sou · GTB3108 · 2006-01-01 00:00:00 — Det är således angeläget att den höga säkerhetsnivån återställs genom att kortet spärras samt ersätts med ett nytt kort eller att en ny kod tillhandahålls. I vissa situationer kan en kontohavare vara medveten om att ha utsatts för tillgreppsbrott men underlåter trots detta att undersöka om kortet finns i behåll. Kontohavaren saknar i en sådan situation insikt om att kortet har tillgripits eller annars förlorats, men har goda skäl att anta detta. En sådan kontohavare skulle inte drabbas av betalningsansvar enligt nuvarande lagstiftning, som uppställer som krav för betalningsansvar att kontohavaren skall ha upptäckt att han eller hon har förlorat besittningen av kortet. En bestämmelse bör därför införas som anger att kontohavaren skall ansvara även i fall då kontohavaren hade skälig anledning att anta att kortet förlorats eller att koden kommit till en obehörig persons kännedom. I kravet på att kontohavaren skall ha haft skälig anledning att anta att kortet tillgripits eller annars förlorats ligger ett krav på att särskilda omständigheter måste föreligga som ger kontohavaren anledning att befara att kortet försvunnit, t.ex. inbrott i bostaden eller tillgrepp av plånboken. Någon generell skyldighet för konto- havaren att med jämna mellanrum kontrollera att kortet finns i behåll bör alltså inte föreskrivas. Utredningens förslag: Betalningsansvaret vid grov oaktsamhet och underlåtenhet att spärranmäla kort eller kod skall vara begränsat till eller det lägre belopp som transaktionerna avser. Bör en bestämmelse om ansvarsbegränsning införas? Enligt 34 § konsumentkreditlagen ansvarar kontohavaren med hela det obehörigt disponerade beloppet, om han eller hon underlåtit att spärra sitt kort eller förlorat detta genom grov oaktsamhet. Detta innebär att innehav av ett kontokort kan medföra en risk för kontohavaren att drabbas av avsevärda ekonomiska förluster, särskilt som begreppet grov oaktsamhet i 34 § kommit att omfatta även förhållandevis lindriga fall av slarv och obetänksamhet. Risken för stora ekonomiska förluster, som typiskt sett är större beträffande betalkort och andra kontokort som medger kredit, kan motverkas genom införandet av en regel om ansvarsbegränsning, en s.k. takregel. En takregel innebär att en kontohavare endast kan hållas ansvarig för obehöriga transaktioner upp till ett visst belopp, även om han eller hon handlat med grov oaktsamhet eller inte underrättat kortutgivaren om att kortet förlorats eller att en utomstående fått kännedom om koden. Bestämmelser med sådant innehåll har tillämpats i och . En takregel syftar alltså till att säkerställa att användningen av ett kontokort inte skall vara förknippad med en risk för kontohavaren att drabbas av avsevärda ekonomiska förluster. under- stryker en sådan bestämmelse kortutgivarens ansvar att skydda kontohavarens tillgångar genom att så långt som möjligt förebygga i synnerhet stora obehöriga transaktioner. Genom införandet av en takregel undviks också de stora skillnader i ansvar som för- hållandevis likartade förfaranden med kortet i gränsfallen kan innebära för kontohavaren. Med en begränsning av ansvaret kommer också kontohavaren i flera fall att undgå att drabbas av bristande likviditet i händelse av obehöriga transaktioner, eftersom i vart fall den del av det obehörigt disponerade beloppet som överstiger taket för det mesta kommer att kunna återkrediteras genast. En takregel kan antas stärka förtroendet för kontokortet som ett säkert betalningsmedel som kan användas av alla konsumentgrupper utan alltför stora risker. De danska och norska erfarenheterna av en takregel är enligt vad utredningen erfarit från företrädare för såväl konsumenter som kortutgivare goda. Mot införandet av en takregel talar att kortutgivarna i många fall inte har möjlighet att förhindra att obehöriga transaktioner genomförs till stora belopp. Detta är särskilt fallet beträffande transaktioner som sker off-line, vilket fortfarande förekommer i vissa sammanhang. Vidare genomförs många obehöriga transak- tioner utomlands, där det vanligen inte ställs krav på uppvisande av legitimation vid kontokortstransaktioner och där användningen av kod generellt sett är mindre utbredd än i . Eftersom de flesta kontokort är avsedda att användas även utomlands och i off- lineterminaler anser utredningen att dessa skäl inte med styrka talar mot införandet av en takregel. Ett annat skäl mot att införa en sådan bestämmelse skulle kunna vara att skyddsintresset framstår som mindre starkt beträffande en kontohavare som handlar med grov oaktsamhet eller inte spärrar kortet. I sistnämnda hänseende kan dock anmärkas att bestämmelsen om att spärranmälan skall ske är förhållande- vis strikt mot kontohavaren, som med ett obegränsat ansvar skulle riskera stora förluster vid underlåtenhet att uppfylla bestämmelsens krav. Vidare bör takregeln ses som en del av en helhetslösning som säkerställer att användningen av ett kontokort inte innebär en risk för konsumenten att drabbas av avsevärd ekonomisk skada. Utredningen anser sammantaget att en takregel bör införas. Denna bör avse fall då de obehöriga transaktionerna har orsakats av grov oaktsamhet eller underlåtenhet att spärra ett kort eller en kod som förlorats. Det kan ifrågasättas om nivån på takbeloppet med hänsyn till prisutvecklingen bör anges som en del av prisbasbeloppet eller på liknande sätt. Utredningen bedömer dock att intresset av tydlighet talar för att beloppet anges i kronor. Det torde inte vara förenligt med bestämmelserna i 8 kap. 2 § regeringsformen att delegera beslutanderätten i denna fråga till regeringen. Takbeloppet bör inte vara så högt att bestämmelsen inte ger kontohavaren något reellt skydd mot risken för stora ekonomiska bör beloppet inte vara alltför lågt, eftersom betalningsansvar över huvud taget endast kommer i fråga i särskilt allvarliga fall. I den danska lagstiftningen om obehörig användning av kontokort är takbeloppet angivet till . I motsvarande norska lag är detta belopp 8 . Utredningen bedömer att ett lämpligt belopp är . Som närmare diskuterats i det föregående skall kontohavaren som utgångspunkt vara fullt betalningsskyldig, om han eller hon frivilligt har överlämnat kortet, avslöjat koden eller bidragit till de obehöriga transaktionerna genom svek. Har kontohavaren själv genomfört transaktionerna blir regleringen över huvud taget inte tillämplig. Det kan noteras att det i en promemoria som tagits fram på uppdrag av har föreslagits att en bestämmelse bör införas i konsumentkreditlagen med innebörd att avtal där kreditens storlek kan variera över tiden skall innehålla en övre gräns för kreditens storlek, s.k. limiterat ansvar. Kreditgivaren skall enligt den föreslagna bestämmelsen vidta sådana åtgärder att konsumentens kredit inte kan överstiga den angivna gränsen. Vidare skall konsumenten enligt förslaget vara skyldig att återbetala vad som överstiger gränsen endast om konsumenten har förfarit svikligt.17 Utredningens förslag: Utfärdaren av ett kontokort skall kunna hålla kontohavaren betalningsansvarig för obehöriga transak- tioner med en självrisk om eller det lägre belopp som transaktionerna avser, om transaktionerna genomförts med kod. Kontohavaren får inte åläggas självrisk, om det med hänsyn till kontohavarens handlande och övriga omständigheter fram- står som uppenbart oskäligt att ålägga betalningsansvar. 17 , Konsumentskyddet inom det finansiella området, promemoria , s. 51 f., 77 f. och 85; se vidare avsnitt 4.7. Självrisk vid obehöriga transaktioner med kod? Som framgår av kapitel 7 tillämpas i många länder, bl.a. och , en ordning där kontohavaren vid obehöriga kort- transaktioner som genomförs med inknappning av kod oavsett vållande ansvarar med en självrisk. Bestämmelserna om självrisk infördes i dessa länder som en del av en helhetslösning som ansågs väl tillgodose såväl kortutgivarnas som konsumenternas intressen. Enligt vad utredningen har erfarit är företrädare för såväl kort- utgivare som konsumenter i och i allt väsentligt positiva till den danska respektive norska regleringen av denna fråga. Det finns därför anledning att närmare överväga om en sådan ordning kan vara lämplig även för . En bestämmelse om självrisk – som i praktiken innebär ett strikt ansvar upp till självriskbeloppet – skulle kunna kritiseras för att den drabbar kontohavare som handlat aktsamt eller med endast ringa oaktsamhet. Obehöriga transaktioner genom inknappning av kod förutsätter dock att den obehörige personen på något sätt har lyckats få kännedom om denna. Det får anses i det närmaste omöjligt att en obehörig person helt enkelt gissar sig till den kod som hör till ett kontokort. Erfarenheterna från och ger anledning att misstänka att många – men inte alla – obehöriga transaktioner som utförs genom inknappning av rätt kod har möjliggjorts av att kontohavaren förvarat en anteckning med koden i anslutning till kortet. Tanken med införandet av självrisk har i andra länder varit dels att självrisken bidrar till att skärpa kontohavarens aktsamhet, dels att ärenden om obehöriga korttransaktioner med användning av kod i de flesta fall inte skall behöva ge upphov till en omfattande utredning utan bör kunna avslutas genom att kontohavaren betalar självrisken. Detta skall ses mot bakgrund av att det ofta inte kan utredas om koden har förvarats tillsammans med kortet eller har avslöjats på annat sätt. I sådana situationer kan ansvar med ett självriskbelopp framstå som en rimlig lösning på ärendet. De nuvarande bestämmelserna i 34 § konsumentkreditlagen om obegränsat betalningsansvar vid grov oaktsamhet, sen spärranmälan och frivilligt överlämnande av kortet syftar främst till att ge kontohavaren tydliga incitament att hantera sitt kort omsorgsfullt. Av dessa bestämmelser har i synnerhet den om obegränsat ansvar vid grov oaktsamhet visat sig vara svårtillämpad. Mycket talar också för att många kontohavare inte känner till denna bestämmelse eller inte är medvetna om i vilka situationer ansvar enligt bestämmelsen kan komma ifråga. Det kan därför ifrågasättas i vilken utsträckning syftet med bestämmelsen har uppnåtts. Det bör också noteras att kontohavarens hantering av koden enligt nuvarande lagstiftning över huvud taget inte beaktas vid aktsamhetsbedömningen. Som tidigare framgått föreslår utredningen att betalningsansvaret vid oaktsam hantering även skall inträda vid grov oaktsamhet. Det förhållandet att begreppet skall tillämpas såsom det i allmänhet tillämpas i svensk rätt innebär emellertid att ansvar inträder endast i särskilda undantagsfall. Ansvaret kommer dess- utom att vara beloppsmässigt begränsat. Särskilt mot denna bakgrund finns det behov av att inskärpa vikten av varsamhet vid hantering av koder. Den som får kännedom om en kod får härigenom en nyckel till kontot på ett annat sätt än enbart tillgången till kortet ger. En bestämmelse om självrisk ger kontohavaren ett klart incitament att hantera kort och kod omsorgsfullt. En sådan regel framstår som tydlig och kan därför antas få stor genomslagskraft. Utredningen anser mot denna bakgrund att kortutgivaren bör ha möjlighet att i sina avtalsvillkor föreskriva betalningsansvar för kontohavaren med en självrisk i fall då obehöriga korttransaktioner har skett genom inknappning av rätt kod. En bestämmelse om självrisk kan dock endast anses befogad om den införs som en del av en väl avvägd helhetslösning som säkerställer ett tillfreds- ställande konsumentskydd. Självrisk vid obehöriga transaktioner utan kod? Det kan ifrågasättas om en möjlighet att föreskriva en självrisk bör införas även beträffande obehöriga transaktioner som har genomförts utan inknappning av kod. För en sådan lösning skulle främst tala att kontohavaren härigenom får ett ännu tydligare incitament att hantera kortet omsorgsfullt. Detta syfte synes dock i allt väsentligt uppnås genom att en regel om självrisk vid kodanvändning införs. Det har inte heller framkommit några omständigheter som talar för att kontohavare i allmänhet handskas så ansvarslöst med sina konto- kort att en sådan bestämmelse av denna anledning är påkallad. Vidare är systemsäkerheten vid transaktioner med namnunder- skrift inte beroende av kontohavarens hantering av ett till kontot knutet identifieringsmedel, utan av att säljföretaget genomför de behörighetskontroller som inlösaren bedömt vara nödvändiga. Till detta kommer att utfärdaren, åtminstone generellt sett, torde ha större möjlighet att i efterhand säkra bevisning i de fall namn- underskrift använts. Det får även vägas in att andelen korttransak- tioner som genomförs utan kod minskar stadigt. Enligt utredningens mening bör självrisk införas endast i den utsträckning det bedöms som helt nödvändigt. De tidigare redo- visade skälen för att införa en regel om självrisk vid obehöriga transaktioner i de fall rätt kod använts gör sig inte på samma sätt gällande när transaktionerna skett utan kodanvändning. Utredningen bedömer sammantaget att tillräckliga skäl att införa en bestämmelse om självrisk även i fall då kortet har använts utan inknappning av kod inte föreligger. Införandet av en självrisk skulle innebära att situationer kan uppstå där en kontohavare som inte varit medvållande till obehöriga transaktioner drabbas av ett betalningsansvar, låt vara ett begränsat sådant. Denna konsekvens skulle i och för sig kunna undvikas genom att bestämmelsen utformas så att självrisk endast kan utgå om kontohavaren handlat oaktsamt. Ett krav på oaktsamhet torde dock medföra att endast ett fåtal ärenden om obehörig användning av kontokort kommer att kunna avslutas utan att det först genomförs en omfattande utredning av hur kortet förlorats och koden kommit till någon utomståendes kännedom. En sådan utformning av bestämmelsen skulle innebära att de fördelar ur utredningssynpunkt som utgör ett av skälen för att införa en självrisk inte uppnås, vilket vore särskilt olyckligt i beaktande av de särskilda utredningssvårigheter som obehöriga transaktioner med kod ofta medför. Sannolikt skulle en sådan ordning kräva betydligt större utredningsinsatser än nuvarande reglering, och kan dessutom antas leda till fler tvister. Mot denna bakgrund anser utredningen att det inte framstår som ändamålsenligt att som en förutsättning för självriskansvar föreskriva att kontohavaren skall ha varit oaktsam. Det kan också anmärkas att det inte i någon utländsk rättsakt angående betalningsansvar för obehöriga kontokorts- transaktioner som utredningen har studerat uppställs krav på oaktsamhet för att självrisk skall utgå. En bestämmelse om självrisk bör dock kompletteras med en regel som anger att självrisk inte skall utgå, om det skulle vara uppenbart oskäligt. Härigenom undviks att en kontohavare drabbas av självriskansvar i särskilt ömmande fall. I likhet med takbeloppet bör självrisken anges i kronor. Självriskbeloppet vid obehöriga kontokortstransaktioner varierar kraftigt mellan olika länder som helt eller delvis har infört en sådan ordning; i , £50 i , i och i . I en rekommendation från EG-kommis- sionen anges en självrisk på högst 150 ECU.18 Självriskbeloppet bör vara tillräckligt högt för att inskärpa vikten av att kontohavaren hanterar kort och kod varsamt. bör beloppet inte vara alltför betungande, då självrisk även kommer att utgå i vissa fall då kontohavaren inte handlat oaktsamt. Utredningen anser att ett lämpligt självriskbelopp är . Bestämmelserna innebär inte ett åliggande för kortutgivaren att i sina avtalsvillkor föreskriva att kontohavaren skall utge en självrisk. Vill någon kortutgivare, t.ex. av konkurrensskäl, avstå från att avtala om självrisk skall detta alltså vara möjligt. Likaså kan en kortutgivare som föreskrivit ett sådant ansvar naturligtvis välja att i enskilda fall avstå från att ta ut självrisken. Utredningens förslag och bedömning: Utfärdaren av ett kontokort skall inte kunna hålla kontohavaren betalnings- ansvarig för obehöriga transaktioner, om transaktionerna har genomförts efter att utfärdaren underrättats om att kortet förlorats eller koden kommit till annans kännedom, eller kontohavaren av annan anledning begärt att åtkomsten till kontot skall spärras. Utfärdaren av ett kontokort skall inte kunna hålla konto- havaren betalningsansvarig för obehöriga transaktioner, om transaktionerna har kunnat genomföras på grund av säkerhets- mässiga brister eller något annat fel som utfärdaren ansvarar för, eller en näringsidkare godtagit ett kontokort trots att han eller hon insåg eller borde ha insett att kortet användes utan kontohavarens samtycke. 18 Se avsnitt 4.3, 7.1.4, 7.2.2, 7.4.1 och 7.5.1. Utfärdaren av ett kontokort skall inte kunna hålla konto- havaren betalningsansvarig för obehöriga transaktioner, om transaktionerna genomförts med användning av ett kontokort som kontohavaren inte mottagit, eller transak- tionerna avser belopp som överstiger vad som enligt avtal skall vara disponibelt för kontohavaren. Ansvar efter att spärranmälan gjorts Skulle en obehörig transaktion ha inträffat efter att kortutgivaren har mottagit en anmälan om att kontohavaren eller någon annan som enligt kontoavtalet är behörig att använda kontokortet inte längre har detta i sin besittning, är kontohavaren betalningsskyldig för beloppet endast om han har förfarit svikligt. Detta följer av 34 § andra stycket konsumentkreditlagen. Enligt utredningens mening bör kontohavaren inte heller fort- sättningsvis ansvara för obehöriga transaktioner som har skett efter att spärranmälan gjorts. Det är rimligt att kontohavaren genom att göra en sådan anmälan kan undgå att drabbas av vidare förluster, inklusive en skyldighet att betala självrisk. Utredningen anser att rättsläget härvidlag är tillfredsställande. Brister i kortutgivarens rutiner Kortutgivaren har det övergripande ansvaret för systemsäkerheten och svarar därmed i förhållande till kontohavaren för att hans eller hennes konto är skyddat och endast kan disponeras efter att föreskrivna kontroller skett. Det framstår därför som rimligt att kortutgivaren oavsett omständigheterna i övrigt ansvarar för transaktioner som kunnat genomföras på grund av att kortut- givaren brustit i detta ansvar. Detta bör dock inte gälla om kontohavaren handlat svikligt. Principen framgår inte uttryckligen av 34 § konsumentkredit- lagen, men som Lagrådet uttalade i samband med tillkomsten av motsvarande bestämmelse konsumentkreditlag kan det förhållandet att kreditgivaren genom vårdslöshet medverkat till den oriktiga debiteringen av kontot uppenbarligen komma att inverka på bedömningen av kontohavarens ansvar.19 1976/77:123 s. 365. En regel av detta slag skall inte behöva medföra att kortutgivarna för att undgå ansvar skall vara tvungna att avslöja detaljer i sina säkerhetslösningar. Erfarenheterna från och har visat att detta inte är nödvändigt. Har obehöriga transaktioner möjliggjorts av bristande system- säkerhet för vilken kortutgivaren ansvarar bör alltså kontohavaren inte kunna drabbas av betalningsansvar, även om han eller hon handlat grovt oaktsamt eller inte gjort spärranmälan. I sådana fall bör inte heller någon självrisk utgå. Brister i säljföretagets rutiner För att minimera den obehöriga användningen av kontokort måste även säljföretagen upprätthålla rutiner som innebär att föreskrivna kontroller sker. accepterat ett kort som betal- ningsmedel trots att företrädare för säljföretaget insåg eller borde ha insett att användaren inte var behörig, bör kontohavaren därför inte kunna hållas ansvarig för transaktionen. Frågan om ansvar för obehöriga transaktioner får i sådana fall regleras genom inlösenavtal. Dessa avtal innehåller regelmässigt krav på vilka kontroller som säljföretaget skall utföra och under vilka förhållanden säljföretaget kan bli betalningsansvarigt i förhållande till inlösaren. Det framstår som rimligt att konto- havaren undgår ansvar om den obehöriga transaktionen kunde genomföras på grund av att säljföretaget inte fullgjorde sina skyldigheter enligt inlösenavtalet. Det förhållandet att kontroll av särskild legitimationshandling inte har skett vid en obehörig transaktion utomlands medför dock inte nödvändigtvis att ansvaret skall jämkas, eftersom det i många länder inte krävs att sådana kontroller skall ske. Principen framgår inte uttryckligen av 34 § konsumentkredit- lagen, men har likväl ansetts tillämplig i praxis.20 20 Se avsnitt 5.1.2, särskilt dom , mål nr T 256/96, med där gjorda hänvisningar. Ansvarsbegränsning i andra fall Kontohavaren bör endast kunna hållas betalningsansvarig för obe- höriga transaktioner som sker efter att det obehörigt disponerade kontokortet har mottagits av kontohavaren. Kortutgivaren bör alltså bära ansvaret för att kortet och koden översänds till kontohavaren på ett betryggande sätt. Detta överensstämmer med den allmänna principen att en försändelse som utgångspunkt sker på avsändarens risk. Vidare bör kontohavarens ansvar vara begränsat till vad som enligt kontoavtalet skall vara disponibelt för kontohavaren. Ansvar för mer än innestående belopp kräver alltså att kontoavtalet föreskriver en rätt till kredit. Kontohavaren skall kunna utgå från att kontot inte övertrasseras, såvida inte detta enligt avtalsvillkoren skall vara möjligt. Det förhållandet att vissa transaktioner fort- farande sker off-line och därför inte innefattar en saldokontroll utgör inte ett tillräckligt starkt skäl mot att införa en sådan bestämmelse. Frågan om ansvar vid obehöriga distanstransaktioner diskuteras nedan i avsnitt 8.1.12. Utredningens bedömning: Frågor om bevisbörda och bevis- krav när det gäller en kontohavares betalningsansvar för obehöriga transaktioner med kontokort bör inte regleras i lag. Bevisbördan för att transaktioner varit obehöriga En kortutgivare som tar emot en anmälan om att obehöriga transaktioner med kontokort förekommit har först att ta ställning till om transaktionerna verkligen varit obehöriga och de föreslagna bestämmelserna därför är tillämpliga. Det åligger en bank att se till att ett konto endast kan disponeras av kontohavaren eller annan som är behörig därtill. Detta talar för att en kortutgivare primärt bör anses ha bevisbördan för att en transaktion har varit behörig. Även om kortutgivaren skulle ha bevisbördan för detta torde det åligga kontohavaren att i den mån det är möjligt visa på omständigheter som ger vid handen att en transaktion inte varit behörig, särskilt om den genomförts med inknappning av rätt kod. Det bör åligga kontohavaren att i rimlig utsträckning medverka vid utredningen, så att händelseförloppet så långt som möjligt kan klarläggas. I skadeförsäkringssammanhang tillämpas en ordning där försäkringstagaren har bevisbördan för att ett försäkringsfall föreligger. Enligt skall försäkringstagaren dock anses ha fullgjort sin bevisskyldighet, om det vid en helhets- bedömning av samtliga omständigheter framstår som mera antagligt att försäkringsfall föreligger än att så inte är för- hållandet.21 Denna lindring av beviskravet motiveras enligt av en avvägning mellan å ena sidan den lojale försäk- ringstagarens intresse att känna trygghet för att hans försäkring verkligen ger honom skydd i en situation som ofta är av stor ekonomisk betydelse och å andra sidan det intresse som försäkringstagarna som kollektiv har av att inte försäkringsgivarnas risktagande blir så stort att premierna blir oacceptabelt höga. uttalade i samma rättsfall att brister i den tekniska utredningen, vilka det varit möjligt och rimligt att avhjälpa, bör normalt få gå ut över försäkringsgivaren. Det finns flera likheter mellan hanteringen av ett skadeför- säkringsärende och ett ärende om obehörig användning av konto- kort. De skäl som enligt motiverade den nämnda bevisregeln synes göra sig gällande även beträffande obehörig användning av kontokort. måste beaktas att frågan om betalningsansvar vid obehörig användning av kontokort inte är försäkringsrättslig och att situationerna även i övrigt inte är helt likartade.