sou · GTB3108 · 2006-01-01 00:00:00 — Om ett belopp har påförts kontot på det sätt som sägs i första stycket efter det att kreditgivaren har mottagit en anmälan om att kontohavaren eller någon annan som enligt kontoavtalet är behörig att använda kontokortet inte längre har detta i sin besittning, är kontohavaren betalningsskyldig för beloppet endast om han har förfarit svikligt. 1991/92:83 s. 144. 4.2Betänkandet SOU 1995:69 Betaltjänster överlämnade sitt slutbe- tänkande Betaltjänster.8 Utredningen föreslog i betänkandet att samtliga betaltjänster skulle regleras i en ny lag om betaltjänster. Utredningen diskuterade utförligt frågan om en kontohavares betalningsansvar vid obehörig användning av kontokort, och lämnade lagförslag i denna fråga. Utredningens förslag har inte lett till lagstiftning. 4.2.1Ansvarsfördelningen mellan kontohavare och kortutgivare När det gäller den generella frågan om ansvarsfördelningen mellan kontohavare och kortutgivare vid obehörig användning av konto- kort anförde utredningen bl.a. följande.9 Främst genom avgöranden har det skapats en rikhaltig praxis för tolkning av den nuvarande bestämmelsen i konsumentkreditlagen. Den praxis som därav kan utläsas får anses följa lagstiftarens intentioner, såvitt avser att kontohavaren inte bör åläggas ett så strängt ansvar att korthanteringen inte längre skulle framstå som ett praktiskt alternativ till användning av kontanter. Lagstiftaren har i detta syfte också använt sig av begreppet grov oaktsamhet. Man bör emellertid notera att kravet ställts lägre än i andra författningar vid bedömningen huruvida oaktsamheten skall anses som grov. En jämförelse med hur begreppet grov oaktsamhet tillämpas i andra sammanhang skulle sannolikt leda till slutsatsen att den grova oaktsamhet som avses i konsument- kreditlagen i själva verket innefattar situationer som i andra delar av lagstiftningen närmast skulle betraktas som enkel oaktsamhet. Det kan utgöra en svårighet att i tillämpningen få full förståelse för skillnader i vad som krävs för olika grader av oaktsamhet i olika sammanhang, om skillnaderna i kraven mellan de olika områdena är alltför stora. Från avgöranden kan man notera att det finns flera fall där situationerna förefaller ganska lika varandra men som fått olika utgång. Inte desto mindre går det att finna avgörande skillnader som bildar en i stort sett homogen och konsekvent bild av gränsen för den grova oaktsamheten. Dessa små skillnader kan emellertid ibland få oproportionerligt stor betydelse i de enskilda fallen, eftersom de innebär att kontohavaren antingen får ansvara för hela beloppet eller inte behöver ansvara för något belopp över huvud taget. Det kan ifrågasättas om skillnaden mellan två ganska likartade fall bör vara så stor som . I stället borde det vara möjligt att tillämpa ett ansvar med olika nivåer. Sådana lösningar har valts i den danska kontokortslagen och i ett lagförslag från norska Banklags- kommissionen. Vid bedömningen om grov oaktsamhet har förelegat är det oväsentligt hur kontohavaren hanterat den personliga kod som hör till kontot. Det avgörande är hur kortet hanterats. Om således kortet förlorats genom endast normal oaktsamhet, eller utan någon oaktsamhet alls, torde det därför inte spela roll ens om koden finns antecknad på kortet. Mot i huvudsak denna bakgrund gjorde utredningen följande bedömning. För svensk del bör det införas en differentierad skala för kontohavarens ansvar i huvudsak efter mönster från den danska lagen och det norska lagförslaget. Oavsett hur man ställer sig till en självrisk bör det vara möjligt att dela upp kontohavarens ansvar mellan dels grov oaktsamhet med motsvarande krav som ställs i övriga delar av den svenska rätten på detta rekvisit, dels enkel oaktsamhet, som fortfarande lämnar utrymme för normala avvikelser från en helt oklanderlig hantering av betalnings- instrumentet eller koden. Det bör inte finnas några principiella skäl mot att tillämpa samma ansvarsbestämmelser för samtliga betaltjänster. Utredningen anförde beträffande frågan om självrisk vid obehörigt utnyttjande av kontokort bl.a. följande.10 I flera utländska sammanhang har aktualiserats frågan om en självrisk för kontohavaren i vissa fall. I en EG-rekommendation har tagits in en bestämmelse om att kontohavaren skall bära ett strikt ansvar för förluster upp till 150 ecu till följd av stöld eller kopiering av ett betalningsinstrument. Detta gäller endast tills kontohavaren underrättat kortutgivaren. Begränsningen till 150 ecu gäller inte om kontohavaren handlat grovt oaktsamt eller svikligt. En självrisk har också funnits i den danska kontokortslagen . Den danska självriskregeln innebär att kontohavaren ansvarar för belopp , om den till kortet hörande personliga hemliga koden har använts. När lagen ändrades till att också omfatta transaktioner med kod men utan kort, infördes en likadan sjävriskregel för dessa fall. Anledningen till att självrisken infördes var främst 10 A. bet. SOU 2005:108 lagstiftningsärenden m.m. processekonomiska hänsyn och att man ville förenkla ansvars- och bevisbördereglerna. Självriskregeln enligt det norska förlaget innehåller ett självriskbelopp om och avses komma att tillämpas när ett kontokort har använts tillsammans med en personlig kod. Erfarenheterna från av självriskregeln tycks vara i stort sett positiva. Hanteringen av tvisterna sägs ha blivit enklare. Någon motreaktion har inte kommit från konsumenthåll. Frågan är om en självriskregel skulle passa i en svensk betaltjänstlag. I frågan om en bestämmelse om självrisk av nämnt slag bör införas i anförde utredningen bl.a. följande. Såvitt känt finns ingen motsvarande regel på något annat område inom svensk rätt. Den närmast jämförbara torde vara bestämmelsen i 9 § produktansvarslagen (1992:18), som bl.a. anger att ett belopp om skall avräknas när ersättning enligt lagen bestäms. Vad som kan anföras mot en självriskregel är att det kan betraktas som en uppgivenhet från rättssamhällets sida att avsäga sig möjligheten att bedöma en persons ansvar efter hans handlande. Dessutom innebär det också att man bortser från de rätta förhållandena även i sådana fall där dessa är ganska lätta att utreda eller t.o.m. är ostridiga mellan parterna. En jämförelse kan dock göras med det strikta ansvar som förekommer i vissa fall. Där har det förhållandet att man utövar viss verksamhet eller på annat sätt försätter sig i en viss position ansetts motivera att man får ta ett schablonmässigt ansvar för kostnader som kan uppstå därav. Det kan således i en del fall finnas rättspolitiska skäl som talar för någon form av självrisk. Säkerheten med PIN-koden är beroende av kontohavarens hantering i högre grad än vad som är fallet med t.ex. en traditionell legitimationshandling. När koden väl kommit till en obehörig persons kännedom finns det inte längre något som hindrar att den används av denna person. Det kan finnas skäl att försöka upprätthålla en djupare känsla av ansvar från kontohavarnas sida inför sådana betaltjänster som utnyttjas med hjälp av kod. Detta skulle kunna uppnås genom införandet av en självriskregel. Med en väl avvägd beloppsgräns för självrisken skulle ansvaret för kontohavaren ändå inte behöva bli mycket större än vid förlusten av en plånbok innehållande kontanter. Några avgörande principiella skäl som medför att en självriskregel skulle vara utesluten finns inte. Frågan är emellertid om det finns tillräckligt behov av en sådan regel i . Utvecklingen går mot en allt större användning av kod som legitimationsmedel. Det finns därför anledning att anta att tvister om transaktioner utförda med hjälp av kod kommer att utgöra större delen eller t.o.m. samtliga tvister på området. Så länge betaltjänster grundade på PIN-kodsverifiering fort- farande spelar en betydande roll på marknaden bör man ha möjlighet att behandla dessa separat. En stor del av ärendemängd på området för betaltjänster gäller kontohavarens hantering av kontokort. Något akut problem med bevisfrågor tycks inte ha uppstått än så . Det finns emellertid ändå skäl att ha regler utformade så att de dels tar större hänsyn till PIN-koden som legitimationsmedel, dels främjar kontohavarens eget ansvarskännande. Sådana regler bör dock inte utformas så att de inverkar menligt på kontohavarens rättssäkerhet, vilket skulle kunna motverka syftet med reglerna. Om det bland allmänheten skulle spridas en känsla av att man som kontohavare inte har det avgörande inflytandet över säkerheten – t.ex. därför att de tekniska riskerna i systemet är så mycket större – kunde en självriskregel nämligen i stället få till resultat att känslan för det egna ansvaret minskar. En självriskregel måste därför kombineras med möjligheter att ta hänsyn till betalsystemets egna förutsättningar och den mänskliga hanteringen av systemet i det enskilda fallet. Sammanfattningsvis bör alltså en självriskregel införas beträffande transaktioner som genomförts med användning av personlig kod. Själv- riskbeloppet bör uppgå till . Självriskregeln bör emellertid kombineras med möjlighet till jämkning efter en prövning av säkerheten i betalsystemet. Avsteg från självrisken bör också kunna ske i andra situationer där självrisken skulle kunna bli oskälig. 4.2.3Begränsning av kontohavarens ansvar Enligt utredningen kan det särskilt med avseende på rena konsumentförhållanden finnas skäl att överväga beloppsgränser för det ansvar som kan åläggas kontohavaren. Utredningen anförde härvid bl.a. följande.11 Den danska kontokortslagen stadgade ursprungligen ett ansvar helt i överensstämmelse med den svenska konsumentkreditlagen, dvs. fullt ansvar vid frivilligt överlämnande av kortet, vid grov oaktsamhet eller vid underlåtenhet att göra spärranmälan . I samband med att självrisken infördes begränsades också ansvaret till i samtliga de fall som kunde föranleda ansvar. Dessutom höjdes kravet från grov oaktsamhet till grovt oförsvarligt handlande. infördes som ny och enda grund för fullt ansvar att kontohavaren frivilligt lämnat ut koden till den person som företagit den obehöriga transaktionen. En självrisk innebär i sig en pålaga för användarna av betaltjänster som är förenade med kortanvändning. Det förefaller därför då rimligt att man 11 A. bet. antingen väsentligt höjer nästa nivå, så som man gjort i , eller att nästa nivå åsätts ett högsta belopp. skulle ett maximibelopp bestämt på detta sätt för t.ex. kontokortsanvändarna kunna utgöra en felaktig signal, om ansvaret vid mycket grova fall av vårdslöshet, som dock inte utgör svikliga eller uppsåtliga förfaranden, skulle rymmas inom detta belopp. Det finns därför anledning att anknyta till slutsatsen i det tidigare avsnittet om ansvarsfördelningen, nämligen att begreppet oaktsamhet och grov oaktsamhet borde kunna komma till användning för att särskilja olika fall av oaktsamhet. I huvudsak skulle dessa båda nivåer omfatta de fall som bedömts som grovt oaktsamma. Inom beloppsgränsen för enkel oaktsamhet bör dock även falla en del fall som inte anses som grovt oaktsamma, men som inte heller återspeglar vad som rimligen bör kunna förväntas av en kortinnehavare. Kravet på kontohavaren skulle därmed bli något strängare, som detta ansvar endast skulle gälla upp till en viss nivå. Denna nivå bör då sättas så högt att den bli märkbar för kontohavare i allmänhet, men inte så högt att den drabbar de enskilda kontohavarna, i synnerhet konsumenterna, på ett oskäligt sätt. Övriga ansvarsituationer, såsom underlåtenhet att spärranmäla, frivilligt överlämnande av betalningsinstrument, osv., bör hänföras till endera av de båda nivåerna, beroende på om situationerna närmast har karaktären av enkel eller grov oaktsamhet. Andra begränsningar av kontohavarens ansvar När det gäller frågan om andra begränsningar av kontohavarens ansvar vid obehörig användning av ett kontokort anförde utredningen bl.a. följande.12 Konsumentkreditlagens bestämmelse om ansvar för obehöriga utnyttjanden innehåller den begränsningen, att kontohavaren inte svarar för transaktioner som påförts kontot efter det att kreditgivaren mottagit en anmälan om att kortet har förkommit. Denna begränsning gäller dock inte om kontohavaren har förfarit svikligt. Det förefaller rimligt att en kontohavare alltid har möjlighet att läka tidigare misstag genom att spärranmäla kortet. I princip bör det också vara upp till kontohavaren att bedöma om tillräckliga skäl finns för att misstänka att någon annan har kommit över kortet eller koden. En möjlighet för en kontohavare att undvika fortsatt ansvar trots till och med grövre fall av oaktsamhet kan antas utgöra ett betydelsefullt instrument att hålla nere förlusterna totalt sett för obehöriga transaktioner. I och för sig kan det förekomma ett tidsutrymme från det att förlustanmälan sker till dess att kreditgivaren når ut med information till säljställen och liknande platser. Den betaltjänstansvarige skulle då få svara för transaktioner som företas . Med utökad användning av 12 A. bet. direktuppkopplingar och effektiva rutiner för mottagningen av spärranmälningar bör emellertid detta utrymme kunna inskränkas till ett minimum. Här måste också beaktas de civilrättsliga reglernas möjligheter som styrmedel för systemuppbyggnaden. Man kan naturligtvis inte utesluta att regler som ger en generell möjlighet att undgå ansvar för tiden efter en spärranmälan skulle komma att utnyttjas av enskilda kontohavare. Man bör därför fortfarande kunna ålägga kontohavaren ansvar för rent svikliga förfaranden mot den betaltjänstansvarige vid utnyttjande även efter det att en spärranmälan skett. Det förekommer att kontohavaren får information om att han endast har möjlighet att utnyttja en betaltjänst inom vissa rambelopp, även om kontoutrymmet skulle ge möjlighet till större utnyttjanden. Dessa begränsningar fungerar som säkerhetsspärrar mot att eventuella förluster skall hinna växa sig alltför stora, innan de kunnat upptäckas eller åtgärdas. Det förekommer också att spärrar hemlighålls inför kontohavaren, vilka avses utgöra en ytterligare säkerhetsåtgärd. Den som kommit över ett kontokort obehörigen skall således genom dessa spärrar inte kunna veta vilket belopp som kan tas ut med hjälp av kortet. Det måste vara rimligt att kontohavaren inte kan göras ansvarig för större utnyttjanden än vad han har anledning att räkna med såsom åtkomliga för egen del. Sådana spärrbelopp som beskrivits bör alltså också innebära en begränsning av kontohavarens ansvar för obehöriga utnyttjanden. Utredningen föreslog som tidigare nämnts att det skulle införas en ny lag om betaltjänster. När det gäller frågor om obehörigt utnyttjande av kontokort föreslog utredningen att i huvudsak följande bestämmelser skulle införas i den föreslagna lagens andra kapitel. 12 § Den betaltjänstansvarige skall tillhandahålla möjlighet för kontohavaren att till den betaltjänstansvarige eller till någon som denne anvisar göra anmälan om att han förlorat kontrollen över sitt kontokort, sin personliga kod eller annat legitimationsmedel som hör till kontot (spärranmälan). 13 § Kontohavaren är skyldig att göra spärranmälan efter det att han upptäckt eller fått skälig anledning misstänka att han förlorat kontrollen över sådant legitimationsmedel som avses i 12 §. 15 § Kontohavaren är betalningsskyldig för belopp som debiterats kontot genom obehörigt utnyttjande, om 1.kontohavaren har förfarit svikligt mot den betaltjänstansvarige eller någon i dennes ställe, 2.kontohavaren frivilligt har lämnat ut sitt kontokort, sin personliga kod eller annat legitimationsmedel som hör till kontot till någon annan och utlämnandet inte kan anses ingå som ett normalt led ianvändningen av tjänsten, 3.kontohavaren underlåtit att göra spärranmälan i enlighet med 13 §, eller 4.kontohavaren på annat sätt har gjort utnyttjandet möjligt genom grov oaktsamhet vid hanteringen av sitt kontokort, sin personliga kod eller annat legitimationsmedel som hör till kontot. I andra fall än som avses i första stycket gäller vad som föreskrivs i 16 §. 16 § Kontohavaren är betalningsskyldig för belopp som har debiterats kontot genom obehörigt utnyttjande, om kontohavaren har gjort utnyttjandet möjligt genom oaktsamhet vid hanteringen av sitt kontokort, sin personliga kod eller annat legitimationsmedel som hör till kontot. Oavsett om det visas att kontohavaren varit oaktsam är denne alltid betalningsskyldig för belopp som har debiterats kontot genom obehörigt utnyttjande, om en personlig kod som hör till kontot har använts. Detta gäller inte om det skulle vara uppenbart oskäligt med hänsyn till de omständigheter som gjorde det obehöriga uttaget möjligt. 17 § Kontohavaren svarar enligt 15 och 16 §§ även för annan persons oaktsamhet och grova oaktsamhet, om denne enligt betaltjänstavtalet var behörig att disponera över kontot. Detsamma gäller när den andre personen inte sett till att spärranmälan kunnat göras eller när denne förfarit svikligt mot den betaltjänstansvarige. 18 § Kontohavaren ansvarar i fall som avses i 15 § första stycket 2–4 och 16 § inte för 1.belopp som överstiger vad som enligt avtalet var disponibelt för kontohavaren, 2.obehörigt utnyttjande av kontot som skett efter att spärranmälan mottagits av den betaltjänstansvarige eller någon annan som denne anvisat som mottagare av sådan anmälan, eller 3.obehörigt utnyttjande av kontot som varit möjligt genom en brist isäkerheten i systemet. Säkerhetsbrist enligt första stycket 3 skall anses föreligga, om inte den betaltjänstansvarige kan visa att sådana säkerhetsrutiner förelegat som innebär att risken för manipulation av systemet varit oväsentlig och att rutinerna följts vid den aktuella transaktionen. Kontohavaren kan åberopa säkerhetsbrist även i delar av systemet som den betaltjänstansvarige inte har direkt kontroll över. 19 § För belopp som kontohavaren enligt 15–18 §§ inte är betalningsskyldig svarar den betaltjänstansvarige. Ansvaret omfattar det debiterade beloppet jämte utebliven ränta och påförda avgifter. Den betaltjänstansvarige skall också ersätta konto- havaren för annan skada, om utnyttjandet varit möjligt till följd av oaktsamhet från den betaltjänstansvarige eller någon i dennes ställe. 20 § Om det uppstår tvist om betalningsskyldighet enligt 15 eller 16 §, skall den betaltjänstansvarige kreditera kontot för det debiterade beloppet jämte förlorad ränta och debiterade dröjsmålskostnader utan att avvakta prövningen av tvisten. Om transaktionen är av sådan art att 16 § andra stycket är tillämplig, får den betaltjänstansvarige underlåta att kreditera kontot för det belopp som kunden därigenom kan åläggas att betala. Utredningens förslag till nya bestämmelser angående en konto- havares betalningsansvar för obehöriga transaktioner diskuterades av åtskilliga remissinstanser. Nedan följer en översiktlig samman- ställning av remissutfallet i denna fråga. En svaghet i nuvarande reglering av obehöriga utnyttjanden av kontokort är att den enbart tar sikte på förvaringen och hanteringen av själva kortet. Väl så viktigt är ju hur den kod som medger utnyttjande av kortet hanteras. En annan svaghet får anses vara att de exempel på grov oaktsamhet som anges i lagens förarbeten och den tolkning som skett vid rättstillämpningen avviker från vad som i andra sammanhang bedömts vara grov oaktsamhet. Dessa svagheter torde komma att undanröjas genom utredningens förslag. Vi ansluter oss därför till detta. Avsikten med den föreslagna bestämmelsen om självrisk synes vara att försöka undkomma de bedömningsproblem som uppstår i de fall då det inte kan klarläggas på vilket sätt den personliga koden har kunnat användas. Bevisbördan för att den personliga koden har använts ligger i och för sig på den betaltjänstansvarige, men kravet på bevisningen torde i praktiken inte kunna sträckas längre än att det med exempelvis utdrag ur datajournaler visas att ifrågavarande kod har använts. En inte ovanlig situation i hos nämnden förekommande ärenden är att det visats att en personlig kod använts men kontohavaren bedyrar att han eller hon haft full kontroll över koden. Att i sådana och liknande situationer införa en självrisk för kontohavaren framstår enligt vår mening som rimligt, särskilt med beaktande av att en jämkningsmöjlighet införs. Införandet av en självrisk får dock inte leda till att de betaltjänstansvarigas intresse för att vidareutveckla säkerheten i de tekniska systemen minskar. Förslaget innebär att kontoinnehavaren vid oaktsamhet skall stå för vid ett obehörigt utnyttjande av kontot och för som en slags självrisk oavsett oaktsamhet om personlig kod som hör till kontot använts. Detta innebär ett nytänkande inom svensk lagstiftning. finner inte skäl att invända mot att kontoinnehavaren åläggs ett större och mera preciserat ansvar för obehöriga utnyttjanden, bl.a. genom införande av vissa självrisker. Lagförslaget innebär vissa försämringar för konsumenten i förhållande till det skydd som ges i konsumentkreditlagen. Det gäller införandet av olika nivåer av självrisker. Vi finner det i och för sig rimligt att lagstiftningen inte bara tar sikte på användandet av kortet utan även koden och andra legitimationsmedel. Men vi skulle helst se en ytterligare differentiering av jämknings- möjligheterna av ansvaret beroende på om kod används eller inte. Vid grov vårdslöshet ansvarar enligt förslaget konsumenten fullt ut för obehöriga uttag och vid oaktsamhet . I båda fallen gäller detta oberoende av om koden använts eller inte. Vid post- och bankuttag över disk ställs bestämda krav på att utbetalaren kontrollerar att den som gör uttagen är behörig. I existerar även ett åtagande från de större kortutgivarna och handeln om legitimationskrav vid användning av kort vid köp av varor för belopp . Detta åtagande är dock inte kopplat till några påföljder vid bristfällig eller utebliven legitimation. Vi anser mot denna bakgrund att konsumentens ansvar bör begränsas vid obehörigt användande där kod inte använts, bortsett från fall av svikligt förfarande från konsumentens sida. Ett sådant synsätt överensstämmer även med den danska lagstiftningen där ett obegränsat ansvar inte kan göras gällande när en betalning skett utan kodanvändning. Bestämmelsen i 2 kap. 18 § tredje stycket 3 tycks kunna läsas så att bristande legitimationskontroll kan utgöra en sådan brist i systemet att konsumenten inte ansvarar för obehörigt utnyttjande trots att hon varit oaktsam eller grovt oaktsam. Vi anser dock att bestämmelsen inte är tillräckligt tydlig. Framför allt är det oklart hur långt behörighetskontrollen skall sträcka sig för att inte anses vara en säkerhetsbrist i systemet. Vi föreslår att konsumentens ansvar inte skall överstiga vid oaktsamhet och vid grov oaktsamhet om det obehöriga utnyttjandet har möjliggjorts utan att använda kod. Saknas namnunderskrift på verifikationen eller är namnteckningen uppenbart förfalskad, bör konsumenten helt befrias från ansvar. Vid obehöriga uttag där kod har använts finner vi att det kan vara rimligt med en självrisk, dock med en nyanserad syn på koden som bevisning. Vi anser dock att maximinivån är för hög när det varken är fråga om grov oaktsamhet eller oaktsamhet. Nivån borde i stället ligga nära ett norskt lagförslag som är på . Sätts nivån för högt minskar incitamenten för den systemansvarige att optimera säkerhetsrutinerna. Man kan även ifrågasätta om det inte i den svenska lagen borde införas en övre gräns för ansvaret vid grov oaktsamhet och användning av kod liknande den som finns i den danska lagen och i det norska lagförslaget. Vi tillstyrker att konsumentens ansvar begränsas till vad som var disponibelt och att det även begränsas när brister förelegat i säkerhetsrutinerna. noterar inledningsvis att förslaget i förhållande till gällande rätt innebär en uttrycklig reglering av ansvaret för hanteringen av den personliga koden. Föreningen välkomnar denna precisering på en punkt som varit problematisk.