Indsigelse mod at hæfte for 8.000 DKK af en korttransaktion godkendt i MitID
| Sagsnummer: | 185/2023 |
| Dato: | 22-12-2023 |
| Ankenævn: | Bo Østergaard, Jonas Thestrup Nielsen, Nanna Vetter Viberg Nielsen, Morten Bruun Pedersen og Finn Borgquist |
| Klageemne: |
Afvisning - bevis § 5, stk. 3, nr. 4
Betalingstjenester - ikke-vedkendte hævninger Betalingstjenester - spørgsmål om groft uforsvarlig adfærd |
| Ledetekst: | Indsigelse mod at hæfte for 8.000 DKK af en korttransaktion godkendt i MitID |
| Indklagede: | Sydbank |
| Øvrige oplysninger: | |
| Senere dom: | |
| Pengeinstitutter |
Indledning
Sagen vedrører indsigelse mod at hæfte for 8.000 DKK af en korttransaktion godkendt i MitID.
Sagens omstændigheder
Klageren var kunde i Sydbank, hvor han havde en konto -251 og et tilknyttet Mastercard -962.
Den 29. januar 2023 blev klagerens Mastercard anvendt til en betaling til en udenlandsk betalingsmodtager, F, på 1.808,80 EUR svarende til 13.681,41 DKK, som klageren ikke kan vedkende sig.
Banken har oplyst, at kortbetalingen blev godkendt med sikkerhedsløsningen 3D Secure ved godkendelse i klagerens MitID med ID-nummer -909, som blev oprettet den 20. oktober 2021, og som anvendes løbende af klageren til at godkende betalinger.
Banken har fremlagt en udskrift fra Nets, hvoraf det fremgår, at klageren fik præsenteret følgende tekst i MitID-appen:
”Betal 1808,80 EUR til [F] fra kort xxx[-962]”
Den 31. januar 2023 blev der trukket 13.681,41 DKK på klagerens konto.
Den 3. februar 2023 tilbageførte betalingsmodtager F 260,90 EUR svarende til 1.973,77 DKK til klagerens konto -251.
Klageren har oplyst, at han den 19. februar 2023 blev kontaktet af Nets, og at Nets meddelte ham, at han havde været udsat for et misbrug. Klageren gjorde indsigelse over for banken mod betalingen.
Den 23. februar 2023 godtgjorde banken klagerens tab fratrukket 8.000 DKK svarende til 3.707,64 DKK.
Parternes påstande
Den 16. marts 2023 har klageren indbragt sagen for Ankenævnet med påstand om, at Sydbank skal tilbagebetale 8.000 DKK til ham.
Sydbank har nedlagt påstand om frifindelse.
Parternes argumenter
Klageren har anført, at han ikke har overgivet sit login eller MitID, og at han på intet tidspunkt har “swipet” en anmodning inde på MitID. Han blev kontaktet af Nets, hvorefter Nets underrettede ham om misbruget. Misbruget har været ham fuldstændig ubekendt. Hvordan det kunne lade sig gøre, er uforståeligt for ham.
Det er alment kendt, at MitID-appen har haft nogle sikkerhedsbrister, som har betydet, at fremmede kan logge sig på andres MitID ved blot at indtaste forskellige cpr-numre. Om dette har været tilfældet i hans tilfælde, ved han ikke, men han har ikke udvist groft uforsvarlig adfærd.
Groft uforsvarlig adfærd udgør et skærpet ansvarsgrundlag i forhold til det almindelige ansvarsgrundlag om grov uagtsomhed. Det kræves derfor af ham, at han har handlet mere end blot groft uagtsomt, og at samtlige af de sikkerhedsbrister, der har muliggjort misbruget, kan henføres til hans grove uforsvarlige adfærd, hvilket ikke er tilfældet i hans sag.
Han har på intet tidspunkt modtaget varer eller andre ydelser fra betalingsmodtager F.
Sydbank har anført, at klageren ved groft uforsvarlig adfærd har muliggjort den uberettigede anvendelse, jf. betalingslovens § 100, stk. 4, nr. 3.
På baggrund af sagens tekniske data, kan det konkluderes, at betalingen blev godkendt i klagerens MitID. Betalingen blev korrekt registreret og bogført, og betalingen var ikke ramt af tekniske svigt eller andre fejl, jf. betalingslovens § 98, stk. 1.
Det er ikke muligt for en svindler at godkende transaktioner i klagerens MitID, medmindre svindleren er i besiddelse af klagerens enhed, som MitID er installeret på. Klageren har uforvarende godkendt betalingen i sin MitID. Havde klageren ikke gjort det, var betalingen ikke gennemført.
Både beløb og betalingsmodtager fremgik klart og tydeligt af den tekst, klageren modtog i sin MitID. Klageren burde have indset, at han ikke skulle godkende betalingen. Klageren har de seneste år haft en række indsigelsessager i banken, så klageren bør være bekendt med risikoen for svindel.
Hæftelsen på 8.000 DKK er i overensstemmelse med Ankenævnets praksis i lignende sager. Banken har godtgjort den del af klagerens tab, der overstiger 8.000 DKK, og er ikke på andet grundlag erstatningsansvarlig overfor klageren, hvorfor banken bør frifindes.
Ankenævnets bemærkninger
Den 29. januar 2023 blev klagerens betalingskort anvendt til en betaling til en udenlandsk betalingsmodtager, F, på 1.808,80 EUR svarende til 13.681,41 DKK, som klageren ikke kan vedkende sig.
Banken har oplyst, at kortbetalingen blev godkendt med sikkerhedsløsningen 3D Secure ved godkendelse i klagerens MitID med ID-nummer -909, som blev oprettet den 20. oktober 2021, og som anvendes løbende af klageren til at godkende betalinger.
Klageren har oplyst, at han ikke har overgivet sit login eller MitID, og at han på intet tidspunkt har ”swipet” en anmodning i MitID. Betalingen er ham fuldstændig ubekendt, og det er uforståeligt for ham, hvordan det kunne lade sig gøre.
Den 18. april 2023 godtgjorde banken klagerens tab fratrukket 8.000 DKK svarende til 3.707,64 DKK.
Ankenævnet lægger til grund, at betalingstransaktionerne er korrekt registreret og bogført og ikke er ramt af tekniske svigt eller andre fejl, jf. betalingslovens § 98, stk. 1. Efter bestemmelsens stk. 2 er registrering af brug af et betalingsinstrument ikke i sig selv bevis for, at betaleren har godkendt transaktionen, at betaleren har handlet svigagtigt, eller at betaleren har undladt at opfylde sine forpligtelser, jf. betalingslovens § 93.
Ankenævnet finder, at klagerens MitID var en personlig sikkerhedsforanstaltning, jf. betalingsloven § 7, nr. 31. Ved transaktionerne blev der anvendt stærk kundeautentifikation, jf. betalingsloven § 7, nr. 30.
Efter betalingslovens § 100, stk. 4, hæfter betaleren med op til 8.000 DKK af tabet som følge af andres uberettigede anvendelse, hvis betalerens udbyder godtgør, at betaleren med forsæt har overgivet den personlige sikkerhedsforanstaltning til den, der har foretaget den uberettigede anvendelse, uden at forholdet er omfattet af stk. 5, jf. betalingslovens § 100, stk. 4, nr. 2, eller at betaleren ved groft uforsvarlig adfærd har muliggjort den uberettigede anvendelse, jf. betalingslovens § 100, stk. 4, nr. 3.
Ankenævnet finder, at det på det foreliggende grundlag ikke er muligt at afgøre, om der foreligger misbrug under sådanne omstændigheder, at klageren hæfter for 8.000 DKK af tabet, jf. betalingslovens § 100, stk. 4. Ankenævnet finder, at en stillingtagen hertil forudsætter yderligere bevisførelse herunder i form af parts- og vidneforklaringer, der ikke kan ske for Ankenævnet, men som i givet fald må finde sted ved domstolene. Ankenævnet afviser derfor sagen, jf. Ankenævnets vedtægter § 5, stk. 3, nr. 4.
Ankenævnets afgørelse
Ankenævnet kan ikke behandle klagen.
Klageren får klagegebyret tilbage.