Indsigelse mod at hæfte for 8.000 kr. af en korttransaktion godkendt med MitID-app.
| Sagsnummer: | 305/2023 |
| Dato: | 22-12-2023 |
| Ankenævn: | Bo Østergaard, Jonas Thestrup Nielsen, Karin Sønderbæk, Morten Bruun Pedersen og Finn Borgquist. |
| Klageemne: |
Betalingstjenester - ikke-vedkendte hævninger
Betalingstjenester - spørgsmål om groft uforsvarlig adfærd |
| Ledetekst: | Indsigelse mod at hæfte for 8.000 kr. af en korttransaktion godkendt med MitID-app. |
| Indklagede: | Danske Bank |
| Øvrige oplysninger: | |
| Senere dom: | |
| Pengeinstitutter |
Indledning
Sagen vedrører indsigelse mod at hæfte for 8.000 kr. af en korttransaktion godkendt med MitID-app.
Sagens omstændigheder
Klageren var kunde i Danske Bank, hvor hun havde en konto og et Visa/Dankort.
Den 21. april 2023 blev der med klagerens betalingskort foretaget en kortbetaling på 10.174,28 kr. til en betalingsmodtager, E, som klageren ikke kan vedkende sig.
Om baggrunden for betalingen har klageren oplyst, at hun ikke har reageret på nogen phishingmails eller videregivet sine oplysninger til tredjemand, og at hun ikke godkendte noget med sin MitID-app. Hun spærrede straks sit betalingskort, da hun opdagede misbruget.
Banken har oplyst, at kortbetalingen blev godkendt med stærk kundeautentifikation i klagerens MitID-app -4261, som blev installeret på klagerens telefon den 22. december 2022, og at der ikke efterfølgende blev tilføjet yderligere enheder til MitID-appen.
Banken har endvidere oplyst, at klageren i forbindelse med godkendelse i sin MitID-app blev præsenteret for beløb og beløbsmodtager, og har fremlagt en udskrift fra en underleverandør til Nets, hvoraf fremgår, at følgende tekst blev vist i klagerens MitID-app i forbindelse med betalingen:
”Betal 10174,28 DKK til [E] fra kort xx8186”.
Banken har endvidere oplyst, at der ikke ud fra oplysningerne i sagen er noget, der tyder på hacking.
Klageren gjorde den 27. april 2023 indsigelse over for banken.
I forbindelse med en korrespondance vedrørende klagerens indsigelse oplyste klageren, at hun ikke havde overladt sin telefon til nogen.
Banken tilbageførte klagerens tab fratrukket 8.000 kr.
Parternes påstande
Den 19. maj 2023 har klageren indbragt sagen for Ankenævnet med påstand om, at Danske Bank skal tilbageføre det fulde beløb.
Danske Bank har nedlagt påstand om frifindelse, subsidiært afvisning.
Parternes argumenter
Klageren har anført, at hun ikke godkendte nogen anmodning med sit MitID, og at hendes MitID blev hacket. Hun har på grund af hacking fået spærret og oprettet et nyt MitID, og det er derfor ikke muligt at vise, at hun ikke godkendte anmodningen fra sin telefon.
Hun er generelt meget påpasselig, og reagerede ikke på nogen tydelige phishingmails eller videregav sine oplysninger til tredjemand. Ydermere modtog hun ikke notifikationer fra MitID-appen på sin telefon, og derfor har hun ikke kunnet modtage en notifikation og godkende den uden at være opmærksom på det. Den eneste mulighed er, at hun aktivt gik ind i sin MitID-app og godkendte, hvilket hun ved, at hun ikke gjorde.
Hun har ikke handlet groft uforsvarligt.
Banken har indført nye sikkerhedsforanstaltninger, hvor man skal kunne godkende, at man fysisk sidder på sit device. Dette må betyde, at der er andre end hende, der har oplevet at være blevet hacket.
Danske Bank har til støtte for frifindelsespåstanden anført, at transaktionen klageren har gjort indsigelse imod, er korrekt registreret og bogført.
Transaktionen er autoriseret med klagerens MitID-app, og dermed godkendt med stærk kundeautentifikation.
MitID-appen var installeret på klagerens telefon, der var i klagerens besiddelse på tidspunktet for godkendelse af betalingen, og det må på den baggrund lægges til grund, at klageren selv godkendte betalingen om end uforvarende.
Klageren må selv have videregivet sine kortoplysninger til tredjemand, der muliggjorde betalingsanmodningen, eventuelt ved phishing eller lignende svindel.
Det fremgik af godkendelsesteksten i klagerens MitID-app, at betalingsmodtageren var [E], og at beløbet på 10.174,28 kr. ville blive trukket på klagerens betalingskort, og således måtte det være klart for klageren, at hun var ved at foretage en betaling på 10.174,28 kr. til en ukendt modtager.
Klageren befandt sig ikke i en presset situation ved udlevering af sine kortoplysninger og godkendelse af betalingen.
Klageren muliggjorde således ved groft uforsvarlig adfærd betalingen, hvorfor klageren hæfter med 8.000 kr., jf. betalingslovens § 100, stk. 4.
Banken har allerede godtgjort klageren den del af beløbet, der overstiger 8.000 kr.
Banken har i øvrigt ikke handlet ansvarspådragende.
Til støtte for afvisningspåstanden har banken anført, at klagerens påstand om, at hun ikke foretog betalingen, ikke hænger sammen med det faktiske hændelsesforløb, herunder at betalingen blev autoriseret med klagerens MitiD-app, som var installeret på klagerens telefon, der var i klagerens besiddelse på tidspunktet for godkendelse af betalingen.
En vurdering af sagen vil derfor kræve yderligere bevisførelse i form af vidne- og/eller partsafhøring, der ikke kan ske for Ankenævnet, hvorfor Ankenævnet bør afvise at behandle klagen, jf. vedtægternes § 5, stk. 3, nr. 4.
Ankenævnets bemærkninger
Klageren var kunde i Danske Bank, hvor hun havde en konto og et Visa/Dankort.
Den 21. april 2023 blev der med klagerens betalingskort foretaget en kortbetaling på 10.174,28 kr. til en betalingsmodtager, E, som klageren ikke kan vedkende sig.
Om baggrunden for betalingen har klageren oplyst, at hun ikke reagerede på nogen phishingmails eller videregav sine oplysninger til tredjemand. Hun spærrede straks sit betalingskort, da hun opdagede misbruget.
Klageren har anført, at hun ikke videregav sine oplysninger til tredjemand, eller godkendte betalingen i MitID-appen.
Banken har anført, at klageren godkendte betalingen i MitID-appen, hvoraf fremgik beløb og beløbsmodtager.
Ankenævnet finder det godtgjort, at transaktionen skyldes tredjemands uberettigede anvendelse af klagerens betalingstjeneste.
Ankenævnet finder endvidere, at klagerens MitID var en personlig sikkerhedsforanstaltning, jf. betalingslovens § 7, nr. 31. Ved transaktionen blev der anvendt stærk kundeautentifikation, jf. betalingslovens § 7, nr. 30.
Efter betalingslovens § 100, stk. 4, nr. 2 og 3, hæfter betaleren med op til 8.000 kr. af tabet som følge af andres uberettigede anvendelse, hvis betalerens udbyder godtgør, at betaleren med forsæt har overgivet den personlige sikkerhedsforanstaltning til den, der har foretaget den uberettigede anvendelse, uden at forholdet er omfattet af stk. 5 (§ 100, stk. 4, nr. 2), eller at betaleren ved groft uforsvarlig adfærd har muliggjort den uberettigede anvendelse (§ 100, stk. 4, nr. 3).
Klageren har anført, at hun ikke godkendte en betaling på 10.174,28 kr. Banken har anført, at betalingen til betalingsmodtager, E, blev godkendt af klageren ved brug af hendes MitID.
Ankenævnet finder, at det på det foreliggende grundlag ikke er muligt at afgøre, om der foreligger misbrug under sådanne omstændigheder, at klageren hæfter med op til 8.000 kr., jf. betalingslovens § 100, stk. 4. Ankenævnet finder, at en stillingtagen hertil forudsætter en yderligere bevisførelse i form af parts- og vidneforklaringer, der ikke kan ske for Ankenævnet, men som i givet fald må finde sted ved domstolene. Ankenævnet afviser derfor sagen, jf. Ankenævnets vedtægter § 5, stk. 3, nr. 4.
Ankenævnets afgørelse
Ankenævnet kan ikke behandle klagen.
Klageren får klagegebyret tilbage.