sou · GTB3108 · 2006-01-01 00:00:00 — Enligt ombudsmannen innebär grov oaktsamhet en allvarligare grad av vårdslöshet än slarv (we view gross negligence as being more than carelessness – and bordering on recklessness). Nedan följer sammandrag av några ärenden angående obehörig användning av kontokort som har avgjorts av ombudsmannen. H blev bestulen på sin plånbok innehållande bl.a. ett kontokort och en lapp på vilken koden var antecknad.43 Ett obehörigt uttag om £ 750 gjordes, av vilket belopp £ 250 fanns på kontot och £ 500 innebar en övertrassering. Banken ansåg att H skulle ansvara för 42Financial , , . 43Financial , , . hela beloppet, eftersom hon genom att förvara koden omaskerad tillsammans med kortet hade varit grovt oaktsam. Ombudsmannen ansåg också att H varit grovt oaktsam, och att hon därför i enlighet med Banking Code skulle ansvara för de £ 250 som fanns på kontot. Övertrasseringen innebar dock att en credit token skapades beträffande detta belopp, vilket innebar att CCA blev tillämplig. Eftersom CCA inte ställer något krav på aktsamhet skulle H endast ansvara för £ 50 av det övertrasserade beloppet på £ 500. Hon skulle således ansvara med sammanlagt £ 300 av det obehörigen disponerade beloppet. Koden dåligt maskerad? Fyra obehöriga kontantuttag om sammanlagt £ 250 gjordes med användning av T:s kontokort, som förvarades i hans stulna plånbok.44 Bankens transaktionslista visade att rätt kod hade knappats in vid andra försöket. Ett tredje försök hade misslyckats, eftersom maximigränsen för uttag per dag då hade överskridits. T uppgav att han förvarat koden i sin plånbok, men väl maskerad. Ombudsmannen fann klarlagt att T i och för sig utsatts för bedrägeri. Eftersom T sällan använder sitt kort och då tjuven redan vid andra försöket lyckats knappa in rätt kod ansåg ombudsmannen att T måste ha förvarat en lapp med koden i sin plånbok, antingen omaskerad eller dåligt maskerad. Banken kunde därför hålla honom ansvarig med hela det obehörigt disponerade beloppet. Bevisbördan för att grov oaktsamhet har förelegat Obehöriga kontantuttag hade skett från N:s konto med använd- ning av hans kontokort.45 N bestred att han själv gjort uttagen och hävdade att han befunnit sig i hemmet för uttagen. N anförde vidare att han inte hade lämnat ut kortet eller koden, och att han inte heller hade skrivit ned koden. Banken hävdade att N agerat grovt oaktsamt genom att låta en obehörig person på något sätt få kännedom om hans kod. Ombudsmannen tog sin utgångspunkt i Banking Code, som anger att det är banken som har bevisbördan för att grov oakt- 44Financial , , , nr 09/09. 45Financial , , , nr 25/11. samhet har förelegat. Ombudsmannen ansåg inte att banken hade bevisat detta. Vissa omständigheter tydde snarare på att någon familjemedlem gjort uttaget utan N:s vetskap. Frågan om en kontohavares ansvar vid obehörig användning av kreditkort regleras i genom den federala lagen Consumer från 1968.46 Den del av lagen som avser bl.a. obehörig användning av kreditkort går under benämningen Truth in Lending Act och infördes . Den närmare regleringen sker dock genom en föreskrift, den s.k. Regulation Z, som har utfärdats av of System. Regulation Z tillämpas på kredit som kreditgivare erbjuder konsumenter för enskilt bruk. Föreskriften är tvingande till konsumentens förmån. Enligt Regulation Z, Section 226.12(b), skall kortinnehavarens ansvar vid obehörig användning av ett kreditkort vara begränsat till högst $ 50, eller värdet av den obehöriga transaktionen i fall detta belopp understiger $ 50. Med obehörig användning avses använd- ning som sker utan kortinnehavarens samtycke och utan att transaktionen är till nytta för denne (Unauthorized use means the use of a credit card by a person, other than the cardholder, who does not have actual, implied, or apparent authority for such use, and from which the cardholder receives no benefit. Några av förutsättningarna för att kortinnehavaren skall kunna hållas ansvarig med $ 50 är att kortföretaget tydligt har informerat kortinnehavaren om att ett sådant ansvar kan göras gällande och att fråga är om ett allmänt accepterat kreditkort. Kortinnehavaren kan alltså inte hållas ansvarig med ett högre belopp än $ 50, även om denne agerat oaktsamt eller underlåtit att spärra kortet efter att det förlorats. Genom Regulation Z förbjuds kortutgivare att tillsända en konsument kreditkort som konsumenten inte särskilt har beställt. 46 15 U.S.C. § 1631 (1968), § 133. Krav ställs också på att kortutgivaren med jämna mellanrum skall tillsända konsumenten transaktionslistor. Obehörig användning av kontokort som inte ger innehavaren möjlighet till kredit regleras genom den federala lagen Transfer Act (EFTA) från 1978.47 Den närmare regleringen sker även här genom en föreskrift, den s.k. Regulation E, som har utfärdats av of System. Föreskriften är tvingande till konsumentens förmån och syftar huvudsakligen till att skydda konsumenten i samband med elektroniska betalningsöverföringar. Föreskriften reglerar bl.a. transaktioner med kontokort som inte innefattar kredit och betalningar som görs med Internetbank. Enligt Regulation E, Section 205.6(b), skall konsumentens ansvar för obehöriga transaktioner inte överstiga $ 50 eller den faktiska förlusten i fall denna är lägre än $ 50, om konsumenten har underrättat det finansiella institutet från att denne upptäckt förlusten av sitt access device. Med detta begrepp avses ett kort, en kod eller ett något annat medel med vilket innehavaren kan initiera en elektronisk betalningsöverföring. Upptäcks förlusten av kortet eller koden , skall således anmälan ha skett , om samtliga är bankdagar. Har konsumenten inte underrättat det finansiella institutet från att denne upptäckt förlusten, kan konsumenten hållas ansvarig för obehöriga transaktioner med högst det belopp som disponerats från och med utgången av efter upptäckten av förlusten och fram till dess att spärranmälan görs. Konsumenten kan härutöver hållas ansvarig med $ 50, eller det belopp som disponerats obehörigen under de två första bank- dagarna i fall detta belopp är lägre än $ 50. Det sammanlagda belopp som konsumenten kan hållas ansvarig med får dock inte överstiga $ 500. Har det finansiella institutet sänt konsumenten ett utdrag över transaktioner och finns de obehöriga transaktionerna angivna där, måste konsumenten underrätta det finansiella institutet från att utdraget erhölls. Sker inte detta kan konsumenten 47 15 U.S.C. § 1693 (1978), § 909. hållas ansvarig utan beloppsbegränsning för obehöriga transak- tioner som görs från och efter att utdraget erhållits fram till dess att spärranmälan sker. De två förstnämnda bestämmelserna om ansvar för konsu- menten skall endast tillämpas när den obehöriga transaktionen har skett med användning av kort eller kod. Har den obehöriga transaktionen skett utan att kort presenterats eller kod knappats in, t.ex. vid ett distansavtal, är konsumenten endast ansvarig om denne inte underrättar det finansiella institutet från det att kontoutdrag som omfattar den obehöriga transaktionen har erhållits. Inte heller Regulation E anger således att kortinnehavaren skall ansvara för obehöriga transaktioner vid oaktsam hantering av kort eller kod, annat än om spärranmälan sker senare än efter upptäckten av förlusten. Konsumentens ansvar för obehöriga transaktioner kan inskränkas ytterligare genom delstatslagstiftning eller avtal. Anmäler en konsument att ett kontokort har använts för en obehörig transaktion, skall det finansiella institutet enligt Section 205.11(c) genast (promptly) utreda frågan och skall ta ställning till om fråga varit om obehörig använd- ning. Efter att utredningen avslutats skall det finansiella institutet meddela konsumenten vilket resultat man kommit fram till. Visar utredningen att en obehörig transaktion har skett skall det finansiella institutet inom en bankdag efter att utredningen har avslutats korrigera den felaktiga överföringen. Kan utredningen inte avslutas kan utredningstiden förlängas för spärranmälan, men då måste det finansiella institutet kreditera kortinne- havarens konto med det ifrågasatta beloppet, med avdrag för $ 50. Är fråga om en transaktion i POS-terminal, skall utredningen vara avslutad . Visa åtog sig 1997 att i vissa fall av obehörig användning av kontokort tillämpa en mer konsumentvänlig policy än vad som följer av Regulation E.48 Enligt åtagandet skulle en konsument som anmäler förlusten av sitt hållas helt 48 Visa, Visa Expands Consumer Protections, pressmeddelande, . skadelös vid obehörig användning av kortet. Skedde spärranmälan senare än efter förlusten skulle konsumentens ansvar vara begränsat till högst $ 50. Visa åtog sig att erbjuda konsumenter som drabbats av obehöriga transaktioner provisorisk kredit. Denna policy ändrades . Enligt Visas nya policy, som alltjämt är tillämplig, skall kortinnehavaren hållas helt skadelös för obehöriga transaktioner, s.k. zero liability.49 Något krav på att spärranmälan skall ske inom ställs alltså inte längre. Enligt Visa ger policyn complete liability protection for all your card transactions that take place within the Visa system. Policyn är dock av begränsad räckvidd. Den omfattar nämligen inte kontantuttag från uttagsautomat eller transaktioner som sker med användning av personlig kod, om verifieringen av koden inte görs inom VISA-systemet. Policyn gäller endast som har utfärdats i . MasterCard åtog sig också att följa en policy som i vissa situationer är mer konsumentvänlig än Regulation E. Enligt denna policy skulle en konsument som spärranmäler sitt kort inom från förlusten hållas helt skadelös för obehöriga transak- tioner. Gjordes spärranmälan senare än inom skulle konsumentens ansvar vara begränsat till högst $ 50 av det obehörigt disponerade beloppet. Även MasterCard har härefter infört en s.k. zero liability- policy. Även denna policy är av begränsad räckvidd. Enligt denna skall en konsument hållas helt skadelös vid obehörig användning av ett kort som utfärdats av MasterCard, om konsumenten har tagit hand om kortet väl (excercised reasonable care in safeguarding the card). Vidare måste kortet vara utfärdat i , och policyn omfattar inte transaktioner där en personlig kod har använts. En reglering av en kontohavares ansvar vid obehörig användning av kreditkort har skett genom Cost of Borrowing (Banks) Regulations, Section 12.50 Dessa föreskrifter har meddelats av The 49www.visa.com, Zero liability. 50Cost of Borrowing (Banks) Regulations, SOR/2001-101. Governor in Council med stöd av ett bemyndigande i , Section 454(a)(iii).51 Bestämmelserna i of Borrowing (Banks) Regulations avser bankers informationsskyldighet men innefattar indirekt regler om ansvar för obehöriga transaktioner. Före- skrifterna omfattar endast banker vars verksamhet faller under , vilket innebär att åtskilliga kreditinstitut inte omfattas. Enligt Section 12(1) skall en konsuments ansvar vid obehörig användning av ett förlorat eller stulet kreditkort uppgå till högst $ 50, eller det lägre belopp som kreditavtalet föreskriver. Har den obehöriga transaktionen skett i en uttagsautomat med användning av kortinnehavarens personliga kod, skall någon begränsning av kortinnehavarens ansvar däremot inte gälla. Har spärranmälan gjorts skall kortinnehavaren oavsett omständigheterna dock vara fri från ansvar för obehöriga transaktioner som sker efter att spärr- anmälan har mottagits av kortutgivaren. Kontohavarens ansvar vid obehörig användning av kontokort utan kreditmöjlighet regleras inte genom Cost of Borrowing (Banks) Regulations eller annan federal lagstiftning. Här tillämpas i stället Canadian Code of Practice for , som är en frivillig uppförandekod. Uppförandekoden tillkom 1992 och har därefter ändrats . Ett vägledande dokument rörande tolkningen av uppförandekodens bestämmelser om obehörig användning av kontokort tillkom 2002, och har fogats till uppförandekoden som en bilaga. Uppförandekoden gäller inte vid transaktioner som sker utanför . Bakom uppförandekoden står bl.a. , och . Det kanadensiska har också ställt sig bakom uppförandekoden, liksom konsument- ministerierna i flertalet delstater. Bestämmelser om obehörig användning av kontokort finns i avsnitt 5. Här anges att kortinnehavaren inte skall ansvara för förluster som beror på omständigheter som ligger utanför dennes kontroll, t.ex. tekniska problem som gör att systemsäkerheten inte upprätthålls. Kortinnehavaren skall vidare inte ansvara för obe- höriga transaktioner som sker efter att spärranmälan gjorts. 51 , 1991, c. heller skall kortinnehavaren ansvara för obehöriga transaktioner som kortinnehavaren oavsiktligt bidragit till, under förutsättning att denne samarbetar med kortutgivaren under den följande utredningen. I alla andra situationer skall kortinnehavaren ansvara fullt ut för de förluster som denne bidragit till. Ansvaret skall dock inte överstiga av kortutgivaren föreskrivna begränsningar av möjlig- heten att ta ut kontanter eller annars genomföra transaktioner med kortet. Kortinnehavaren skall anses ha bidragit till den obehöriga transaktionen om denne frivilligt har avslöjat sin PIN-kod, t.ex. genom att skriva den på kortet eller förvara den på ett dåligt maskerat sätt i anslutning till kortet. Kortinnehavaren skall också anses ha bidragit till förlusten om denne inte inom rimlig tid underrättar kortutgivaren om att kortet förlorats eller stulits, eller att koden kommit till en utomståendes kännedom. Av nämnda vägledande dokument angående tolkningen av avsnitt 5 i uppförandekoden framgår bl.a. följande. Kortinne- havaren skall inte anses ha bidragit till de obehöriga transak- tionerna om denne använt samma kod till flera kontokort. Däremot skall kortinnehavaren anses ha avslöjat koden frivilligt om denne som personlig kod har valt ett nummer som hämtats från kortinnehavarens namn, telefonnummer, födelsedatum, adress eller socialförsäkringsnummer. För att kortinnehavaren skall kunna hållas ansvarig krävs att det frivilliga avslöjandet av koden faktiskt har bidragit till de obehöriga transaktionerna. Koden skall anses vara dåligt maskerad om den förvaras i anslutning till kortet utan att en rimlig ansträngning gjorts att dölja eller maskera den. Detsamma skall gälla om koden förvaras på samma geografiska plats som kortet, under förutsättning att kort och kod lätt kan knytas till varandra. Bedömningen av om huruvida försöket att maskera koden var godtagbart skall göras med utgångspunkt från kortinnehavarens individuella förutsättningar. Den erfarenhet av olika sätt att maskera koder som tjuven eller kortutgivarens tjänsteman besitter skall inte beaktas vid denna bedömning. En kod skall anses rimligt maskerad om den döljs i en nummerserie, t.ex. genom att siffror kastas om eller byts ut mot andra symboler än siffror. Tvister som omfattas av uppförandekoden kan prövas av The Ombudsman for . Ombuds- mannens utlåtande i en tvist mellan en bank och en konsument utgör en rekommendation beträffande hur tvisten bör lösas och är inte bindande. Liksom i har Visa antagit en s.k. zero liability policy. Enligt denna policy skall kortinnehavaren hållas helt skadelös vid obehöriga transaktioner med kort som utfärdats i . Policyn är dock av begränsad räckvidd, eftersom transaktioner med användning av PIN-kod inte omfattas. Även MasterCard har antagit en zero liability policy för kort som utfärdats i . I denna policy anges att kortinnehavaren skall hållas helt skadelös vid obehöriga transaktioner. Transak- tioner som utförs med användning av PIN-kod och som inte genomförs inom MasterCards nätverk omfattas dock inte av policyn. Vidare ställs liksom i krav på att kortinnehavaren skall ha hanterat kortet varsamt (exercised reasonable care in safeguarding your card). När rättshandlingar utförs av obehöriga personer kan olika rättsliga frågeställningar aktualiseras. Av grundläggande civilrättsliga prin- ciper följer att en kontohavare allmänt sett inte ansvarar för att obehöriga personer disponerar kontot. Ett sådant ansvar kan dock uppkomma genom avtal. Bestämmelserna i 34 § konsument- kreditlagen tar sikte på avtalsvillkor som ålägger kontohavaren ett enligt lagstiftaren alltför vidsträckt sådant ansvar. Problemställningen är således likartad den som utredningen behandlade i sitt delbetänkande Konsumentskydd vid modem- kapning (SOU 2005:20). Abonnemangsavtal för telefoni ålägger nämligen i allmänhet abonnenten ett ansvar också för obehörig telefonuppkoppling. Utredningen föreslog i delbetänkandet att möjligheten att ålägga abonnenten ett sådant ansvar i vissa fall skall begränsas. I avsnitt 8.1 diskuteras frågan om en kontohavares ansvar vid obehörig användning av kontokort. I avsnitt 8.2 behandlas frågan om kontohavarens ansvar vid obehöriga transaktioner som genomförs med användning av andra självbetjäningstjänster, t.ex. Internetbank. Avsnitt 8.3 behandlar frågan om vilken information en konsument skall ges innan ett avtal om kontokort eller annan självbetjänings- tjänst ingås. I avsnitt 8.4 diskuteras den lagtekniska lösningen. Tillämpningen av 34 § konsumentkreditlagen Bestämmelserna i 34 § konsumentkreditlagen har i sak inte ändrats sedan införandet . Två statliga utredningar, Betaltjänstutred- ningen och 2000, har föreslagit genomgripande förändringar i regleringen.1 Allmänna reklama- tionsnämnden och har var för sig i framställningar till regeringen anfört att regleringen i flera avseenden är otillfredsställande och bör ändras.2 konstaterade att den grova oaktsamhet som avses i 34 § konsumentkreditlagen i själva verket innefattar situationer som i annan lagstiftning närmast skulle betraktas som enkel oaktsamhet.3 Vidare torde de nuvarande bestämmelserna enligt den utredningen inte ge någon möjlighet att vid bedöm- ningen av kontohavarens betalningsansvar ta hänsyn till hur han eller hon har förvarat och hanterat koden. Ytterligare en fråge- ställning som uppmärksammades av var att till synes små skillnader i hanteringen av kortet i praxis har lett till olika utgång, vilket haft stora ekonomiska konsekvenser för kontohavaren. De av i dessa delar anförda synpunkterna framstår alltjämt som relevanta.4 Det måste också anmärkas att bestämmelserna i 34 § konsu- mentkreditlagen inte är direkt tillämpliga på kontokort utan kreditutrymme, vilka kort står för av alla kort- transaktioner.5 Även om dessa bestämmelser har tillämpats analogiskt på sådana kontokort framstår denna ordning inte som helt tillfredsställande. Det kan i sammanhanget vidare noteras att artikel 8 i EG:s direktiv om distansförsäljning av finansiella tjänster, vilken reglerar obehörig användning av konto- kort vid distansavtal, inte har genomförts i svensk rätt genom att en särskild lagregel införts, då regeringen bedömde att artikelns krav fick anses uppfyllda genom analogisk tillämpning av 34 § konsumentkreditlagen.6 Enligt Lagrådet är det osäkert om en laganalogi uppfyller direktivets krav. 1 Betaltjänster, SOU 1995:69 respektive Starka konsumenter i en gränslös värld, SOU 2000:29. 2Dnr Ju 2002/1123/L2 och Ju 2002/4535/L2. 3SOU 1995:69, s. 272, jfr även dir. 2004:10. 4Jfr dir. 2004:10 s. 5. 5Till kontokort med kreditutrymme räknas här både egentliga kreditkort och betalkort. 6Europarlamentets och rådets direktiv /65/EG av om distansförsäljning av finansiella tjänster till konsumenter och om ändring av rådets direktiv /619/EEG samt direktiven /7/EG och 98/27/EG (EGT L 271, 9.10.2002, s. 16–24), artikel 8, samt prop. 2004/05:13 s. 71 ff. Se även avsnitt 4.4.1 och 4.4.2. Under de som förflutit sedan bestämmelserna i nuvarande 34 § konsumentkreditlagen trädde i kraft har konto- kortet kommit att inta en alltmer central ställning bland betalnings- medlen. Antalet transaktioner som sker med kontokort har ökat dramatiskt och fortsätter att öka.7 Utvecklingen på kontokortsmarknaden har inneburit inte endast att antalet kontokort och transaktioner med kontokort ökat, utan också att en större andel av befolkningen använder kontokort. Vidare har andelen transaktioner med kontokort som sker på distans samt med användning av kod ökat i förhållande till transaktioner som sker med namnunderskrift och företeende av legitimationshandling. Det ökade resandet har lett till att kontokort allt oftare används utomlands, såväl för betalningar som för kontantuttag. Antalet bedrägerier med kontokort är i förhållande till antalet transaktioner mycket lågt. Förbättrad teknik och skärpta rutiner har lett till att utrymmet för bedrägerier minskat, och detta utrymme kan antas minska ytterligare vid en övergång till chip- kort. ger såväl transaktioner med kontokort på distans som behörighetskontroll genom angivande av kod upphov till särskilda säkerhetsproblem. Den obehöriga användningen av kontokort har inte kunnat elimineras och lär fortsätta att ställa till bekymmer för kontohavare, kortutgivare och säljföretag. Frågan om ansvar för obehöriga transaktioner bör dock ses i beaktande av att kontokortssystemen på det hela taget fungerar bra samt att den ökade användningen av kontokort har inneburit stora kostnadsbesparingar och intäkter för kortutgivarna, liksom ökad säkerhet. Under förarbetena till de bestämmelser som finns i 34 § konsumentkreditlagen uttalade föredragande departementschefen att det finns ett klart behov av regler till skydd för kontohavare i fall då kontokort används av obehöriga.8 Han uttalade vidare att 7Enligt statistik från genomfördes två korttransaktioner per capita. Motsvarande siffra var 98 transaktioner; se riksbank, Den svenska finansmarknaden , s. 99. Statistik saknas för tiden . 1976/77:123 s. 139 och 191. utgångspunkten vid utformningen av reglerna bör vara att risken för ekonomisk förlust i första hand skall bäras av kreditgivaren, eftersom denne på olika sätt har möjlighet att begränsa sitt risktagande, men att kreditgivaren i vissa kvalificerade fall bör ha möjlighet att göra konsumenten betalningsskyldig. Vidare uttalades att det vid utformningen av reglerna måste beaktas att kontokort är avsedda att lättillgängligt kunna medföras i olika sammanhang, ofta för att användas i stället för pengar vid smärre inköp. Utredningen anser att dessa utgångspunkter alltjämt framstår som rimliga och ändamålsenliga. bedömer utredningen att tillämpningen av de nuvarande bestämmelserna i 34 § konsu- mentkreditlagen i flera avseenden har lett till otillfredsställande resultat samt att regleringen behöver anpassas till marknads- och teknikutvecklingen. Att kortutgivaren bör ha det övergripande ansvaret för system- säkerheten följer av allmänna principer om en tjänsteleverantörs ansvar för en tillhandahållen tjänst. Den mycket kraftiga ökning av användningen av kontokort som har skett nämnda uttalanden gjordes talar om möjligt ännu starkare för att reglerna bör utformas i beaktande av att kontokort skall kunna användas av konsumenter i allmänhet för att lätt medföras och användas för betalningar i olika sammanhang. De säkerhetsmässiga utmaningar som förändringar i transaktionsmönstren medför understryker vikten av att kortutgivaren genom hög systemsäkerhet och andra åtgärder begränsar sitt risktagande. I sammanhanget bör också beaktas att obehörig användning av kontokort i allmänhet innebär att kontohavaren utsätts för brott. Mot denna bakgrund bör utgångspunkten alltjämt vara att en kontohavare inte bör kunna hållas ansvarig för obehöriga transaktioner som sker med ett kontokort annat än i vissa kvalificerade fall. Även om systemsäkerheten har förbättrats är säkerheten alltjämt beroende av att kontohavaren hanterar sitt kort och sin kod omsorgsfullt. Ett säkerhetssystem som inte är beroende av kontohavarens hantering av olika identifieringsmedel framstår inte som realistiskt, även om vissa försök har gjorts med s.k. biometriska metoder. Detta medför att en reglering som lägger hela ansvaret för obehöriga transaktioner på kortutgivaren riskerar att leda till ökat slarv och risktagande hos vissa kontohavare.