Indsigelse mod at hæfte for 8.000 DKK af korttransaktion godkendt i MitID-app
| Sagsnummer: | 139/2023 |
| Dato: | 13-10-2023 |
| Ankenævn: | Bo Østergaard, Jimmy Bak, Janni Visted Hansen, Jacob Ruben Hansen og Anna Marie Schou Ringive |
| Klageemne: |
Afvisning - bevis § 5, stk. 3, nr. 4
Betalingstjenester - ikke-vedkendte hævninger Betalingstjenester - spørgsmål om groft uforsvarlig adfærd |
| Ledetekst: | Indsigelse mod at hæfte for 8.000 DKK af korttransaktion godkendt i MitID-app |
| Indklagede: | Danske Bank |
| Øvrige oplysninger: | |
| Senere dom: | |
| Pengeinstitutter |
Indledning
Sagen vedrører indsigelse mod at hæfte for 8.000 DKK af korttransaktion godkendt i MitID-app.
Sagens omstændigheder
Klageren var kunde i Danske Bank, hvor han havde et Visa/Dankort nr. -17.
Den 30. december 2022 blev der foretaget en kortbetaling på 5.399 PLN (Polske zloty) svarende til 8.653,08 DKK med klagerens kort til en betalingsmodtager, K, som klageren ikke kan vedkende sig.
Klageren har oplyst, at han ikke godkendte betalingen, og at han aldrig havde hørt om betalingsmodtageren før.
Banken har oplyst, at betalingen blev godkendt ved brug af klagerens kortoplysninger samt hans MitID oplysninger via hans MitID-app, der var installeret på klagerens telefon. Banken har fremlagt en udskrift fra sit system med teksten, der blev sendt til Mit-ID-app i forbindelse med godkendelse af betalingen. Af teksten fremgik:
”Betal 5399,00 PLN til [K] fra kort xx5717”
Banken har oplyst, at transaktionen var korrekt registreret og bogført og ikke ramt af tekniske svigt eller andre fejl.
Den 10. januar 2023 indgav klageren indsigelse til banken. Klageren oplyste, at kortet var i hans besiddelse på tidspunktet for den omtvistede betaling. Den 11. januar 2023 oplyste klageren, at han ikke havde modtaget mistænkelige opkald eller andre henvendelser.
Den 12. januar 2023 meddelte banken, at klageren selv hæftede for 8.000 DKK af tabet. Den samme dag svarede klageren blandt andet:
”Jeg har aldrig bevidst godkendt det trukne beløb og jeg har aldrig korresponderet med [K] …”
I brev af 16. februar 2023 fastholdt banken sin afgørelse.
Klageren har fremlagt print af artikler fra dagspressen vedrørende Datatilsynets kritik af Digitaliseringsstyrelsen.
Banken har fremlagt sine kortbestemmelserne, hvori det i pkt. 11 fremgår:
”… Du skal dække tab op til 8.000 kr. i tilfælde af, at dit Visa/Dankort har været misbrugt af en anden person og der i den forbindelse er anvendt personlig sikkerhedsforanstaltning, og
- du ikke har kontaktet os snarest muligt efter at have fået kendskab til, at kortet eller din mobiltelefon med kort i wallet er bortkommet, eller at en anden har fået kendskab til sikkerhedsforanstaltningen,
- du med forsæt har oplyst sikkerhedsforanstaltningen til misbrugeren, uden du indså eller burde have indset, at der var risiko for misbrug, eller
- du ved groft uforsvarlig adfærd har muliggjort misbruget.
…”
Parternes påstande
Den 1. marts 2023 har klageren indbragt sagen for Ankenævnet med påstand om, at Danske Bank skal tilbageføre 8.000 DKK til ham.
Danske Bank har nedlagt påstand om frifindelse, subsidiært afvisning.
Parternes argumenter
Klageren har anført, at han aldrig har set den anførte tekst ”Betal 5399,00 PLN til [K] fra kort xx5717” i MitID-appen. Han har aldrig modtaget og godkendt en sådan betaling. Han ville aldrig godkende det pågældende beløb på MitID, da hans økonomi ikke er til køb af denne beløbsstørrelse.
Han er derfor overbevist om, at hans konto er blevet hacket.
Han har aldrig hørt om K. Han har ingen forbindelse til eller kontakt haft med K og har heller ikke modtaget nogen modydelse fra K.
Han kontaktede straks banken og gjorde indsigelse og fik spærret kortet straks efter, at han havde konstateret, at beløbet var trukket.
Det fremgår af artikler i dagspressen, at MitID ikke er sikkert og kan misbruges.
Hans søn har forgæves forsøgt at få kontakt med K for at få en forklaring.
Danske Bank har til støtte for frifindelsespåstanden anført, at klageren selv gennemførte betalingen med sit kort.
Betalingen blev godkendt ved brug af stærk kundeautentifikation og var korrekt gennemført og ikke ramt af tekniske svigt eller andre fejl i medfør af betalingslovens § 98, stk. 1.
Banken er forpligtet til at gennemføre en autoriseret betalingstransaktion og havde derfor ikke mulighed for at standse betalingstransaktionen efter klagerens godkendelse.
Sagen beror på, om der er tale om en uautoriseret betalingstransaktion, eller hvorvidt betalingen er foretaget af klageren selv/med klagerens samtykke. Klageren har oplyst, at han hele tiden havde sit Visa/Dankort samt sin personlige sikkerhedsforanstaltning i form af sit MitID brugernavn og adgangskode, i sin besiddelse. Klageren blev forud for godkendelsen af betalingen præsenteret for en tekst, hvor betalingsmodtager samt det omtvistede beløb fremgik. Klageren godkendte herefter betalingen ved brug af klagerens MitID oplysninger. Klageren har således ikke løftet bevisbyrden for, at der var tale om en betaling, som ikke er foretaget af klageren og med klagerens samtykke.
Klageren har ud fra sagens konkrete omstændigheder formentlig været udsat for phishing, hvorfor klageren kun bør hæfte for 8.000 DKK i overensstemmelse med pkt. 11 i kortbestemmelserne samt den nuværende praksis ved Ankenævnet. Banken har derfor i forbindelse med behandlingen af klagerens indsigelse godtgjort klageren 653,08 DKK. Klagerens resterende krav baserer sig udelukkende på skuffede forventninger og er ikke et erstatningsberettiget tab.
Den rejste kritik af Digitaliseringsstyrelsen i de fremlagte artikler relaterer sig til styrelsens behandling af personoplysninger, men ændrer ikke på de faktuelle forhold i klagerens indsigelsessag eller de regler, som gælder for stærk kundeautentifikation. Artiklen er derfor ikke relevant for sagen.
Danske Bank har til støtte for afvisningspåstanden anført, at en vurdering af sagen vil kræve yderligere bevisførelse i form af vidne- og/eller partsafhøring, hvorfor Ankenævnet bør afvise at behandle klagen, jf. Ankenævnets vedtægter § 5, stk. 3, nr. 4.
Ankenævnets bemærkninger
Den 30. december 2022 blev der foretaget en kortbetaling på 5.399 PLN (Polske zloty) svarende til 8.653,08 DKK med klagerens kort til en betalingsmodtager, K, som klageren ikke kan vedkende sig. Banken har tilbageført 653,08 DKK til klageren.
Klageren har bestridt, at han har foretaget betalingen. Banken har anført, at den omtvistede betaling blev foretaget af klageren, idet betalingen blev gennemført ved brug af hans MitID-app.
Den omtvistede betaling med klagerens kort blev foretaget med sikkerhedsløsningen 3D Secure ved godkendelse i MitID-app.
Ankenævnet lægger til grund, at betalingstransaktionen er korrekt registreret og bogført og ikke ramt af tekniske svigt eller andre fejl, jf. betalingslovens § 98. Efter bestemmelsens stk. 2 er registrering af brug af et betalingsinstrument ikke i sig selv bevis for, at betaleren har godkendt transaktionen, at betaleren har handlet svigagtigt, eller at betaleren har undladt at opfylde sine forpligtelser, jf. betalingslovens § 93.
Ankenævnet finder, at klagerens MitID var en personlig sikkerhedsforanstaltning, jf. betalingslovens § 7, nr. 31. Ved transaktionen blev der anvendt stærk kundeautentifikation, jf. betalingslovens § 7, nr. 30.
Efter betalingslovens § 100, stk. 4, nr. 2 og 3, hæfter betaleren med op til 8.000 DKK af tabet som følge af andres uberettigede anvendelse, hvis betalerens udbyder godtgør, at betaleren med forsæt har overgivet den personlige sikkerhedsforanstaltning til den, der har foretaget den uberettigede anvendelse, uden at forholdet er omfattet af stk. 5 (§ 100, stk. 4, nr. 2), eller at betaleren ved groft uforsvarlig adfærd har muliggjort den uberettigede anvendelse (§ 100, stk. 4, nr. 3).
Ankenævnet finder, at det på det foreliggende grundlag ikke er muligt at afgøre, om der foreligger misbrug, herunder om der er tale om misbrug under sådanne omstændigheder, at klageren hæfter for 8.000 DKK af tabet, jf. betalingslovens § 100, stk. 4. Ankenævnet finder, at en stillingtagen hertil forudsætter en yderligere bevisførelse i form af parts- og vidneforklaringer, der ikke kan ske for Ankenævnet, men i givet fald må finde sted ved domstolene. Ankenævnet afviser derfor sagen, jf. Ankenævnets vedtægter § 5, stk. 3, nr. 4.
Ankenævnets afgørelse
Ankenævnet kan ikke behandle klagen.
Klageren får klagegebyret tilbage.