Indsigelse mod korttransaktion foretaget som en 3D Secure betaling ved godkendelse med MitID-app.
| Sagsnummer: | 36 /2023 |
| Dato: | 22-08-2023 |
| Ankenævn: | Vibeke Rønne, Jonas Thestrup Nielsen, Karin Duerlund, Mor-ten Bruun Pedersen og Elizabeth Bonde |
| Klageemne: |
Afvisning - bevis § 5, stk. 3, nr. 4
Betalingstjenester - ikke-vedkendte hævninger Betalingstjenester - spørgsmål om groft uforsvarlig adfærd |
| Ledetekst: | Indsigelse mod korttransaktion foretaget som en 3D Secure betaling ved godkendelse med MitID-app. |
| Indklagede: | Danske Bank |
| Øvrige oplysninger: | |
| Senere dom: | |
| Pengeinstitutter |
Indledning
Sagen vedrører indsigelse mod korttransaktion foretaget som en 3D Secure betaling ved godkendelse med MitID-app.
Sagens omstændigheder
Klageren var kunde i Danske Bank, hvor hun havde en konto med et tilhørende Visa/Dankort -243.
Den 21. december 2022 blev der med klagerens Visa/Dankort gennemført en kortbetaling på 500 EUR, svarende til 3.720,35 DKK, fra klagerens konto i banken til en betalingsmodtager D.
Banken har oplyst, at betalingen først blev ”clearet” og bogført den 23. december 2022.
Banken har fremlagt en udskrift fra Nets, hvoraf fremgår, at følgende tekst blev sendt til klagerens MitID-app i forbindelse med godkendelse af kortbetalingen:
”…
Betal 500 EUR til [betalingsmodtager D] fra kort xx0243.
…”
Banken har oplyst, at transaktionen var korrekt registreret og bogført.
Banken har fremlagt Processing Details fra Nets, hvoraf blandt andet fremgår, at der den 21. december 2022 blev foretaget en betaling på 500 EUR, som blev godkendt med MitID.
Den 27. december 2022 gjorde klageren indsigelse mod betalingen, hvor hun bestred, at hun havde foretaget betalingen. Banken har oplyst, at hun i den forbindelse oplyste, at hun ikke havde kendskab til, hvordan betalingen var sket.
Klageren udfyldte en tro- og loveerklæring, hvoraf blandt andet fremgår, at klageren havde sit Visa/Dankort -243 i sin besiddelse på tidspunktet for den ikke-godkendte betaling.
Den 6. januar 2023 afviste banken at godtgøre klageren beløbet med den begrundelse, at hun hæftede med op til 8.000 DKK, da hun selv havde godkendt betalingen med sin MitID-app.
Klageren indgav herefter en klage over afgørelsen til bankens klageansvarlige. Banken besvarede klagen den 11. januar 2023, og fastholdt afgørelsen af 6. januar 2023. Banken har oplyst, at den i den forbindelse bemærkede, at klageren formentlig havde været udsat for phishing, da betalingen var godkendt med hendes MitID-app, hvorfor hun formentlig ikke havde været klar over, at hun godkendte betalingen ved at swipe i MitID-appen.
Parternes påstande
Den 12. januar 2023 har klageren indbragt sagen for Ankenævnet med påstand om, at Danske Bank skal betale 3.720,35 DKK til hende.
Danske Bank har nedlagt påstand om principalt frifindelse, subsidiært afvisning.
Parternes argumenter
Klageren har anført, at hun ikke har set en betalingsanmodning på 500 EUR. Der har ikke stået nogen steder, at der ville blive trukket 500 EUR fra hendes Visa/Dankort.
Hun har aldrig fået oplyst, at man skal betale 8.000 DKK til MitID, hvis man skal have hjælp i det tilfælde, at man har været så uheldig at få stjålet penge fra sin konto. Det kan ikke være rigtigt.
Nu skal hun pludselig hæfte med op til 8.000 DKK, fordi systemet har tvunget hende til at få MitID. Hun havde aldrig problemer før. Nu tør hun knap nok se på sine beskeder, fordi hun er bange for at gøre noget forkert.
Hvis banken ikke betaler pengene tilbage til hende, så vil hun ikke have MitID længere. 3.720,35 DKK er mange penge for en pensionist.
Danske Bank har til støtte for frifindelsespåstanden anført, at kortbetalingen blev autoriseret med klagerens MitID-app, og dermed godkendt med stærk kundeautentifikation.
MitID-appen var installeret på klagerens mobiltelefon, der var i klagerens besiddelse på tidspunktet for godkendelse af betalingen. Det må på den baggrund lægges til grund, at klageren uforvarende selv autoriserede betalingen, idet hun formentlig ikke var klar over, at hun godkendte betalingen ved at swipe i MitID-appen.
Klageren har sandsynligvis været udsat for phishing og må i den forbindelse selv have videregivet sine kortoplysninger til tredjemand, der muliggjorde betalingsanmodningen.
Det fremgik af godkendelsesteksten i klagerens MitID-app, at betalingsmodtageren var betalingsmodtager D, og at beløbet på 500 EUR ville blive trukket på hendes betalingskort. Det måtte derfor være klart for hende, at hun var ved at foretage en betaling på det pågældende beløb til en ukendt betalingsmodtager.
Klageren befandt sig ikke i en presset situation i forbindelse med udleveringen af sine kortoplysninger og efterfølgende godkendelse af betalingen.
Klageren muliggjorde således ved groft uforsvarlig adfærd betalingen, hvorfor hun hæfter med op til 8.000 DKK, jf. betalingslovens § 100, stk. 4. Klageren var derfor ikke berettiget til at få godtgjort beløbet på 3.720,35 DKK.
Banken havde ikke mulighed for at stoppe korttransaktionen, idet korttransaktion blev godkendt med MitID, hvorfor den ikke kunne tilbagekaldes, jf. afsnit 3.1 i bankens regler for Visa Dankort. Det følger også af betalingsloven § 111, stk. 1, at banken ikke kan tilbagekalde en transaktion efter, at instruksen om transaktionen er modtaget af banken.
Banken har i øvrigt ikke handlet ansvarspådragende.
Til støtte for afvisningspåstanden har banken anført, at klagerens påstand om, at hun ikke har noget kendskab til betalingen, ikke hænger sammen med bankens oplysninger om, at hun blev præsenteret for både beløbsmodtager og beløb i MitID-appen, der var installeret på hendes mobiltelefon, der var i hendes besiddelse på tidspunktet for godkendelsen af betalingen.
En vurdering af sagen vil derfor kræve yderligere bevisførelse i form af vidne- og/eller partsafhøring, der ikke kan ske for Ankenævnet, hvorfor Ankenævnet bør afvise at behandle klagen, jf. Ankenævnets vedtægter § 5, stk. 3, nr. 4.
Ankenævnets bemærkninger
Den 21. december 2022 blev klagerens betalingskort anvendt til en betaling til en betalingsmodtager D på 500 EUR, svarende til 3.720,35 DKK, som klageren ikke kan vedkende sig.
Klageren har anført, at hun ikke har godkendt en betaling på 500 EUR.
Banken har oplyst, at den omtvistede betaling med klagerens betalingskort blev foretaget med sikkerhedsløsningen 3D Secure ved godkendelse i klagerens MitID-app. Af en udskrift fra Nets fremgår, at følgende tekst blev sendt til klagerens MitID-app: ”Betal 500 EUR til [betalingsmodtager D] fra kort xx0243.”
Banken har oplyst, at det fremgår af bankens oplysninger, at kortbetalingen blev godkendt med stærk kundeautentifikation med klagerens MitID-app (-004), der blev installeret på klagerens Android (Samsung Galaxy S21) mobiltelefon den 13. april 2022. I perioden fra den 13. april 2022 til medio februar 2023 blev der ikke tilføjet yderligere enheder til klagerens MitID.
Ankenævnet lægger til grund, at betalingstransaktionen er korrekt registreret og bogført og ikke ramt af tekniske svigt eller andre fejl, jf. betalingslovens § 98. Efter bestemmelsens stk. 2 er registrering af brug af et betalingsinstrument ikke i sig selv bevis for, at betaleren har godkendt transaktionen, at betaleren har handlet svigagtigt, eller at betaleren har undladt at opfylde sine forpligtelser, jf. betalingslovens § 93.
Ankenævnet finder det godtgjort, at transaktionen skyldes tredjemands uberettigede anvendelse af klagerens betalingstjeneste.
Ankenævnet finder endvidere, at klagerens MitID var en personlig sikkerhedsforanstaltning, jf. betalingslovens § 7, nr. 31. Ved transaktionen blev der anvendt stærk kundeautentifikation, jf. betalingslovens § 7, nr. 30.
Efter betalingslovens § 100, stk. 4, nr. 2 og 3, hæfter betaleren med op til 8.000 DKK af tabet som følge af andres uberettigede anvendelse, hvis betalerens udbyder godtgør, at betaleren med forsæt har overgivet den personlige sikkerhedsforanstaltning til den, der har foretaget den uberettigede anvendelse, uden at forholdet er omfattet af stk. 5 (§ 100, stk. 4, nr. 2), eller at betaleren ved groft uforsvarlig adfærd har muliggjort den uberettigede anvendelse (§ 100, stk. 4, nr. 3).
Klageren har anført, at hun ikke godkendte en betaling på 500 EUR. Banken har anført, at betalingen til betalingsmodtager D blev foretaget af klageren, idet betalingen blev gennemført ved brug af hendes MitID-app.
Ankenævnet finder, at det på det foreliggende grundlag ikke er muligt at afgøre, om der foreligger misbrug under sådanne omstændigheder, at klageren hæfter med op til 8.000 DKK, jf. betalingslovens § 100, stk. 4. Ankenævnet finder, at en stillingtagen hertil forudsætter en yderligere bevisførelse i form af parts- og vidneforklaringer, der ikke kan ske for Ankenævnet, men som i givet fald må finde sted ved domstolene. Ankenævnet afviser derfor sagen, jf. Ankenævnets vedtægter § 5, stk. 3, nr. 4.
Ankenævnets afgørelse
Ankenævnet kan ikke behandle klagen.
Klageren får klagegebyret tilbage.