Indsigelse mod at hæfte for op til 8.000 DKK af korttransaktion godkendt i MitID.
| Sagsnummer: | 625/2024 |
| Dato: | 12-05-2025 |
| Ankenævn: | Kristian Korfits Nielsen, Karin Sønderbæk, Karin Duerlund, Morten Bruun Pedersen og Martin Hare Hansen. |
| Klageemne: |
Betalingstjenester - ikke-vedkendte hævninger
Betalingstjenester - spørgsmål om groft uforsvarlig adfærd |
| Ledetekst: | Indsigelse mod at hæfte for op til 8.000 DKK af korttransaktion godkendt i MitID. |
| Indklagede: | Jyske Bank |
| Øvrige oplysninger: | |
| Senere dom: | |
| Pengeinstitutter |
Indledning
Sagen vedrører indsigelse mod at hæfte for op til 8.000 DKK af korttransaktion godkendt i MitID.
Sagens omstændigheder
Klageren var kunde i Jyske Bank, hvor hun havde et Visa Debit kort -1077.
Den 4. december 2024 blev der med klagerens betalingskort gennemført en kortbetaling på 299 EUR svarende til 2.252,58 DKK til en betalingsmodtager, G. Klageren kan ikke vedkende sig betalingen.
Banken har oplyst, at betalingen blev godkendt med stærk kundeautentifikation i klagerens MitID-app nr. -6501, der var aktiveret 15. marts 2022. Banken har fremlagt en udskrift fra klagerens MitID log og en udskrift fra Nets med teksten, der blev sendt til MitID-app i forbindelse med godkendelse af betalingen. Af udskriften fra Nets fremgik:
”Betal 299,00 EUR til [betalingsmodtager G] fra kort xx1077.”
Af klagerens MitID-log fremgår blandt andet, at klageren på transaktionstidspunktet havde ét aktivt MitID identifikationsmiddel -6501, der blev aktiveret den 15. marts 2022. Endvidere fremgår:
”…
04-12-2024 14:34:37:336 CET, App – autentificering lykkedes …
04-12-2024 14:33:46.448 CET Godkendelse– startet kontrol og bekræftelse af allerede pålogget identitet …
04-12-2024 14:33:46.441 CET Godkendelse – indtastet bruger-ID …”
Banken har oplyst, at transaktionen var korrekt registreret og bogført, og at betalingen ikke var ramt af tekniske svigt eller andre fejl.
Den 4. december 2024 kl. 15:27 spærrede klageren kortet.
Den 5. december 2024 gjorde klageren indsigelse mod betalingen over for banken. I indsigelsesblanketten bekræftede klageren, at hun hverken havde deltaget i eller godkendt betalingen, og anførte yderligere:
”…
[P] … ville købe en jakke jeg havde til salg på Facebook. Han sendte et link til DAO jeg skulle gå ind på. som jeg blev bedt om at godkende med mitid, hvorefter der stod at jeg ville få pengene, men istedet blev der så reserveret dette beløb på min konto Efter jeg havde talt med banken, politianmeldte jeg sagen.. …”
Banken afviste at dække klagerens tab, da tabet var under 8.000 DKK. Klageren skrev herefter til banken:
”… jeg er ikke enig idet I kunne have spærret for reservering og ophævet den med det samme, hvilket I undlader selvom I kan gøre det. Så nej jeg er ikke enig eller tilfreds med jeres indsats eller afgørelse …”
Af bankens kortbestemmelser for Visa Debit kort fremgår blandt andet:
”… 3.1 Betaling
Inden du godkender en betaling eller en hævning, skal du altid sikre dig, at beløbet er korrekt på fx terminalen eller notaen. Betalinger, som du har godkendt, kan ikke tilbagekaldes. Se dog afsnit 7 og 8 vedrørende muligheden for tilbageførsel af en betaling. …”
Parternes påstande
Den 17. december 2024 har klageren indbragt sagen for Ankenævnet med påstand om, at Jyske Bank skal tilbageføre betalingen til hende.
Jyske Bank har nedlagt påstand om frifindelse, subsidiært afvisning.
Parternes argumenter
Klageren har blandt andet anført, at hun den 4. december 2024 blev lokket til at anvende MitID for at komme ind til DAO, hvilket desværre viste sig ikke at være DAO. Hun kunne se, at hendes konto blev ribbet for 2.252,58 DKK.
Hun kontaktede straks banken for at få den til at stoppe overførslen ved at blokere eller ophæve reservationen, hvilket ikke skete.
Hun har politianmeldt sagen, som er gået videre til NSK.
Banken har blot afvist hendes indsigelse. Banken har svigtet hende som kunde ved ikke at ophæve reservationen og tilbageføre beløbet til hendes konto. Banken skal dække beløbet, da den intet har gjort for at hjælpe på trods af omgående henvendelse fra hende.
Jyske Bank har til støtte for frifindelsespåstanden anført, at betalingen er korrekt registreret og bogført og ikke har været ramt af tekniske svigt eller andre fejl, jf. betalingslovens § 98, stk. 1. Betalingen blev godkendt med klagerens Visa Debit kort i klagerens MitID-app -6501, der blev aktiveret den 15. marts 2022. Klagerens MitID er en personlig sikkerhedsforanstaltning. Ved transaktionen blev der anvendt stærk kundeautentifikation.
Efter betalingslovens § 100, stk. 4, nr. 3, hæfter betaleren (medmindre videregående hæftelse følger af stk. 5) med op til 8.000 DKK for tab som følge af andres uberettigede anvendelse af betalingstjenesten, hvis betalerens udbyder godtgør, at den til betalingstjenesten hørende personlige sikkerhedsforanstaltning har været anvendt, og at betaleren ved groft uforsvarlig adfærd har muliggjort den uberettigede anvendelse.
Klageren har ved groft uforsvarlig adfærd muliggjort den uberettigede anvendelse og hæfter dermed med op til 8.000 DKK af tabet. Klageren har selv bekræftet, at hun har fulgt et link i en falsk besked, hvori hun fik oplyst, at hun skulle tilgå et link hos DAO, og at hun indtastede sine kortoplysninger og som følge heraf godkendte den i sagen omhandlede betalingstransaktion i sin egen MitID-app.
Klageren fik i godkendelsesbilledet i MitID-appen, netop forinden hun godkendte betalingen, forevist både beløbets størrelse samt navn på beløbsmodtager. Det fremgik klart af godkendelsesteksten, at klageren ikke var i færd med at godkende modtagelse af nogle penge, men derimod var i færd med at godkende og gennemføre den omhandlede betaling. Havde klageren læst detaljerne for betalingen, som de fremgik af godkendelsesteksten i MitID-appen, netop inden hun godkendte betalingen, kunne misbruget have været undgået.
Det følger af betalingslovens § 111, at en betalingsordre ikke kan tilbagekaldes efter, at den er modtaget af betalerens udbyder (banken). Betalingen blev modtaget af banken, da den blev godkendt med klagerens MitID-app den 4. december 2024 kl. 14:34. Fra dette tidspunkt var banken ikke berettiget til at tilbageføre betalingen, uanset, at betalingen i første omgang alene blev reserveret på klagerens konto og først blev trukket fra kontoen på et senere tidspunkt og dermed efter, at kortet blev spærret, jf. også kortbestemmelsernes punkt 3.1. Afsnit 7 og 8 i kortbestemmelserne vedrører en kundes ret til at gøre indsigelse mod en betaling, der er gennemført. Der er dermed ikke ret til at få annulleret en betaling.
Jyske Bank har til støtte for afvisningspåstanden anført, at der er en sådan usikkerhed om det faktisk passerede, herunder omstændighederne i forbindelse med betalingen, at en afgørelse forudsætter en bevisvurdering i form af parts- og vidneforklaringer, som ikke kan ske for Ankenævnet, men som i givet fald må finde sted for domstolene. Sagen bør derfor afvises i medfør af § 5, stk. 3, nr. 4, i Ankenævnets vedtægter.
Ankenævnets bemærkninger
Klageren var kunde i Jyske Bank, hvor hun havde et Visa Debit kort -1077.
Den 4. december 2024 blev der med klagerens betalingskort gennemført en kortbetaling på 299 EUR svarende til 2.252,58 DKK til en betalingsmodtager, G. Klageren kan ikke vedkende sig betalingen.
Klageren har oplyst, at hun blev kontaktet af en person, som ville købe en jakke, hun havde til salg. Personen sendte et link til DAO, som hun skulle gå ind på, og som hun blev bedt om at godkende med MitID, hvorefter der stod, at hun ville få pengene. I stedet blev der reserveret dette beløb på hendes konto. Hun rettede omgående henvendelse til banken.
Banken har anført, at kortbetalingen blev godkendt med stærk kundeautentifikation i klagerens MitID, og at klageren inden sin godkendelse blev præsenteret for følgende godkendelsestekst: ”Betal 299,00 EUR til [betalingsmodtager G] fra kort xx1077”.
Banken afslog at godtgøre klagerens tab, da hun hæftede med op til 8.000 DKK.
Ankenævnet finder, at det må lægges til grund, at det ikke var muligt at tilbageføre eller annullere transaktionen, efter den var godkendt, uanset tidspunkt for den efterfølgende spærring af betalingskortet og debitering af beløbet på klagerens konto.
Ankenævnet lægger til grund, at betalingstransaktionen er korrekt registreret og bogført og ikke ramt af tekniske svigt eller andre fejl, jf. betalingslovens § 98. Efter bestemmelsens stk. 2 er registrering af brug af et betalingsinstrument ikke i sig selv bevis for, at betaleren har godkendt transaktionen, at betaleren har handlet svigagtigt, eller at betaleren har undladt at opfylde sine forpligtelser, jf. betalingslovens § 93.
Ankenævnet finder, at klagerens MitID var en personlig sikkerhedsforanstaltning, jf. betalingslovens § 7, nr. 31. Ved transaktionen blev der anvendt stærk kundeautentifikation, jf. betalingslovens § 7, nr. 30.
Ankenævnet lægger til grund, at transaktionen skyldes tredjemands uberettigede anvendelse af klagerens betalingstjeneste.
Efter betalingslovens § 100, stk. 4, nr. 2 og 3, hæfter betaleren med op til 8.000 DKK af tabet som følge af andres uberettigede anvendelse, hvis betalerens udbyder godtgør, at betaleren med forsæt har overgivet den personlige sikkerhedsforanstaltning til den, der har foretaget den uberettigede anvendelse, uden at forholdet er omfattet af stk. 5, jf. betalingslovens § 100, stk. 4, nr. 2, eller at betaleren ved groft uforsvarlig adfærd har muliggjort den uberettigede anvendelse, jf. betalingslovens § 100, stk. 4, nr. 3.
Tre medlemmer – Kristian Korfits Nielsen, Karin Sønderbæk og Karin Duerlund – udtaler:
Efter de foreliggende oplysninger finder vi det godtgjort, at klageren må have godkendt betalingen på 299 EUR med sit MitID.
Vi finder, at banken har godtgjort, at klageren ved groft uforsvarlig adfærd har muliggjort den uberettigede anvendelse, da hun burde have reageret på teksten i MitID, hvor hun fik oplysninger om beløbet på 299 EUR og beløbsmodtageren G, og at klageren som følge heraf hæfter med op til 8.000 DKK.
Vi stemmer derfor for, at klageren ikke får medhold i klagen.
To medlemmer – Morten Bruun Pedersen og Martin Hare Hansen – udtaler:
Som ovenfor anført finder vi det godtgjort, at transaktionen skyldes tredjemands uberettigede anvendelse af klagerens betalingstjeneste.
Vi finder, at der er tale om organiseret professionel svindel.
Forbrugere har forskellige forudsætninger for at gennemskue professionel svindel. Det må aldrig blive utrygt for den almindelige forbruger at anvende de digitale løsninger og betalingstjenester, der er nødvendige for at fungere i vores samfund.
Vi finder derfor ikke, at klageren, ved at blive snydt af en professionel svindler, har udvist groft uforsvarlig adfærd. Det må forudsættes, at såfremt klageren havde forudsætninger for at gennemskue svindlen, ville klageren ikke have godkendt transaktionen.
Hertil bemærkes et generelt forbehold for så vidt angår systemfejl. Det kan ikke udelukkes, at der i sager med phishing, er tale om raffineret systemteknisk misbrug, hvor svindleren er lykkedes med at udvikle tekniske løsninger, som muliggjorde svindlen.
Vi finder ikke, at banken har godtgjort, at betingelserne for, at klageren hæfter efter de udvidede ansvarsbestemmelser i betalingslovens § 100, stk. 4, er opfyldt.
Vi finder, at banken er nærmest til at bære risikoen for, at det betalingssystem, forbrugerne anvender, er tilstrækkelig sikkert og tydeligt til at hindre svindel.
Da den til betalingstjenesten hørende personlige sikkerhedsforanstaltning har været anvendt, hæfter klageren for 375 DKK af tabet, jf. betalingslovens § 100, stk. 3.
Vi stemmer derfor for, at banken skal tilbageføre 1.877,58 DKK til klageren.
Sagen afgøres efter stemmeflertallet.
Ankenævnets afgørelse
Klageren får ikke medhold i klagen.