vara att det trots allt finns möjlighet att få bankfullmakt så att en anhörig kan logga in med sin egen e-legitimation och sköta personens bankärenden. Dock verkar de tekniska lösningarna hos olika banker fungera rätt olika i detta avseende, och åtminstone i vissa fall får den fullmäktige i sådana fall inte insyn i exempelvis inkomna e-fakturor. För att kunna hjälpa den närstående, måste fullmäktigen då ändra från e-faktura till brevfaktura och få fakturorna skickade hem till sig, för att på något smidigt sätt kunna säkerställa att de blir betalda i tid. Dessutom ger en bankfullmakt bara åtkomst till en bank i taget, och det finns i dagsläget ingen möjlighet att upprätta mer omfattande generalfullmakter som ger möjlighet för inloggning i olika system. En förutsättning för att en sådan teknisk lösning ska kunna skapas, är att det skapas ett register över företrädare. 59 Det kan finnas olika orsaker till att någon medverkar till att skapa en e-legitimation som ska användas av annan, exempelvis för att upprätta bolag, men ofta handlar det om omständigheter som åtminstone ligger nära hot, utnyttjande eller annat vilseledande. 60 Detta torde, åtminstone som en utgångspunkt, också anses följa av NJA 2014 s. 684 p. 20. Se också Samuelsson (2023) s. 98. 61 Exempelvis är det vanligt förekommande att bedragare lyckas förmå innehavare att ge ifrån sig koder eller på annat sätt agera så att bedragaren kommer åt innehavarens e-legitimation eller innehavarens internetbank så att denne kan upprätta ett bedrägligt BankID. Att bundenhet inte bör kunna uppkomma för dispositioner som företagits innan innehavaren haft praktisk möjlighet att spärra en e-legitimation som bedragaren fått tillgång till, är uppenbart. 62 Se dock nedan under avsnitt 8. Det är nämligen inte alls säkert att en tillitsfullmakt kan likställas med kontohavarens samtycke så att transaktionen faktiskt måste anses som behörig i betaltjänstlagens mening. 63 Se Lindskog (2020) på s. 793 f. som för ett liknande resonemang grundat i systembetraktelser. 6 4 Se 15 kap. 12 § första stycket brottsbalken. 6 5 Jfr beskrivningen av vad som utgör ett särskilt klandervärt agerande i NJA 2022 s. 522 p. 27. 66 Hur ansvaret för obehöriga transaktioner ska fördelas, följer av 5 a kap. betaltjänstlagen. Definitionen av vad som utgör en obehörig transaktion följer däremot av 1 kap. 4 § mom. 32. 6 7 Vilket alltså torde vara fallet i de fall som också möjliggör uppställande av en tillitsfullmakt eller bundenhet på annan väg. Se närmare NJA 2022 s. 522 och Aagaard, BankID-Bedrägeriet, JT 2022–23 s. 63–80.
- Dels gäller det andra uttalanden i den allmänna delen. I p. 10 ff. redogör HD allmänt för grundläggande rättsliga utgångspunkter gällande ansvaret för rättshandlingar som ingås med användande av e-legitimationer. Redogörelsen kretsar kring gränsen mellan obehörig och behörig användning, och i p. 11 anger HD att en förutsättning för att bundenhet ska uppkomma som utgångspunkt är att rättshandlingen, som företas med användande av en e-legitimation, ska härröra från innehavaren av e-legitimationen. Obehörig användning, vilket alltså inte leder till att innehavaren blir bunden, beskrivs därefter med hänvisning till NJA 2017 s. 1105 p. 17 så att någon annan än innehavaren använt e-legitimationen ”utan att han eller hon har haft innehavarens samtycke till användningen eller annars har haft rätt att använda e-legitimationen”.
Bevisfrågor vid användning av avancerade elektroniska underskrifter — har Högsta domstolen missat halva poängen?11 hänvisningar
- Förordning (EU) nr 910/2014 om elektronisk identifiering och betrodda tjänster för elektroniska transaktioner på den inre marknaden. ”Det råder allmän enighet om att den som åberopar ett avtal har bevisbördan för att ett sådant verkligen slutits.” Ekelöf, PO, Rättegång: fjärde häftet, P. A. Norstedt & Söners Förlag 1963 s. 88. Se också Roos, F, Standardavtal i elektronisk miljö, Kihlman, J (red.), Elektronisk signering: en antologi s. 45–53, Nordstedts juridik 2013 s. 52, Schöldström, P, E-post, sms och annan elektronisk kommunikation som bevismaterial i domstol, Kihlman, J (red.), Elektronisk signering: en antologi s. 60– 66, Nordstedts juridik 2013 s. 63, samt Ekelöf, PO, Edelstam, H, Heuman, L, Rättegång: fjärde häftet, sjunde upplagan, Nordstedts juridik 2009 s. 109. 4 Ekelöf, PO, Edelstam, H, Heuman, L, Rättegång: fjärde häftet, sjunde upplagan, Nordstedts juridik 2009 s. 81. Se också exempelvis NJA 1975 s. 577, NJA 2009 s. 64 och NJA 2017 s. 1105 p. 7 i HD:s domskäl. Det finns dock vissa oklarheter kring vad som gäller vid påstådd underskriftsförfalskning. Jfr art. 3.10 eIDAS-förordningen. 6 Prop. 2015/16:72 s. 34. 7 SOU 2021:9 s. 47. Se även Lindblom, P, Uppdragsforskningsrapport 2019:4 — Blockkedjeteknik utifrån ett konkurrensperspektiv, Konkurrensverket s. 16 f. 8 Skäl 2 och 5. 9 ”Elektronisk underskrift” är också ett samlingsnamn för alla tre typer. Kihlman, J, Formfrihet, formkrav och kvalificerade elektroniska signaturer, Kihlman, J (red.), Elektronisk signering: en antologi s. 15–24, Nordstedts juridik 2013 s. 20 f. Se dock SOU 2021:13 s. 19–24 för en problematisering av denna hållning. 11 Prop. 2015/16:72 s. 54, SOU 2019:14 s. 337 samt SOU 2021:9 s. 213 f. 12 Artikel 3.10 eIDAS-förordningen. 13 Jfr Fastighetsöverlåtelser i en digital tid, 2018-05-31, Dnr 519-2018/565, Lantmäteriet s. 63. 14 Standarder kan underlätta förutsägbarheten av vad som utgör en avancerad elektronisk underskrift, men friskriver inte domstolen från att pröva underskriften mot rekvisiten i artikel 26 i varje givet fall. 15 SOU 2021:9 s. 86 f. Jfr skäl 27. Se också Fastighetsöverlåtelser i en digital tid, 2018-05-31, Dnr 5192018/565, Lantmäteriet s. 63. 17 Artiklarna 3.10-12 eIDAS-förordningen. Normalt går det till så att en person först blir kund hos en bank och i samband med detta genomförs en fysisk identifikationskontroll. Den nya kunden får tillgång till en bankdosa och kan sedan använda den för att få ett BankID utställt till sin dator eller mobiltelefon. Se även Fastighetsöverlåtelser i en digital tid, 2018-05-31, Dnr 519-2018/565, Lantmäteriet s. 58. 19 Det är dock möjligt att på olika sätt kapa ett telefonnummer, vilket skapar stor osäkerhet om huruvida SMS kan användas för att på det sätt som föreskrivs i artikel 26 säkerställa identiteten på underskrivande part. Se exempelvis After years of warnings, mobile network hackers exploit SS7 flaws to drain bank accounts, The Register, https://www.theregister.com/2017/05/03/hackers_fire_up_ss7_flaw/, läst 2023-02-28. 20 9 kap. 24 § lagen (2022:482) om elektronisk kommunikation. 21 Artikel 3.12 eIDAS-förordningen. 22 Bilaga II eIDAS-förordningen. 23 Bilaga I eIDAS-förordningen. Artikel 17.2 och artikel 21.1 eIDAS-förordningen. I Sverige är det Post- och telestyrelsen (PTS) som är tillsynsmyndighet, se 4 § förordningen (2016:576) med kompletterande bestämmelser till EU:s förordning om elektronisk identifiering. 25 Artiklarna 21.1–2 eIDAS-förordningen. 26 Prop. 2015/16:72 s. 37. 27 Eftersom det medför merkostnader att uppnå kraven för att få tillhandahålla kvalificerade elektroniska underskrifter. 28 EU/EEA Trusted List Browser, https://eidas.ec.europa.eu/efda/tl-browser/#/ screen/tl/SE, läst 2023-02-26. I talan påstods det att låneansökan undertecknats med en teknisk lösning som motsvarar BankID och/eller en avancerad elektronisk underskrift. Till stöd för detta hänvisade 4Finance till en intern promemoria från Finansinspektionen (FI) som behandlade frågan om huruvida 4Finance genom sin lösning uppfyllde de krav som ställs på en bank kring kundkännedom och antipenningtvättsarbete. 30 Högsta domstolen, dom 2017-12-22, mål nr T 435-17, aktbilaga 11. 31 Genom att a) inhämta uppgift om kundens namn, personnummer eller motsvarade och adress, b) kontrollera uppgifterna mot externa register, intyg, annan dokumentation, eller c) kontakta kunden genom att skicka en bekräftelse till kundens folkbokföringsadress, se till att kunden skickar in en kopia av id-handling, eller motsvarande. Ljunggren, F, Säkerhet vid elektronisk legitimering och underskrift, Kirei 2019 s. 30, https://www.kirei.se/xfiles/kirei-2018-11.pdf, läst 2023-02-26. Väldigt förenklat kan detta beskrivas som att det tillkommer block efter tiden när kontrollsumman inkluderades i blockkedjan. De senare tillkomna blocken kräver ackumulerat en så hög beräkningskraft att lägga till att sannolikheten att alla efterföljande block har förändrats med tiden hamnar synnerligen nära obefintlighet. Dokumentets integritetsskydd blir därför starkare allt eftersom. 34 Det vanligaste är en certifikatbaserad lösning, men dessa innebär vissa utmaningar gällande långtidsbevarande och det fall då en certifikatutfärdare blivit utsatt för dataintrång. Se SOU 2021:9 s. 187–188 och 228–229. En blockkedjebaserad lösning har inte samma utmaningar. 35 Jfr Ds 1998:14 s. 135 f och Bengtsson, H, Bevisbörda och beviskrav vid invändning om underskriftsförfalskning — särskilt om elektroniska signaturer, Kihlman, J (red), Elektronisk signering: en antologi s. 67–78, Nordstedts juridik 2013 s. 73. 36 Observera att det är något oklart om det faktiskt var BankID eller koddosa som användes. Enligt domskälen tycks det vara BankID, men enligt en inlaga från käranden var det en koddosa som använts. I samma inlaga bygger käranden dock sina argument på BankID:s förträfflighet. Högsta domstolen, dom 2017-12-22, mål nr T 435-17, aktbilaga 10. 37 Högsta domstolen, dom 2017-12-22, mål nr T 435-17, aktbilaga 10 s. 7. Observera att detta är samma avgörande vars referat återfinns i NJA 2017 s. 1105. 38 Jfr Lindell, B, Civilprocessen: rättegång samt skiljeförfarande och medling, Iustus 2017 s. 616. 39 Jfr SOU 2019:14 s. 143. Det går att fråga sig om det hade varit lämpligt att Högsta domstolen begärt ett förhandsavgörande från EU-domstolen i fråga om hur rekvisiten för en avancerad elektronisk underskrift ska tolkas. 41 Göta hovrätt, dom 2019-12-12, mål nr FT 1589-19, Göta hovrätt dom 2019-12-12, mål nr FT 1590-19, Göta hovrätt, dom 2019-12-12, mål nr T 1591-19, Attunda tingsrätt, dom 2020-09-08, mål nr T 6092-19, Malmö tingsrätt, dom 2020-07-06, mål nr T 1957-20, Södertörns tingsrätt, dom 2021-01-21, mål nr T 11532-20, Uppsala tingsrätt, dom 2020-03-04, mål nr T 1698-19, Växjö tingsrätt, dom 2020-05-29, mål nr T 5247-19. Ds 1998:14 s. 185. 43 Prop. 1999/2000:117 s. 18. Observera att termen elektroniska signaturer används, men som redogjorts för innan har den äldre terminologin samma faktiska betydelse som den nya. 44 Ds 1998:14 s. 186. Observera att termen digital signatur används i Ds 1998:14, men att jag har uppfattat detta motsvara elektronisk underskrift. Se diskussion om elektronisk underskrift, elektronisk signatur och digital signatur ovan. 45 Bengtsson, H, Bevisbörda och beviskrav vid invändning om underskriftsförfalskning — särskilt om elektroniska signaturer, Kihlman, J (red.), Elektronisk signering: en antologi s. 67–78, Nordstedts juridik 2013 s. 76. Artikeln skrevs dock innan NJA 2017 s. 1105. 46 A.a. s. 73. Prop. 1999/2000:117 s. 18 och SOU 2010:54 s. 124. 48 Ds 1998:14 s. 186. 49 Jfr Bengtsson, H, Bevisbörda och beviskrav vid invändning om underskriftsförfalskning — särskilt om elektroniska signaturer, Kihlman, J (red.), Elektronisk signering: en antologi s. 67–78, Nordstedts juridik 2013 s. 75. 50 35 kap. 6 § rättegångsbalken och Ekelöf, PO, Edelstam, H, Heuman, L, Rättegång: fjärde häftet, sjunde upplagan, Nordstedts juridik 2009 s. 284 f. 51 Ekelöf, PO, Edelstam, H, Heuman, L, Rättegång: fjärde häftet, sjunde upplagan, Nordstedts juridik 2009 s. 298. 52 2 kap. 1 § lagen (2010:921) om mark- och miljödomstolar. Ekelöf, PO, Edelstam, H, Heuman, L, Rättegång: fjärde häftet, sjunde upplagan, Nordstedts juridik 2009 s. 282. 54 Jfr med principen om jura novit curia.
- elektroniskt på EU:s inre marknad, men genom NJA 2017 s. 1105 skapade
- Det går att fråga sig om Högsta domstolen tillämpade ett sådant undantag genom att i NJA 2017 s. 1105 slå fast att det ska presumeras att en låneansökan som skrivits under med en avancerad elektronisk underskrift, eller motsvarande, inte är manipulerad. I tillägg till frågan om bevisbörda behandlade avgörandet också frågor om beviskrav. HD fann att en prövning av huruvida en elektronisk underskrift binder innehavaren måste göras i två steg. Först måste prövas om det är den aktuella underskriften som har använts, därefter vem som har använt den. Vidare ansåg HD att det ankommer på långivaren att visa att den tekniska lösning som använts för att ingå ett låneavtal motsvarar skapandet av en avancerad elektronisk underskrift. Gör långivaren detta är utgångspunkten att den elektroniska underskriften inte är manipulerad. För att undkomma betalningsansvar måste den påstådda låntagaren då åtminstone lyckas göra antagligt att användandet av den elektroniska underskriften skett obehörigen.
E-legitimation som verktyg för ekonomiskt våld2 hänvisningar
- I NJA 2017 s. 1105 prövade HD bevisfrågan när ett bankID eller motsvarande teknik obehörigen har använts för att ingå ett kreditavtal. Bakgrunden var att en kredit hade upptagits med svarandens bankdosa. Pengarna utbetalades till hennes konto, för att därefter överföras till hennes sons konto. Svaranden uppgav under sanningsförsäkran att bara hon hade tillgång till bankdosa med tillhörande kod och en polisanmälan angående bedrägeri, om än något vag angående den aktuella transaktionen, hade gjorts. Sammantaget ansågs svaranden inte ha gjort antagligt att hennes avancerade elektroniska underskrift använts obehörigen av någon annan.
- Förutsättningarna att få tillbaka pengarna med stöd av betaltjänstlagen i dessa situationer är dock små. En första begränsning i skyddet är att transaktionen ska ha varit obehörig, vilket förutsätter att transaktionen ska ha genomförts utan samtycke från kontohavaren eller någon annan som enligt kontoavtalet är behörig att använda kontot. Högsta domstolen, HD, har genom NJA 2017 s. 1105 prövat bevisfrågan vid obehörig användning av e-legitimation. I domen konstateras att till skillnad från en underskrift på papper, går det inte med en elektronisk underskrift att veta om det faktiskt är innehavaren som använt den. Bedömningen av vem som signerat transaktionen måste därför göras i två steg. Först prövas om kreditgivaren kan visa att det är den påstådda elektroniska underskriften som använts, så att den inte är manipulerad med hjälp av teknik. Är detta visat, prövas i steg två om transaktionen tillkommit genom obehörig användning. Det är innehavaren av e-legitimationen som ska göra antagligt att användandet av underskriften skett obehörigen.
BankID-bedrägeriet1 hänvisning