Indsigelse mod korttransaktion foretaget som en 3D Secure betaling ved godkendelse med MitID
| Sagsnummer: | 270 /2023 |
| Dato: | 18-01-2024 |
| Ankenævn: | Vibeke Rønne, Morten Winther Christensen, Karin Sønderbæk, Tina Thygesen og Finn Borgquist. |
| Klageemne: |
Afvisning - bevis § 5, stk. 3, nr. 4
Betalingstjenester - ikke-vedkendte hævninger Betalingstjenester - spørgsmål om groft uforsvarlig adfærd |
| Ledetekst: | Indsigelse mod korttransaktion foretaget som en 3D Secure betaling ved godkendelse med MitID |
| Indklagede: | Danske Andelskassers Bank |
| Øvrige oplysninger: | |
| Senere dom: | |
| Pengeinstitutter |
Indledning
Indsigelse mod korttransaktion foretaget som en 3D Secure betaling ved godkendelse med MitID.
Sagens omstændigheder
Klageren var kunde i Danske Andelskassers Bank, hvor han havde en konto med et tilknyttet betalingskort.
Den 21. december 2022 blev der med klagerens betalingskort gennemført en kortbetaling til en betalingsmodtager B i Polen på 9.366 PLN, svarende til 15.169,33 DKK, som klageren ikke kan vedkende sig.
Beløbet blev hævet på klagerens konto den 23. december 2022. Banken har oplyst, at klagerens betalingskort blev lukket med det samme.
Om baggrunden for transaktionen har klageren oplyst, at han den 23. december 2022 opdagede, at der var blevet trukket 15.169,33 DKK fra hans lønkonto. En transaktion, som han ikke havde godkendt, og han spærrede derfor straks sit betalingskort, kontaktede MitID og sendte en indsigelse til banken. Han havde været i færd med at bestille vin fra et firma F for omkring 500 DKK, men han godkendte ikke en transaktion på 9.366 PLN. Han har efterfølgende haft kontakt til firma F flere gange, der har oplyst, at det ikke har konstateret nogen fejl på firmaets system.
Banken har oplyst, at transaktionen blev foretaget og godkendt som en 3D Secure betaling ved godkendelse med klagerens MitID.
Banken har fremlagt en e-mail fra Nets, hvoraf blandt andet fremgår, at der den 21. december 2022 blev foretaget en betaling på 9.366 PLN, som blev godkendt med MitID. Det fremgår også, at følgende tekst blev sendt til klagerens MitID i forbindelse med godkendelse af kortbetalingen:
”Betal 9366,00 PLN til [betalingsmodtager B] fra kort [xx9538]”
På baggrund af klagerens indsigelse godtgjorde banken klagerens tab fratrukket 8.000 DKK svarende til 7.169,33 DKK.
Klageren klagede til banken over, at han skulle betale selvrisikoen. Banken afviste klagen.
Parternes påstande
Den 26. april 2023 har klageren indbragt sagen for Ankenævnet med påstand om, at Danske Andelskassers Bank skal godtgøre ham de resterende 8.000 DKK.
Danske Andelskassers Bank har nedlagt påstand om frifindelse.
Parternes argumenter
Klageren har anført, at han ikke godkendte transaktionen.
Han har haft kontakt med MitID, der har oplyst, at han ikke havde gjort noget forkert.
Han kan ikke acceptere, at han skal betale 8.000 DKK i selvrisiko. Det kan ikke være rigtigt, at han som forurettet og offer skal betale en selvrisiko.
Banken anfører, at han i MitID skulle have swipet godkend til teksten ”Betal 9.366,00 PLN til [betalingsmodtager B] fra kort xx9538”. Det er ikke korrekt. Han blev ikke præsenteret for denne tekst, og han har derfor aldrig set denne tekst eller swipet til den.
Af et notat fra forbrugerombudsmanden nævnes følgende ”Du kan komme til at dække op til 8.000 kr. af misbruget, hvis den personlige sikkerhedsforanstaltning har været anvendt, og hvis • du ikke har givet besked til banken snarest muligt efter at have opdaget, at kortet er bortkommet, eller snarest muligt efter at have opdaget, at den personlige sikkerhedsforanstaltning er kommet til misbrugerens kendskab, • du selv har oplyst koden til misbrugeren, eller • du har opført dig så uansvarligt, at du selv har gjort misbruget muligt.”
Han kontaktede banken så hurtigt det kunne lade sig gøre efter han opdagede svindlen, han oplyste ikke nogen kode til nogen, og han har på ingen måde opført sig uansvarligt. Han handlede i god tro.
Forbrugerrådet Tænk mener, at det ikke er forbrugernes eget ansvar, når de bliver snydt. ”Svindlerne bliver bedre og bedre, og derfor er det ikke rimeligt at gøre det til forbrugernes eget ansvar, at der bliver snydt. Det kan være stort set umuligt at se forskel på reelle mails og phishing mails. Derfor mener vi heller ikke det er groft uforsvarlig adfærd fra forbrugeren, når de bliver snydt af phishing mails…”
MitID er et offentligt sikkerhedssystem, som banken er blevet pålagt at bruge af Finanstilsynet. Han er som forbruger forpligtiget til grundigt at læse, hvad han swiper godkend til, og det har han også gjort. Han er utrolig opmærksom på, hvad han swiper godkend til. Desuden kan banken se af historikken på hans bankkonto, at han ikke er typen, der handler for så store beløb ved internethandel.
Danske Andelskassers Bank har anført, at købet blev valideret med klagerens MitID.
Banken har ikke kunnet konstatere, at klagerens MitID har været ramt af nedbrud i perioden eller har været indrulleret på andre eller flere enheder end den, som klageren normalvis godkender transaktioner med.
Det er sandsynligt, at klageren har godkendt transaktionen i MitID.
Klageren blev i forbindelse med valideringen i hans MitID-app præsenteret for teksten ”Betal 9366,00 PLN til [betalingsmodtager B] fra kort xx9538”. Klageren godkendte overførslen af beløbet til en ukendt modtager til trods for den præsenterede tekst.
Klageren var ikke opmærksom nok på, hvem han overførte penge til, og af den årsag må han betegnes som havende handlet groft uagtsom, jf. betalingslovens § 100, stk. 4, nr. 3, hvorfor der m beregnes en selvrisiko på 8.000 DKK.
Ankenævnets bemærkninger
Den 21. december 2022 blev klagerens betalingskort anvendt til en betaling til betalingsmodtager B i Polen på 9.366 PLN, svarende til 15.169,33 DKK, som klageren ikke kan vedkende sig.
Klageren har anført, at han ikke godkendte en betaling på 9.366 PLN.
Banken har oplyst, at det fremgår af dens oplysninger, at kortbetalingen blev godkendt med stærk kundeautentifikation med klagerens MitID, og at klagerens MitID ikke har været indrulleret på andre enheder end den, som klageren normalvis godkender transaktioner med.
Ankenævnet lægger til grund, at betalingstransaktionen er korrekt registreret og bogført og ikke ramt af tekniske svigt eller andre fejl, jf. betalingslovens § 98. Efter bestemmelsens stk. 2 er registrering af brug af et betalingsinstrument ikke i sig selv bevis for, at betaleren har godkendt transaktionen, at betaleren har handlet svigagtigt, eller at betaleren har undladt at opfylde sine forpligtelser, jf. betalingslovens § 93.
Ankenævnet lægger til grund, at transaktionen skyldes tredjemands uberettigede anvendelse af klagerens betalingstjeneste.
Ankenævnet finder endvidere, at klagerens MitID var en personlig sikkerhedsforanstaltning, jf. betalingslovens § 7, nr. 31. Ved transaktionen blev der anvendt stærk kundeautentifikation, jf. betalingslovens § 7, nr. 30.
Efter betalingslovens § 100, stk. 4, nr. 2 og 3, hæfter betaleren med op til 8.000 DKK af tabet som følge af andres uberettigede anvendelse, hvis betalerens udbyder godtgør, at betaleren med forsæt har overgivet den personlige sikkerhedsforanstaltning til den, der har foretaget den uberettigede anvendelse, uden at forholdet er omfattet af stk. 5 (§ 100, stk. 4, nr. 2), eller at betaleren ved groft uforsvarlig adfærd har muliggjort den uberettigede anvendelse (§ 100, stk. 4, nr. 3).
Klageren har anført, at han ikke godkendte en betaling 9.366 PLN. Banken har anført, at betalingen til betalingsmodtager B blev foretaget af klageren, idet betalingen blev gennemført ved brug af hans MitID.
Ankenævnet finder, at det på det foreliggende grundlag ikke er muligt at afgøre, om der foreligger misbrug under sådanne omstændigheder, at klageren hæfter med op til 8.000 DKK, jf. betalingslovens § 100, stk. 4. Ankenævnet finder, at en stillingtagen hertil forudsætter en yderligere bevisførelse i form af parts- og vidneforklaringer, der ikke kan ske for Ankenævnet, men som i givet fald må finde sted ved domstolene. Ankenævnet afviser derfor sagen, jf. Ankenævnets vedtægter § 5, stk. 3, nr. 4.
Ankenævnets afgørelse
Ankenævnet kan ikke behandle klagen.
Klageren får klagegebyret tilbage.