sou · GTB3108 · 2006-01-01 00:00:00 — och därtill hörande koder torde däremot inte i sig kunna anses vara utfärdade för att innehavaren med dessa skall genomföra kontantuttag, betalningar eller andra överföringar av pengar.1 Frågan om betalningsansvar vid obehöriga transaktioner med Internetbank och liknande självbetjäningstjänster diskuteras närmare i avsnitt 8.2. Av tredje stycket följer att avtalsvillkor som i jämförelse med denna lag är till nackdel för en konsument är utan verkan mot honom eller henne. Lagen begränsar utfärdarens möjlighet att avtalsvis hålla en konsument betalningsansvarig för transaktioner som har genom- förts utan hans eller hennes samtycke, s.k. obehöriga transaktioner. Ansvar för sådana transaktioner får alltså endast göras gällande i den utsträckning det följer av lagen. Utanför lagens tillämpningsområde faller därmed behöriga transaktioner, dvs. transaktioner som kontohavaren själv frivilligt har genomfört eller som genomförts av tredje man med konto- havarens samtycke. Första stycket innehåller definitioner av begreppen kontohavare, kontokort, annat identifieringsmedel, utfärdare och obehöriga transaktioner. Begreppen kontohavare och kontokort diskuteras närmare i kommentaren till 1 § andra stycket 1. Begreppet annat identifieringsmedel diskuteras närmare i kommentaren till 1 § andra stycket 3. 1 Se avsnitt 8.2.5. Begreppet utfärdare har valts i beaktande av att det inte finns något enhetligt samlingsbegrepp för banker och andra kortutgivare som tillhandahåller kontokort, Internetbank eller liknande själv- betjäningstjänster. Begreppet används redan för bl.a. en närings- idkare som ställer ut en elektronisk legitimation.2 Med obehöriga transaktioner avses transaktioner som genom- förts utan kontohavarens samtycke. En transaktion som utförs av annan än kontohavaren i enlighet med hans eller hennes instruk- tioner är alltså behörig, medan transaktionen är obehörig i den utsträckning samma person överskrider sin befogenhet. Andra stycket tar sikte på den situationen att ett kontokort eller ett annat identifieringsmedel hanteras av någon som inte är kontohavare men enligt avtal med utfärdaren ändå är behörig att disponera ett tillgodohavande eller ett kreditutrymme. Här avses s.k. extrakort, som främst utfärdas åt familjemedlemmar. Har denna persons agerande förorsakat obehöriga transaktioner, t.ex. genom grovt vårdslös hantering av kortet och koden, skall detta bedömas på samma sätt som om det varit kontohavaren själv som handlat. Eventuellt ansvar drabbar kontohavaren, inte extrakortsinnehavaren. Finns fler än en kontohavare får frågan om inbördes ansvar för obehöriga transaktioner regleras enligt vad som föreskrivs i kontoavtalet. Vanligtvis föreskrivs solidariskt betalningsansvar. Någon särskild bestämmelse om detta har inte bedömts vara påkallad. Av paragrafen följer att kontohavaren inte skall vara betalningsansvarig för obehöriga transaktioner som kunnat utföras på grund av att ett nummer eller någon annan uppgift som hör till ett kontokort angetts vid ett distansavtal eller på något annat sätt kommit till annans kännedom. Frågan om betalningsansvar vid 2 , Grundläggande vägledning för myndigheternas användning av elektroniska legitimationer och underskrifter, dnr 2004/8-3, artikel 5.9. obehöriga dispositioner genom distansavtal diskuteras närmare i avsnitt 8.1.12 och i kommentaren till 1 § andra stycket 2. Vid distansavtal uppges i allmänhet flera uppgifter som hör till kortet, t.ex. kortnummer, giltighetstid eller s.k. CVV- eller CVC- nummer. För att bestämmelsen skall bli tillämplig räcker det att någon uppgift som kan knytas till kortet uppges vid den obehöriga transaktionen. Den personliga koden är också en uppgift som hör till ett kontokort, men det torde av lätt insedda skäl inte förekomma säkerhetslösningar vid e-handel som innebär att en kontohavare skall uppge sin personliga kod. Har en kontohavare frivilligt överlämnat ett kontokort till annan ansvarar i allmänhet kontohavaren för de obehöriga transaktioner som mottagaren genomför. Sker sådana transaktioner genom upp- givande av kortnummer eller liknande på distans är kontohavaren dock i allmänhet inte betalningsansvarig. Att kontohavaren vid svek kan bli fullt betalningsansvarig för obehöriga transaktioner följer av 6 § andra stycket. Är fråga om behöriga transaktioner, dvs. transaktioner som genomförts med kontohavarens samtycke, blir lagen över huvud taget inte tillämplig och fullt betalningsansvar kan göras gällande. Paragrafen reglerar utfärdarens möjlighet att vid obehöriga dispositioner hålla kontohavaren ansvarig med en självrisk. Bestämmelserna diskuteras närmare i avsnitt 8.1.8. Enligt paragrafens första stycke skall utfärdaren ha rätt att ta ut en självrisk om eller det lägre belopp som transak- tionerna avser, om obehöriga transaktioner har genomförts med ett kontokort eller ett annat identifieringsmedel genom användning av kod och ett mer omfattande betalningsansvar inte följer av 5 eller 6 §. Självrisken kan tas ut oavsett vållande och innefattar således ett i allt väsentligt strikt ansvar för obehöriga transaktioner . Bestämmelsen syftar främst till att ge utfärdaren möjlighet att i sina avtalsvillkor föreskriva ett tydligt incitament för kontohavaren att hantera kort, kod och andra identifieringsmedel omsorgsfullt. Självriskregeln gäller endast transaktioner som har genomförts med användning av en kod som utfärdaren har tilldelat konto- havaren för att kunna disponera sitt konto, oavsett om koden har valts av kontohavaren själv eller inte. Någon självrisk skall alltså inte kunna tas ut beträffande obehöriga transaktioner som har genomförts med namnunderskrift eller på något annat sätt som inte innefattar användning av kod. I sådana situationer skall det inte vara möjligt att hålla kontohavaren ansvarig för obehöriga transaktioner, annat än i fall som avses i 5 eller 6 §. Inte heller skall självrisk utgå om det disponerade kortet är förfalskat, t.ex. vid skimming. I sådana situationer blir lagen över huvud taget inte tillämplig. Är det obehörigt disponerade beloppet lägre än skall kontohavaren endast kunna hållas betalningsansvarig med det obehörigt disponerade beloppet. Någon gradering av eventuellt vållande skall inte göras. Har transaktioner utförts både med och utan kod skall endast de transaktioner som skett med kod beaktas vid bedömningen av om självrisk skall utgå. När det gäller kontokort bör skyldigheten att betala självrisk vara knutet till varje kort som har förlorats och därefter använts för obehöriga transaktioner. Skulle fler än ett kontokort ha använts med inknappning av kod kan alltså självrisk utgå för varje på detta sätt disponerat kort. Andra stycket innehåller en jämkningsregel. Enligt bestämmelsen får kontohavaren inte åläggas att betala självrisk, om det med hänsyn till kontohavarens handlande och övriga omständigheter framstår som uppenbart oskäligt att ålägga ett sådant betalnings- ansvar. En situation där det skulle vara uppenbart oskäligt att ålägga en kontohavare att betala självrisk är när han eller hon har överlämnat kortet eller identifieringsmedlet och avslöjat koden på grund av våld, hot om våld eller annat tvång. Det kan även finnas andra situationer där det framstår som uppenbart oskäligt att hålla kontohavaren ansvarig med ett självriskbelopp. Som exempel kan nämnas vissa situationer där en lös anteckning med koden stulits genom inbrott i en låst bostad eller att någon filmat inknappningen av koden och därefter stulit kortet. Det bör dock understrykas att självrisken som utgångspunkt skall kunna utgå även om kontohavaren sannolikt inte har handlat oaktsamt. Ett av syftena med regleringen är att de flesta ärenden om obehörig användning skall kunna avslutas med att konto- havaren betalar självrisken utan att någon närmare utredning om eventuell oaktsamhet behöver utföras. Bestämmelsen hindrar naturligtvis inte utfärdaren från att i enskilda fall avstå från att ta ut självrisken. Enligt paragrafen får en kontohavare åläggas betalningsansvar för obehöriga transaktioner som genomförts med ett kontokort eller ett annat identifieringsmedel med eller det lägre belopp som transaktionerna avser, om vissa i paragrafen angivna förutsättningar är uppfyllda. Paragrafen anger alltså under vilka förhållanden en kontohavare kan hållas ansvarig med ett belopp som överstiger självrisken men ändå inte är obegränsat. Paragrafen diskuteras närmare i avsnitt 8.1.5, 8.1.6 och 8.1.7. Första punkten – kontokort Enligt första punkten kan betalningsansvar komma ifråga när de obehöriga transaktionerna har kunnat genomföras på grund av att en kontohavare handlat grovt oaktsamt. Begreppet grov oaktsam- het bör härvid ges samma innebörd som inom andra delar av den svenska civilrätten. Ansvar enligt den föreslagna bestämmelsen förutsätter att det finns ett orsakssamband mellan kontohavarens handlande och de obehöriga transaktionerna. Detta innebär beträffande kontokort att inte endast kontohavarens hantering av sitt kort skall beaktas, utan även hanteringen av den till kortet hörande koden. När det gäller hanteringen av koden måste beaktas att många konsumenter inte sällan har åtskilliga koder att hålla reda på och att det inte är rimligt att begära att alla människor skall lära sig sina koder utantill. Så länge systemsäkerheten bygger på kodhantering men inte innefattar en möjlighet för kontohavaren att förvara sina koder på ett betryggande sätt bör en kontohavare som gjort ett uppriktigt försök att maskera sin kod, t.ex. genom att anteckna koden som ett fiktivt telefonnummer i en telefonlista som medförs i plånboken tillsammans med kortet, inte kunna hållas betalnings- ansvarig utöver självrisken på grund av detta. Att skriva sin kod direkt på kortet eller att förvara en lös lapp med endast koden antecknad i direkt anslutning till kortet måste däremot anses utgöra exempel på förfaringssätt som markant avviker från en rimlig handlingsnorm. En omständighet som bör kunna vägas in vid bedömningen av om oaktsamhet skall anses som grov är att kontohavaren vid upprepade tillfällen gör sig skyldig till allvarlig försummelse av samma eller liknande slag, särskilt om det oaktsamma förfaringssättet upprepas . I kravet på att de obehöriga transaktionerna skall ha orsakats av kontohavarens grova oaktsamhet ligger att en helhetsbedömning bör göras av hur kortet och koden har hanterats. Det förhållandet att kortet hanterats med allvarlig oaktsamhet bör inte nödvändigt- vis leda till att hanteringen i sin helhet anses grovt oaktsam, om förvaringen av koden varit betryggande. På samma sätt bör allvarlig oaktsamhet vid förvaringen av koden inte nödvändigtvis leda till ansvar, om kortet har hanterats omsorgsfullt. Vissa särskilt oakt- samma förfaranden, som att anteckna koden direkt på kortet, bör i allmänhet medföra att hanteringen i sin helhet skall anses grovt oaktsam. Det måste dock finnas situationer där kontohavaren även i ett sådant fall inte drabbas av ansvar, t.ex. om kortet stulits genom inbrott i bostaden utan att kontohavaren genom oaktsamhet bidragit till att inbrottet kunde genomföras. Har den obehöriga transaktionen skett utan användning av kod skall naturligtvis endast hanteringen av kortet beaktas. En helhets- bedömning av kontohavarens handlande och övriga omständigheter bör göras. Vid bedömningen torde i undantagsfall kontohavarens individuella förutsättningar att hantera kort och kod kunna beaktas, t.ex. hög ålder. En särskild fråga i sammanhanget gäller medvetet risktagande, dvs. att någon handlar på ett visst sätt trots att han eller hon är medveten om att handlandet innebär risk för skada. Det skulle kunna hävdas att en kontohavare alltid tar en medveten risk när han eller hon medför sitt kontokort trots kännedom om en förhöjd risk för tillgreppsbrott. Eftersom de flesta kontokort är avsedda att användas för transaktioner i allmänhet bör detta förhållande inte nödvändigtvis innebära att kontohavaren skall anses ha varit grovt oaktsam. Ett medvetet risktagande skall dock naturligtvis alltid vägas in vid en aktsamhetsbedömning. Med grov oaktsamhet avses alltså sådan hantering av kort och i förekommande fall kod som vid en helhetsbedömning måste anses markant avvika från en rimlig aktsamhetsnorm. Slarv och glömska som de flesta under stress eller olyckliga omständigheter kan göra sig skyldiga till utgör normalt inte grov oaktsamhet. Inte heller utgör allmänt dåligt handlag grov oaktsamhet. Ansvar på grund av grov oaktsamhet bör således komma i fråga endast i särskilda undantagsfall. Första punkten – Internetbank och liknande betalningskanaler När det gäller en kontohavares hantering av sin personliga behörighetskod och andra identifieringsmedel som används för att disponera Internetbank eller liknande självbetjäningstjänster bör aktsamhetsbedömningen kunna grundas på i huvudsak samma omständigheter som beträffande kontokort. Behörighetskontroll vid användning av Internetbank och liknande tjänster sker i allmänhet genom att dels en personlig behörighetskod anges, dels att engångskoder, säkerhetsdosa eller något liknande identifieringsmedel används. Tillgång till ett kontotillgodohavande via Internet förutsätter alltså i regel att den obehörige personen disponerar såväl den personliga behörighets- koden som det andra identifieringsmedlet. Liksom när det gäller kontokort och kod är det därför viktigt att dessa två identifierings- medel inte förvaras i omedelbar anslutning till varandra. Skulle detta ändå behöva ske, t.ex. i samband med en resa, bör den personliga behörighetskoden vara väl maskerad eller annars otillgänglig för obehöriga. Vid tillämpningen bör en helhetsbedömning göras av hur den personliga behörighetskoden och det andra identifieringsmedel som hör till kontot har hanterats, liksom hur det utrymme där de förvarats var skyddat från obehörig åtkomst. Det måste anses grovt oaktsamt att upplåta sin bostad åt en okänd eller i det närmaste okänd person, om både anteckning med den personliga behörig- hetskoden och det andra identifieringsmedlet förvaras där. Som exempel på allvarlig oaktsamhet som ofta bör föranleda betalnings- ansvar kan nämnas att förvara en lös lapp med den personliga behörighetskoden tillsammans med det andra identifieringsmedlet, eller att anteckna den personliga behörighetskoden på detta. Vid förvaring i bostaden måste ansvar dock förutsätta att kontohavaren genom i vart fall någon form av oaktsamhet har bidragit till att den obehörige personen kunde få tillgång till utrymmet där behörig- hetskoden och det andra identifieringsmedlet förvarades. Enligt andra punkten kan ansvar göras gällande om en obehörig transaktion har kunnat genomföras på grund av att en kontohavare underlåtit att underrätta utfärdaren efter att ha insett eller haft skälig anledning att anta att ett kontokort förlorats. Detsamma skall gälla om annan än en kontohavare har fått kännedom om en till kontot hörande kod eller fått tillgång till något annat identi- fieringsmedel som hör till kontot. Underlåtenhet att göra spärranmälan bör endast leda till betalningsansvar i fall då en i rätt tid gjord spärranmälan hade kunnat förhindra de obehöriga dispositionerna. Det skall således finnas ett orsakssamband mellan kontohavarens underlåtenhet att underrätta utfärdaren och de obehöriga transaktionerna. Att underrättelse skall ske innebär när det gäller kontokort att kontohavaren skall vidta denna åtgärd så snart det är möjligt. I detta ligger att kontohavaren måste ha rimlig tid på sig att ta reda på spärrnumret och få tillgång till telefon, vilket naturligtvis kan ta mer eller mindre tid i anspråk beroende på var och när kortet förlorats. Vid bedömningen måste också i rimlig utsträckning beaktas att många människor efter att ha utsatts för stöld eller något annat brott kan vara upprivna och därför brister i rationalitet. måste krävas att kontohavaren inte väntar med att vidta åtgärder för att underrätta kortutgivaren. Det kan t.ex. i allmänhet inte anses ursäktligt att avvakta med under- rättelsen tills banken öppnar . Ansvar enligt paragrafen blir även aktuellt när kontohavaren inte insåg men hade skälig anledning att anta att ett kontokort eller något annat identifieringsmedel förlorats eller koden kommit till en obehörig persons kännedom. Skälig anledning att anta att ett kontokort förlorats kan föreligga om kontohavaren är medveten om att ha utsatts för tillgreppsbrott men trots detta inte förvissar sig om huruvida kortet stulits eller inte. alltså inte någon generell skyldighet för kontohavaren att fort- löpande kontrollera att ett kontokort eller något annat identi- fieringsmedel finns i behåll. Även när den till kortet hörande koden kommit till en obehörig persons kännedom måste underrättelse om detta ske . Det är angeläget att den höga säkerhetsnivå som skyddar kontot återställs genom att den utfärdade koden spärras eller annan åtgärd vidtas. Underlåtenhet att underrätta kortutgivaren i sådana situationer bör därför också kunna leda till ansvar för konto- havaren. Ansvar för kontohavaren vid underlåtenhet att spärra kort eller kod förutsätter naturligtvis att kortutgivaren tillser att denna möjlighet finns och att kontohavaren tydligt har informerats om detta. Kortutgivaren bör noggrant dokumentera när en underrättelse tas emot. Att spärranmälan skall ske till utfärdaren hindrar givetvis inte att spärranmälan även kan göras till annan som utfärdaren anvisat att ta emot sådana anmälningar, t.ex. en spärrcentral. Vad som anförts angående spärranmälan av kontokort och därtill hörande kod bör gälla även beträffande koder och andra identifieringsmedel som används för att disponera ett konto med Internetbank eller annan liknande betalningskanal. Paragrafens första och andra stycken anger under vilka förhållan- den en kontohavare kan hållas fullt betalningsansvarig för obe- höriga transaktioner. Tredje stycket innehåller en jämkningsregel. Bestämmelsen i första stycket diskuteras närmare i avsnitt 8.1.3. Bestämmelsen i andra stycket diskuteras närmare i avsnitt 8.1.4. Enligt första stycket skall kontohavaren kunna hållas fullt betalningsansvarig om transaktionerna har kunnat genomföras på grund av att en kontohavare frivilligt överlämnat ett kontokort eller ett annat identifieringsmedel till annan, eller frivilligt har uppgett en kod för annan. Bestämmelsen tar sikte på situationer där en kontohavare frivilligt har gett någon i uppdrag att vidta dispositioner men fullmäktigen överskrider sin befogenhet genom att utföra obe- höriga transaktioner. Kontohavaren kan i sådana fall som huvud- regel hållas ansvarig med hela det obehörigt disponerade beloppet. Det saknar betydelse om det var fullmäktigen själv eller någon han eller hon i sin tur överlämnade kortet till som utförde de obehöriga transaktionerna. Kontohavarens ansvar kan i vissa fall inskränkas med stöd av tredje stycket och 7 §. Har överlämnandet av kortet skett på grund av våld, hot om våld eller annat tvång föreligger inte ett frivilligt överlämnande i bestämmelsens mening. Inte heller omfattas situationer där kortet överlämnas för betalning på ett säljställe eller kontohavaren ber någon passa en väska där kortet förvaras. Inte heller har ett överlämnande i bestämmelsens mening skett när kortet skickas med post. I sådana situationer kan i vissa fall ansvar komma i fråga enligt 5 §. Den till ett kontokort hörande koden är hemlig och får inte avslöjas för någon obehörig. Har kontohavaren frivilligt avslöjat koden och leder detta till att obehöriga transaktioner kan genomföras bör därför kontohavaren som huvudregel ansvara fullt ut för dessa transaktioner. Skulle något identifieringsmedel som används för transaktioner med Internetbank eller annan liknande betalningskanal överlämnas eller en personlig behörighetskod som hör till kontot avslöjas för någon obehörig bör även detta som huvudregel leda till fullt betalningsansvar för kontohavaren, under förutsättning att överlämnandet eller avslöjandet lett till att obehöriga transaktioner kunnat genomföras. Kontohavaren skall enligt andra stycket kunna hållas fullt betal- ningsansvarig om transaktionerna har kunnat genomföras på grund av att han eller hon genom svikligt handlande har bidragit till de obehöriga transaktionerna. Genomför kontohavaren själv transaktioner och därefter gör gällande att de varit obehöriga blir lagen över huvud taget inte tillämplig, eftersom fråga varit om behöriga transaktioner. Bestämmelsen tar i stället sikte på situationer där kontohavaren på något annat sätt svikligen har bidragit till obehöriga transaktioner. Kravet på att det svikliga handlandet skall ha bidragit till de obehöriga transaktionerna innebär att även svikliga förfaranden som inte har förorsakat transaktionerna omfattas. Tredje stycket innehåller en jämkningsregel. Skulle det med hänsyn till kontohavarens handlande och övriga omständigheter framstå som uppenbart oskäligt att hålla kontohavaren fullt betalnings- ansvarig trots att ett kontokort eller ett annat identifieringsmedel frivilligt överlämnats eller en kod uppgetts, kan kontohavarens ansvar jämkas. Bestämmelsen tar sikte på situationer där ett fullt betalnings- ansvar framstår som orimligt, trots att kortet överlämnats eller koden avslöjats. Tänkbara situationer där bestämmelsen skulle kunna vara tillämplig är att kontohavaren vilseletts att överlämna kortet till en obehörig person, eller en sjuk eller handikappad kontohavare utsatts för brott av en fullmäktig. Jämkningsregeln är endast avsedd att tillämpas i särskilda undantagsfall. Av paragrafen följer att kontohavaren trots vad som anges i 4 och 5 §§ samt 6 § första stycket under vissa förhållanden inte skall kunna hållas betalningsansvarig för obehöriga transaktioner. En kontohavare undgår alltså i sådana fall helt betalningsansvar trots att han eller hon t.ex. har överlämnat ett kontokort till en fullmäktig som överskridit sin befogenhet, handlat grovt oaktsamt eller inte spärrat ett förlorat kort tillräckligt snabbt. Inte heller självrisk skall utgå i dessa fall. Kontohavaren skall dock alltid vara betalningsansvarig när han eller hon har handlat svikligt. Har transaktionerna genomförts med kontohavarens samtycke är de inte obehöriga och omfattas därför inte av lagen. Enligt första punkten skall kontohavaren inte vara betalnings- ansvarig om transaktionen har genomförts efter att utfärdaren underrättats om att ett kontokort eller ett annat identifierings- medel förlorats, eller att någon obehörig fått kännedom om koden. Detsamma gäller om den obehöriga transaktionen genomförts efter att kontohavaren av någon annan anledning begärt att åtkomsten till kontot skall spärras. Tidpunkten för ansvarsövergången bör beräknas från när underrättelsen kommer någon som företräder utfärdaren till del. Det förhållandet att det kan ta en mindre tid för utfärdaren att lägga in en spärr skall således inte påverka kontohavarens ansvar. Att kontohavaren vid uppringning av spärrnumret t.ex. hamnat i telefonkö skall inte innebära att han eller hon försätts i en sämre situation än om samtalet hade tagits emot genast. Det saknar betydelse vem som har gjort anmälan till utfärdaren. Anmälaren kan sålunda vara en helt utomstående person, t.ex. någon som hittat ett kontokort och översänt det till utfärdaren. föreskriver i allmänhet att spärranmälan skall göras även om någon obehörig fått kännedom om en kod som hör till kontot. Även en sådan underrättelse bör medföra att kontohavaren därefter undgår ansvar för obehöriga transaktioner, såvida dessa genomförts med kod. Motsvarande gäller en underrättelse till utfärdaren om att ett identifieringsmedel som används för att disponera ett konto med Internetbank eller annan liknande betalningskanal förlorats. Enligt andra punkten skall kontohavaren inte åläggas något betalningsansvar, om den obehöriga transaktionen har kunnat genomföras på grund av säkerhetsmässiga brister eller något annat fel som utfärdaren ansvarar för.