Indsigelse mod at hæfte for 8.000 kr. af korttransaktion godkendt i MitID-app.
| Sagsnummer: | 491/2022 |
| Dato: | 31-05-2023 |
| Ankenævn: | Bo Østergaard, Karin Duerlund, Andreas Moll Årsnes, Morten Bruun Pedersen og Jørn Ravn. |
| Klageemne: |
Betalingstjenester - ikke-vedkendte hævninger
Betalingstjenester - spørgsmål om groft uforsvarlig adfærd |
| Ledetekst: | Indsigelse mod at hæfte for 8.000 kr. af korttransaktion godkendt i MitID-app. |
| Indklagede: | Danske Bank |
| Øvrige oplysninger: | |
| Senere dom: | |
| Pengeinstitutter |
Indledning
Sagen vedrører indsigelse mod at hæfte for 8.000 kr. af korttransaktion godkendt i MitID-app.
Sagens omstændigheder
Klageren var kunde i Danske Bank, hvor han havde en konto med et tilknyttet betalingskort.
Den 14. november 2022 blev klagerens Visa/dankort anvendt til en betaling til en udenlandsk betalingsmodtager, F, på 1.997,38 EUR, som klageren ikke kan vedkende sig.
Om baggrunden for transaktionen er det oplyst, at klageren modtog en mail, der fremstod som om den kom fra Spotify. Af mailen fremgik, at klagerens abonnementsbetaling var udestående. Mailen indeholdt et link, som klageren klikkede på, hvorefter han blev ledt over til en side, hvor han afgav sine kortoplysninger, idet det var angivet på siden, at han skulle betale 149 DKK. Mailen er ikke fremlagt i sagen.
Klageren har oplyst, at han herefter godkendte en betaling på 149 DKK med MitID.
Banken har oplyst, at det fremgår af en udskrift fra Nets, at klageren fik præsenteret følgende tekst i MitID-appen:
”Betal 1997,38 EUR til [F] fra kort xx8034”
Banken har oplyst, at kortbetalingen blev godkendt med sikkerhedsløsningen 3D Secure ved godkendelse i klagerens MitID-app, der var blevet installeret på klagerens telefon den 26. maj 2022. Der var ikke efterfølgende blevet tilføjet yderligere enheder til MitID-appen.
Den 19. november 2022 opdagede klageren, at der var blevet trukket 1.997,38 EUR svarende til 14.860,35 DKK på hans konto. Samme dag gjorde klageren over for banken indsigelse mod betalingen og anførte, at han ikke havde godkendt betalingen.
Klageren har oplyst, at han ligeledes anmeldte databedrageriet til politiet.
Banken godtgjorde klagerens tab fratrukket 8.000 DKK svarende til 6.860,35 DKK.
Parternes påstande
Den 25. november 2022 har klageren indbragt sagen for Ankenævnet med påstand om, at Danske Bank skal godtgøre ham hele transaktionen og dermed tilbagebetale 8.000 DKK til ham.
Danske Bank har nedlagt påstand om frifindelse, subsidiært afvisning.
Parternes argumenter
Klageren har anført, at han ikke hæfter for transaktionen, da han alene godkendte en betaling på 149 DKK.
Han er ikke enig i det af banken anførte om, at han skulle have handlet groft uagtsomt. Han kunne aldrig drømme om at godkende en betaling på knap 2.000 EUR til en ukendt betalingsmodtager på noget, som han ikke har købt. Han er til daglig ansat hos politiet og har derigennem en vis erfaring med sager som denne, hvor man bliver snydt til godkende et lavt beløb, og så bliver der i stedet trukket et større beløb.
Danske Bank har til støtte for frifindelsespåstanden anført, at transaktionen er korrekt registreret og bogført.
Klageren afgav sine kortoplysninger og autoriserede transaktionen med sin MitID-app, og transaktionen blev dermed godkendt med stærk kundeautentifikation.
MitID-appen var installeret på klagerens telefon, der var i klagerens besiddelse på tidspunktet for godkendelse af betalingen. Det på den baggrund må lægges til grund, at klageren selv autoriserede betalingen, omend uforvarende.
Det fremgik af godkendelsesteksten i klagerens MitID-app, at betalingsmodtageren var F, og at beløbet på 1997,38 EUR ville blive trukket på hans betalingskort. Det måtte således måtte være klart for klageren, at han var ved at foretage en betaling på 1997,38 EUR til en ukendt modtager og ikke var ved at betale 149 DKK til Spotify,
Klageren befandt sig ikke i en presset situation ved afgivelse af sine kortoplysninger og godkendelse af betalingen.
Klageren muliggjorde betalingen ved groft uforsvarlig adfærd, hvorfor han hæfter med 8.000 DKK, jf. betalingslovens § 100, stk. 4.
Banken har allerede godtgjort klageren den del af beløbet, der overstiger 8.000 DKK.
Banken har i øvrigt ikke handlet ansvarspådragende.
Til støtte for afvisningspåstanden har banken anført, at klagerens påstand om, at han ikke foretog betalingen, ikke hænger sammen med det faktiske hændelsesforløb, herunder at betalingen blev autoriseret med klagerens MitID-app, som var installeret på hans telefon, der var i hans besiddelse på tidspunktet for godkendelse af betalingen.
En vurdering af sagen vil derfor kræve yderligere bevisførelse i form af vidne- og/eller partsafhøring, der ikke kan ske for Ankenævnet, hvorfor Ankenævnet bør afvise at behandle klagen, jf. Ankenævnets vedtægter § 5, stk. 3, nr. 4.
Ankenævnets bemærkninger
Klageren har gjort indsigelse mod en transaktion på 1.997,38 EUR.
Om baggrunden for transaktionen er det oplyst, at klageren modtog en mail, der fremstod som om den kom fra Spotify. Af mailen fremgik, at klagerens abonnementsbetaling var udestående. Mailen indeholdt et link, som klageren klikkede på, hvorefter han blev ledt over til en side, hvor han afgav sine kortoplysninger, idet det var angivet på siden, at han skulle betale 149 DKK.
Klageren har oplyst, at han herefter godkendte en betaling på 149 DKK med MitID.
Banken har oplyst, at den omtvistede betaling med klagerens betalingskort blev foretaget med sikkerhedsløsningen 3D Secure ved godkendelse i klagerens MitID-app. Af en udskrift fra Nets fremgår, at følgende tekst blev sendt til klagerens MitID-app: ”Betal 1997,38 EUR til [F] fra kort xx8034”.
Ankenævnet lægger til grund, at betalingstransaktionen er korrekt registreret og bogført og ikke ramt af tekniske svigt eller andre fejl, jf. lov om betalinger § 98. Efter bestemmelsens stk. 2 er registrering af brug af et betalingsinstrument ikke i sig selv bevis for, at betaleren har godkendt transaktionen, at betaleren har handlet svigagtigt, eller at betaleren har undladt at opfylde sine forpligtelser, jf. lov om betalinger § 93.
Klageren har anført, at han ikke godkendte betalingen af 1.997,38 EUR til F.
Ankenævnet finder det godtgjort, at transaktionen skyldes tredjemands uberettigede anvendelse af klagerens betalingstjeneste, hvilket ikke er bestridt.
Ankenævnet finder endvidere, at klagerens MitID var en personlig sikkerhedsforanstaltning, jf. lov om betalinger § 7, nr. 31. Ved transaktionen blev der anvendt stærk kundeautentifikation, jf. lov om betalinger § 7, nr. 30.
Efter lov om betalinger § 100, stk. 4, hæfter betaleren med op til 8.000 DKK af tabet som følge af andres uberettigede anvendelse, hvis betalerens udbyder godtgør, at betaleren med forsæt har overgivet den personlige sikkerhedsforanstaltning til den, der har foretaget den uberettigede anvendelse, uden at forholdet er omfattet af stk. 5 (§ 100, stk. 4, nr. 2), eller at betaleren ved groft uforsvarlig adfærd har muliggjort den uberettigede anvendelse (§ 100, stk. 4, nr. 3).
Tre medlemmer – Bo Østergaard, Karin Duerlund og Andreas Moll Årsnes – udtaler:
Vi finder det godtgjort, at klageren har godkendt betalingen på 1.997,38 EUR i sin MitID-app. Vi har herved lagt vægt på den udskrift fra Nets, der er indhentet.
Vi finder derfor, at banken har godtgjort, at klageren ved groft uforsvarlig adfærd har muliggjort den uberettigede anvendelse, da han burde have reageret på teksten i MitID-appen, hvor han fik oplysninger om beløbet på 1.997,38 EUR og beløbsmodtager, og at klageren som følge heraf hæfter med op til 8.000 DKK.
Vi stemmer derfor for, at klageren ikke får medhold i klagen.
To medlemmer – Morten Bruun Pedersen og Jørn Ravn – udtaler:
Som ovenfor anført finder vi det godtgjort, at transaktionen skyldes tredjemands uberettigede anvendelse af klagerens betalingstjeneste.
Vi finder, at der er tale om organiseret professionel svindel.
Forbrugere har forskellige forudsætninger for at gennemskue professionel svindel. Det må aldrig blive utrygt for den almindelige forbruger at anvende de digitale løsninger og betalingstjenester, der er nødvendige for at fungere i vores samfund.
Vi finder derfor ikke, at klageren, ved at blive snydt af en professionel svindler, har udvist groft uforsvarlig adfærd. Det må forudsættes, at såfremt klageren havde forudsætninger for at gennemskue svindlen, ville klageren ikke have godkendt transaktionen.
Hertil bemærkes et generelt forbehold for så vidt angår systemfejl. Det kan ikke udelukkes, at der i sager med phishing, hvor forbrugeren oplever, at beløbet ændrer sig efter, at transaktionen er godkendt, er tale om raffineret systemteknisk misbrug, hvor svindleren er lykkedes med at udvikle tekniske løsninger, hvor beløbet først ændres efter, at transaktionen er godkendt.
Vi finder ikke, at banken har godtgjort, at betingelserne for at klageren hæfter efter de udvidede ansvarsbestemmelser i betalingslovens § 100, stk. 4, er opfyldt.
Vi finder, at banken er nærmest til at bære risikoen for, at det betalingssystem, forbrugerne anvender, er tilstrækkelig sikkert og tydeligt til at hindre svindel.
Da den til betalingstjenesten hørende personlige sikkerhedsforanstaltning har været anvendt, hæfter klageren for 375 DKK af tabet på 14.860,35 DKK, jf. betalingslovens § 100, stk. 3.
Vi stemmer derfor for, banken skal tilbageføre 7.625 DKK til klageren.
Sagen afgøres efter stemmeflertallet.
Ankenævnets afgørelse
Klageren får ikke medhold i klagen.