Indsigelse mod korttransaktion vedrørende et køb hos en udenlandsk internetforretning gennemført som en ”3D Secure” betaling.

Sagsnummer:476/2019
Dato:26-06-2020
Ankenævn:Henrik Waaben, Anita Nedergaard, George Wenning, Ida Marie Moesby, Finn Borgquist.
Klageemne:Betalingstjenester - fjernsalgstransaktioner
Betalingstjenester - ikke-vedkendte hævninger
Ledetekst:Indsigelse mod korttransaktion vedrørende et køb hos en udenlandsk internetforretning gennemført som en ”3D Secure” betaling.
Indklagede:Bank Norwegian
Øvrige oplysninger: IF
Senere dom:
Pengeinstitutter

Klager medhold.

Indledning

Sagen vedrører indsigelse mod en korttransaktion vedrørende et køb hos en udenlandsk internetforretning gennemført som en ”3D Secure” betaling.

Sagens omstændigheder

Klageren var kunde i Bank Norwegian, hvor han havde en konto med et tilknyttet kreditkort.

Af en transaktionsliste indhentet via bankens leverandør, Evry, fremgik, at der søndag den 8. december 2019 kl. 11:29:44 blev autoriseret en transaktion på 28.540 SEK vedrørende køb hos en udenlandsk internetforretning, F, med klagerens kreditkort.

Det fremgik endvidere af oplysninger fra Evry, at der den 8. december 2019 kl. 11:29:27 blev sendt en engangskode til klagerens telefonnummer via sikkerhedsløsningen 3S Secure/Verified by Visa, og at købet blev gennemført ved indtastning af engangskoden. SMS-teksten var følgende:

”Engangskode [kode]. Til brug for køb på 28.540,00 SEK hos [forretningsnavn]. Kontroller at beløb og brugersted er korrekt.”

Klageren har fremlagt et skærmprint fra sin mobiltelefon af SMS-beskeder fra banken modtaget i perioden fra den 21. november 2019 til den 16. december 2019. Den omtalte SMS af 8. december 2019 fremgik ikke af printet.

Klageren har oplyst, at han opdagede, at beløbet var reserveret, da han den 8. december 2019 tjekkede kontoens saldo på sin mobiltelefon. Han kontaktede banken med det samme og bad om at få stoppet transaktionen. Banken spærrede hans kort og oplyste, at det ikke var muligt at standse transaktionen.

Den 11. december 2019 blev der trukket 20.615,33 kr. på klagerens konto i banken.

Den 12. december 2019 gjorde klageren indsigelse mod betalingen og anførte, at der var tale om tredjemandsmisbrug. Han oplyste samtidig, at han havde anmeldt forholdet til politiet.

Den 18. december 2019 afviste banken indsigelsen og anførte, at der ikke var tale om en uautoriseret transaktion i henhold til betalingslovens § 82.

Den 18. december 2019 indbragte klageren sagen for Ankenævnet.

Under sagens forberedelse bad Ankenævnets sekretariat banken om – eventuelt efter indhentelse af samtykke hertil fra klageren – via sin leverandør eller på anden måde forsøge at indhente oplysninger fra betalingsmodtageren om, hvad der var købt for det omtvistede beløb, hvem der havde afgivet ordren (herunder mailadresse), og til hvem og hvortil varen var sendt.

Banken oplyste, at den via Visa-systemet den 23. april 2019 bad F om kvittering og andre oplysninger i forbindelse med salget. Den 4. maj 2019 fik den oplyst af Evry, at F ikke ønskede at sende den ønskede dokumentation. F henviste til, at transaktionen var godkendt med Verified by Visa.

Banken har fremlagt sine Aftalevilkår for kreditkort – forbrugervilkår, hvoraf følgende blandt andet fremgik:

”… 11. Beskyttelse af kort og kode. Anmeldelse ved tab

Kortet er personligt og må ikke overdrages eller på anden måde overlades til eller bruges af andre end den person, det er udstedt til. Kortindehaveren skal sikre, at uvedkommende ikke får adgang til kortet. Kortindehaveren skal træffe alle rimelige forholdsregler for at beskytte de personlige sikkerhedsforanstaltninger (f.eks. PIN-kode), der er knyttet til kreditkortet, så snart kortet er modtaget. Den personlige kode må ikke gives til andre personer, heller ikke til politiet eller Bank Norwegian, og må under ingen omstændigheder opbevares sammen med kreditkortet. I øvrigt må koden ikke anvendes under forhold, hvor andre kan se den. Kortindehaveren bør huske sin kode. Hvis kortholder har viden eller mistanke om, at kreditkortet er tabt eller at uvedkommende har fået kendskab til PIN-koden, skal kortholder underrette Bank Norwegian eller Bank Norwegians udpegede samarbejdspartnere straks. …

16. Tilbagekaldelse af betalingstransaktioner

Kortindehaveren kan ikke afbryde eller tilbagekalde en betalingstransaktion, efter at kortindehaveren har givet sit samtykke til transaktionen eksempelvis gennem brug af PIN-kode eller underskrift.

20. Ansvar for uautoriseret brug af kreditkortet

Bank Norwegian har ansvaret for uautoriserede hævninger eller anden belastning (betalingstransaktioner), hvis intet andet fremgår af bestemmelserne nedenfor. Betalingstransaktionen betragtes som uautoriseret, hvis kortindehaveren ikke har godkendt den før eller efter, at transaktionen er gennemført.

 

Efter betalingstjenesteloven § 62 hæfter kortindehaveren for op til 1.100 DKK for tab ved uautoriserede betalingstransaktioner, der skyldes, at kreditkortet er bortkommet eller er blevet stjålet, hvis den personlige kode eller anden lignende sikkerhedsforanstaltning er anvendt. Det samme gælder betalingstransaktioner, der skyldes, at en uvedkommende person er kommet i besiddelse af et kreditkort, og det er mislykkedes for kortindehaveren at beskytte den nævnte personlige sikkerhedsforanstaltning, og den er blevet brugt.

Efter betalingstjenesteloven § 62 hæfter kortindehaveren med op til 8.000 DKK ved uautoriserede betalingstransaktioner, hvis tabet skyldes, at kortindehaveren gennem grov uagtsomhed har undladt at opfylde en eller flere af sine forpligtelser i overensstemmelse med denne aftale. Hvis tabet skyldes, at kortindehaveren har handlet svigagtigt eller med forsæt har undladt at opfylde sine forpligtelser i henhold til denne aftale, skal kortindehaveren bære hele tabet.

Kortindehaveren har ikke ansvar for tab, der skyldes brug af et kreditkort, der er bortkommet, stjålet eller er faldet i de forkerte hænder, efter at kortindehaveren har underrettet Bank Norwegian i overensstemmelse med punkt 9, hvis ikke kortindehaveren har optrådt svigagtigt. …”

Parternes påstande

Klageren har nedlagt påstand om, at Bank Norwegian skal tilbageføre den ikke vedkendte betaling.

Bank Norwegian har principalt nedlagt påstand om afvisning, subsidiært om frifindelse.

Parternes argumenter

Klageren har anført, at han ikke kan vedkende sig den omtvistede transaktion.

Han har ikke handlet hos F og opgivet sine kortoplysninger. Han har heller ikke modtaget en SMS fra banken med en engangskode og har derfor ikke indtastet en kode.

Han ved ikke, hvordan transaktionen er gennemført. Engangskoden fra ID-tyveriet var ikke på hans mobiltelefon. Han opdagede transaktionen ved en tilfældighed en dag, hvor han slet ikke havde åbnet sin computer og tilfældigt tjekkede kontoens saldo på sin mobiltelefon. Han kontaktede straks banken og bad den stoppe transaktionen. Banken spærrede hans kort, og han anmeldte herefter sagen til politiet.

Han undrer sig over, at banken ikke kunne stoppe beløbet eller undersøge, hvem der har modtaget pengene, når der tydeligt er tale om en kriminel handling.

Bank Norwegian har til støtte for afvisningspåstanden anført, at det kun vil være muligt at træffe afgørelse i sagen efter en bevisførelse i form af parts- og vidneforklaringer, der ikke kan ske for Ankenævnet, men i givet fald må finde sted ved domstolene. Ankenævnet bør derfor afvise sagen under henvisning til Ankenævnets vedtægter § 5, stk. 3, nr. 4.

Til støtte for frifindelsespåstanden har banken anført, at den ikke er forpligtet til at tilbageføre beløbet, idet den omtvistede transaktion er autoriseret af klageren med en engangskode sendt til hans mobiltelefon (3D Secure/Verified by Visa).

Det er ikke godtgjort, at der er tale om en uautoriseret transaktion. Kortnummer, udløbsdato og det trecifrede sikkerhedsnummer er oplyst. Transaktionen er autoriseret med en engangskode, som er fremsendt til klageren på SMS.

Klageren har oplyst, at han ikke har modtaget engangskoden på SMS. Det er bekræftet af Evry, at der er sendt en SMS til klageren. Der er benyttet samme telefonnummer, som til andre SMS’er sendt til klageren. Banken henholder sig til den fremsendte dokumentation fra Evry, uanset at klageren har fremsendt en oversigt, hvor SMS’en ikke fremgår.

Klageren har ikke oplyst, om der er andre, der har haft adgang til hans kortoplysninger eller mobiltelefon. Klageren har heller ikke fremlagt dokumentation for, hvordan en uvedkommende har fået adgang til indholdet i en SMS, der er sendt til hans mobiltelefon. Derfor har banken vurderet, at klageren selv har medvirket til og autoriseret. transaktionen. Dette er den mest nærliggende forklaring, når klageren ikke er kommet med andre forklaringsmuligheder.

Banken henviser til en beslutning fra Norges Høysteretts ankeutvalg af 24. marts 2017 om, hvornår bevisbyrden overgår fra banken til kunden.

Banken har forsøgt at fremskaffe yderligere dokumentation om købet fra betalingsmodtageren (F), men F har ikke ønsket at sende den udbedte dokumentation. F har ret til at nægte at fremsende dokumentation, når transaktionen er godkendt med 3D Secure/Verified by Visa.

Ankenævnets bemærkninger

Den 8. december 2019 blev der autoriseret en betalingstransaktion på 28.540 SEK svarende til 20.615,33 DKK vedrørende et køb hos en udenlandsk internetforretning, F, med klagerens betalingskort, der var udstedt af Bank Norwegian.

Ankenævnet lægger til grund, at den omtvistede betaling skete ved brug af kortnummer, udløbsdato og det trecifrede sikkerhedsnummer samt ved brug af sikkerhedsløsningen 3D Secure ved anvendelse af en SMS-kode sendt til klagerens telefonnummer.

Ankenævnet lægger endvidere til grund, at betalingstransaktionen er korrekt registreret og bogført og ikke ramt af tekniske svigt eller andre fejl, jf. lov om betalinger § 98. Efter bestemmelsens stk. 2 er registrering af brug af et betalingsinstrument ikke i sig selv bevis for, at betaleren har godkendt transaktionen, at betaleren har handlet svigagtigt, eller at betaleren har undladt at opfylde sine forpligtelser, jf. lov om betalinger § 93.

Klageren har bestridt at have anvendt den pågældende SMS-kode. Klageren har anført, at han ikke har foretaget det pågældende køb. Han har anmeldt forholdet til politiet.

Ankenævnet finder ikke grundlag for at betvivle klagerens oplysninger og finder det herefter godtgjort, at transaktionen skyldes tredjemands misbrug/uberettigede anvendelse af klagerens Visa/dankort, og at misbruget også omfatter SMS-koden. Det bemærkes herved, at Ankenævnet finder, at banken er nærmest til at bære risikoen for, at det ikke er muligt at få oplysninger fra F om købet.

Ankenævnet finder, at SMS-koden var en personlig sikkerhedsforanstaltning til kortet, jf. betalingslovens § 7, nr. 31. Ved transaktionen blev der anvendt stærk kundeautentifikation, jf. betalingslovens § 7, nr. 30.

Ankenævnet finder ikke grundlag for at fastslå, at klageren kunne have opdaget misbruget forud for den uberettigede anvendelse. Klageren hæfter derfor ikke for transaktionen, jf. betalingslovens § 100, stk. 8.

Ankenævnets afgørelse

Bank Norwegian skal inden 30 dage til klageren betale 20.615,33 DKK med valør fra datoen for debitering af transaktionen.

Klageren får klagegebyret tilbage.