Indsigelse mod at hæfte for korttransaktion, der blev gennemført som en 3D Secure transaktion ved godkendelse med Mit- ID.
| Sagsnummer: | 188 /2023 |
| Dato: | 12-12-2023 |
| Ankenævn: | Henrik Waaben, Karin Duerlund, Andreas Moll Årsnes, Jacob Ruben Hansen og Anna Marie Schou Ringive. |
| Klageemne: |
Afvisning - bevis § 5, stk. 3, nr. 4
Betalingstjenester - ikke-vedkendte hævninger Betalingstjenester - spørgsmål om groft uforsvarlig adfærd |
| Ledetekst: | Indsigelse mod at hæfte for korttransaktion, der blev gennemført som en 3D Secure transaktion ved godkendelse med Mit- ID. |
| Indklagede: | Danske Bank |
| Øvrige oplysninger: | |
| Senere dom: | |
| Pengeinstitutter |
Indledning
Sagen vedrører indsigelse mod at hæfte for korttransaktion, der blev gennemført som en 3D Secure transaktion ved godkendelse med MitID.
Sagens omstændigheder
Klageren var kunde i Danske Bank, hvor han havde en konto med et tilknyttet Visa/dankort.
Den 17. februar 2023 blev klagerens betalingskort anvendt til en betaling til en betalingsmodtager, F, på 1.425,17 EUR svarende til 10.621,50 DKK, som klageren ikke kan vedkende sig.
Klageren har oplyst, at han ikke har gennemført betalingen. Han har ikke godkendt nogen betaling med MitID.
Banken har oplyst, at det fremgår at bankens MitID-oplysninger, at korttransaktionen blev godkendt med stærk kundeautentifikation i klagerens MitID-app -9421, der blev installeret på klagerens android-mobiltelefon den 7. juni 2022. Banken har endvidere oplyst, at der ikke efterfølgende er blevet tilføjet yderligere enheder til klagerens Mit- ID-app.
Banken har yderligere oplyst, at det fremgår af en udskrift fra bankens MitID-oplysninger, at klageren fik præsenteret følgende tekst i MitID-appen i forbindelse med godkendelse af korttransaktionen:
”Betal 1425,17 EUR til [F] fra kort xx3917”
Banken har fremlagt et udklip fra aktivitetsloggen fra klagerens MitID-app og har oplyst, at det fremgår heraf, der fra klagerens MitID-app blev godkendt en transaktion den 17. februar 2023 kl. 15:11, og at transaktionen blev gennemført kl. 15:12.
Banken har oplyst, at transaktionen var korrekt registreret og bogført.
Ved en tro- og loveerklæring af 22. februar 2023 gjorde klageren indsigelse mod betalingen på 10.621,50 DKK og anførte, at han ikke havde godkendt betalingen, og at han selv havde kortet på tidspunktet for den ikke godkendte transaktion.
Banken godtgjorde klagerens tab fratrukket 8.000 DKK svarende til 2.621,50 DKK.
Parternes påstande
Den 17. marts 2023 har klageren indbragt sagen for Ankenævnet med påstand om, at Danske Bank skal betale 8.000 DKK.
Danske Bank har nedlagt påstand om frifindelse, subsidiært afvisning.
Parternes argumenter
Klageren har anført, at han intet kendskab har til F. Han så ikke på noget tidspunkt meddelelsen om overførslen på sin telefon, og han har ikke autoriseret betalingen med sit MitID ved at swipe en bekræftelse. Han er altid meget omhyggelig med anvendelsen af sin telefon og sit MitID. Hans MitID er forsynet med biometrisk genkendelse.
Han er uforstående overfor bankens påstand om, at han skulle have godkendt betalingen. Dokumentationen kan han ikke gennemskue, men han er sikker på, at han ikke har autoriseret betalingen.
Transaktionen skulle være godkendt den 17. februar 2023 kl. 15:11. Af hans kalender fremgår, at han den 17. februar 2023 fra kl.14:30–16:30 var til møde i den lokale kirke. Det gør derfor bankens påstand om, at han skulle have godkendt transaktionen, endnu mere uforståelig. Han kan på ingen måde acceptere, at han skulle have handlet groft uforsvarligt. Der må være en anden forklaring. Det er dybt foruroligende.
Han er blevet opmærksom på en artikel i Kristeligt Dagblad fra 14.marts 2023, som omhandler en alvorlig kritik af sikkerheden i MitID. Digitaliseringsstyrelsen udtaler alvorlig kritik og giver påbud for en sikkerhedsbrist i MitID. Ifølge artiklen betyder det, at andre kan få adgang til ens oplysninger og ens bankkonto. Disse oplysninger må også være kendt af Danske Bank. I artiklen kaldes bristen "en modbydelig fejl".
I DRs nyhedstjeneste var der endvidere den 25. maj 2023 en artikel: ”Banker advarer om stigende økonomisk kriminalitet”. I artiklen berettes om en familie, som en række gange havde fået trukket beløb på sin konto. Banktransaktionerne var godkendt med MitID, men familien havde ikke godkendt transaktionerne. Det endte med, at familien måtte lukke alt digitalt for at standse ulovlighederne.
Der er åbenbart en alvorligt brist i MitIDs sikkerhed, som de artikler, som han har henvist til, har påvist.
Danske Bank har til støtte for frifindelsespåstanden anført, at den omtvistede kortbetaling blev korrekt registreret og bogført.
Kortbetalingen blev autoriseret med klagerens MitID-app og blev dermed godkendt med stærk kundeautentifikation. Dette understøttes af, at MitID-app’en var installeret på klagerens android-telefon, der ifølge klagerens egne oplysninger ikke har været tilgængelig for tredjemand, hvilket klagerens kode til MitID heller ikke har været ifølge klagerens egne oplysninger.
Det må have stået klart for klageren, at han var ved at foretage en betaling på 1.425,17 EUR til en ukendt modtager, idet følgende tekst blev vist til klageren i MitID-appen forud for godkendelse af betalingen: ”Betal 1425,17 EUR til [F] fra kort xx3917”.
Der foreligger ikke oplysninger om, at klageren befandt sig i en presset situation i forbindelse med betalingen.
På baggrund af disse omstændigheder hæfter klageren selv for 8.000 DKK, idet klageren ved groft uforsvarlig adfærd muliggjorde betalingen, jf. betalingslovens § 100, stk. 4.
Klageren har muligvis været udsat for svindel, men der er ikke tale om svindel, som banken hæfter for, idet klageren selv har autoriseret betalingen med sit MitID, og både beløbet og modtager fremgik af teksten i MitID-appen forud for klagerens godkendelse af betalingen.
Det af klageren anførte om, at han ifølge sin kalender var til møde i den lokale kirke på det tidspunkt, hvor transaktionen blev gennemført, kan ikke føre til, at transaktionen ikke blev godkendt af klageren som dokumenteret af banken. For det første savner klagerens oplysning om sit opholdssted dokumentation, idet klagerens eventuelle egne kalenderfortegnelser ikke kan tillægges megen bevisværdi, al den stund disse i sagens natur er blevet lavet af klageren selv og i øvrigt kan være fejlbehæftede. Der er i øvrigt intet til hinder for, at klageren kunne godkende en transaktion med sit Mit- ID, selv om klageren på tidspunktet for godkendelsen befandt sig til et møde i kirken.
Til støtte for afvisningspåstanden har banken anført, at klagerens påstand om, at han ikke har noget kendskab til betalingen, ikke hænger sammen med bankens oplysninger om, at betalingen blev godkendt ved brug af klagerens MitID-app installeret på klagerens mobiltelefon, og at klageren blev præsenteret for både beløbsmodtager og beløb i MitID-appen,
En vurdering af sagen vil derfor kræve yderligere bevisførelse i form af vidne- og/eller partsafhøring, der ikke kan ske for Ankenævnet, hvorfor Ankenævnet bør afvise at behandle klagen.
Ankenævnets bemærkninger
Den 17. februar 2023 blev klagerens betalingskort anvendt til en betaling til en betalingsmodtager, F, på 1.425,17 EUR svarende til 10.621,50 DKK, som klageren ikke kan vedkende sig.
Klageren har oplyst, at han intet kendskab har til F og ikke har gennemført betalingen. Han har ikke godkendt nogen betaling med MitID.
Banken har oplyst, at korttransaktionen blev godkendt i klagerens MitID-app -9421, der blev installeret på klagerens android-mobiltelefon den 7. juni 2022.
Ankenævnet lægger til grund, at transaktionen er korrekt registreret og bogført og ikke ramt af tekniske svigt eller andre fejl, jf. betalingslovens § 98, stk. 1. Efter bestemmelsens stk. 2 er registrering af brug af et betalingsinstrument ikke i sig selv bevis for, at betaleren har godkendt transaktionen, at betaleren har handlet svigagtigt, eller at betaleren har undladt at opfylde sine forpligtelser, jf. lov om betalinger § 93.
Efter betalingslovens § 100, stk. 4, hæfter betaleren med op til 8.000 kr. af tabet som følge af andres uberettigede anvendelse, hvis betalerens udbyder godtgør, at betaleren med forsæt har overgivet den personlige sikkerhedsforanstaltning til den, der har foretaget den uberettigede anvendelse, uden at forholdet er omfattet af stk. 5, jf. § 100, stk. 4, nr. 2, eller at betaleren ved groft uforsvarlig adfærd har muliggjort den uberettigede anvendelse, jf. § 100, stk. 4, nr. 3.
Ankenævnet finder, at det på det foreliggende grundlag ikke er muligt at afgøre, om der foreligger misbrug, herunder om der er tale om misbrug under sådanne omstændigheder, at klageren hæfter for 8.000 kr. af tabet, jf. betalingslovens § 100, stk. 4. Ankenævnet finder, at en stillingtagen hertil forudsætter yderligere bevisførelse i form af parts- og vidneforklaringer, der ikke kan ske for Ankenævnet, men i givet fald må finde sted ved domstolene. Ankenævnet afviser derfor sagen, jf. Ankenævnets vedtægter § 5, stk. 3, nr. 4.
Ankenævnets afgørelse
Ankenævnet kan ikke behandle klagen.
Klageren får klagegebyret tilbage.