Indsigelse mod at hæfte for 8.000 kr. af korttransaktion godkendt med MitID.
| Sagsnummer: | 545 /2022 |
| Dato: | 22-08-2023 |
| Ankenævn: | Vibeke Rønne, Jonas Thestrup Nielsen, Karin Duerlund, Morten Bruun Pedersen og Elizabeth Bonde |
| Klageemne: |
Betalingstjenester - ikke-vedkendte hævninger
Betalingstjenester - spørgsmål om groft uforsvarlig adfærd Betalingstjenester - ubegrænset hæftelse |
| Ledetekst: | Indsigelse mod at hæfte for 8.000 kr. af korttransaktion godkendt med MitID. |
| Indklagede: | Danske Bank |
| Øvrige oplysninger: | |
| Senere dom: | |
| Pengeinstitutter |
Indledning
Sagen vedrører indsigelse mod at hæfte for 8.000 kr. af korttransaktion godkendt med MitID.
Sagens omstændigheder
Klageren var kunde i Danske Bank, hvor hun havde en konto med et tilknyttet Visa/Dankort.
Den 25. november 2022 blev der foretaget en korttransaktion på 19.412,20 kr. fra klagerens konto i banken til en betalingsmodtager, firmaet F, som klageren ikke kan vedkende sig.
Klageren har oplyst, at hun ultimo november 2022 skulle betale fragt på 16 kr. for hendes søn, der havde bestilt en jakke fra USA. Hun modtog en e-mail, der så ud til at have Postnord som afsender. Umiddelbart efter hun havde betalt, fandt hun ud af, at der var tale om en svindelmail. Da hun godkendte med sit ID, stod der ikke, hvad eller til hvem hun godkendte. En del af e-mailen er fremlagt i sagen.
Klageren kontaktede banken, der spærrede hendes betalingskort.
Banken har oplyst, at det af dens oplysninger fremgår, at korttransaktionen blev godkendt med stærk kundeautentifikation i klagerens MitID-app -464, der blev installeret på klagerens iPhone den 11. september 2022. Banken har endvidere oplyst, at der ikke efterfølgende er blevet tilføjet yderligere enheder til MitID’et.
Banken har fremlagt en udskrift fra bankens MitID-oplysninger med den tekst, som blev præsenteret i MitID-appen i forbindelse med godkendelse af korttransaktionen:
”Betal 19412,20 DKK til [firmaet F] fra kort xx1371”
Den 1. december 2022 indgav klageren indsigelse til banken. I indsigelsesblanketten anførte klageren, at hun ikke havde foretaget transaktionen.
Den 2. december 2022 svarede banken, at den godtgjorde klageren transaktionen fratrukket 8.000 kr.
Klageren klagede over bankens afgørelse. Banken fastholdt afgørelsen.
Parternes påstande
Den 28. december 2022 har klageren indbragt sagen for Ankenævnet med påstand om, at Danske Bank skal tilbageføre 8.000 kr. til hende.
Danske Bank har nedlagt påstand om frifindelse, subsidiært afvisning.
Parternes argumenter
Klageren har anført, at hun i slutningen af november 2022 skulle betale fragt på 16 kr. for hendes søn, der havde bestilt en jakke fra USA. Det viste sig, at der var tale om en fup-mail, der så ud til at have Postnord som afsender. Det fandt hun ud af, umiddelbart efter hun havde betalt.
Efterfølgende kunne hun se i netbanken, at der var trukket 19.400 kr. Hun ville aldrig have godkendt dette beløb – og slet ikke til firmaet F. Da hun godkendte med sit ID, stod der ikke, hvad eller til hvem hun godkendte.
Hun er utilfreds med, at hun selv hæfter for 8.000 kr., både fordi hun reagerede med det samme, inden for 15 min., og fordi hun aldrig ville have godkendt den pågældende betaling.
Hendes forsikringsselskab nævnede også over for hende, at man ikke kan se, hvad man godkender. Hun fik dårlig rådgivning fra banken.
Danske Bank har til støtte for frifindelsespåstanden anført, at korttransaktionen er korrekt registeret og bogført.
Korttransaktionen blev autoriseret med klagerens MitID-app og dermed godkendt med stærk kundeautentifikation. MitID-appen var installeret på klagerens telefon, der var i hendes besiddelse på tidspunktet for godkendelse af betalingen. På den baggrund må det lægges til grund, at klageren selv autoriserede betalingen omend uforvarende.
Klageren videregav selv sine kortoplysninger til tredjemand, der muliggjorde betalingsanmodningen.
Det fremgik af godkendelsesteksten i klagerens MitID-app, at betalingsmodtageren var firmaet F, og at beløbet på 19.412,20 kr. ville blive trukket på klagerens betalingskort. Det måtte således være klart for klageren, at hun var ved at foretage en betaling på det pågældende beløb til en ukendt modtager.
Klageren befandt sig ikke i en presset situation i forbindelse med udleveringen af sine kortoplysninger og efterfølgende godkendelse af betalingen.
Klageren muliggjorde således ved groft uforsvarlig adfærd betalingen, hvorfor hun hæfter med 8.000 kr. i henhold til betalingslovens § 100, stk. 4. Banken har allerede godtgjort klageren den del af beløbet, der overstiger 8.000 kr. Banken har i øvrigt ikke handlet ansvarspådragende.
Danske Bank har til støtte for afvisningspåstanden anført, at klagerens påstand om, at hun ikke kunne se, at betalingsmodtageren var firmaet F, og at beløbet var på 19.412,20 kr., ikke hænger sammen med bankens oplysninger om, at klageren blev præsenteret for både beløbsmodtager og beløb i MitID-appen, som var installeret på klagerens telefon, der var i hendes besiddelse på tidspunktet for godkendelse af betalingen. En vurdering af sagen derfor vil kræve yderligere bevisførelse i form af vidne- og/eller partsafhøring, der ikke kan ske for Ankenævnet, hvorfor Ankenævnet bør afvise at behandle klagen, jf. vedtægternes § 5, stk. 3, nr. 4.
Ankenævnets bemærkninger
Den 25. november 2022 blev der foretaget en korttransaktion på 19.412,20 kr. fra klagerens konto i banken til en betalingsmodtager, firmaet F, som klageren ikke kan vedkende sig.
Om baggrunden for betalingen har klageren oplyst, at hun ultimo november 2022 skulle betale fragt på 16 kr. for hendes søn, der havde bestilt en jakke fra USA. Hun modtog en e-mail, der så ud til at have Postnord som afsender. Umiddelbart efter hun havde betalt, fandt hun ud af, at der var tale om en svindelmail. Da hun godkendte med sit ID, stod der ikke, hvad eller til hvem hun godkendte.
Klageren gjorde indsigelse over for banken, der godtgjorde klageren beløbet fratrukket 8.000 kr.
Den omtvistede betaling med klagerens kort blev foretaget med sikkerhedsløsningen 3D Secure ved godkendelse med MitID.
Ankenævnet lægger til grund, at betalingstransaktionen er korrekt registreret og bogført og ikke ramt af tekniske svigt eller andre fejl, jf. betalingslovens § 98. Efter bestemmelsens stk. 2 er registrering af brug af et betalingsinstrument ikke i sig selv bevis for, at betaleren har godkendt transaktionen, at betaleren har handlet svigagtigt, eller at betaleren har undladt at opfylde sine forpligtelser, jf. betalingslovens § 93.
Ankenævnet finder, at transaktionen skyldes tredjemands uberettigede anvendelse af klagerens betalingstjeneste.
Ankenævnet finder, at klagerens MitID var en personlig sikkerhedsforanstaltning, jf. betalingslovens § 7, nr. 31. Ved transaktionen blev der anvendt stærk kundeautentifikation, jf. betalingslovens § 7, nr. 30.
Efter betalingslovens § 100, stk. 4, nr. 2 og 3, hæfter betaleren med op til 8.000 kr. af tabet som følge af andres uberettigede anvendelse, hvis betalerens udbyder godtgør, at betaleren med forsæt har overgivet den personlige sikkerhedsforanstaltning til den, der har foretaget den uberettigede anvendelse, uden at forholdet er omfattet af stk. 5 (§ 100, stk. 4, nr. 2), eller at betaleren ved groft uforsvarlig adfærd har muliggjort den uberettigede anvendelse (§ 100, stk. 4, nr. 3).
Tre medlemmer – Vibeke Rønne, Jonas Thestrup Nielsen og Karin Duerlund – udtaler:
Vi finder, at klageren har godkendt betalingen på 19.412,20 kr. med sit MitID. Vi finder det således godtgjort, at teksten i den besked, som klageren modtog i MitID-appen indeholder de oplysninger, som fremgår af bankens udskrift, og at klageren således modtog oplysning om beløb og betalingsmodtager.
Vi finder herefter, at banken har godtgjort, at klageren ved groft uforsvarlig adfærd har muliggjort den uberettigede anvendelse, da hun burde have reageret på teksten i MitID-appen, hvor hun fik oplysninger om beløbet på 19.412,20 kr. og beløbsmodtager, og at klageren som følge heraf hæfter med op til 8.000 kr.
Vi stemmer derfor for, at klageren ikke får medhold i klagen.
To medlemmer – Morten Bruun Pedersen og Elizabeth Bonde – udtaler:
Som ovenfor anført finder vi det godtgjort, at transaktionen skyldes tredjemands uberettigede anvendelse af klagerens betalingstjeneste.
Vi finder, at der er tale om organiseret professionel svindel.
Forbrugere har forskellige forudsætninger for at gennemskue professionel svindel. Det må aldrig blive utrygt for den almindelige forbruger at anvende de digitale løsninger og betalingstjenester, der er nødvendige for at fungere i vores samfund.
Vi finder derfor ikke, at klageren, ved at blive snydt af en professionel svindler, har udvist groft uforsvarlig adfærd. Det må forudsættes, at såfremt klageren havde forudsætninger for at gennemskue svindlen, ville klageren ikke have godkendt transaktionen.
Hertil bemærkes et generelt forbehold for så vidt angår systemfejl. Det kan ikke udelukkes, at der i sager med phishing er tale om raffineret systemteknisk misbrug, hvor svindleren er lykkedes med at udvikle tekniske løsninger, som muliggjorde svindlen.
Vi finder ikke, at banken har godtgjort, at betingelserne for, at klageren hæfter efter de udvidede ansvarsbestemmelser i betalingslovens § 100, stk. 4, er opfyldt.
Vi finder, at banken er nærmest til at bære risikoen for, at det betalingssystem, forbrugerne anvender, er tilstrækkelig sikkert og tydeligt til at hindre svindel.
Da den til betalingstjenesten hørende personlige sikkerhedsforanstaltning har været anvendt, hæfter klageren for 375 kr., jf. betalingslovens § 100, stk. 3.
Vi stemmer derfor for, at banken skal tilbageføre 7.625 kr. til klageren.
Der træffes afgørelse efter stemmeflertallet.
Ankenævnets afgørelse
Klageren får ikke medhold i klagen.