Afgørelse

Indsigelse mod hæftelse for lån i forbindelse med bankens finansiering af køb af en computer i et oprindeligt trepartsforhold. Misbrug af NemID. Falsk.

Sagsnummer:	437 /2020
Dato:	21-03-2022
Ankenævn:	Henrik Waaben, Bjarke Svejstrup, Karin Duerlund, Morten Bruun Pedersen og Finn Borgquist
Klageemne:	Kreditaftaleloven - trepartsforhold Udlån - hæftelse
Ledetekst:	Indsigelse mod hæftelse for lån i forbindelse med bankens finansiering af køb af en computer i et oprindeligt trepartsforhold. Misbrug af NemID. Falsk.
Indklagede:	Express Bank
Øvrige oplysninger:
Senere dom:
	Pengeinstitutter

Klageren medhold

Indledning

Sagen vedrører indsigelse mod hæftelse for lån i forbindelse med bankens finansiering af køb af en computer i et oprindeligt trepartsforhold. Misbrug af NemID. Falsk.

Sagens omstændigheder

Klageren har oplyst, at hun den 31. august 2020 kl. 18.03 fik en sms, der fremtrådte som om, at den kom fra RegionMidt. Klageren har fremlagt en udskrift af sms’en, som havde følgende ordlyd:

”Statens Serum Institut har sendt dig ny post. Log på og læs den på corona-prøver.net”

Ved en kreditaftale af 31. august 2020 blev der optaget et lån på 22.251 kr. i Express Bank. Ifølge kreditaftalen, der blev underskrevet elektronisk med klagerens NemID, var klageren debitor på lånet, og klagerens navn og fødselsdato og –år var angivet. Lånet var ifølge kreditaftalen formidlet via sælger angivet som ”[sælger] - Webshop”. Af kreditaftalen fremgik blandt andet:

”… Ovennævnte kredittager har, i forbindelse med køb af macbook_pro_... for kr. 22.251,00 (kontantpris) hos [sælger] – Webshop fået bevilget et lån på 22.251,00 kr. af Ekspres Bank A/S, herefter kaldet Banken. Det er aftalt at der udbetales 22.251,00 kr., som forrentes og afdrages på følgende lånevilkår:

Det udbetalte beløb	22.251,00 kr.
Stiftelsesomkostninger	0,00 kr.
Beregnede omkostninger (adm.gebyr/ kreditgebyr/kontogebyr og opkrævningsgebyr)	1.295,00 kr.
Beregnede renter i lånets løbetid	3.810,78 kr.
Samlede kreditomkostninger	5.105,78 kr.
Det samlede beløb, der skal betales (summen af udbetalingen og de samlede kreditomkosninger)	27.356,78 kr.

…

Det udbetalte beløb, renter og eventuelle gebyrer tilbagebetales med 35 ydelser af 759,92 kr. samt en ydelse (sidste ydelse) af 759,58 kr. Ydelserne forfalder hver den 1. i måneden, første gang den 01-11-2020. …

…

Kredittager har valgt at betale via automatisk kortbetaling på MasterCard … -952.

….

Den ønskede udbetaling fordeles således, fratrukket eventuelle indfrielser, renter og betalte afdrag:

22.251,00 kr. som kredittager giver Banken fuldmagt til at udbetale til forhandleren.

… ”

Ved en e-mail til banken af 14. september 2020 kl. 9.34 oplyste klageren, at hun var blevet udsat for misbrug af sit NemID, og at der uden hendes medvirken var optaget et lån på 22.251 kr. hos banken. Klageren oplyste samtidig, at hun havde anmeldt sagen til politiet. I en e-mail til banken af samme dag kl. 12.01 til banken gjorde klagerens ægtefælle, M, på vegne klageren indsigelse mod lånet og anførte:

”Mandag den 31. august kl 18.03 fik [klageren] en SMS fra Region Midt, som tilbød covidtest. Hun skulle udfylde et medsendt skema og bl.a. udlevere sit nemid, men ikke fotoid

Kl ca 23 samme aften fik vi SMS fra [klagerens pengeinstitut] om oprettelse af Apple Pay - hvilket vi ikke gjorde, men tværtimod kontaktede [klagerens pengeinstitut] og fik kontoen spærret. Vi forhørte os næste dag hos Bankens kortservice, som kunne oplyse, at der var overført 30.000 fra [klagerens] visa til hendes mastercard. Så pengene blev ført tilbage. Der var ikke andre træk/overførsler eller ventende betaling, så vi åndede lettet op. Fik bestilt nyt nemid, nyt visa og mastercard.

Men mandag den 7. september blev vi ringet op af [en person, (herefter personen)] (jeg har hans navn,tlf,adresse) Han ville høre om [klageren] havde købt en computer til ca 23.000 kr, hvilket hun jo ikke havde. Vi anmeldte derfor sagen til politiet - j.nr….

Vi fandt så i løbet af de næste dage ud af, at det kunne være noget med et ekspreslån. Via skat.dk fandt vi ud af at I havde spurgt på [klageren] ved ca 22.40 tiden mandag den 31. Vi ringede derfor til Jer, for at høre om der var oprettet et lån i [klagerens] navn, hvilket der desværre var. Vi forklarede selvfølgelig sagen og gjorde indsigelse …

I mellemtiden har vi fra [personen] fået kopi af den faktura - [klagerens] navn – som computeren er købt hos [sælger] (22.251 kr)

Vi har overhovedet ingen anelse om hvem "forbryderen" er - udover at han har fået udleveret computeren i en postudlevering … inden han solgte den videre til [personen] …”

I en e-mail til banken af 16. september 2020 anførte M:

”… den 31. august modtog min kone en sms fra Region Midt .... Da hun er 74 år og meget ængstelig for corona logger hun på og frem dukker et skema (dette skema er åbenbart lukket nu. Vi kan i hvert fald ikke finde det igen) hvor hun tilsyneladende kan bestille tid til en covidtest (den fik hun aldrig). Det kan være i den sammenhæng at hun uvidende om det bedrageriske tilsyneladende kommer til at afgive personlige oplysninger. kl. 22.40 får vi en sms fra [klagerens pengeinstitut], der spørger om vi er ved at oprette Apple Pay ellers skal vi reagere. Da vi ikke kender noget til en sådan oprettelse, får vi kontoen spærret 23.13 … Så vi tror egtl at alt er godt indtil vi næste mandag den 7. september får en opringning fra [personen] (han har givet os oplysninger som vi har videregivet til politiet). Han har købt en computer til 17.000 kr. og sælger (det er ikke os) medsender kvittering, hvoraf fremgår, at min kone har købt en computer hos [sælger] finansieret ved et ekspres lån. Nu bliver vi begge ængstelige. Vi har ikke købt/solgt den videre og har han købt hælervarer. Så vi er helt forvirrede og går i gang med alt, bla. erfarer vi også, at vi nok kan finde oplysninger i min kones hændelseslog hos Skat. Og det kan vi. Her står at I har søgt oplysninger kl 18.31 og … kl. 21.42 …Vi vil altså meget gerne have en kopi af lånet, idet vi har mistanke om at der er givet forkerte oplysninger om mailadresse og tlf nr. …”

Banken fastholdt, at klageren hæftede for lånet.

Den 29. oktober 2020 indbragte klageren sagen for Ankenævnet.

Banken har under sagens forberedelse i Ankenævnet anført, at klageren har handlet via sælgers webshop, der er en dansk hjemmeside. Varen lægges i kurven på webshoppen, og klageren udfylder herefter selv sine oplysninger såsom navn, adresse, telefonnummer samt mailadresse. Dernæst vælges leveringsønske og til sidst vælges betaling.

Betaling kan ske ved kortbetaling eller finansiering via Express Bank. I nærværende sag har klageren valgt finansieringsløsningen via Express Bank, hvorefter der sker en ”redirect” til bankens låneansøgningsskema, som også udfyldes af klageren.

Såfremt kunden godkendes af banken, underskrives kreditaftalen, og kunden ender på en slutside med en bekræftelse af købet. Der foretages et tjek af, om det i kreditaftalen anførte kort er gyldigt, men ikke tjek af, om der er identitet mellem låntager og kortholder. Banken har anført, at det efter bankens opfattelse ikke er muligt at foretage sådan et tjek.

Banken har oplyst, hvilke oplysninger (navn, adresse, mailadresse og telefonnummer) der fremgik om låntager i låneansøgningen. Banken har endvidere fremlagt låneansøgningen.

Banken har oplyst, at klagerens NemID (brugernavn, password og nøgle) skulle anvendes tre gange i forbindelse med indgåelse af køb og kreditaftale:

1. Ved validering af oplysninger i låneansøgningen

2. Ved adgang til oplysninger i eSkat/skattemappen

3. Ved underskrift af kreditaftalen

Banken har anført, at klageren fik fremvist låneaftale samt betingelser på skærmen og skulle gennemgå dette, inden låneaftalen blev underskrevet med klagerens Nem ID. Der blev samtidig sendt en mail med dokumenterne til den opgivne mailadresse.

Klageren har oplyst, at det ikke var hendes mailadresse, telefonnummer, der fremgik af låneansøgningen. Det var ikke hendes Mastercard, der var anført i kreditaftalen. Klageren har oplyst, at hun er i besiddelse af en faktura fra sælger, hvor køber er anført med hendes navn og adresse men med forkert telefonnummer. Hun har også oplysninger fra transportfirmaet, hvoraf det fremgår, at varen blev afhentet uden fremvisning af korrekt billedlegitimation.

Parternes påstande

Klageren har nedlagt påstand om, at Express Bank skal frafalde sit krav mod hende vedrørende lånet.

Express Bank har nedlagt påstand om frifindelse.

Parternes argumenter

Klageren har anført, at hun har vært udsat for svindel og særdeles groft bedrageri. Der er tale om groft misbrug, når man udgiver sig for en anden for at tilegne sig personlige oplysninger til misbrug. Hun handlede i god tro, da hun fik tilbud om coronatest. Sms’en virkede yderst troværdig og autentisk og lignede til forveksling andre henvendelser fra RegionMidt. Hun får en del breve fra RegionMidt som følge af kronisk sygdom. Hun tænkte, at det var betænksomt at sende en sms om corona til hende, der er i risikogruppen. Da hun er 74 år og meget ængstelig for at blive smitte med corona, har hun åbenbart videregivet personlige oplysninger, så bedrageren kunne oprette et lån og købe en computer.

Hun er ikke i stand "til at oplyse om alle oplysninger, som blev udleveret", og hvad der faktisk skete, da bedrageren har slettet alt, og linket ikke eksisterer mere. Banken ved, at hun ikke har teknisk mulighed for at fremskaffe oplysningerne. Hun ved ikke, om banken kan genåbne slettede filer. Politiet kan muligvis, men har meddelt, at de er så overbebyrdede med disse sager, at hun står i "kø".

Det er forkert, når banken anfører, at hun i sin beskrivelse til banken af 14. september 2021 har anført, at ”Klager oplyste Indklagede om, at Klager udleverede sine NemID oplysninger, heriblandt et billede af sit nøglekort, efter Klager tilgik det fremsendte link.” I beskrivelsen står, at hun ”skulle udfylde et medsendt skema og bl.a. udlevere sit NemID, men ikke fotoid". Der står ikke, at hun har udleveret sit NemID eller et billede af sit nøglekort. Der står faktisk det modsatte!! Bankens gentagne påstande om, "at hun udfyldte et skema samt udleverede sit NemId", er forkert. Hun har kommenteret påstandene flere gange og yderligere anført, at der ikke er et foto af hendes NemId nøglekort i hendes fotoarkiv på iPad.

Hvis hun skulle have logget på sms’en fra RegionMidt (hvilket hun ikke skriver, at hun har gjort), er det ikke groft uagtsomt. Man kan ikke bestille tid til corona prøve uden at logge på med NemID. Hun blev udsat for et groft og efter politiets beskrivelse skrupelløst bedrageri, som skete under udnyttelsen af frygten for corona. Det er uforståeligt, at banken mener, at hun skal bevise sin uskyld. Politiet advarede i december 2020 mod fup-hjemmesider, hvor kriminelle forsøger at udnytte coronakrisen. Disse advarsler forelå ikke den 31. august 2020, hvor hun var helt forsvarsløs. Det er tydeligt, at NemID har sine svagheder.

Banken kunne have opdaget og undgået bedrageriet ved at vise større omhu. Banken burde have tjekket hendes oplysninger, da den oprettede lånet. Der har måske ikke engang været en person inde over lånet ved dets oprettelse. Hvad skal en 74-årig med penge i banken bruge et ekspreslån til? Hun blev ikke på noget tidspunkt kontaktet af banken, men opdagede, da hun gik ind på Skat, at banken havde søgt på hendes oplysninger. Hun ringede derefter til banken og fik at vide, at hun havde oprettet et lån. Hun anmodede forgæves banken om oplysninger om, hvornår og af hvem lånet var oprettet, herunder mailadresse og telefonnummer, men banken ville intet oplyse. Under klagesagen er det kommet frem, at bedrageren anvendte falsk telefonnummer, falsk mailadresse og falsk Mastercard konto.

En anden forretning, som var med i samme svindel, ringede. Apple Pay havde også kontrolforanstaltninger. Da bedrageren forsøgte at oprette Apple Pay, fik hun en sms til sit rigtige telefonnummer og fik dermed mulighed for at forhindre dette bedrag. Fire andre banker, som bedrageren har oprettet lån hos i hendes navn, eftergav uden tøven lånene.

Express Bank har anført, at der blev indgået en bindende aftale mellem klageren og banken. Aftalen blev tiltrådt ved brug af klagerens NemID, hvorved klagerens nøglekort, brugernavn og adgangskode blev anvendt.

Det fremgår af reglerne for anvendelse af NemID, at nøglekort, brugernavn og adgangskode er strengt fortrolige og personlige oplysninger, som ikke må udleveres eller oplyses til andre. Klageren oplyste banken om, at hun udleverede sine NemID oplysninger, heriblandt et billede af sit nøglekort, efter hun tilgik det fremsendte link. Det fremgår endvidere af klagerens beskrivelse, at der blandt andet blev sendt/udleveret et billede af hendes NemID. Klageren opfordres til at oplyse om alle oplysninger, som blev udleveret, og til at redegøre for oplysningerne, som blev afgivet i det medsendte skema.

Alle oplysninger, herunder telefonnummer, mailadresse og kontooplysninger blev deklareret og verificeret af klageren selv ved anvendelse af klagerens NemID. Banken og andre virksomheder har ikke mulighed for at verificere e-mails mv., hvorfor NemID blandt andet anvendes til at verificere de af klageren deklarerede oplysninger.

Hvis der er tale om misbrug af klageren NemID, har klageren udvist sådan en grad af uagtsomhed, at hun hæfter for låneoptagelsen. Klageren har handlet groft uagtsomt.

Der er ikke i nærværende sag fremsat indsigelser over for sælger vedrørende sælgers opfyldelse af aftalen. En kreditors eventuelle hæftelse i henhold til kreditaftaleloven er subsidiær, og klageren har pligt til løfte bevisbyrden for, at sælger ikke har opfyldt sine forpligtelser, jf. Kreditaftalelovens § 33, stk. 3.

Ankenævnets bemærkninger

Det var anført i kreditaftalen, at lånet blev anvendt til køb af en computer hos sælger, og at lånet blev formidlet af sælger. Låntager gav i kreditaftalen banken fuldmagt til at udbetale beløbet på 22.251 kr. til sælgeren.

Klageren fik den 31. august 2020 kl. 18.03 en sms, der fremtrådte som om, at den kom fra RegionMidt, med tilbud om coronatest. Klageren har fremlagt en udskrift af sms’en. Klageren har anført, at hun har været udsat for bedrageri, og at hun handlede i god tro, da hun fik sms’en. Hun kan, da hun loggede på som anført i sms’en, have kommet til at afgive personlige oplysninger, men hun uploadede ikke sit nøglekort.

I kreditaftalen var klagerens navn og fødselsdato og -år samt et betalingskort nummer angivet. I låneansøgningen var der endvidere angivet mailadresse og telefonnummer for låntager. Klageren har oplyst, at det ikke var hendes mailadresse, telefonnummer og betalingskort.

Afgørelsen af, om indehaveren bliver aftaleretligt forpligtet i tilfælde af, at tredjemand misbruger indehaverens digitale signatur, må træffes på grundlag af en konkret vurdering af det samlede hændelsesforløb. I denne vurdering indgår bl.a., under hvilke omstændigheder tredjemand er kommet i besiddelse af indehaverens nøgle (brugernavn, adgangskode og nøglekort til NemID), om indehaveren har haft kendskab til, at tredjemand er kommet i besiddelse af de pågældende oplysninger, og om indehaveren har gjort, hvad der var muligt for at forhindre misbrug, f.eks. ved at spærre sit NemID så hurtigt som muligt, jf. Højesterets kendelser af 8. januar 2019 og 17. november 2021.

Ankenævnet lægger til grund, at klageren efter modtagelsen af en sms den 31. august 2020 videregav sine NemID-oplysninger til en svindler, idet hun troede, at hun skulle logge ind med NemID for at se en besked fra RegionMidt om coronatest. Det lån, som sagen vedrører, blev optaget den 31. august 2020. Klageren spærrede sit NemID kort tid herefter, idet hun fra sit eget pengeinstitut fik meddelelse om, at der var søgt oprettelse af Apple Pay til hende.

Efter en samlet vurdering af sagens omstændigheder finder Ankenævnet, at der ikke er grundlag for at fastslå, at klageren har udvist en sådan grad af uagtsomhed, at hun hæfter for låneoptagelsen på et aftaleretligt grundlag.

Ankenævnets afgørelse

Express Bank skal inden 30 dage frafalde sit krav mod klageren vedrørende kreditaftale af 31. august 2020.

Klageren får klagegebyret tilbage.

Kontakt

Indsigelse mod hæftelse for lån i forbindelse med bankens finansiering af køb af en computer i et oprindeligt trepartsforhold. Misbrug af NemID. Falsk.