Indsigelse mod at hæfte for korttransaktioner foretaget i hæveautomater. Kort ikke bortkommet.
| Sagsnummer: | 731/2023 |
| Dato: | 04-12-2024 |
| Ankenævn: | Bo Østergaard, Inge Kramer, Mette Lindekvist Højsgaard, Rolf Høymann Olsen og Kim Korup Eriksen. |
| Klageemne: |
Afvisning - bevis § 5, stk. 3, nr. 4
Betalingstjenester - ikke-vedkendte hævninger |
| Ledetekst: | Indsigelse mod at hæfte for korttransaktioner foretaget i hæveautomater. Kort ikke bortkommet. |
| Indklagede: | Ringkjøbing Landbobank |
| Øvrige oplysninger: | |
| Senere dom: | |
| Pengeinstitutter |
Indledning
Sagen vedrører indsigelse mod at hæfte for korttransaktioner foretaget i hæveautomater. Kort ikke bortkommet.
Sagens omstændigheder
Klageren var kunde i Nordjyske Bank (nu en del af Ringkjøbing Landbobank), hvor hun havde en konto med et tilknyttet betalingskort og net- og mobilbankadgang.
Klageren har oplyst, at hun ikke har MitID. Banken har oplyst, at klageren har haft MitID siden den 9. marts 2022.
I perioden fra 5. marts til 25. april 2022 blev der foretaget blandt andet 41 kontanthævninger fra klagerens konto på i alt 104.800 DKK, som klageren ikke kan vedkende sig.
Klageren har oplyst, at hun den 25. april 2022 blev opmærksom på, at der i perioden fra primo marts 2022 til ultimo april 2022 var blevet foretaget hævninger på hendes konto, som hun ikke kan vedkende sig. Hun henvendte sig derfor til banken og fik sit betalingskort spærret den 27. april 2022.
Banken har oplyst, at klageren ringede til banken den 26. april 2022 og spurgte, hvorfor hun ikke kunne hæve kontanter i et andet pengeinstituts hæveautomat, hvortil banken svarede, at en kontanthævning ikke kunne godkendes, hvis hun forsøgte at hæve flere penge end det, der var rådighed til på kontoen. Klageren var uforstående overfor, at der ikke var flere penge på hendes konto, og banken opfordrede hende til at undersøge dette, og de blev enige om at spærre hendes betalingskort.
Den 26. april 2022 blev klagerens betalingskort spærret.
Banken har oplyst, at klageren ringede til banken igen den 28. april 2022 og oplyste, at hun havde afklaret forholdet omkring hævningerne, hvorefter hun bad banken om at ophæve spærringen af kortet. Spærringen blev dog ikke ophævet.
Banken har endvidere oplyst, at klageren først den 5. maj 2022 meddelte banken, at der var kontanthævninger på hendes betalingskort, som hun ikke kunne vedkende sig. Banken meddelte klageren, at hun skulle gøre indsigelse mod transaktionerne via bankens hjemmeside, og at hun gerne måtte sende en skriftlig forklaring af forløbet, så banken kunne undersøge og behandle sagen.
Klageren gjorde ikke indsigelse via bankens hjemmeside.
Banken har oplyst, at den på grund af klagerens manglende indsigelse via hjemmesiden ikke har modtaget en beskrivelse af forløbet og en underskrevet tro- og loveerklæring.
Ved e-mails af 6. maj 2022 anmodede banken de pengeinstitutter, hvis hæveautomater, der blev brugt ved de ikke-vedkendte kontanthævninger, om at sikre deres videoovervågning. Banken fik ikke udleveret noget videoovervågningsmateriale. Banken har fremlagt svarene fra de pågældende pengeinstitutter.
Banken har oplyst, at klageren den 10. maj 2022 indleverede et håndskrevet dokument over de kontanthævninger, som hun ikke kunne vedkende sig. Af dokumentet fremgår 41 kontanthævninger på i alt 104.800 DKK foretaget med klagerens betalingskort i perioden fra 7. marts til 25. april 2022.
Banken har fremlagt en oversigt over samtlige kontanthævninger foretaget med klagerens betalingskort i perioden fra 5. marts til 3. maj 2022, hvoraf fremgår, at der i perioden blev foretaget 51 kontanthævninger, der alle blev godkendt med chip og PIN-kode. Heraf gjorde klageren ikke indsigelse mod ti kontanthævninger på i alt 40.700 DKK, der blev foretaget henholdsvis den 9., 14., 17. og 22. marts, den 5., 7., 8., 22. og 29. april samt den 3. maj 2022. De ti vedkendte kontanthævninger blev foretaget i hæveautomater tilhørende banken, hvorimod de 41 ikke-vedkendte kontanthævninger blev foretaget i hæveautomater tilhørende andre pengeinstitutter.
Banken har endvidere fremlagt fotos fra videoovervågningsmaterialet fra de af bankens hæveautomater, hvorfra der blev foretaget kontanthævninger den 7., 8., 22. og 29. april samt den 3. maj 2022. Banken har oplyst, at den gemte videooptagelserne, da den modtog besked fra klageren om de ikke-vedkendte transaktioner. Klageren har bekræftet, at hun selv foretog de pågældende ti kontanthævninger, og hun bestrider derfor ikke, at det er hende, der optræder på de fremlagte fotos.
Banken har fremlagt log-oplysninger over otte af de vedkendte kontanthævninger foretaget den 9., 14. 17. og 22. marts samt den 5., 7., 8. og 22. april 2022, hvoraf følgende tekst blandt andet fremgår:
”Receipt Eject OK.”
Klageren har oplyst, at hun ikke foretager onlinehandel. Banken har oplyst, at klageren foretager onlinehandel, blandt andet den 8. marts 2022 på 851,17 SEK.
Af en kontooversigt for klagerens konto fremgår, at der i perioden fra 4. marts 2022 til 25. april 2022 ud over de vedkendte og ikke-vedkendte kontanthævninger, også blev foretaget syv transaktioner i klagerens mobilbank og en række kortbetalinger, som klageren ikke har gjort indsigelse mod. Det fremgår endvidere, at der den 15. marts, og den 1. og 4. april 2022 blev foretaget flere transaktioner på klagerens konto, hvoraf nogle var vedkendte og andre var ikke-vedkendte. Fælles for transaktionerne var, at betalingskortet var til stedet, og at der blev anvendt PIN-kode. Af kontooversigten fremgår desuden forretningsadresse for alle transaktionerne.
Banken har fremlagt dokumentation for klagerens tilgang til sin net/mobilbank i perioden 5. marts 2022 til 25. april 2022, hvoraf fremgår, at klageren på 13 forskellige dage loggede ind på net/mobilbanken. Banken har oplyst, at det første man ser på net/mobilbanken, er en kontooversigt med tilhørende saldi.
Klageren har oplyst, at hun anmeldte sagen til politiet, men at efterforskningen blev indstillet, da politiet vurderede, at yderligere efterforskning ikke ville føre til sigtelser.
Ved brev af 3. oktober 2023 klagede klagerens advokat til banken.
Ved e-mail af 9. oktober 2023 svarede banken, at det ikke havde været muligt at behandle sagen, fordi klageren ikke havde lavet en indsigelse via bankens hjemmeside.
Klageren har oplyst, at hun anmodede politiet om aktindsigt i sagen, og at politiet den 12. april 2024 meddelte, at der var sket en fejl, idet politiet ikke havde indhentet videoovervågning fra de steder, hvor de ikke-vedkendte kontanthævninger blev foretaget. Politiet oplyste desuden til klageren, at banken havde meddelt, at den via internt videomateriale havde konstateret, at det var hende, der hævede kontanterne.
Banken har oplyst, at den meddelte politiet, at den havde konstateret, at det var klageren, der optrådte på de af banken indhentede videoovervågninger fra bankens egne automater i den pågældende periode.
Banken har fremlagt en udtalelse indhentet fra Nets i 2024 om kopiering af et betalingskorts chip:
”Man har ikke set forfalskede chipkort.
Der har været en påstået teknisk sårbarhed af EMV-protokollen – under hypotetiske laboratorieforhold – for den gamle og forældede SDA-chip (iflg. Cambridge University Paper 2010).
Selv med SDA-generationen er der ikke registreret falsk svindel. Den nuværende chip er DDA og CDA.
Chipkortet interagerer med terminalen og – i henhold til chipgrænsen og terminalkapaciteten – genererer et ARQC (Autorisation Request Cryptogram).
Valideringen af kryptogrammet fra Udstederen afviser inkonsekvente eller muligvis manipulerede (forfalskede/genafspillede) transaktioner.
Denne tekniske validering har vist sig at være effektiv mod forsøg med falske terminaltransaktioner (afsløret i Mexico og Brasilien).
DE (Data Element) 55 er en valideret streng, der er til stede i godkendelsen og clearingen af chiptransaktionerne og indeholder bl.a. ATC værdien som løbenummer for EMV transaktioner.”
Banken har oplyst, at den af sin kort-leverandør har fået oplyst, at chip-typen i klagerens betalingskort er DDA.
Klageren har fremlagt to artikler fra www.dr.dk af 17. maj 2003 ”Dankort-svindel eksploderet” og 27. november 2006 ”Sikkerhedsbrist i chipdankort”.
Banken har fremlagt en artikel fra www.dr.dk af 10. april 2008 ”Slut med magnetstribe i kontantautomater”.
Parternes påstande
Den 5. december 2023 har klageren indbragt sagen for Ankenævnet med påstand om, at Ringkjøbing Landbobank skal betale 104.800 DKK til hende.
Ringkjøbing Landbobank har nedlagt påstand om frifindelse, subsidiært afvisning.
Parternes argumenter
Klageren har blandt andet anført, at der er foretaget uautoriserede transaktioner med hendes betalingskort, og at banken hæfter for misbrug af kortet og skal erstatte de uberettigede kontakthævninger på i alt 104.800 DKK.
Hun bestrider, at de ikke-vedkendte kontanthævninger blev foretaget af hende selv eller af en tredjemand, som hun havde bemyndiget dertil. Hun har ikke videregivet sin PIN-kode til nogen. Hendes kort er blevet kopieret og derved misbrugt til at foretage uautoriserede hævninger sideløbende med, at hun selv brugte kortet. Det bestrides, at tidsrummene imellem de vedkendte og de ikke-vedkendte hævninger, skulle underbygge, at de ikke-vedkendte kontanthævninger er foretaget af hende selv.
Hun fik udstedt et nyt hævekort af banken efter, at hun primo maj 2022 henvendte sig til politiet for at anmelde misbruget. Hvis det kopierede kort var blevet genåbnet, kunne misbruget fortsætte, og det var derfor nødvendigt, at hun fik udstedt et nyt.
I Ankenævnets sag 460/2012 blev klagerens kort misbrugt. Klageren bad andelskassen spærre kortet og fremsendte dokumentation for de ikke-vedkendte hævninger. Klageren brugte også her i hele perioden selv kortet, og de uautoriserede transaktioner skete ved brug af klagerens PIN-kode. Henset til afgørelsens ordlyd må det lægges til grund, at der var tale om kontanthævninger fortaget ved brug af kortets chip. Ankenævnet traf afgørelse om, at andelskassen skulle erstatte klagerens tab. Ankenævnet lagde vægt på, at selvom klagerens PIN-kode var blevet anvendt ved transaktionerne, havde klagerens kort ikke været anvendt, fordi dette var blevet kopieret.
Hvorvidt der i 2006 skete blokering af aflæsning af betalingskortets magnetstribe i danske hæveautomater, har ikke relevans for sagen, da de ikke-vedkendte hævninger er foretaget som kontanthævninger ved brug af kortets chip.
Af artikel af 27. november 2006 fremgår, at der grundet et sikkerhedshul er mulighed for misbrug af et dankort med chip. Dette anerkendes af både PBS og Finansrådet. På baggrund af artiklen af 17. maj 2003 anses det som sandsynliggjort, at hendes PIN-kode er blevet afluret, og at kortet er blevet kopieret.
Banken henviser til tv-overvågningslovens § 4c, stk. 4, hvorefter optagelser skal slettes senest 30 dage efter, at optagelserne blev foretaget, men fremlægger til trods herfor billeder fra bankens egen videoovervågning. Det kan ikke udelukkes, at det er bankens meddelelse til politiet om, at det var hende, der foretog hævning i bankens automater, der førte til, at politiet ikke indhentede/forsøgte at indhente videoovervågning fra de ikke-vedkendte kontanthævninger i andre pengeinstitutter. Dette kan ikke komme hende til skade, tværtimod må det tillægges processuel skadevirkning for banken, at dokumentation i form af videoovervågning i forbindelse med efterforskningen ikke er blevet indhentet.
Efter lov om betalinger § 98 har banken bevisbyrden for, hvordan transaktionerne er foregået, herunder at hun har godkendt transaktionerne. Først når banken har løftet bevisbyrden, skal hun bevise, at transaktionerne ikke er foretaget af hende. Banken har ikke løftet denne bevisbyrde.
Det bestrides, at Ankenævnets behandling af klagen forudsætter yderligere bevisførelse, idet Ankenævnet tidligere har behandlet sager med tilsvarende omstændigheder, jf. sag 460/2012.
Hun har bevaret sin indsigelse imod de uautoriserede hævninger, jf. betalingslovens § 93, stk. 1, hvorefter indsigelse mod uautoriserede transaktioner skal ske snarest muligt efter, at den uautoriserede transaktion er konstateret, og senest 13 måneder efter debiteringsdatoen. At hun ikke skulle have overholdt bankens interne retningslinjer for indsigelse, fører ikke til anden retsstilling end efter betalingslovens § 93, stk. 1. Hun henvendte sig til banken i nær tidsmæssig sammenhæng med, at hun blev opmærksom på misbruget, og hun fremsendte overblik over de kontanthævninger, som hun ikke kunne vedkende sig. I sag 460/2012 fandt Ankenævnet, at klageren ikke havde udvist passivitet, fordi klageren havde kontaktet andelskassen omkring en redegørelse over transaktioner, der ikke var foretaget af klageren selv.
Hun holder opsyn med sin konto ved udskrift af kontokort i banken cirka hver 14. dag. Hun brugte kvitteringen fra bankens hæveautomat, når hun skulle se saldoen på sin konto, selvom oplysningerne var tilgængelige på hendes netbank. Det bestrides, at det forhold, at hun fik udskrevet en kvittering ved kontanthævninger, kan danne grundlag for, at det lægges til grund, at hun blev bekendt med misbruget tidligere.
Ringkjøbing Landbobank har til støtte for frifindelsespåstanden anført, at der ikke er tale om uautoriserede transaktioner henset til, at klageren har oplyst, at hun hele tiden har haft sit betalingskort på sig og henset til, at der imellem de ikke-vedkendte transaktioner er gennemført transaktioner, som hun bevisligt selv har gennemført. Banken skal derfor ikke refundere klageren noget beløb.
De ikke-vedkendte kontanthævninger blev foretaget med klagerens eget kort af enten klageren selv eller af en tredjemand, som hun havde bemyndiget dertil. Ud fra kontooversigten kan det ses, at der flere gange var både geografisk og tidsmæssig sammenhæng mellem de vedkendte og de ikke-vedkendte transaktioner. Det har formodningen imod sig, at klagerens betalingskort løbende skulle have været i tredjemands besiddelse for derefter at blive leveret tilbage til klageren for efterfølgende igen at blive anvendt af tredjemand osv. Der gik kort tid mellem mange af de vedkendte og ikke-vedkendte transaktioner.
Klageren anvendte sin mobilbank løbende gennem perioden for de pågældende ikke-vedkendte kontanthævninger til blandt andet at overføre penge til andre konti. Klageren har således haft mulighed for at holde opsyn med sin konto gennem perioden, og hun har dermed kunnet udvise agtpågivenhed gennem hele perioden.
Det fremgår af log-oplysningerne, at klageren valgte at få udskrevet en kvittering ved de vedkendte kontanthævninger i bankens automater. Kvitteringerne viser blandt andet kontoens saldo og de fem seneste posteringer. Ved klagerens kontakthævninger den 9. marts 2022 kl. 11:15, den 14. marts 2022 kl. 13:25, den 17. marts 2022 kl. 13:10, den 22. marts 2022 kl. 11:41, den 5. april 2022 kl. 9:55 og den 7. april 2022 kl. 10:31 kunne hun således se saldoen på sin konto samt de seneste fem posteringer og dermed én eller flere af de ikke-vedkendte kontanthævninger. Dette burde have givet klageren anledning til at kontakte banken langt tidligere, hvis der var tale om ikke-autoriserede transaktioner.
På baggrund af bankens videoovervågningsmateriale samt det faktum, at klagerens betalingskort løbende blev anvendt af hende selv imellem de ikke-vedkendte kontanthævninger, er det bankens konstatering, at klageren selv må have haft kortet i besiddelse mellem de ikke-vedkendte transaktioner og i perioden efter, og at kontanthævningerne blev foretaget af klageren selv, eller af en tredjemand, som klageren havde bemyndiget hertil.
Efter tv-overvågningslovens § 4 c, stk. 4, skal optagelser slettes senest 30 dage efter, at optagelserne er foretaget. Da de pågældende kontanthævninger er foretaget i perioden mellem 7. marts og 25. april 2022, er det over 30 dage siden, og optagelserne er derfor ikke længere tilgængelige. Banken har i øvrigt ikke krav på at få optagelser fra andre pengeinstitutter udleveret.
Det fremgår ikke eksplicit af sag 460/2012, hvorvidt sagen omhandlede kontanthævninger godkendt ved brug af chip i en hæveautomat eller betalingstransaktioner godkendt ved brug af kortets magnetstribe eller på anden vis. I sagen henviser Ankenævnet til ”transaktionerne”, og det kan derfor ikke uden videre lægges til grund, at der var tale om kontanthævninger foretaget ved brug af chip. Alle transaktioner i sagen blev i øvrigt foretaget i udlandet, hvorimod alle de ikke-vedkendte korttransaktioner i nærværende sag blev foretaget ved brug af kortets chip. Sagen er ikke relevant.
I 2006 blev aflæsning af betalingskortets magnetstribe blokeret i alle danske hæveautomater, så disse fremover kun kunne aflæse kortets chip. Dette blev iværksat for at forhindre/stoppe misbrug af kopierede betalingskortmagnetstriber i hæveautomater. Ifølge Nets er der ingen registrerede tilfælde af forfalskede chipkort eller påståede sårbarheder vedrørende EMV-protokollen for DDA, som er chip-typen i klagerens kort. Desuden sker der ved transaktioner i danske hæveautomater altid anvendelse af chipfunktionen, hvorfor alle transaktioner skal godkendes med chip og PIN-kode. Klagerens påstand om kopiering af hendes kort må derfor tilbagevises. Klagerens henvisning til en artikel fra 2006 er irrelevant, da der siden 2006 har været en teknologisk og teknisk udvikling.
Til støtte for afvisningspåstanden har banken anført, at Ankenævnet bør afvise at behandle klagen, idet dette forudsætter bevisførelse i form af parts- og vidneafhøringer, der ikke kan ske for Ankenævnet, men i givet fald må finde sted ved domstolene, jf. Ankenævnets vedtægter § 5, stk. 3, nr. 4.
Endvidere bør Ankenævnet afvise at behandle klagen, da klageren aldrig har indleveret en egentlig indsigelsesblanket, og da klagen aldrig har været behandlet af bankens klagefunktion, jf. Ankenævnets vedtægter § 5, stk. 3, nr. 1.
Ankenævnets bemærkninger
Klageren var kunde i Nordjyske Bank (nu en del af Ringkjøbing Landbobank), hvor hun havde en konto med et betalingskort og net- og mobilbankadgang.
I perioden 5. marts til 25. april 2022 blev der foretaget blandt andet 41 kontanthævninger fra klagerens konto på i alt 104.800 DKK, som hun ikke kan vedkende sig.
Klageren har oplyst, at hun den 25. april 2022 blev opmærksom på, at der i perioden primo marts til ultimo april 2022 var blevet foretaget hævninger på hendes konto, som hun ikke kan vedkende sig. Hun henvendte sig i den forbindelse til banken og fik sit betalingskort spærret.
Banken har oplyst, at klageren ringede til banken den 26. april 2022 og spurgte, hvorfor hun ikke kunne hæve kontanter i et andet pengeinstituts hæveautomat, hvortil banken svarede, at hun ikke kunne hæve flere penge end det, der var rådighed til på kontoen. Klageren ville undersøge, hvorfor der ikke var flere penge på kontoen, og hun ringede tilbage til banken den 28. april 2022 og oplyste, at hun havde afklaret forholdet omkring hævningerne og bad banken ophæve spærringen af kortet.
Banken har endvidere oplyst, at klageren først den 5. maj 2022 kontaktede banken og meddelte, at der var foretaget kontanthævninger på hendes betalingskort, som hun ikke kunne vedkende sig. Banken meddelte klageren, at hun skulle gøre indsigelse mod transaktionerne via bankens hjemmeside. Klageren gjorde ikke indsigelse via bankens hjemmeside, men indleverede den 10. maj 2022 et håndskrevet dokument over de kontanthævninger, som hun ikke kunne vedkende sig.
Ankenævnet lægger til grund, at de ikke vedkendte transaktioner er korrekt registreret og bogført og ikke ramt af tekniske svigt eller andre fejl. Af betalingslovens § 98 følger, at registrering af brug af et betalingsinstrument ikke i sig selv er bevis for, at betaleren har godkendt transaktionen, at betaleren har handlet svigagtigt, eller at betaleren har undladt at opfylde sine forpligtelser, jf. betalingslovens § 93.
Transaktionerne skete ved brug af chip og PIN-kode. Ved transaktionerne blev der anvendt stærk kundeautentifikation, jf. betalingsloven § 7, nr. 30.
Afgørelsen af sagen beror på, om der må antages at være tale om tredjemandsmisbrug. Ankenævnet finder, at en stillingtagen til sagen forudsætter yderligere bevisførelse i form af parts- og vidneforklaringer, der ikke kan ske for Ankenævnet, men i givet fald må finde sted ved domstolene. Ankenævnet afviser derfor sagen, jf. Ankenævnets vedtægter § 5, stk. 3, nr. 4.
Ankenævnets afgørelse
Ankenævnet kan ikke behandle klagen.
Klageren får klagegebyret tilbage.