Indsigelse mod at hæfte med op til 8.000 DKK af korttransaktion, der blev godkendt i MitID.
| Sagsnummer: | 160/2024 |
| Dato: | 04-12-2024 |
| Ankenævn: | Bo Østergaard, Inge Kramer, Klaus Tougaard Kristensen, Rolf Høymann Olsen og Kim Korup Eriksen. |
| Klageemne: |
Afvisning - bevis § 5, stk. 3, nr. 4
Betalingstjenester - ikke-vedkendte hævninger Betalingstjenester - spørgsmål om groft uforsvarlig adfærd |
| Ledetekst: | Indsigelse mod at hæfte med op til 8.000 DKK af korttransaktion, der blev godkendt i MitID. |
| Indklagede: | Jyske Bank |
| Øvrige oplysninger: | |
| Senere dom: | |
| Pengeinstitutter |
Indledning
Sagen vedrører indsigelse mod at hæfte med op til 8.000 DKK af korttransaktion, der blev godkendt i MitID.
Sagens omstændigheder
Klageren er kunde i Jyske Bank, hvor han blandt andet havde en konto med et tilknyttet Visa/dankort -5149.
Klageren har oplyst, at han den 18. november 2023 modtog en e-mail, der fremstod som værende fra sundhed.dk. Af e-mailen fremgik det, at han var berettiget til at få sine medicinudgifter refunderet.
Den 20. november 2023 blev der med klagerens betalingskort gennemført en kortbetaling på 8.085,00 SEK svarende til 5.317,29 DKK til en betalingsmodtager, C. Klageren kan ikke vedkende sig betalingen.
Banken har oplyst, at betalingen blev godkendt med stærk kundeautentifikation i klagerens MitID-app nr. -7670, der var aktiveret 9. januar 2023. Banken har fremlagt en udskrift fra klagerens MitID-log og en udskrift fra Nets med teksten, der blev sendt til MitID-app’en i forbindelse med godkendelse af betalingen. Af udskriften fra Nets fremgik:
”Betal 8085,00 SEK til [betalingsmodtager C] fra kort xx5149”
Banken har oplyst, at transaktionen var korrekt registreret og bogført, og at betalingen ikke var ramt af tekniske svigt eller andre fejl.
Den 23. november 2023 gjorde klageren indsigelse mod betalingen over for banken. I indsigelsesblanketten anførte klageren, at han slet ikke kender til betalingen.
I forbindelse med indsigelsen anførte klageren yderligere:
”… Det der sker, er at jeg trykker på linket.. som åbner mitid, og skal så indtaste min Bruger-id, dette gør jeg,, åbner app i min Iphone,, men kan ikke åbne App’n,, der kommer aldrig en QR,, lukker siden (mitId) på min pc,, og prøver igen,, men samme resultat,, da jeg kommer tilbage til ”mail teksten” er der en ”rubrik” el. lign. hvor jeg skal indtaste kort oplysninger, dette vælger jeg IKKE at gøre,, fornemmer der er noget der ikke stemmer,, i kort nr. rubrikken, står der allerede 4571 xxxx xxxx xxxx, ”low light” lukker efterfølgende denne mail, åbner en anden mail,, men vender senere tilbage til sundhed.dk mailen,, men får nu en advarsel, fra mit system at denne mail, kan være spam,, jeg fjerner mailen , (over i spam mappe) og gør ikke yderligere,,
Da jeg aldrig har oplyst mit kort nr. eller godkendt, en transaktion / betaling,, via MitId (QR) eller via SMS, eller PIN,, …”
Banken afviste indsigelsen og meddelte, at klageren hæftede med op til 8.000 DKK.
Parternes påstande
Den 13. marts 2024 har klageren indbragt sagen for Ankenævnet med påstand om, at Jyske Bank skal godtgøre klagerens tab med fradrag af 375 DKK.
Jyske Bank har nedlagt påstand om frifindelse, subsidiært afvisning.
Parternes argumenter
Klageren har anført, at han den 18. november 2023 må være blevet udsat for phishing. Han modtog denne dag en e-mail, der fremstod som værende fra sundhed.dk med oplysning om, at han var berettiget til refusion af sine medicinudgifter.
Han klikkede på et link i e-mailen, der førte til MitID-siden. Han indtastede sit bruger-ID, og tilgik derefter MitID-app’en på sin mobiltelefon, men App’en åbnede så vidt han kunne se ikke på telefonen, og der fremkom ikke en QR-kode.
Han valgte at lukke MitID-siden på sin pc, og efter et yderligere mislykket forsøg blev han mistænksom. Efterfølgende modtog han en spam-advarsel fra sit it-system, og han slettede e-mailen.
Han har ikke på sin mobiltelefon godkendt noget eller swipet eller lignende. Han har heller ikke godkendt en betaling, da han ikke var i færd med at købe noget.
Han har ikke handlet groft uforsvarligt.
Han er uforstående over for, at banken ikke var i stand til at spærre betalingen.
Jyske Bank har til støtte for frifindelsespåstanden anført, at betalingen er korrekt registreret og bogført og ikke har været ramt af tekniske svigt eller andre fejl, jf. betalingslovens § 98. Betalingen blev godkendt med klagerens Visa/dankort i klagerens MitID-app -7670, som blev installeret den 9. januar 2023. Klagerens MitID er en personlig sikkerhedsforanstaltning. Ved transaktionen blev der anvendt stærk kundeautentifikation.
Efter betalingslovens § 100, stk. 4, nr. 3, hæfter betaleren (medmindre videregående hæftelse følger af stk. 5) med op til 8.000 DKK for tab som følge af andres uberettigede anvendelse af betalingstjenesten, hvis betalerens udbyder godtgør, at den til betalingstjenesten hørende personlige sikkerhedsforanstaltning har været anvendt, og at betaleren ved groft uforsvarlig adfærd har muliggjort den uberettigede anvendelse.
Klageren har ved groft uforsvarlig adfærd muliggjort den uberettigede anvendelse og hæfter dermed med op til 8.000 DKK af tabet.
Banken lægger til grund, hvilket også bekræftes af klageren, at klageren må have fulgt et link i en falsk e-mail, hvor han har videregivet sine kortoplysninger og som følge heraf godkendt den i sagen omhandlede betalingstransaktion i sin egen MitID-app.
Banken har dokumenteret, at klageren i godkendelsesbilledet i MitID fik forevist både beløbets størrelse samt navnet på beløbsmodtageren, netop forinden han godkendte betalingen, jf. den fremlagte udskrift. Det fremgår af MitID-loggen, at der ikke omkring tidspunktet for misbruget var andre, nyligt installerede MitID-identifikationsmidler.
Det fremgik klart af godkendelsesteksten, at klageren ikke var i færd med at få penge refunderet, men derimod var i færd med at godkende og gennemføre den pågældende betaling på 8.085 SEK til beløbsmodtager C. Dette burde have skærpet klagerens opmærksomhed og have givet ham anledning til at undersøge sagen yderligere, før han godkendte betalingen. Havde klageren læst detaljerne om betalingen i MitID-appen, inden han godkendte betalingstransaktionen, kunne misbruget have været undgået.
Jyske Bank har til støtte for afvisningspåstanden anført, at der er en sådan usikkerhed om det faktisk passerede, herunder omstændighederne i forbindelse med betalingen, og hvilke betalingsoplysninger klageren har fået vist, at en afgørelse forudsætter en bevisvurdering i form af parts- og vidneforklaringer, som ikke kan ske for Ankenævnet, men som i givet fald må finde sted for domstolene. Sagen bør derfor afvises i medfør af § 5, stk. 3, nr. 4, i Ankenævnets vedtægter.
Ankenævnets bemærkninger
Klageren er kunde i Jyske Bank, hvor han blandt andet havde en konto med et tilknyttet Visa/dankort -5149.
Klageren har oplyst, at han den 18. november 2023 modtog en e-mail, der fremstod som værende fra sundhed.dk. Af e-mailen fremgik, at han kunne få sine medicinudgifter refunderet. Han klikkede på et link i e-mailen, der førte til MitID-siden. Han indtastede sit bruger-ID og tilgik derefter MitID-app’en på sin mobiltelefon, men app’en åbnede så vidt han kunne se ikke på telefonen, og der fremkom ikke en QR-kode.
Han har ikke på sin mobiltelefon godkendt noget eller swipet eller lignende. Han har heller ikke godkendt en betaling, da han ikke var i færd med at købe noget.
Den 20. november 2023 blev der med klagerens betalingskort gennemført en kortbetaling på 8.085 SEK svarende til 5.317,29 DKK til en betalingsmodtager, C. Klageren kan ikke vedkende sig betalingen.
Banken har oplyst, at transaktionen blev foretaget ved godkendelse i klagerens Mit-ID-app den 20. november 2023. Klageren har anført, at han ikke godkendte betalingen og ikke har kendskab til den.
Banken afviste indsigelsen og meddelte, at klageren hæftede med op til 8.000 DKK.
Ankenævnet lægger til grund, at betalingstransaktionen er korrekt registreret og bogført og ikke ramt af tekniske svigt eller andre fejl, jf. betalingslovens § 98. Efter bestemmelsens stk. 2 er registrering af brug af et betalingsinstrument ikke i sig selv bevis for, at betaleren har godkendt transaktionen, at betaleren har handlet svigagtigt, eller at betaleren har undladt at opfylde sine forpligtelser, jf. betalingslovens § 93.
Ankenævnet finder, at klagerens MitID var en personlig sikkerhedsforanstaltning, jf. betalingsloven § 7, nr. 31. Ved transaktionen blev der anvendt stærk kundeautentifikation, jf. betalingsloven § 7, nr. 30.
Ankenævnet lægger til grund, at transaktionen skyldes tredjemands uberettigede anvendelse af klagerens betalingstjeneste.
Efter betalingslovens § 100, stk. 4, nr. 2 og 3, hæfter betaleren med op til 8.000 DKK af tabet som følge af andres uberettigede anvendelse, hvis betalerens udbyder godtgør, at betaleren med forsæt har overgivet den personlige sikkerhedsforanstaltning til den, der har foretaget den uberettigede anvendelse, uden at forholdet er omfattet af stk. 5, jf. betalingslovens § 100, stk. 4, nr. 2, eller at betaleren ved groft uforsvarlig adfærd har muliggjort den uberettigede anvendelse, jf. betalingslovens § 100, stk. 4, nr. 3.
Ankenævnet finder, at det på det foreliggende grundlag ikke er muligt at afgøre, om der foreligger misbrug under sådanne omstændigheder, at klageren hæfter med op til 8.000 DKK af tabet, jf. betalingslovens § 100, stk. 4. Ankenævnet finder, at en stillingtagen hertil forudsætter yderligere bevisførelse i form af parts- og vidneforklaringer, der ikke kan ske for Ankenævnet, men i givet fald må finde sted ved domstolene. Ankenævnet afviser derfor sagen, jf. Ankenævnets vedtægter § 5, stk. 3, nr. 4.
Ankenævnets afgørelse
Ankenævnet kan ikke behandle klagen.
Klageren får klagegebyret tilbage.