Indsigelse mod at hæfte for 8.000 kr. af korttransaktion godkendt med MitID.
| Sagsnummer: | 533/2023 |
| Dato: | 18-04-2024 |
| Ankenævn: | Bo Østergaard, Klaus Tougaard Kristensen, Mette Lindekvist Højsgaard, Morten Bruun Pedersen og Poul Erik Jensen. |
| Klageemne: |
Afvisning - bevis § 5, stk. 3, nr. 4
Betalingstjenester - ikke-vedkendte hævninger Betalingstjenester - spørgsmål om groft uforsvarlig adfærd |
| Ledetekst: | Indsigelse mod at hæfte for 8.000 kr. af korttransaktion godkendt med MitID. |
| Indklagede: | Danske Bank |
| Øvrige oplysninger: | |
| Senere dom: | |
| Pengeinstitutter |
Indledning
Sagen vedrører indsigelse mod at hæfte for 8.000 kr. af korttransaktion godkendt med MitID.
Sagens omstændigheder
Klageren var kunde i Danske Bank, hvor hun havde en konto med et tilknyttet betalingskort -623 samt netbank- og mobilbankadgang.
Den 29. december 2022 blev der i klagerens mobilbank foretaget en transaktion på 3.485 kr. til en ukendt betalingsmodtager, og klagerens betalingskort blev anvendt til to transaktioner på henholdsvis 15.000 kr. og 10.000 kr. til en betalingsmodtager, B. Klageren kan ikke vedkende sig transaktionerne.
Banken har oplyst, at den har godtgjort klageren for transaktionen foretaget i mobilbanken og for den ene korttransaktion. Nærværende sag omhandler herefter korttransaktionen på 10.000 kr., som klageren ikke kan vedkende sig.
Banken har oplyst, at transaktionen blev korrekt registreret og bogført, og at transaktionen blev godkendt med stærk kundeautentifikation i klagerens MitID-app.
Banken har fremlagt en udskrift af bankens MitID-oplysninger, hvoraf fremgår, at klageren havde et registreret MitID-identifikationsmiddel (A-5381), der blev installeret og aktiveret på en iPhone XS den 28. november 2021. Der er ikke efterfølgende blevet tilføjet yderligere enheder til MitID-appen.
Banken har fremlagt en udskrift fra Nets, hvoraf fremgår, at følgende tekst blev sendt til klagerens MitID-app i forbindelse med godkendelse af kortbetalingen:
”Betal 10000,00 DKK til [B] fra kort xx1623”
Banken har endvidere fremlagt Processing Details fra Nets, hvoraf blandt andet fremgår, at der den 29. december 2022 blev foretaget en betaling på 10.000 kr., som blev godkendt med MitID.
Den 2. januar 2023 blev kortbetalingen på 10.000 kr. bogført på klagerens konto.
Ved tro- og loveerklæring af 2. januar 2023 gjorde klageren indsigelse mod kortbetalingen på 10.000 kr. Hun oplyste heri, at hendes betalingskort var i hendes besiddelse på tidspunktet for den ikke-vedkendte transaktion.
Banken har oplyst, at klageren i forbindelse med sin indsigelse forklarede, at hun havde modtaget en SMS fra MobilePay med oplysning om, at hun skulle opdatere sine oplysninger via det medsendte link. Klageren klikkede på linket, hvor hun indtastede sine kortoplysninger og anvendte sit MitID.
Den 6. januar 2023 godtgjorde banken klagerens tab fratrukket 8.000 kr. svarende til 2.000 kr., da klageren selv havde godkendt betalingen med sin MitID-app.
Ved e-mail af samme dag klagede klageren over bankens afgørelse. Hun skrev blandt andet, at banken telefonisk havde oplyst, at det gennemførte beløb var tilbagekaldt og:
”…
Jeg ved godt at jeg har oplyst sikkerhedsforanstaltningen til misbrugeren, uden at indse eller burde have indset, at der var risiko for misbrug, og dermed selv burde dække et tab på 8000 kr.
…”
Ved e-mail af 8. februar 2023 afviste banken klagen med henvisning til klagerens forklaring om, at hun havde modtaget en SMS, der fremstod som værende fra MobilePay, hvori der var et link, som klageren trykkede på, hvorefter hun udfyldte sine kortoplysninger. Banken oplyste endvidere, at det ikke var muligt at tilbagekalde autoriserede kortbetalinger.
Ved e-mail af 12. februar 2023 skrev klageren blandt andet, at hun via det link, som hun modtog fra svindlerne, loggede ind med sit MitID, og at svindlerne herefter selv kunne godkende betalingerne, uden at hun vidste noget om det.
Parternes påstande
Den 3. september 2023 har klageren indbragt sagen for Ankenævnet med påstand om, at Danske Bank skal godtgøre hende 8.000 kr.
Danske Bank har nedlagt påstand om principalt frifindelse, subsidiært afvisning.
Parternes argumenter
Klageren har anført, at hun erkender, at hun oplyste sit MitID til svindleren, uden at hun indså eller burde have indset, at der var risiko for misbrug. Transaktionerne kunne dog have været undgået.
Hun blev ringet op af banken den 29. december 2022, da banken havde mistanke om svindel. Hun bekræftede, at det ikke var hende, der havde godkendt de omtalte transaktioner. Hun talte med tre forskellige medarbejdere i banken, der alle tre forsikrede hende om, at alle transaktioner var tilbagekaldt, at hendes betalingskort var spærret og at hendes netbank og mobilbank var nulstillet. Hun ændrede sit brugernavn til MitID og dermed skulle alt være i orden. Hun troede derfor, at banken havde fået stoppet alt.
Den 30. december 2022 ringede hun til banken for at gøre opmærksom på, at der stod en overførsel på 15.000 kr. til den 2. januar 2023, som hun ikke kunne vedkende sig. Banken forsikrede hende om, at overførslen ville blive afvist, da hendes kort var spærret. Det var ikke korrekt, for transaktionen gik igennem sammen med transaktionerne på 3.485 kr. og 10.000 kr.
Hun snakkede igen med banken, der spærrede hendes nye betalingskort, der blev sendt til hende, deaktiverede hendes MitID, som hun skulle have oprettet på ny i borgerservice, nulstillede hendes net- og mobilbank og smed dem af, der måtte have været online på hendes netbank og mobilbank. Det var først herefter, at der kom orden på det hele - da hendes MitID blev deaktiveret. Det skulle banken have gjort i første omgang.
Banken vidste allerede den 29. december 2022, at hendes MitID var blevet kompromitteret, og den burde have taget alle forholdsregler i brug. Gennem hele forløbet oplyste banken hende om, at alt var i orden, og at hendes penge var sikret, og at hun derfor ikke skulle foretage sig noget, da banken havde styr på det. Hun skal derfor ikke hæfte for de 8.000 kr., da hun i samme øjeblik, hvor hun blev opmærksom på misbrug af sit MitID, gjorde alt for at samarbejde med banken for at sikre sine penge. Det var en fejl fra bankens side, at pengene blev trukket fra hendes konto.
Danske Bank har til støtte for frifindelsespåstanden anført, at transaktionen blev korrekt registreret og bogført. Transaktionen blev autoriseret med klagerens MitID-app, og blev dermed godkendt med stærk kundeautentifikation.
MitID-appen var installeret på klagerens telefonen, der var i hendes besiddelse på tidspunktet for godkendelse af transaktionen. Det må derfor lægges til grund, at klageren selv autoriserede transaktionen, omend uforvarende.
Klageren videregav sine kortoplysninger til tredjemand, der muliggjorde betalingsanmodningen.
Det fremgik af godkendelsesteksten i klagerens MitID-app, at betalingsmodtageren var B, og at beløbet på 10.000 kr. ville blive trukket på hendes betalingskort. Det måtte således have været klart for klageren, at hun var ved at foretage en betaling på 10.000 kr. til en ukendt betalingsmodtager.
Klageren befandt sig ikke i en presset situation ved udlevering af sine kortoplysninger og ved godkendelse af transaktionen.
Klageren muliggjorde ved groft uforsvarlig adfærd transaktionen, hvorfor hun hæfter med 8.000 kr., jf. betalingslovens § 100, stk. 4.
Banken kan ikke genkende klagerens forklaring om, at hun ikke selv autoriserede transaktionen. Det er heller ikke bankens opfattelse, at den har ytret over for klageren, at transaktionen kunne tilbagekaldes.
Banken har i øvrigt ikke handlet ansvarspådragende.
Til støtte for afvisningspåstanden har banken anført, at klagerens påstand om, at hun ikke foretog transaktionen, ikke hænger sammen med det faktiske hændelsesforløb, hvor transaktionen blev autoriseret med hendes MitID-app, som var installeret på hendes telefon, der var i hendes besiddelse på tidspunktet for godkendelse af transaktionen.
En vurdering af sagen, vil derfor kræve yderligere bevisførelse i form af vidne- og/eller partsafhøring, der ikke kan ske for Ankenævnet, hvorfor Ankenævnet bør afvise at behandle klagen, jf. vedtægternes § 5, stk. 3, nr. 4.
Ankenævnets bemærkninger
Klageren var kunde i Danske Bank, hvor hun havde en konto med et tilknyttet betalingskort -623, netbank- og mobilbankadgang.
Den 29. december 2022 blev der med klagerens betalingskort foretaget en transaktion på 10.000 kr. til en betalingsmodtager, B, som klageren ikke kan vedkende sig.
Banken har oplyst, at kortbetalingen blev godkendt med sikkerhedsløsningen 3D Secure ved indtastning af kortoplysninger og ved godkendelse med klagerens MitID, og at transaktionen er korrekt registreret og bogført. Banken har fremlagt en udskrift fra Nets, hvoraf fremgår, at følgende tekst blev sendt til klagerens MitID-app i forbindelse med godkendelse af transaktionen: ”Betal 10000,00 DKK til [B] fra kort xx1623”.
Klageren har anført, at hun ikke godkendte transaktionen på 10.000 kr.
Ankenævnet lægger til grund, at betalingstransaktionen er korrekt registreret og bogført og ikke ramt af tekniske svigt eller andre fejl, jf. betalingslovens § 98. Efter bestemmelsens stk. 2 er registrering af brug af et betalingsinstrument ikke i sig selv bevis for, at betaleren har godkendt transaktionen, at betaleren har handlet svigagtigt, eller at betaleren har undladt at opfylde sine forpligtelser, jf. betalingslovens § 93.
Ankenævnet lægger til grund, at transaktionen skyldes tredjemands uberettigede anvendelse af klagerens betalingstjeneste.
Ankenævnet finder endvidere, at klagerens MitID var en personlig sikkerhedsforanstaltning, jf. betalingslovens § 7, nr. 31. Ved transaktionen blev der anvendt stærk kundeautentifikation, jf. betalingslovens § 7, nr. 30.
Efter betalingslovens § 100, stk. 4, hæfter betaleren med op til 8.000 kr. af tabet som følge af andres uberettigede anvendelse, hvis betalerens udbyder godtgør, at betaleren med forsæt har overgivet den personlige sikkerhedsforanstaltning til den, der har foretaget den uberettigede anvendelse, uden at forholdet er omfattet af stk. 5, jf. betalingslovens § 100, stk. 4, nr. 2, eller at betaleren ved groft uforsvarlig adfærd har muliggjort den uberettigede anvendelse, jf. betalingslovens § 100, stk. 4, nr. 3.
Ankenævnet finder, at det på det foreliggende grundlag ikke er muligt at afgøre, om der foreligger misbrug under sådanne omstændigheder, at klageren hæfter med op til 8.000 kr., jf. betalingslovens § 100, stk. 4. Ankenævnet finder, at en stillingtagen hertil forudsætter yderligere bevisførelse i form af parts- og vidneforklaringer, der ikke kan ske for Ankenævnet, men som i givet fald må finde sted ved domstolene. Ankenævnet afviser derfor sagen, jf. Ankenævnets vedtægter § 5, stk. 3, nr. 4.
Ankenævnets afgørelse
Ankenævnet kan ikke behandle klagen.
Klageren får klagegebyret tilbage.