Indsigelse mod at hæfte for 8.000 kr. af korttransaktion, der blev godkendt i MitID-app.
| Sagsnummer: | 124/2024 |
| Dato: | 21-10-2024 |
| Ankenævn: | Vibeke Rønne, Inge Kramer, Janni Visted Hansen, Rolf Høymann Olsen og Ann-Mari Agerlin. |
| Klageemne: |
Afvisning - bevis § 5, stk. 3, nr. 4
Betalingstjenester - ikke-vedkendte hævninger Betalingstjenester - spørgsmål om groft uforsvarlig adfærd |
| Ledetekst: | Indsigelse mod at hæfte for 8.000 kr. af korttransaktion, der blev godkendt i MitID-app. |
| Indklagede: | Nordea Danmark, filial af Nordea Bank Abp, Finland |
| Øvrige oplysninger: | |
| Senere dom: | |
| Pengeinstitutter |
Indledning
Sagen vedrører indsigelse mod at hæfte for 8.000 kr. af korttransaktion, der blev godkendt i MitID-app.
Sagens omstændigheder
Klageren var kunde i Nordea Danmark, hvor hun havde en grundkonto med kredit med et tilknyttet Visa/dankort.
Den 3. februar 2024 kl. 14:11 blev der foretaget en betaling på 13.094,59 kr. med klagerens betalingskort til en udenlandsk betalingsmodtager, F, som klageren ikke kan vedkende sig.
Banken har fremlagt en udskrift fra sit system og har oplyst, at det fremgår heraf, at betalingen blev godkendt med klagerens MItID- app -4262, der blev installeret og aktiveret på klagerens iPhone 14 den 24. februar 2023. Heraf fremgår endvidere, at følgende tekst blev vist i klagerens MitID-app forinden godkendelsen:
”Betal 13094,59 DKK til [F] fra kort xx0000”
Transaktionen blev bogført på klagerens konto den 6. februar 2024.
Banken har oplyst, at transaktionen var korrekt gennemført og ikke fejlbehæftet. Banken kan bekræfte, at bogføringen ligeledes var korrekt i bankens systemer.
Ved en tro- og loveerklæring af 6. februar 2024 gjorde klageren over for banken indsigelse mod betalingen på 13.094,59 kr. Banken har oplyst, at klageren ligeledes gjorde indsigelse mod en betaling på 89 kr., som viste sig at være en abonnementsbetaling, og at denne betaling ikke er omfattet af klagen.
Banken anmodede den 7. februar 2024 klageren om yderligere oplysninger i forbindelse med indsigelsen. I en mail til banken samme dag oplyste klageren, at hun ikke havde modtaget mails, SMS’er eller opkald om at give oplysninger, opdatere oplysninger mv. Banken har oplyst, at den endvidere telefonisk blev kontaktet af klagerens mand og har fremlagt et internt notat af 9. februar 2024, hvoraf blandt andet fremgik:
”[Klagerens] mand ringer med [klageren] i baggrunden: Hun har slet ikke godkendt noget. Hun har været inde på sin sundhedsplatform. tlf blinker nogen gange og virker ikke rigtig, men pludselig så virker den og hun godkender med face. …”
Banken godtgjorde klagerens tab fratrukket 8.000 kr. svarende til 5.094,59 kr.
Parternes påstande
Den 20. februar 2024 har klageren indbragt sagen for Ankenævnet med påstand om, at Nordea Danmark skal tilbageføre 8.000 kr. til hende.
Nordea Danmark har nedlagt påstand om frifindelse, subsidiært afvisning.
Parternes argumenter
Klageren har anført, at hun den 3. februar 2024 forsøgte at komme ind på sin sundhedsplatform med MitID på sin iPhone. Appen opførte sig mærkeligt og lukkede ned flere gange). Den 6. februar 2024 opdagede hun, at der var hævet 13.094,57 kr. på hendes konto til F, der var et rejseselskab. Hun tog straks ned i banken og fik spærret sit MitID samt sine to kort.
Hun gjorde herefter over for banken indsigelse mod betalingen. Banken har erkendt, at hun er blevet svindlet, men har anført, at hun selv har selv har godkendt beløbet. Hun har ikke godkendt betaling af to flybilletter, når hun ikke selv står på dem/ikke selv skulle med.
Hun har anmeldt sagen til politiet og talt med sit forsikringsselskab, der også finder afgørelsen urimelig.
Hun fastholder, at hun ikke har oplyst eller videregivet sine kortoplysninger. Hendes MitID er åbenbart blevet hacket i det øjeblik, hvor hun var inde for at åbne sin sundhedsplatform. Siden MitID blinkede flere gange og lukkede ned, og det skulle være i den forbindelse, at hun skulle have godkendt en transaktion på 13.094 kr. til F, der sælger afbudsrejser, må F have fået oplyst navn, mail m.m. til billetten, men dette vil F ikke oplyse hende om, og politiet vil heller ikke foretage sig noget.
Hun er uforstående over for, hvordan hendes MitID kunne hackes. Det burde ikke kunne ske og slet ikke på en iPhone.
Nordea Danmark har til støtte for frifindelsespåstanden anført, at transaktionen er korrekt registreret og bogført og ikke har været ramt af tekniske svigt eller andre fejl, jf. betalingslovens § 98.
Banken har dokumenteret, at transaktionen blev godkendt ved brug af klagerens MitID-app, der var installeret på klagerens telefon. Både betalingsmodtageren og beløbet, der blev godkendt, fremgik klart og tydeligt af teksten, der blev vist i klagerens MitID-app.
MitID er en personlig sikkerhedsforanstaling, jf. betalingslovens § 7, nr. 31, hvorfor der ved transaktionen blev anvendt stærk kundeautentifikation, jf. betalingslovens § 7, nr. 30.
Klageren har oplyst, at hun var inde på sin sundhedsplatform. Det er sandsynligt, at klageren i den forbindelse blev snydt til at klikke på et link eller en SMS, som udgav sig for at være klagerens sundhedsplatform.
Ved ikke at læse teksten i sin MitID-app inden godkendelsen, har klageren ved groft uforsvarlig adfærd muliggjort den uberettigede anvendelse, da hun burde have reageret på teksten i MitID-appen, hvor hun fik oplysninger om beløbet på 13.094,59 kr. og beløbsmodtager, hvorfor klageren som følge heraf hæfter med op til 8.000 kr., jf. betalingslovens § 100, stk. 4, nr. 3.
Hvis klageren havde udvist en større grad af forsigtighed, eksempelvis ved at have læst teksten i MitID-appen, så kunne betalingen have været forhindret. I den forbindelse kan det oplyses, at klageren i 2022 var udsat for samme type svindel, og at banken på daværende tidspunkt ligeledes godtgjorde klagerens tab fratrukket 8.000 kr., hvilket burde have skærpet klagerens opmærksomhed ved at godkende en betaling i sit MitID.
Banken havde ikke mulighed for at stoppe transaktionen. Det følger af betalingslovens § 111, stk. 1, at banken ikke kan tilbagekalde en transaktion efter, at instruksen om transaktionen er modtaget af banken (ved klagerens godkendelse af transaktionen i sin MitID-app).
Banken har til støtte for afvisningspåstanden anført, at klagerens påstand om, at hun ikke foretog transaktionen, ikke hænger sammen med det faktiske hændelsesforløb, herunder at transaktionen blev autoriseret med klagerens MitID-app.
En vurdering af sagen vil derfor kræve yderligere bevisførelse i form af vidne- og/eller partsafhøring, der ikke kan ske for Ankenævnet, hvorfor Ankenævnet bør afvise at behandle klagen, jf. vedtægternes § 5, stk. 3, nr. 4.
Ankenævnets bemærkninger
Klageren var kunde i Nordea Danmark, hvor hun havde en grundkonto med kredit med et tilknyttet Visa/dankort.
Den 3. februar 2024 kl. 14:11 blev der foretaget en betaling på 13.094,59 kr. med klagerens betalingskort til en udenlandsk betalingsmodtager, F, som klageren ikke kan vedkende sig.
Klageren har oplyst, at hun den 3. februar 2024 forsøgte at komme ind på sin sundhedsplatform med MitID på sin iPhone. Appen opførte sig mærkeligt og lukkede ned flere gange. Hun har ikke oplyst eller videregivet sine kortoplysninger, og hun har ikke godkendt en betaling til F.
Banken har oplyst, at betalingen blev godkendt med klagerens MitID-app -4262 og har fremlagt en udskrift fra sit system, hvoraf fremgår den tekst, som blev sendt til klagerens MitID-app i forbindelse godkendelse af betalingen.
Banken har dækket klagerens tab med fradrag af 8.000 DKK.
Ankenævnet lægger til grund, at betalingstransaktionen er korrekt registreret og bogført og ikke ramt af tekniske svigt eller andre fejl, jf. betalingslovens § 98. Efter bestemmelsens stk. 2 er registrering af brug af et betalingsinstrument ikke i sig selv bevis for, at betaleren har godkendt transaktionen, at betaleren har handlet svigagtigt, eller at betaleren har undladt at opfylde sine forpligtelser, jf. betalingslovens § 93.
Ankenævnet lægger til grund, at transaktionen skyldes tredjemands uberettigede anvendelse af klagerens betalingstjeneste, hvilket ikke er bestridt.
Ankenævnet finder, at klagerens MitID var en personlig sikkerhedsforanstaltning, jf. betalingslovens § 7, nr. 31. Ved transaktionen blev der anvendt stærk kundeautentifikation, jf. betalingslovens § 7, nr. 30.
Efter betalingslovens § 100, stk. 4, nr. 2 og 3, hæfter betaleren med op til 8.000 kr. af tabet som følge af andres uberettigede anvendelse, hvis betalerens udbyder godtgør, at betaleren med forsæt har overgivet den personlige sikkerhedsforanstaltning til den, der har foretaget den uberettigede anvendelse, uden at forholdet er omfattet af stk. 5 (§ 100, stk. 4, nr. 2), eller at betaleren ved groft uforsvarlig adfærd har muliggjort den uberettigede anvendelse (§ 100, stk. 4, nr. 3).
Ankenævnet finder, at det på det foreliggende grundlag ikke er muligt at afgøre, om der foreligger misbrug under sådanne omstændigheder, at klageren hæfter for 8.000 kr. af tabet, jf. betalingslovens § 100, stk. 4. Ankenævnet finder, at en stillingtagen hertil forudsætter yderligere bevisførelse i form af parts- og vidneforklaringer, der ikke kan ske for Ankenævnet, men i givet fald må finde sted ved domstolene. Ankenævnet afviser derfor sagen, jf. Ankenævnets vedtægter § 5, stk. 3, nr. 4.
Ankenævnets afgørelse
Ankenævnet kan ikke behandle klagen.
Klageren får klagegebyret tilbage.