Rättsfall

NJA 2022 s. 522

Citera

NJA 2022 s. 522

BibTeX

@misc{nja-2022-s-522,
  author       = {{Högsta domstolen}},
  title        = {{NJA 2022 s. 522}},
  year         = {2022},
  howpublished = {Rättsfall}
}

Öppna i bibliografi

Dom

Hämtar dom…

Omtalad i rättsvetenskapen

12 hänvisningar i 8 artiklar · 11 stycken/fotnoter

Tredjemans svikliga förledande — Kan en godkänd betalningstransaktion vara obehörig?1 hänvisning

Marianne Rødvei Aagaard · SvJT 2024 s. 323–342 · 1 ställe

Uttalandet gjordes ca 6 minuter och 50 sekunder in i seminariet under Johan Sekoras presentation. Av 1 kap. 4 § mom. 9 betaltjänstlagen framgår att ett betalningsinstrument är ”ett kontokort eller något annat personligt instrument eller en personlig rutin som enligt avtal används för att initiera en betalningsorder”. 5 Har kunden grovt vårdslöst åsidosatt skyldigheterna som följer av 5 kap. 6 § betaltjänstlagen ansvarar kunden enligt 5 a kap. 3 § första stycket för hela beloppet, men enligt andra stycket endast för 12 000 kronor om kunden är konsument. Har kunden handlat särskilt klandervärt svarar den för hela beloppet, även om det handlar om en konsument. HD har i NJA 2022 s. 522 givit närmare ledning för hur rekvisitet särskilt klandervärt ska förstås. Se Aagaard, BankID-bedrägeriet, JT 2022– 2023 s. 63–80 för en närmare analys av domen. 6 Se ARN:s vägledande avgörande 2019-11253. Som framgår av ARN:s avgörande 2022-17634 har tillkomsten av NJA 2022 s. 522 inte påverkat denna bedömning. 7 Stämningsansökan med Konsumentombudsmannens diarienummer 2023/161 skickades in till Stockholms tingsrätt 7 december 2023, där ärendet har fått målnummer T 18737-23. 8 I andra hand har kunden anfört att banken har åsidosatt sina skyldigheter som syssloman och därför har ett skadeståndsrättsligt ansvar för den skada som kunden har lidit. 9 En betalningstransaktion ska betraktas som godkänd om betalaren uttryckligen har lämnat sitt samtycke till att den genomförs, 5 kap. 3 § första stycket betaltjänstlagen. 10 Det anförs i stämningsansökan att kunden i ett sådant fall inte ska ansvara för någon del av beloppet eftersom kunden inte har brustit i att skydda sina personliga behörighetsfunktioner. Det finns inte utrymme att här gå närmare in på frågeställningen, men detta kan inte vara en korrekt uppfattning. Jag har tidigare själv haft anledning att kort beröra gränsdragningen mellan behöriga och obehöriga transaktioner, om än med annat fokus och utan att behandla frågan som sådan närmare. Se Aagaard, Låneavtalet med Svea Ekonomi, SvJT 2023 s. 541 på s. 559–560, Aagaard, ARN och obehöriga transaktioner, SvJT 2023 s. 457 på s. 468–469, Aagaard, BankID-bedrägeriet, JT 2022–23 s. 63–80 på s. 76, Aagaard, Obehörig användning av e-legitimation och läran om misstagsbetalning, JT 2021–22 s. 866–890 på s. 880–881 (fotnot 52). Inom ramen för SODIprojektet vid Universitetet i Oslo finns också en forskningsamanuens som skriver examensarbete om gränsdragningen mellan behöriga och obehöriga transaktioner enligt den norska regleringen. Gränsdragningen uppmärksammas också kort i en artikel av Kjørven, Wold, Fosdahl, Brataas och Skar Eide som våren 2024 är under publicering i Jussens Venner. 12 Efter att ha tagit del av svarande parts kompletterande svaromål som enligt dagboksbladet gavs in till Stockholms tingsrätt 6 februari 2024 finns anledning att påpeka att största delen av min framställning tillkom under december 2023 och januari 2024. 13 Notera att när jag i Låneavtalet med Svea Ekonomi, SvJT 2023 s. 541 på s. 559– 560 problematiserade om en tillitsfullmakt enligt linjerna som drogs upp i NJA 2021 s. 1017 kan uppfylla kravet på samtycke enligt betaltjänstlagens regler eftersom ”ordalagen tyder … på att ett samtycke som täcker den aktuella dispositionen är nödvändigt för att transaktionen ska vara behörig” alltså inte har uttalat mig om vad som eventuellt krävs av samtycket som sådant. 14 Det verkar vara allmänt vedertaget på EU-nivå att behöriga bedrägliga transaktioner inte omfattas av den befintliga regleringen. Eftersom de behöriga bedrägliga transaktionerna inte alls omfattas, finns frihet att i nationell rätt ge regler om hanteringen av sådana. Se Parliamentary question E-000775/2023(ASW), Answer given by Ms McGuinness on behalf of the European Commission (4.5.2023). Det kan noteras att det inte finns hållpunkter för att den svenska lagstiftaren har försökt göra annat än att enligt bästa förmåga implementera EU-regleringen. 15 Europaparlamentets och rådets direktiv 2007/64/EG (PSD1), Europaparlamentets och rådets direktiv (EU) 2015/2366 (PSD2). 16 Se exempelvis skäl 19 och 41 till PSD2 där den allmänna viljan till ”homogenous interpretation of the rules throughout the internal market” respektive ”a coherent application and interpretation of this Directive” kommer till uttryck. European Banking Federation (EBF) och European Banking Authority (EBA) har i olika sammanhang haft anledning att uttala sig om möjligheten att frångå direktivet i nationell rätt och har bl.a. uttalat att ”PSD2 is a maximum harmonisation Directive, in which flexibility given to Member States in how they transpose the provisions into national law is minimal” (EBF PSD2 Guidance (2019) s. 88) och “the aspects related to contractual consent given by the PSU to the AISP in accordance with Article 67(2)(a), including its revocation, are governed by the PSD2” (EBA/RTS/2022/03 s. 28). Att principen om direktivkonform tolkning därmed aktualiseras här är därmed tydligt. 18 Se 1 kap. 3 § betaltjänstlagen för definitionen av betaltjänster. 19 Definierad i 1 kap. 4 § första stycket mom. 11 som ”varje instruktion som en betalare eller betalningsmottagare ger sin betaltjänstleverantör om att en betalningstransaktion ska genomföras”. 20 I förarbetena kommenteras frågor såsom till vem samtycket ska ges, att samtycket ska vara uttryckligt och vissa frågor gällande återkallande av samtycke. Det sägs emellertid inget som ger ledning till hur samtyckeskravet eventuellt förhåller sig till allmänna avtalsrättsliga regler. Se prop. 2017/18:77 s. 152 (avsnitt 7.2.5). 21 Se 4 kap. 10 § första stycket 5. Se också 1 kap. 4 § första stycket mom. 11 (som definierar betalningsorder) läst i samband med mom. 9 (som definierar betalningsinstrument). Till stöd härför kan också hänvisas till 5 kap. 33 § som anger att betaltjänstleverantören som huvudregel inte får vägra att genomföra en transaktion som har godkänts i enlighet med det ramavtal som gäller mellan betaltjänstleverantör och betaltjänstanvändare. Ramavtal är enligt definitionen i 1 kap. 4 § mom. 37 ”ett avtal om betaltjänster som reglerar genomförandet av kommande enskilda och successiva betalningstransaktioner och som kan innehålla skyldigheter och villkor för att öppna ett betalkonto”. Se också art. 64.2 och 64.4 i PSD2 och prop. 2009/10:220 s. 211 om implementeringen av art. 54.2 i PSD1 om parternas avtal som avgörande för formen för godkännandet. 22 Inte ens i förarbetena till den nu upphävda lagen (2010:738) om obehöriga transaktioner finns det antydan till att något annat än situationer då någon annan hade använt betalningsinstrumentet åsyftades, se prop. 2009/10:122. 23 Se liknande Golecki, Digitalisation of Banking and the Consumer Protection: The Regulation of Unauthorised Payments from the Perspective of Institutional Law and Economics, conference paper, part of the book series Economic Analysis of Law in European Legal Scholarship (EALELS, volume 15) s. 429–442 på s. 432. 24 Undantaget blir då situationer där kunden tvingats ge, eller godkänna, en betalningsorder på ett sådant sätt att handlingen inte alls varit frivillig. Föreligger ingen handlingsvilja, vilket exempelvis kan anses vara fallet i de situationer som kvalificerar som råntvång, är det tveksamt om det kan anses föreligga ett nödvändigt samtycke fastän avtalad procedur har följts. Detta beror emellertid i så fall inte på en tillämpning av 28 § avtalslagen. Se ARN:s beslut i mål 2022-13993 som verkar bygga på samma förståelse. Att ARN inte alls lyfter in reklamationsregeln i 28 § andra stycket avtalslagen i sitt avgörande, antyder också att deras resonemang trots jämförelsen med råntvångsregeln inte bygger på en tillämpning av nationella ogiltighetsregler. 25 Se 5 a kap. 5 § jfr 5 b kap. 4 § betaltjänstlagen. Förslagen som lades fram 28 juni 2023 avsåg dels ett uppdaterat direktiv (PSD3), dels en ny förordning (PSR). I förslaget till förordningen art. 59 ingår ett förslag om att inkludera vissa behöriga bedrägerier i skyddsregleringen, dock bara under förutsättning att kunden inte har agerat bedrägligt eller grovt vårdslöst. Förslaget innebär alltså inte att dessa transaktioner ska hanteras på samma sätt som obehöriga transaktioner när det gäller ansvarsfördelningen, utan skyddet förutsätter att kunden inte har varit grovt vårdslös. Det återstår dock att se hur den slutliga regleringen blir i detta avseende. 27 Exempelvis framgår det uttryckligen att ramavtalet som kunden ingår med en betaltjänstleverantör kan vara ogiltigt enligt nationella regler. Se PSD2 art. 55.5 och 55.6 samt prop. 2017/18:77 s. 293. Samma regel framgick av PSD1 art. 45 5, se prop. 2009/10:122 s. 66. 28 Se avsnitt 2 ovan för en kortfattat beskrivning. 29 Vilket en del hållpunkter alltså talar för att de är. Utöver vad som har nämnts i avsnitt 2 ovan, kan noteras att EBA har uttalat att en kontoförvaltande betaltjänstleverantör inte får kräva att kundens samtycke ska uttryckas också gentemot denne, när samtycket har givits till en leverantör av en betalningsinitieringstjänst. Se EBA2018-4123 (final Q&A) och att kontoförvaltande betaltjänstleverantör inte ens får göra ytterligare kontroller av samtycket när det väl har lämnats i enlighet med avtalade krav till exempelvis leverantören av en betalningsinitieringstjänst eftersom det kan begränsa sådana tjänsteleverantörers möjlighet att agera på marknaden på lika villkor som kontoförvaltande betaltjänstleverantörer. Se EBF PSD2 Guidance (2019) s. 56. Jag kan inte hitta några spår av sådana resonemang vare sig i samband med implementeringen av PSD1 (se prop. 2009/10:122 och prop. 2009/10:220), implementeringen av PSD2 (prop. 2017/18:77) eller senare ”förtydliganden” (prop. 2021/22:202). Det enda jag kan finna med viss anknytning till frågan är ett uttalande i SOU 2005:108 s. 113, men då med sikte på situationen att det handlar om en god man som använder huvudmannens kontokort och går utanför sitt uppdrag och utan huvudmannens samtycke. 31 Eftersom lagstiftaren inte verkar ha uppmärksammat risken för att frågan skulle kunna uppkomma, är det inte överraskande att inga åtgärder vidtogs vid implementeringen. Då är det mer överraskande att lagstiftaren inte i samband med de ”förtydliganden” som diskuterades i prop. 2021/22:202 har uppmärksammat frågans existens. 32 Orsaken till det är främst att jag anser att en närmare analys av typfallet lämpar sig väl för att leda fram till fördjupad förståelse för de nationella ogiltighetsreglerna som sådana, av betydelse även för andra typfall. Se Förslag till lag om avtal och andra rättshandlingar på förmögenhetsrättens område (Stockholm 1914) [Förslag (1914)] s. 116. För en väsentligt mer djuplodande beskrivning och diskussion av rättshandlingsbegreppet, med omfattande vidare hänvisningar, se Mossberg, Rättshandlingsbegreppet — kriterierna, JT 2023– 24 s. 72–118. 34 I Förslag (1914) s. 117 används också en betalning av en skuld som exempel på en rättshandling. Fastän det handlar om abstrakta fordringsförhållanden genom inlåning till banken, gör kundens rätt att förfoga över medlen att det åtminstone ur praktisk och funktionell synvinkel är mer träffande att tala om ”kundens medel”. Den avtalsrättsliga relationen mellan säljare och köpare påverkas givetvis inte av vad som händer i relationen mellan betalaren och dennes betaltjänstleverantör. En konstruktion som den exemplifierade skulle i förlängningen också öppna för en rad andra frågeställningar som kan bidra till att visa hur otänkbar en sådan rättstillämpning är: (i) Köparen kan kräva tillbaka köpeskillingen från säljaren, givetvis mot att lämna tillbaka bilen till säljaren och samtidigt kräva kontot återställt från banken. Köparen/bankkunden har då återfått två gånger beloppet, och ingen bil. (ii) Köparen struntar i säljaren eftersom kontot ändå återställs av banken. Den bedrägliga säljaren slipper undan, betalaren får medlen tillbaka från banken och behåller bilen. I både (i) och (ii) sticker resultatet i ögonen, och kanske skulle man kunna göra något åt det med hjälp av läran om obehörig vinst. Som nästa steg blir då, i båda fallen, att banken tvingas rikta anspråk mot kunden på sådan grund. Något stöd i reglering för att hantera frågorna finns inte. 37 Fastän det finns ett antal framställningar som behandlar ogiltighetsregler, rättshandlingsbegreppet och andra grundfrågor inom avtalsrätten är perspektivet ett annat, med tydligt fokus på den traditionella partskonstellationen där det är tydligt vem som är löftesgivare respektive löftesmottagare. Fastän dessa kan bidra till förståelsen av vad som är kärnan i en avtalssituation avser de inte den frågan mer konkret. Se NJA 1999 s. 575 där förutsättningarna för att tillämpa re integra-regeln när en betalningsmottagare kort tid efter mottagandet fått reda på att betalningen föranletts av ett svikligt förledande diskuterades. Eftersom re integra-regeln förutsätter att löftesmottagaren har fått (eller borde ha fått) relevant kunskap innan rättshandlingen har inverkat på hans handlingssätt, är det svårt att se att regeln kan få någon tillämpning i typfallet med banken som betaltjänstleverantör, eftersom transaktionen normalt kommer att ha effektuerats innan betaltjänstleverantören har sådan kunskap. Att tillämpa re integra-regeln här skulle därmed innebära en väsentlig utvidgning av ogiltighetsreglerna. 39 Se exempelvis Förslag (1914) s. 124 där det i samband med regeln om lindrigt tvång uttalas att “[e]n rättshandling, som företages under trycket av sådant hot, är visserligen ej heller den resultat av den handlandes fria vilja, men denne har dock här större möjlighet att reagera mot den påtryckning, varför han är utsatt. Att det oaktat låta honom undandraga sig rättshandlingens fullgörelse gentemot en person, som saknat all kännedom om de omständigheter, varunder den tillkommit, skulle illa överensstämma med den tendens att skydda förvärv i god tro, som genomgår hela den moderna lagstiftningen.” 40 Eftersom ogiltighetsreglerna, som de norska förarbetena uttrycker det (Ot.prp.nr.63 (1917) s. 18 och 19), är till för att råda bot på de missbruk som avtalsfriheten kan öppna för och förhindra ”utsugelser”, skulle det innebära stötande resultat om invändningen inte kunde göras gällande mot en medkontrahent i ond tro. 41 Se Förslag (1914) s. 127–128. 42 Kommunikation används här i ordets vidaste betydelse, och innefattar givetvis språklig kommunikation, handlingar och underlåtenheter, och allt annat som kan tänkas utgöra relevanta rättsfakta i en bedömning av om en rättshandling föreligger. 43 Förarbetena till avtalslagen är skrivna på så vis att man, om man vill förstå hur saker var tänkt att fungera, behöver läsa (som minst) hela resonemang avseende de olika delkapitlen, men helst även förarbetena som helhet. 44 Blickar man ut till typfallet där en betalning som har genomförts med hjälp av en betaltjänst har framkallats genom ett svikligt förledande, är det emellertid helt uppenbart att en reklamation från kunden är nödvändig för att den kontoförvaltande betaltjänstleverantören ska bli varse de relevanta, och reella, omständigheterna. Exempelvis gjordes drygt 84 miljoner betalningar med Swish fördelade på drygt 9 miljoner olika kunder bara under november 2023. Fastän transaktionerna belastar konton i en rad olika banker, säger det något om transaktionsvolymen. Härtill kommer också alla andra betalningar, exempelvis kortbetalningar som år 2022 gjordes 3865 miljoner gånger. Istället för manuell hantering finns högt ställda krav på säkerhet, bl.a. i form av krav på användning av sträng kundautentisering och tekniskt driftsäkra system. 46 Att betaltjänstleverantören är förpliktad att genomföra transaktioner som har godkänts enligt överenskommen procedur, och att automatiserade system är nödvändiga för att fullgöra denna skyldighet, gör emellertid att det inte ens till en början är lämpligt att se på existensen av automatiserade system som ett försök till att begränsa det egna ansvaret från betaltjänstleverantörens sida. 47 Se Aage Thor Falkanger, God tro, Oslo (1999) [Falkanger] s. 116 som drar slutsatsen att fastän det kan upplevas som orimligt att skydda en aktör som är i ond tro om annat, är det så reglerna är utformade och det finns inte stöd för att frångå dem. I sin analys har Falkanger beaktat bl.a. en synpunkt som framförts i svensk doktrin om att frågan är osäker och att, med Adlercreutz ord, ”tämligen starka skäl” talar mot att låta lagtextens formulering väga tyngst. Se (oförändrad) Adlercreutz, Gorton & Lindell-Frantz, Avtalsrätt 1, 14 upplagan (2016) s. 286–287. Förutom att Falkangers analys är väsentligt mer djuplodande än annan doktrin om frågan, har hans slutsats också tydligt bättre stöd i avtalslagens förarbeten och den avvägning mellan olika intressen som lagstiftaren åsyftade med regleringen i 3 kap. avtalslagen än övriga. 48 I kommentarerna till 39 § avtalslagen i de norska förarbetena, Ot.prp.nr.63 (1917), på s. 96 framgår det att de av avtalslagens regler som låter det vara avgörande om den ene eller andra parten hade eller borde ha haft viss kunskap inte bygger på ett särskilt strängt godtroskrav. Saknas positiv kunskap är det om han ”har en saa sterk mistanke om at det foreligger, at han efter god forretningsskik pligter at undersøke saken. Gjør han ikke det, anses det som om han har været i ond tro.” På denna punkt skiljer sig situationen, och bedömningen, tydligt åt från vad som var fallet i NJA 2010 s. 467. I rättsfallet hade en aktör förvärvat ett stort antal löpande skuldebrev och i vanlig ordning krävt betalning. Gäldenären invände att inbetalningar på skulden hade gjorts innan överlåtelsen och bestred skyldigheten att betala igen. Frågan var alltså om gäldenären enligt 15 § skuldebrevslagen var förhindrad att göra invändning mot förvärvaren om att skulden redan hade betalats. Mer konkret var frågan om förvärvaren hade varit i god tro vid förvärvet, vilket HD kom till att den inte varit. Eftersom det inom branschen var vanligt att inte göra anteckning på skuldebrevet vid extraamorteringar (alltså tvärtemot vad skuldebrevslagen förutsätter), hade förvärvaren inte anledning att förlita sig på en undersökning av skuldebrevet som sådant. Förvärvarens kunskap om att man i praktiken inte följde skuldebrevslagens krav i detta avseende, gjorde alltså att förvärvaren inte kunde ha befogad tillit till att eventuella amorteringar skulle ha antecknats, utan tvärt om hade anledning att misstänka att så inte skulle ha skett. I en sådan situation skulle ytterligare undersökningar krävas för att förvärvaren skulle kunna anses vara i god tro. 50 Här kan en anekdotisk parallell göras till snabblån med riktigt dåliga villkor. De som tar sådana lån är ofta i en utsatt position så att det nästan mer eller mindre allmänt kan förväntas att omständigheterna ligger nära vad som krävs för en tillämpning av 31 § avtalslagen. Trots detta är det genom regulatoriska regler och begränsningar av vilka villkor som får användas som problemet hanteras, inte genom att angripa den enskilda transaktionens giltighet. Anledningen torde vara att medkontrahenten inte har, eller borde ha haft, insyn i kredittagarens konkreta förhållanden och att det inte går att uppställa en undersökningsplikt annat än om konkret misstanke föreligger. 51 Med känd syftas främst till identifierbar. Genom betalningsinstrumentet och användningen av stark kundautentisering kopplas personen (personnumret) till betalkontot. 52 Rent anekdotiska, men ändå realistiska, exempel kan vara (i) köpeskillingen för den nya (om än begagnade) bilen, (ii) betalning för omklädnad av soffa och fåtöljer gjord av en person som klär om möbler på fritiden, (iii) notan för veterinärvård för hästen som fick kolik och behövde vård hela natten till juldagen, (iv) den nästan nya coachen från Svenskt Tenn som man kom över på Tradera eller (v) den sällsynta röllakanmattan som grannens kompis hade ärvt och ville bli av med. I alla exempel skulle de flesta av oss behöva höja beloppsgränsen innan betalningen hade kunnat genomföras, oavsett om betalningen gjordes med kort eller Swish. 53 Omständigheter som de ovan nämnda är visserligen något som kan få stor betydelse när man i efterhand vill försöka klargöra huruvida kunden verkligen var utsatt för ett bedrägeri eller inte, men är alltså inte något som behöver påverka bedömningen av löftesmottagarens goda eller onda tro. 54 Exakt hur fördelningen ser ut har jag inte lyckats ta reda på, men även om man tar höjd för att inte alla bedrägerier anmäls till polisen, handlar det om en mycket liten andel. Härtill kommer svårigheterna med att göra bedömningar av hur statistiken eventuellt skulle användas: Stor andel jämfört med vad? Alla transaktioner på den svenska marknaden? Inom den aktuella banken? För varje åldersgrupp för sig (och i så fall för hela marknaden eller inom banken)? Med den aktuella formen för transaktionsgenomförande? 55 Statistiska data är däremot mycket väl lämpade för att utforma och utveckla automatiserade system för att i största möjliga mån avslöja eventuellt bedrägliga transaktioner, och kan därför få stor betydelse när det gäller frågan om betaltjänstleverantören har vidtagit tillräckliga åtgärder för att erbjuda ett lämpligt och säkert system. 56 Se Falkanger s. 121 som uttalar att ”[u]ansett hvorledes ordlyden skulle være, må det nemlig være rimelig å legge til grunn at ond tro også forutsetter at godtrosubjektet kjenner eller bør kjenne relevansen av de opplysningene han sitter med. Det legislative grunnlaget for godtroerverv gjør seg i høy grad gjeldende også der uvitenheten bare gjelder relevansen. I begge tilfeller er det rimelig å beskytte godtrosubjektets gode tro og innretning.” (fotnoter med vidare hänvisningar uteslutna). Se Falkanger s. 374 som framhåller att det endast kan bli tal om identifikation om den vars kunskap man vill beakta har ett ansvarsområde som omfattar det aktuella ärendet. 58 I exemplet finns två avtal, dels ett kreditavtal, dels ett borgensåtagande. Det kan mycket väl tänkas att bara det senare kan angripas med en invändning om ogiltighet, exempelvis om banktjänstemannen har fått anledning att misstänka att den ena av företagets företrädare kan ha vilselett den andra avseende innebörden av åtagandet, eller åtminstone borde ha misstänkt det om allmänna råd FFFS 2023:20 om krediter i konsumentförhållanden kap. 5 hade följts och personlig kontakt med borgensmannen hade hållits. 59 Under Uppdrag Granskning Bedragarna som sändes på SVT 7 februari 2024 kunde man se hur en transaktion stoppades av banken så att kunden blev tvungen att ha manuell kontakt med banken. Bedragarna hanterade alla steg i processen på så vis att bedragarna själva ringde banken med en telefon medan de hade ett pågående samtal med kunden på en annan telefon. Genom att använda högtalarfunktion kunde de sedan ”koppla ihop” de två samtalen. De frågor som ställdes antyder att det möjligen var system utformade för att upptäcka penningtvätt som hade föranlett att transaktionen stoppades, men oavsett innebar den bankanställdes frågor (och att hon inte accepterade vaga och ofullständiga svar), att bedragarna gav upp. Att sådana insatser därmed kan förhindra bedrägerier är uppenbart, men det gör det fortsatt inte lämpligt att pressa in typfallet i en ondtrosbedömning inom ramen för en ogiltighetsregel. 60 Ett löpande arbete för att utveckla och förbättra system är en skyldighet som åvilar betaltjänstleverantören enligt Kommissionens Delegerade Förordning (EU) 2018/389 av den 27 november 2017 om komplettering av Europaparlamentets och rådets direktiv (EU) 2015/2366 vad gäller tekniska tillsynsstandarder för sträng kundautentisering och gemensamma och säkra öppna kommunikationsstandarder (RTS on SCA and CSC) art. 3. Eftersom olika aktörer har olika system och bedragarnas modus anpassas eftersom leverantörens automatiserade system utvecklas, kan kunskapsläget avseende förmågan att avslöja behöriga bedrägliga transaktioner förväntas skilja sig åt både mellan olika aktörer på marknaden och variera över (även kort) tid. 61 Här får man då ha i minnet att det är 30 § avtalslagen (eller andra ogiltighetsregler) vi diskuterar, och att förväntningen om informationsdelning och kunskap ska kunna motiveras inom ramen för den bedömning av ond tro som aktuell bestämmelse ger anvisning om, inte som del av en allmän intresse- eller vårdslöshetsbedömning. 62 I Finansinspektionens föreskrifter (FFFS 2018:4) om betaltjänstleverantörer regleras bland annat det system med lämpliga åtgärder och kontroller som en betaltjänstleverantör ska ha för att hantera sina operativa risker och säkerhetsrisker. De innehåller även regler om skyldigheter i förhållande till betaltjänstanvändare samt om incidentrapportering till FI. Inom den finansmarknadsrättsliga regleringen finns det flera regler i samma kategori. Som ett urtypiskt exempel kan nämnas skyldigheten att kreditpröva i 12 § konsumentkreditlagen. Ska bristande efterlevnad av sådana regler kunna åberopas av den enskilde kunden som stöd för ett civilrättsligt resonemang, förutsätter det att bristen anses relevant inom ramen för annan reglering. Se Ingvarsson, Allmänna råd och jämkning av borgensåtaganden, SvJT 2008 s. 867–876 på s. 874 där 36 § avtalslagen används ”som en port, genom vilken den standard som uppställts av Finansinspektionen togs in och fyllde ut rekvisitet oskälighet”. Om det handlar om åsidosättanden av skyldigheter att ha, och utveckla, system som begränsar och upptäcker bedrägerier är det mer närliggande att porten för den regulatoriska regleringen och in i civilrätten blir regler om skadestånd. 64 Fastän det alltså inte är av principiell betydelse kan tilläggas att härtill kommer att inte ens de regler som kanske ligger närmast till hands för att potentiellt relevant kunskap ska uppkomma hos betaltjänstleverantören verkar lämpa sig för att påverka bedömningen av ond tro i det enskilda fallet. RTS on SCA and CSC syftar bl.a. till att begränsa bedrägerier, men då genom att förtydliga kraven på vad sträng kundautentisering innebär. Anledningen är att krav om användning av just sträng kundautentisering är en av unionsrättens huvudsakliga åtgärder för att skydda konsumenterna mot bedrägerier. Av artikel 2 följer krav på transaktionsövervakning, som vid första anblick skulle kunna uppfattas som relevant vid en ondtrosbedömning. Regleringen är emellertid uppbyggd så att det endast är om man vill göra undantag från kravet på sträng kundautentisering som realtidsövervakning av transaktionen krävs. Detta följer uttryckligen av EBA-2018-4099 (Q&A), där det uttalas att ”[t]he general monitoring mechanism under Article 2 of these RTS does not require enabling ‘real time risk monitoring’ and is usually carried out “after” the execution of the payment transaction”. Att övervakningen ska ske i efterhand och inte i realtid spelar avgörande roll eftersom den onda tron ska föreligga vid mottagandet av instruktionen för att vara relevant enligt 30 § avtalslagen jfr 39 § avtalslagen.fotnot 3 · s. 323

Obehörig användning av e-legitimation: Rättsliga utmaningar och nordiska utvecklingslinjer2 hänvisningar

Marianne Rødvei Aagaard, Torbjörn Ingvarsson, Ludwig Irveland · SvJT 2023 s. 423–428 · 2 ställen

Praktiska erfarenheter från BankID1 hänvisning

Petter Dahl · SvJT 2023 s. 429–444 · 1 ställe

Uppskattningen utfördes på fullbordade brott i augusti 2022 vilket antas gälla för helåret. 1 2 Utöver BankID, så utfärdar även Telia, AB Svenska Pass och Freja e-legitimationer till privatpersoner. Telia e-legitimation innehar inte kvalitetsmärket Svensk e-legitimation. 13 https://digg.se/digitala-tjanster/e-legitimering/tillitsnivaer-for-e-legitimering/ tillitsramverk-for-kvalitetsmarket-svensk-e-legitimation. 14 (EU) 910/2014 om elektronisk identifiering och betrodda tjänster för elektroniska transaktioner på den inre marknaden och om upphävande av direktiv 1999/93/EG. Kapitel II reglerar Elektronisk identifiering och kapitel III Betrodda tjänster. 15 Det finns tre olika tillitsnivåer i eIDAS-förordningen. låg, väsentlig och hög. Dessa skiljer sig något från de tre svenska tillitsnivåerna 2, 3 och 4. 16 Den statliga reboot utredningen (SOU 2017:114) konstaterade att området elektronisk identifiering var underreglerat och föreslog bl.a. införande av ny lag om infrastruktur för elektronisk identifiering och kvalitetsmärket Svensk elektronisk identifiering, för att författningsreglera en godkänd svensk e-legitimation. Förslaget bereds fortfarande i Regeringskansliet. (Observera att utredningen använde termen ”elektronisk identifiering” och inte det idag mer vedertagna begreppet e-legitimation). 17 DIGG: Dnr 2019-540, datum för beslut 2020-10-05. 18 Cooperation Network godkände 2021-09-27 BankID på tillitsnivå väsentlig. BankID är alltså godkända peer review, men ännu inte (januari 2023) ett anmält eID-system enligt eIDAS, den processen pågår. 19 EU 2015/2366 om betaltjänster på den inre marknaden, om ändring av direktiv 2002/65/EG, 2009/110/EG och 2013/36/EU samt förordning (EU) nr 1093/2010 och om upphävande av direktiv 2007/64/EG. 20 EU 2018/389 om komplettering av Europaparlamentets och rådets direktiv (EU) 2015/2366 vad gäller tekniska tillsynsstandarder för ”sträng” kundautentisering och gemensamma och säkra öppna kommunikationsstandarder. RTS — Regulatory Technical Standards (”sträng” är en felöversättning). 2 1 Efterfrågan på kvalificerade betrodda tjänster har ännu inte riktigt uppstått i Sverige, troligen på grund av att vi i Sverige redan innan eIDAS-förordningen trädde i kraft hade ett väl fungerande ekosystem för bl.a. elektroniska underskrifter. 22 Det är dock tillåtet, artikel 24.1 b att skapa en kvalificerad elektronisk underskrift baserat på en identifiering med ett anmält eID-system tillitsnivå väsentlig eller hög. Den kopplingen finns mellan anmälda eID-system och betrodda tjänster. 23 Betalningsinstrument definieras i lagen (2010:751) om betaltjänster 1 kap. 4 § 10 st. som ett kontokort eller någon annat personligt instrument eller personlig rutin som enligt avtal används för att initiera en betalningsorder. 24 RTS, artikel 5 med krav att betalaren ska informeras om belopp och mottagare när stark kundautentisering tillämpas för en betalning. Konstruktionen med dynamiska kopplingar är införd för att även hantera bankdosor och andra metoder för stark kundautentisering som ej har inbyggd funktion för elektronisk underskrift. 25 Exempelvis brottsbalken (BrB) 4 kap. 6 b § om olovlig identitetshantering eller BrB 9 kap. 3 c § olovlig befattning med betalningsverktyg kan bli aktuella. 26 Exempelvis kan BrB 15 kap. 12 § missbruk av urkund i vissa fall bli aktuell. 27 Exempelvis BrB 9 kap. 3 c § olovlig befattning med betalningsverktyg men även särskild reglering i betaltjänstlagen kan bli aktuell. 28 Obehörigt innehav av en e-legitimation, alltså att en annan person än innehavaren själv förfogar över både den fysiska e-legitimationen och den personliga behörighetsuppgiften kan falla in under obehörig befattning med betalningsverktyg. Riksdagen har riktat ett tillkännagivande till regeringen om att även e-legitimation ska kunna definieras som ett betalningsverktyg (motion 2020/21:3852). 29 Använder den bredare definition ”bedräglig” som används i Non-cash-direktivet (EU) 2019/713, då obehörig användning inte nödvändigtvis täcker all bedräglig användning. 30 I departementspromemorian Ds 2020:1 användes termen olovlig befattning med betalningsinstrument, men regeringen ändrade termen till betalningsverktyg (prop. 2020/21:73). Betalningsverktyg utgör ett bredare samlingsbegrepp för olika slags anordningar som kan användas för överföring av pengar eller ett penningvärde. 31 BrB 4 kap. 6 b §. 32 Även obehörig identifiering med e-legitimation är emellertid värd att hantera och agera på från samhällets sida. Det är en fråga om att skydda innehavarens integritet och rättigheter. Vi känner till att obehörig identifiering med BankID bl.a. har använts som ett verktyg i hederskulturer och för ena partnern i osunda parrelationer, att utöva kontroll, övervakning och inskränkning av den verkliga innehavarens fri och rättigheter. 33 Se NJA 2021 s. 1107. 34 Utgivaren av BankID kan sitta på teknisk information och bevisning som är väsentlig för bedömning av ärendet om det rör sig om obehörig underskrift eller inte. Men på grund av banksekretess så får ej sådan relevant information lämnas över till kreditgivaren. 3 5 Friendly fraud, även kallat First-Party fraud är vanligt begrepp i bankvärlden. Innehavaren agerar svikligt och är själv delaktig eller bidrar till bedrägeriet men nekar till all kännedom om underskriften eller händelsen. 36 ”Casinomålet”; Uppsala tingsrätt mål B 6683-17, Svea hovrätt mål B 1187-20. 37 Uppskattningsvis så används BankID som ett betalningsinstrument i 95% av alla underskrifter. 3 8 I målet som ledde fram till HD:s avgörande i NJA 2022 s. 522 var det nya regler till följd av GDPR som utnyttjades. 39 Polisen: De organiserade bedrägerierna — En rapport om bedrägerier kopplade till organiserade kriminella miljöer. Dnr: A354.340/2021 s. 16. 40 Polisen: De dödliga bedrägerierna — En rapport om bedrägeribrottslighet och skjutvapenvåldet Dnr: A554.314/2022. 4 1 Polisen: Bedrägerier och penningtvätt — Analys av bedrägerier ur ett brottsvinstperspektiv. Dnr: A697.130/2021 s. 10. 42 Polisen: De dödliga bedrägerierna - En rapport om bedrägeribrottslighet och skjutvapenvåldet. Dnr: A554.313/2922 s. 7. 4 3 Då det råder banksekretess, så måste det finnas en sekretessbrytande regel för att information ska kunna utbytas. Brottsutredande myndigheter har frågerätt enligt bank- och finansrörelselagen 1 kap. 11 §, samt lag om åtgärder mot penningtvätt och finansiering av terrorism (PtL) 4 kap. 6 §. Men informationsutbyte mellan verksamhetsutövare är starkt begränsad via PtL 4 kap. 9 § till att enbart röra sig om uppgifter som rör samma kund och samma transaktion. 44 Det ter sig som en onödig belastning att process i domstol först måste påbörjas, innan nödvändig information kan delas. 45 SOU 2019:14 Ett säkert statligt ID-kort — med e-legitimation. 4 6 Se video https://cdn.bankid.com/video/kontrollera-id-handling.mp4. 47 Pass och nationellt ID-kort utfärdat av polisen kan via NFC (Near Field Communication) läsas av en mobiltelefon varefter ID-handlingens äkthet kan valideras elektroniskt och giltigheten automatiskt verifieras mot polisen. 48 Förlitandepart är den term som vanligtvis används för den part som förlitar sig på BankID. Exempelvis tillhandahållaren av själva e-tjänsten där BankID kan användas. 49 Ungefär 3 miljoner medborgare saknar ett giltigt pass (hösten 2022). 5 0 Se video https://cdn.bankid.com/video/instruktion-skaffa-bankid-sv-sub.mp4. 51 Det finns givetvis andra omständigheter exempelvis hot, som kan göra ett ingånget avtal ogiltigt. 52 (EU) 2016/679 om skydd för fysiska personer med avseende på behandling av personuppgifter och om det fria flödet av sådana uppgifter och om upphävande av direktiv 95/46/EG (GDPR) 53 GDPR artikel 7 p 4. 5 4 https://www.bankid.com/foretag/stark-koppling. 55 Se resonemanget i kap. 6.2 då allt för många personer i samhället idag saknar giltigt pass eller nationellt ID-kort utfärdat av polisen. 5 6 Ett sms eller telefonsamtal ser ut att komma från en annan avsändare än den gör, så kallade spoofade nummer. 57 Blockera att det inte länger går att surfa till en specifik webbsida. 5 8 Jag inser att det finns både tekniska och legala utmaningar kring detta. Men varför skulle inte polisen kunna ges befogenheten att förverka ett telefonnummer, IP-adress eller för den delen en e-legitimation som används i brottslig verksamhet? Sen ställa krav på telefonoperatörerna i Sverige som är en reglerad verksamhet.fotnot 11 · s. 431

ARN och obehöriga transaktioner2 hänvisningar

Marianne Rødvei Aagaard · SvJT 2023 s. 457–469 · 2 ställen

Bevisfrågor i tvister om obehörig användning av e-legitimation1 hänvisning

Lars Heuman · SvJT 2023 s. 470–498 · 1 ställe

5.1 En helhetsbedömning som inte skiljer mellan rättsfrågor, bevisbördefrågor och bevisvärderingsfrågor NJA 2022 s. 522 ”BankID-bedrägeriet” gäller en fråga om tillämpning av regler om betaltjänster och om en konsument ska bära ett begränsat ansvar vid grov vårdslöshet eller ett obegränsat ansvar vid särskilt klandervärt handlande. Dessa båda lagtextbegrepp aktualiserar således frågan om konsumentens ansvarsgrad. Vid tolkningen av de båda begreppen gjorde HD inga uttalanden om att det ska göras en helhetsbedömning.Betaltjänst · p. 1 · s. 477

Prosessbyrdeproblemet2 hänvisningar

Vebjørn Wold · SvJT 2023 s. 499–510 · 2 ställen

Låneavtalet med Svea Ekonomi2 hänvisningar

Marianne Rødvei Aagaard · SvJT 2023 s. 541–561 · 1 ställe

Norrköpings tingsrätts dom 23 mars 2020 i mål T 2617-18, Göta hovrätts dom 18 januari 2021 i mål T 1115-20. 1 0 De två avgörandena har kommenterats av flera, både var för sig och med fokus på hur de förhåller sig till varandra. Se som ett axplock Svensson, Viljeförklaring och tillitsfullmakt, JT 2015–16 s. 330–356 (främst om 2014-års fall), Lundberg, Ytterligare om tillitsfullmakter, JT 2015–16 s. 735–740 (båda fallen), Wännström i SvJT 2019 s. 8–26 (främst om 2014-års fall), Ramberg, HD:s moderna fullmaktslära, JT 2014–15 s. 406–413 (om 2013-års fall) och Christine Stridsberg, Tillitsfullmakter — nytt klargörande om befogad tillit som behörighetsgrund, JT 2014–15 s. 619–629 (främst om 2014-års fall). Se också, som det hittills senaste bidraget, och med mer övergripande och allmänt fokus, Samuelsson (2023). Jag kommer i detta bidrag inte göra något försök till att närmare hur NJA 2021 s. 1017 fullmaktsteoretiskt förhåller sig till de tidigare avgörandena, eller hur de tidigare avgörandena förhåller sig till varandra. 11 Se liknande Unnersjö JT 2022–23 s. 654 f. 12 I NJA 2021 s. 1017 p. 21 anger HD detta som två olika kriterier, på samma vis som i NJA 2014 s. 684 p. 14. När det kommer till den närmare beskrivningen av hur tillitsfullmaktskonstruktionen ser ut i typfallet, och i bedömningen av det aktuella fallet, verkar HD hantera det som ett mer integrerat kriterium. 13 NJA 2021 s. 1017 p. 33. 14 Alltså vad som i (och efter) NJA 2013 s. 659 ofta omtalats som ett härrörandekrav. 15 Detta tredje kriterium har mot bakgrund av avgörandena i NJA 2013 s. 659 och NJA 2014 s. 684 lett till viss diskussion i doktrinen. Se särskilt Håstad, Befogad och obefogad tillit i fullmaktsläran, SvJT 2020 s. 323–332 [Håstad (2020)] och Lindskog, Tillitsfullmakten — en replik, SvJT 2020 s. 785–797 [Lindskog (2020)]. 16 NJA 2021 s. 1017 p. 24 med vidare hänvisning till NJA 2014 s. 684 p. 21. Som Samuelsson (2023) s. 98 anför, kan det diskuteras om HD:s sätt att i 2021 års fall återge vad som sades i 2014 års fall har blivit något olyckligt. 17 Som Unnersjö JT 2022–23 s. 661 framhåller kan dessa formuleringar också uppfattas som att de gäller två helt olika bedömningskriterier. 1 8 Funktionen ”min BankID-historik” finns, och gör att man kan se vilka transaktioner som har utförts för samtliga BankID utgivna till ett och samma personnummer. Här framgår dock inte det närmare innehållet i en transaktion eller vad som skrevs under. 19 Sådan kontroll torde däremot ha kunnat få betydelse om bedömningen istället avsåg innehavarens culpa. 20 Se närmare avsnitt 6 nedan. 21 På denna punkt blir det något av en praktisk skillnad mellan dessa situationer och situationer då det är en rent fysisk handling som kommit på avvägar. Den senare kan man inte hur som helst återvinna kontrollen över, medan framtida användning av en e-legitimation normalt är enkelt att förhindra om man bara vet om att den finns. Det är dock främst möjligheten att spärra ett BankID som står öppen. Att ändra kod skulle förutsätta dels att personen vet vilken den gamla koden är, något som inte behöver vara fallet vid bedrägligt upprättade BankID, dels att den har rådighet över den enhet på vilken BankID:et har installerats. 22 NJA 2021 s. 1017 p. 37–39. 23 Se närmare Petter Dahl, Praktiska erfarenheter från BankID, SvJT 2023 s. 429. 24 Därtill kommer alla de fall då någon närstående obehörigen har kommit åt en e-legitimation som i och för sig har utgivits till rätt innehavare. 2 5 Även Unnersjö JT 2022–23 s. 655 framhåller betydelsen av tredje mans faktiska tillit. 26 Se NJA 2021 s. 1017 p. 37 och nedan i avsnitt 5. 2 7 Ponera exempelvis att det är femtioelfte gången under en kortare tidsperiod som samma person gör en kreditansökan om ett mindre belopp hos den aktuella kreditgivaren, eller att kreditansökningen görs mitt i natten från en IP-adress i utlandet av Britt-Marie 98 år. All exemplifiering riskerar att visa fördomar som inte behöver stämma på individnivå, och det kan givetvis inte uteslutas att även farfars mor åker iväg på semester, sitter uppe hela natten och bestämmer sig för att låna lite pengar, men exemplet torde ändå kunna tjäna sitt syfte. 28 I NJA 2014 s. 684 handlade det om en person i chefsställning för en avgränsad och självständig del av verksamheten. 29 I NJA 2013 s. 659 handlade det om en kontraktör som vid vissa förhandlingar representerade ett reseföretag på en geografisk avgränsad marknad. 3 0 Omskrivningen till en tänkt tredje man är medveten. Konkret tillit till behörigheten är endast intressant i den mån som den aktuella tredje mannen borde ha förstått mer än vad en annan, vilken som helst, tredje man i motsvarande situation hade uppfattat mot bakgrund av de aktuella omständigheterna. 31 Med e-legitimation kan man — som några exempel — underteckna kreditavtal, öppna nya konton i en ny bank, underteckna skuldebrev, underteckna ett avtal om köp av bil, böcker, kläder, barnprylar, lämna in årsredovisning till Bolagsverket eller deklarationen till Skatteverket, eller nästan vad som helst annat där marknaden har velat anpassa sig och göra det enkelt att delta digitalt. 3 2 Eventuella rättsliga begränsningar i möjligheten att hantera data om kunden kan dock tänkas få betydelse här. Banken kan agera som kreditgivare, eller som kontoförvaltande betaltjänstleverantör. Fastän den kontoförvaltande banken också i sig är en mellanman, blir det därför enligt min uppfattning relevant att i detta sammanhang anse banken som tredje man. Målet HD avgjorde i NJA 2021 s. 1017 gällde en kreditgivare, och gränsdragningen obehörig-behörig får stor betydelse även för vilka transaktioner som omfattas av skyldigheten att återställa ett konto enligt 5 a kap. 1 § betaltjänstlagen och det kan diskuteras om även denna gränsdragning har påverkats av avgörandet, se avsnitt 8 nedan. 33 För att kunna upptäcka konstigheter skulle det dock behövas kontrollsystem med hög grad av detalj- och personanpassning. Det är inte givet att övervakningsmekanismerna vare sig kan eller får utformas så detaljerat som skulle vara nödvändigt. Dessutom kommer sådan transaktionsövervakning bara upptäcka transaktioner om sticker ut, vilket exempelvis låneupptaget i det aktuella målet nog inte hade ansetts göra. 34 Överskuldsättning är exempelvis ett allvarligt, och för både staten och samhället i övrigt, mycket kostsamt problem. Se Riksrevisionens rapport Överskuldsättning — hur fungerar samhällets stöd och insatser? (RiR 2015:14). I rapporten har den sammanlagda samhällskostnaden beräknats till anmärkningsvärda 201,4 miljarder på årsbasis. 35 Jfr Unnersjö JT 2022–23 s. 663 som omtalar avgörandet som ett ”tydligt medskick till banker och andra kreditgivare om att det ofta kan vara bra att för säkerhets skull använda både hängslen och livrem.” 36 Liknade argumentation kopplat till beloppets storlek och ett rent digitalt förfarande återfinns i det norska avgörandet HR-2020-2021-A p. 104. Høyesterett fäste då avseende vid att banken som professionell aktör hade ”valt att ingå ett kreditavtal om ett, för en enskild konsument, högt belopp uteslutande genom” elektronisk identifiering. Se Aagaard, Kreditgivares ersättningsanspråk efter obehörig användning av bank-id, Kommentar till Høyesteretts avgörande HR-2020-2021-A, SvJT 2021 s. 235 på s. 246. 37 Kanske kan synpunkten egentligen anses vara uttryck för en underförstådd tanke om riskfördelning, och att det finns en gräns för vilka risker som en kreditgivare får ta genom hur den väljer att lägga upp sin verksamhet innan de negativa följderna av dessa val också bör bäras av näringsidkaren själv. 38 Något som inte kan uteslutas kan ha varit fullt medvetet för att begränsa risken för att marknadens aktörer anpassar sig för att försöka optimera sitt skydd. Exakta beloppsgränser skulle exempelvis kunna leda till risk för att mellanmannen väljer att ansöka om högre belopp för att reducera risken för att innehavaren av e-legitimationen ska bli bunden till kreditavtalet. Fastän mellanmannen väljer att missbruka det förtroende innehavaren har visat den, behöver det inte innebära att mellanmannen är helt utan omsorg för innehavaren. 39 Bedömningen kommer i dessa fall normalt inte att bygga på hur en eller flera fysiska människor uppfattat situationen vid mottagandet av viljeförklaringen, utan det hela sköts huvudsakligen av elektroniska och automatiserade system. Det är normalt först i efterhand, när något väl visat sig ha gått snett, som riktiga människor närmare granskar den enskilda transaktionen. Detta är inget säreget för situationen då man försöker avgöra tredje mans befogade tillit, utan samma problematik aktualiseras i andra typsituationer där avtalsslutet sker digitalt och med hjälp av automatiserade system och där det är av rättslig betydelse hur mottagaren uppfattat omständigheterna kring mottagandet av viljeförklaringen. 4 0 Liknande Unnersjö JT 2022–23 s. 655 och 661. 41 När HD i p. 37 anger att det inte framkommit något som gav kreditgivaren skäl att göra särskilda kontroller, får det helst uppfattas som att bevisbördan för att identifiera omständigheter som kan bryta presumtionen om behörig användning har lagts på innehavaren. 42 Se om mottagarens faktiska tillit och dess (bristande) betydelse annars, Samuelsson (2023) s. 27 f. 43 Ett potentiellt problem i sammanhanget är också den ofta mycket svåra bevissituationen som råder gällande den grundläggande frågan om hur användaren egentligen har kommit åt e-legitimationen. Fastän tredje man har bevisbördan för att kriterierna för en tillitsfullmakt faktiskt är uppfyllda, och att det enligt NJA 2017 s. 1105 räcker att innehavaren gör antagligt att användningen skett obehörigen, finns det risk för ett expansivt tillämpningsområde av fullmaktsspåret till följd av svårigheterna som ofta följer med en skyldighet att föra bevisning för icke-existensen av ett handlande. Se Heuman, Bevisbörda och beviskrav i tvistemål, Norstedts Juridik, Stockholm 2022 [Heuman (2022)] s. 398 ff. 4 4 Se Heuman (2022) s. 64 om att bevisbördan inte bör läggas på en person vars intresse är att bevisskyldigheten inte ska fullgöras. 45 Vilken teknisk bevisning man har åtkomst till beror bl.a. på om den aktuella dispositionen har godkänts med hjälp av en e-legitimation som aktören själv har utgivit till innehavaren. I dessa fall har aktören insikt i väsentligt mer data och information än om det istället handlar om användning av en e-legitimation som har utställts av en annan aktör. Orsaken är regler om banksekretess som begränsar möjligheten att dela information mellan aktörerna. 46 Se närmare i avsnitt 8 nedan. 47 Att omständigheterna kan påverka möjligheten att nå fram med argumentationen, alltså dra slutsatsen att en tillitsfullmakt uppkommit, är en annan sak. 4 8 Utom i fall av teknisk brist eller vid en banks åsidosättande av reglerna för utgivande av BankID, som dock inte är väldigt aktuella. 49 Ponera exempelvis att ditt vuxna barn som är hemma på jullov har lyckats gissa koden till din mobiltelefon som låg på laddning i vardagsrummet när du sov, och koden till telefonen råkar (så klart) vara den samma som koden till ditt mobila BankID. Någon dag senare upptäcker du att pengar försvunnit från kontot, och efter konfrontation erkänner det vuxna barnet vad som hänt. Istället för att byta kod nöjer du dig emellertid med ett löfte om att barnet givetvis aldrig ska göra något liknande igen. Några månader senare trillar, föga förvånande för oss andra, brev från ett inkassobolag in i brevlådan. 5 0 Formuleringen antyder alltså att det är själva rättshandlingen som ska härröra från innehavaren, vilket inte får förväxlas med det andra kriteriet för en tillitsfullmakt, nämligen att tredje mans befogade tillit ska bygga på omständigheter som härrör från innehavaren. 51 Mot bakgrund av HD:s sätt att beskriva dikotomin behörig-obehörig i domskälen, kan det också vara läge att diskutera en annan fråga, nämligen relationen mellan fullmaktsreglerna och ogiltighetsreglerna. Genom uttalandena antyds att den som, genom ett agerande som träffas av avtalslagens svaga ogiltighetsgrunder (eller kanske inte ens når upp till den tröskeln) förleds att ge annan fullmakt, inte behöver oroa sig för att en godtroende tredjeman ska kunna påstå att det föreligger en fullmakt. Det är i så fall en ståndpunkt som står i viss motsättning till sedvanlig uppfattning i frågan, nämligen att en godtroende medkontrahent vanligtvis antas kunna stå fast vid avtalet. Kanske är det dock nödvändigt till följd av särdragen med e-legitimationsfallen, men det kan också diskuteras om det inte kanske istället är tillitsfullmaktskonstruktionen som sådan som skapar det huvudsakliga problemet i detta avseende. 5 2 Där framgår, i samband med behandlingen av just härrörandekravet, att det inte ska leda till bundenhet om ”någon i förhållande till huvudmannen helt utomstående” har givit tredje man anledning att tro att han företräder huvudmannen. Frågan är hur mycket som kan läsas in i uttalandet, och hur stort överföringsvärde det har till en situation då e-legitimationsinnehavaren rent faktiskt varit involverad. 53 Annorlunda hade det förhållit sig om domskälen hade formulerats lika, men omständigheterna hade varit andra. Då hade man fått en tydligare prövning av regelns räckvidd. 54 Typfallet är inte identisk med den situation som skisseras i NJA 2014 s. 684 p. 18, eftersom huvudmannen till följd av e-legitimationens personliga karaktär kommer ha behövt medverka (rent faktiskt) till att mellanmannen fick åtkomst till densamma. 55 Här kan kanske principen som kommer till uttryck i 19 § avtalslagen ge viss ledning för tanken. Fastän en fullmakt har återkallats, och därför alltså inte längre finns, kan huvudmannen bli bunden om han har ”särskild anledning” att befara att fullmäktigen kan tänkas använda fullmakten för att ”företaga rättshandling gentemot viss man, vilken kan antagas sakna vetskap om dess upphörande…”. 56 Rättstillämparen måste då göra en noggrann bedömning av om de konkreta omständigheterna gör det rimligt att uppfatta passiviteten som uttryck för en viljeförklaring. Särskilt viktigt blir det i typfall då innehavaren befinner sig i en destruktiv relation och därför inte förmår reagera lika snabbt, eller på samma sätt, som vi skulle förvänta av någon som utsatts för ett bedrägeri av en okänd person. Jfr exempelvis med omständigheterna i Svea hovrätts dom 2 februari 2022 i mål T 3618-21, där kvinnan till följd av den destruktiva relation hon levde i och allvarlig psykisk ohälsa inte förmådde reklamera obehörig användning av sitt BankID till banken förrän efter flera månader. Hon ansågs i fallet vara återbetalningsskyldig enligt läran om misstagsbetalningar för en kredit som pojkvännen hade tagit med hjälp av hennes BankID. 57 Personligen anser jag nog att typfallet med annans användning av e-legitimation när samtycke eller uppdrag saknas rent allmänt helst borde hanteras enligt sådana regler. Se nedan i avsnitt 8. 5 8 En invändning mot att ens diskutera detta, kan vara att det trots allt finns möjlighet att få bankfullmakt så att en anhörig kan logga in med sin egen e-legitimation och sköta personens bankärenden. Dock verkar de tekniska lösningarna hos olika banker fungera rätt olika i detta avseende, och åtminstone i vissa fall får den fullmäktige i sådana fall inte insyn i exempelvis inkomna e-fakturor. För att kunna hjälpa den närstående, måste fullmäktigen då ändra från e-faktura till brevfaktura och få fakturorna skickade hem till sig, för att på något smidigt sätt kunna säkerställa att de blir betalda i tid. Dessutom ger en bankfullmakt bara åtkomst till en bank i taget, och det finns i dagsläget ingen möjlighet att upprätta mer omfattande generalfullmakter som ger möjlighet för inloggning i olika system. En förutsättning för att en sådan teknisk lösning ska kunna skapas, är att det skapas ett register över företrädare. 59 Det kan finnas olika orsaker till att någon medverkar till att skapa en e-legitimation som ska användas av annan, exempelvis för att upprätta bolag, men ofta handlar det om omständigheter som åtminstone ligger nära hot, utnyttjande eller annat vilseledande. 60 Detta torde, åtminstone som en utgångspunkt, också anses följa av NJA 2014 s. 684 p. 20. Se också Samuelsson (2023) s. 98. 61 Exempelvis är det vanligt förekommande att bedragare lyckas förmå innehavare att ge ifrån sig koder eller på annat sätt agera så att bedragaren kommer åt innehavarens e-legitimation eller innehavarens internetbank så att denne kan upprätta ett bedrägligt BankID. Att bundenhet inte bör kunna uppkomma för dispositioner som företagits innan innehavaren haft praktisk möjlighet att spärra en e-legitimation som bedragaren fått tillgång till, är uppenbart. 62 Se dock nedan under avsnitt 8. Det är nämligen inte alls säkert att en tillitsfullmakt kan likställas med kontohavarens samtycke så att transaktionen faktiskt måste anses som behörig i betaltjänstlagens mening. 63 Se Lindskog (2020) på s. 793 f. som för ett liknande resonemang grundat i systembetraktelser. 6 4 Se 15 kap. 12 § första stycket brottsbalken. 6 5 Jfr beskrivningen av vad som utgör ett särskilt klandervärt agerande i NJA 2022 s. 522 p. 27. 66 Hur ansvaret för obehöriga transaktioner ska fördelas, följer av 5 a kap. betaltjänstlagen. Definitionen av vad som utgör en obehörig transaktion följer däremot av 1 kap. 4 § mom. 32. 6 7 Vilket alltså torde vara fallet i de fall som också möjliggör uppställande av en tillitsfullmakt eller bundenhet på annan väg. Se närmare NJA 2022 s. 522 och Aagaard, BankID-Bedrägeriet, JT 2022–23 s. 63–80.fotnot 9 · s. 543

E-legitimation som verktyg för ekonomiskt våld1 hänvisning

Ann-sofie Henrikson, Lars Evertsson, Charlott Nyman · SvJT 2023 s. 579–596 · 1 ställe

I NJA 2022 s. 522 har Högsta domstolen prövat vilka handlingar som kan anses särskilt klandervärda respektive grovt oaktsamma vid telefonbedrägerier utförda av en utomstående främmande part. Vi har däremot inte kunnat hitta något domstolsavgörande där innehavaren begärt återbetalning från betaltjänstleverantören efter att ha lämnat ut sin behörighetsfunktion som en följd av att ha varit utsatt för hot och fysiskt våld i nära relation.Tillvägagångssätt och det rättsliga skyddet · p. 9 · s. 591