Indsigelse mod at hæfte for 8.000 DKK af korttransaktioner, der blev godkendt i MitID.
| Sagsnummer: | 247/2025 |
| Dato: | 22-09-2025 |
| Ankenævn: | Helle Korsgaard Lund Andersen, Jonas Thestrup Nielsen, Mette Lindekvist Højsgaard, Rolf Høymann Olsen og Anna Marie Schou Ringive. |
| Klageemne: |
Betalingstjenester - ikke-vedkendte hævninger
Betalingstjenester - spørgsmål om groft uforsvarlig adfærd |
| Ledetekst: | Indsigelse mod at hæfte for 8.000 DKK af korttransaktioner, der blev godkendt i MitID. |
| Indklagede: | Djurslands Bank |
| Øvrige oplysninger: | |
| Senere dom: | |
| Pengeinstitutter |
Indledning
Sagen vedrører indsigelse mod at hæfte for 8.000 DKK af korttransaktioner, der blev godkendt i MitID.
Sagens omstændigheder
Klageren var kunde i Djurslands Bank, hvor hun blandt andet havde en konto med et tilknyttet betalingskort –5083.
Den 3. maj 2025 blev der gennemført to kortbetalinger på 9.047 kr., i alt 18.094 kr., med klagerens betalingskort til betalingsmodtager P, som er hjemmehørende i Danmark, som klageren ikke kan vedkende sig.
Klageren har oplyst, at hun lørdag den 3. maj 2025 ønskede at sælge tøj på nettet, og at hun i den forbindelse blev kontaktet af en interesseret køber. Personen sendte hende et link til DAO, som hun åbnede, hvorefter hun indtastede sine kortoplysninger. Efterfølgende godkendte hun to gange med MitID. Herefter kontaktede klageren DAO, der oplyste hende om, at det var tale om svindel. Hun kontaktede herefter Nets, som oplyste hende om, at der var reserveret to større beløb til betalingsmodtager P på hendes betalingskort. Nets opfordrede hende til at kontakte sin bank mandag den 5. maj 2025. Klageren spærrede herefter sit betalingskort og MitID.
Den 5. maj 2025 kl. 8 kontaktede klageren banken. Klageren har oplyst, at banken oplyste hende om, at den ikke kunne se, at der var reserveret penge på hendes betalingskort, og at såfremt der var reserveret et beløb på hendes betalingskort, ville banken kunne se det. Hun har endvidere anført, at hun spurgte banken, om hun burde kontakte Nets for at dobbelttjekke, om beløbet var reserveret, hvorefter banken bekræftede, at den ville kunne se det, hvis der var reserveret et beløb. Samme dag kl. 9:30 kontaktede banken hende og oplyste, at den ikke kunne se nogle transaktioner på 9.047 kr. på hendes konto, men at hun skulle være opmærksom i tilfælde af, at pengene alligevel skulle blive trukket på hendes konto.
Den 8. maj 2025 opdagede klageren i sin netbank, at 9.047 kr. var trukket to gange på hendes betalingskort.
Klageren har oplyst, at hun kontaktede betalingsmodtager P, som den 13. maj 2025 svarede hende via e-mail, at ordrerne var blevet sendt den 5. maj 2025.
Banken har oplyst, at kortbetalingerne blev godkendt med stærk kundeautentifikation i klagerens MitID-app. Banken har fremlagt en e-mail fra Nets med teksten, der blev vist i klagerens MitID -5229 i forbindelse med godkendelsen af betalingerne. Af teksten fremgik:
”Betal 9047,00 DKK til [dansk betalingsmodtager P] fra kort xx5083”
Banken har fremlagt en udskrift af klagerens MitID-log, hvoraf blandt andet fremgår, at MitID -5229 blev aktiveret på klagerens mobiltelefon den 22. september 2023 og deaktiveret den 3. maj 2025. Banken har endvidere fremlagt oplysninger fra MitID-portalen, hvor det blandt andet fremgår:
03-05-2025 14:10:40.100 CEST App - autentificering lykkedes
MitID identifikationsmiddel-ID -5229 (oprettet 22.9.23, spærret 03.05.25)
03-05-2025 14:15:56.949 CEST App - autentificering lykkedes
MitID identifikationsmiddel-ID -5229 (oprettet 22.9.23, spærret 03.05.25)
Banken har oplyst, at transaktionerne var korrekt registreret og bogført, og at betalingerne ikke var ramt af tekniske svigt eller andre fejl.
Klageren gjorde indsigelse mod betalingerne ved tro og love-erklæring. I indsigelsesblanketten bekræftede klageren, at hun hverken havde deltaget i eller godkendt betalingen, og anførte yderligere:
”…
Jeg har skulle sælge en vare online d 3/5-25. Jeg får tilsendt et link fra en køber med forsendelsesdetaljer med dao.
Indtaster kortoplysninger for at få pengene udbetalt til mig. Bliver guidet på hjemmesiden via en virtuel specialist, der oplyser, at jeg skal verificere mit kort med MitID. Dette gør jeg.
…
Dao bekræfter at det er en snydemai. Jeg spærrer mit kort og MitID. Ca 10. min. Efter, jeg har indtastet mine kortoplysninger.
…
Derfor kontakter jeg Nets, der desværre bekræfter, at der står reserveret 9047 kr. på min konto. At Nets desværre ingenting kan gøre ved et reserveret beløb.
Mandag d. 5. kontakter jeg min egen bank. Pengene er ikke trukket fra min konto mandag morgen. Banken fortæller mig, at de ikke længere kan se pengene reserveret på min konto, og de er heller ikke blevet trukket. Banken fortæller, at de burde kunne se, hvis et beløb stod reserveret til at blive trukket. Derfor blev jeg beroliget i, at jeg har nået at handle i tide.
…”
Den 13. maj 2025 godtgjorde banken klagerens tab med fradrag af 8.000 kr., hvorfor den tilbageførte 10.094 kr. til klagerens konto.
Klageren gjorde indsigelse mod bankens afgørelse.
Den 27. maj 2025 fastholdt banken sin afgørelse af 13. maj 2025.
Parternes påstande
Den 30. maj 2025 har klageren indbragt sagen for Ankenævnet med påstand om, at Djurslands Bank skal godtgøre hende 8.000 kr.
Djurslands Bank har nedlagt påstand om frifindelse, subsidiært afvisning.
Parternes argumenter
Klageren har blandt andet anført, at hun lørdag den 3. maj 2025 åbnede et link til DAO, hvorefter hun blev bedt om at indtaste sine kortoplysninger. Efterfølgende blev hun lokket til at godkende transaktionerne med MitID.
Hun spærrede efterfølgende sit betalingskort og MitID.
Efterfølgende kontaktede hun straks Nets, som oplyste hende om, at et større beløb var reserveret til betalingsmodtager P. Hun havde ikke foretaget køb hos betalingsmodtager P.
Den 5. maj 2025 kontaktede hun banken, som ikke kunne se nogle reservationer på hendes betalingskort. Banken oplyste hende om, at såfremt der var reserveret et beløb på hendes betalingskort, ville banken kunne se det.
Efter bankens vejledning den 5. maj 2025 og bekræftelse på, at alt var fint, foretog hun sig ikke yderligere. Hun kontaktede derfor ikke Nets igen.
Såfremt banken den 5. maj 2025 havde vejledt hende korrekt om at kontakte Nets, ville hun have opdaget, at beløbene fortsat stod reserveret på hende betalingskort. Oveni det ville hun være blevet oplyst om at kontakte betalingsmodtager P, idet reservationsnummeret stod på hendes bankudskrift. Hun fik således utilstrækkelig og misvisende vejledning af banken.
Hun har forhørt sig hos en konsulent med speciale i svindel, som ligeledes tvivler på, at banken ikke kunne se transaktionerne. Dernæst kritiserer konsulenten banken for at have konkluderet, at det reserverede beløb var forsvundet igen, selvom Nets havde set beløbet to dage forinden, ligesom han finder det kritisabelt, at banken ikke rådgav hende om at kontakte betalingsmodtager P for at standse ordren.
Såfremt hun havde kontaktet betalingsmodtager P den 5. maj 2025, havde hun nået at standse de to onlinehandler, der var blevet foretaget med hendes betalingskort. Betalingsmodtager P bekræftede, at de to handler først blev sendt den 5. maj 2025.
Hun har lidt et økonomisk tab svarende til selvrisikoen på 8.000 kr. Det er uacceptabelt, at hun skal betale selvrisikoen, når banken direkte har vejledt hende forkert.
Det er uacceptabelt, at banken blot konkluderede, at de reserverede beløb var forsvundne igen, selvom Nets havde set dem forinden.
Episoden kunne være undgået, hvis bankens ansatte var korrekt oplyst om håndtering af netsvindel.
Djurslands Bank har til støtte for frifindelsespåstanden blandt andet anført, at betalingerne er korrekt registreret og bogført og ikke har været ramt af tekniske svigt eller andre fejl, jf. betalingslovens § 98, stk. 1. Begge transaktioner blev godkendt med stærk kundeautentifikation ved brug af klagerens MitID, som er en personlig sikkerhedsforanstaltning.
Både beløb og betalingsmodtager fremgik klart af de tekster, klageren modtog i MitID. Klageren burde derfor ikke have godkendt de to betalinger. Klagerens udviste uagtsomhed var således tilstrækkelig til, at betalingslovens § 100, stk. 4, nr. 3 finder anvendelse, fordi klageren har muliggjort den uretmæssige brug.
Om morgenen den 5. maj 2025 kontaktede klageren banken, der på daværende tidspunkt endnu ikke kunne se transaktionerne. Banken kan umiddelbart ikke genkende klagerens udlægning af samtaleforløbet. Det følger imidlertid af betalingslovens § 111, at en betalingsordre ikke kan tilbagekaldes, efter at den er godkendt med MitID, uanset at de autoriserede beløb først trækkes på kontoen på et senere tidspunkt. Det har derfor ikke været muligt for banken efterfølgende at afvise de korrekt autoriserede transaktioner.
Uanset hvilket forløb der efter klagerens godkendelse af betalingerne lægges til grund, kunne banken ikke afvise transaktionerne. Bankens handlinger har således ikke årsagssammenhæng til klagers tab, som alene skyldes klagerens uagtsomhed ved godkendelsen af betalingerne.
Til støtte for afvisningspåstanden har banken anført, at såfremt der bortses fra indholdet i logs fra Nets og MitID, er der mellem parterne en sådan forskellig opfattelse af sagsforløbet, at en afgørelse vil kræve yderligere bevisførelse i form af parts- og vidneforklaringer, som ikke kan ske for Ankenævnet, men som i givet fald må finde sted ved domstolene jf. vedtægterne § 5, stk. 3, nr. 4.
Ankenævnets bemærkninger
Klageren var kunde i Djurslands Bank, hvor hun blandt andet havde en konto med et tilknyttet betalingskort -5083.
Den 3. maj 2025 blev der gennemført to kortbetalinger på 9.047 kr., i alt 18.094 kr., med klagerens betalingskort til betalingsmodtager P, som er hjemmehørende i Danmark, som klageren ikke kan vedkende sig.
Klageren har anført, at hun blev kontaktet af en person, som ville købe en vare, hun havde til salg online. Hun fik tilsendt et link til DAO, som hun åbnede, hvorefter hun indtastede sine kortoplysninger og godkendte med sit MitID for at få pengene udbetalt. I stedet blev der reserveret to beløb på 9.047 kr. på hendes betalingskort. Hun rettede omgående henvendelse til Nets, som oplyste hende om, at der var reserveret et større beløb til betalingsmodtager P. Transaktionen blev godkendt lørdag den 3. maj 2025, og hun kontaktede banken mandag morgen den 5. maj 2025. Banken oplyste hende om, at såfremt der var reserveret et beløb på hendes konto, ville banken kunne se det.
Den 13. maj 2025 oplyste betalingsmodtager P over for klageren, at ordrerne først blev sendt den 5. maj 2025.
Banken har anført, at kortbetalingerne blev godkendt med stærk kundeautentifikation i klagerens MitID -5229, som var installeret på klagerens mobiltelefon den 22. september 2023. Banken har fremlagt en mail fra Nets med teksten, der blev vist i klagerens MitID i forbindelse med godkendelsen af betalingerne. Af teksten fremgik:
”Betal 9047,00 DKK til [dansk betalingsmodtager P] fra kort xx5083”
Banken har oplyst, at transaktionerne var korrekt registreret og bogført.
Den 13. maj 2025 godtgjorde banken klagerens tab med fradrag af 8.000 kr., hvorfor den tilbageførte 10.094 kr. til klagerens konto.
Ankenævnet finder, at det må lægges til grund, at det ikke var muligt at tilbageføre eller annullere transaktionerne, efter de var godkendt, uanset tidspunkt for den efterfølgende spærring af betalingskortet og debitering af beløbene på klagerens konto.
Ankenævnet lægger til grund, at betalingstransaktionerne er korrekt registreret og bogført og ikke ramt af tekniske svigt eller andre fejl, jf. betalingslovens § 98. Efter bestemmelsens stk. 2 er registrering af brug af et betalingsinstrument ikke i sig selv bevis for, at betaleren har godkendt transaktionen, at betaleren har handlet svigagtigt, eller at betaleren har undladt at opfylde sine forpligtelser, jf. betalingslovens § 93.
Ankenævnet finder, at klagerens MitID var en personlig sikkerhedsforanstaltning, jf. betalingslovens § 7, nr. 31. Ved transaktionerne blev der anvendt stærk kundeautentifikation, jf. betalingslovens § 7, nr. 30.
Ankenævnet lægger til grund, at transaktionerne skyldes tredjemands uberettigede anvendelse af klagerens betalingstjeneste.
Efter betalingslovens § 100, stk. 4, nr. 2 og 3, hæfter betaleren med op til 8.000 kr. af tabet som følge af andres uberettigede anvendelse, hvis betalerens udbyder godtgør, at betaleren med forsæt har overgivet den personlige sikkerhedsforanstaltning til den, der har foretaget den uberettigede anvendelse, uden at forholdet er omfattet af stk. 5, jf. betalingslovens § 100, stk. 4, nr. 2, eller at betaleren ved groft uforsvarlig adfærd har muliggjort den uberettigede anvendelse, jf. betalingslovens § 100, stk. 4, nr. 3.
Tre medlemmer – Helle Korsgaard Lund-Andersen, Jonas Thestrup Nielsen og Mette Lindekvist Højsgaard – udtaler:
Efter de foreliggende oplysninger finder vi det godtgjort, at klageren må have godkendt betalingerne på 9.047 kr. med sit MitID.
Vi finder, at banken har godtgjort, at klageren ved groft uforsvarlig adfærd har muliggjort den uberettigede anvendelse, da hun burde have reageret på teksten i MitID, hvor hun fik oplysninger om beløbene på 9.047 kr. og beløbsmodtageren og at klageren som følge heraf hæfter med op til 8.000 kr.
Vi finder i øvrigt ikke, at banken har handlet ansvarspådragende over for klageren.
Vi stemmer derfor for, at klageren ikke får medhold i klagen.
To medlemmer – Rolf Høymann Olsen og Anna Marie Schou Ringive – udtaler:
Som ovenfor anført finder vi det godtgjort, at transaktionerne skyldes tredjemands uberettigede anvendelse af klagerens betalingstjeneste.
Vi finder, at der er tale om organiseret professionel svindel.
Forbrugere har forskellige forudsætninger for at gennemskue professionel svindel. Det må aldrig blive utrygt for den almindelige forbruger at anvende de digitale løsninger og betalingstjenester, der er nødvendige for at fungere i vores samfund.
Vi finder derfor ikke, at klageren, ved at blive snydt af en professionel svindler, har udvist groft uforsvarlig adfærd. Det må forudsættes, at såfremt klageren havde forudsætninger for at gennemskue svindlen, ville klageren ikke have godkendt transaktionerne.
Hertil bemærkes et generelt forbehold for så vidt angår systemfejl. Det kan ikke udelukkes, at der i sager med phishing, er tale om raffineret systemteknisk misbrug, hvor svindleren er lykkedes med at udvikle tekniske løsninger, som muliggjorde svindlen.
Vi finder ikke, at banken har godtgjort, at betingelserne for, at klageren hæfter efter de udvidede ansvarsbestemmelser i betalingslovens § 100, stk. 4, er opfyldt.
Vi finder, at banken er nærmest til at bære risikoen for, at det betalingssystem, forbrugerne anvender, er tilstrækkelig sikkert og tydeligt til at hindre svindel.
Da den til betalingstjenesten hørende personlige sikkerhedsforanstaltning har været anvendt, hæfter klageren for 375 kr. af tabet, jf. betalingslovens § 100, stk. 3.
Vi stemmer derfor for, at banken skal tilbageføre 7.625 kr. til klageren.
Sagen afgøres efter stemmeflertallet.
Ankenævnets afgørelse
Klageren får ikke medhold i klagen.