sou · GTB3108 · 2006-01-01 00:00:00 — Bankerna använder sig av olika interna säkerhetsspärrar, som syftar till att motverka att obehöriga uttag sker. Vid köp i butik gäller i allmänhet betydligt högre beloppsbegränsningar, ibland inga alls. När en kund hos en viss bank tar ut kontanter från en annan banks uttagsautomat betalar den kortutgivande banken en avgift till den automatägande banken, s.k. interchangeavgift. Denna avgift uppgår i genomsnitt till per uttag.19 De flesta automatägande banker i ingår i ett samarbete genom vilket uttagsautomater tillhandahålls under namnet Banko- mat. De banker som deltar i bankomatsamarbetet skall till- handahålla kunder hos andra banker som deltar i samarbetet vissa bastjänster, bl.a. möjligheten att göra uttag och erhålla minneslapp. Utanför bankomatsamarbetet står och de flesta fristående sparbanker, som i stället tillhandahåller denna tjänst under namnet Uttagsautomat (tidigare Minuten). Genom bilaterala avtal mellan bankerna kan en kund hos en bankomat- ansluten bank numera i allmänhet göra kontantuttag även på uttagsautomater och vice versa. Av i det föregående nämnda allmänna råd om kontokort och automattjänster, 11 §, framgår att institut som tillhandahåller tjänst i automat bör i nära anslutning till denna eller genom information i automatens bildfönster lämna information om hur tjänsten skall genomföras. Avgifter eller annan information av särskild betydelse vid användandet av automaten bör framgå av de 19 riksbank, Priser och kostnader i det svenska betalningssystemet, Finansiell stabilitet 2/2004, s. 69. villkor som kunden tillhandahålls. Av 12 § följer att kunden efter avslutad tjänst bör få ett kvitto på transaktionen. Om kvitto tillfälligtvis inte kan lämnas bör kontohavaren informeras om detta innan tjänsten påbörjas. Enligt samma allmänna råd, 14 §, bör det kontoförande institutet göra en teknisk utredning, om en kontohavare reklamerar en korttjänst och det inte finns synnerliga skäl mot det. Den tekniska utredningen bör enligt 15 § innebära att institutet t.ex. granskar den dokumentation hos automatägaren som utvisar automat- systemets funktionssätt vid transaktionstillfället. Till denna dokumentation hör bl.a. automatjournal, behandlingshistorik, tömningsrapport och sedelavstämningsrapport. Antalet uttagsautomater i har ökat och uppgick till 2 806 stycken.20 Öknings- takten minskade och har nästan avstannat. Antalet uttagsautomater per capita är i bland de lägsta i . Det finns inget som tyder på att bankerna skulle vara intresserade av att öka antalet automater ytterligare, då använd- ningen av kontanter kan antas minska . Antalet transaktioner i uttagsautomater i har legat relativt på cirka 300 miljoner , eller strax under 40 uttag per person. skedde 337 miljoner uttag, till ett transaktionsvärde om 284 miljarder kronor.21 Antalet anmälda kortbedrägerier uppgick till 10 341.22 var motsvarande siffra 4 961. I dessa siffror ingår inte användning av förfalskade kort, t.ex. sådana som framställts genom s.k. skimming (se nedan). Antalet anmälda fall av automatmissbruk var 3 687. 20Sveriges riksbank, Den svenska finansmarknaden , s. 100. 21Sveriges riksbank, a.a., s. 100. 22Brottsförebyggande rådet, Kriminalstatistik 2004, s. 42., jfr även i , Bedrägeri med stulna bankomatkort – en kartläggning av brottsligheten i , 2003. Enligt statistik från Visa är bedrägerinivån i förhållande- vis låg, , jämfört för Europa.23. I hela uppgick förlusterna inom Visa-systemet med anledning av bedrägeri till , eller per utfärdat kort.24 I uppgick förlusterna med anledning av be- drägerier med till , vilket är den lägsta siffran någonsin.25 3.8.1Skimming, phishing och falska kortläsare Magnetremsan är som tidigare nämnts alltjämt det dominerande elektroniska kännetecknet på kort utfärdade i . Magnet- remsans innehåll kan dock manipuleras. Kortavläsare och systemet i övrigt har endast små möjligheter att avslöja att kopiering av information har skett från ett giltigt kort till ett annat (s.k. skimming). Enligt Visa avsåg av alla bedrägerier som drabbade svenska Visa-kunder skimming.26 Ett relativt nytt säkerhetsproblem är s.k. phishing. Företeelsen innebär att en bedragare genom främst massutskick med e-post, s.k. spam, fiskar efter hemlig information om kontokort som denne därefter använder för att genomföra obehöriga trans- aktioner. Sådana e-postmeddelanden ger sken av att härröra från kortinnehavarens bank, som enligt meddelandet uppmanar kunden att klicka på en länk till bankens webbplats. Länken kopplar i stället kunden till bedragarens webbplats, vilken i det närmaste är identisk med den riktiga bankens. Här meddelas kunden att det förekommit säkerhetsproblem, och att kunden därför skall ange namn, kortnummer, PIN-kod och kortets giltighetstid. Dessa uppgifter registreras av bedragaren, som därefter använder uppgifterna för obehöriga inköp. Kopiering av kortinformation kan även ske genom att en uttagsautomat förses med falsk kortläsare och minikamera. Den falska kortläsaren installeras där kortet normalt sticks in. Kortläsaren registrerar informationen på kortets magnetremsa, 23 , , s. 64. 24 , pressinformation, . Statistiken avser perioden –. 25Visa Annual Report 2004, s. 8. 26Göteborgs-Posten, , s. 64. som minikameran spelar in inknappningen av koden. Den information som den falska kortläsaren registrerat förs över till ett nytt kort, som kan användas för obehöriga transaktioner. användes i viss utsträckning falska tangentbord för att registrera inknappningen av koden. 3.8.2Säkerhetsåtgärder för kort med magnetremsa För att öka säkerheten kan kort med magnetremsa förses med s.k. watermark. Metoden innebär att magnetremsan ges ett särskilt spår med extra sifferinformation. Varje ingrepp medför att remsan blir oläsbar. Metoden utgör skydd mot såväl ändring som kopiering och anses mycket säker. Genom kontroll av om watermark har registrerats eller inte kan man vid kortavläsningen eller därefter konstatera om rätt kort har använts. Metoden används i för alla bankkort, men tillämpas inte utomlands. Av kostnadsskäl finns dock avläsare som kan utföra kontroll av watermark endast i uttagsautomater. Andra metoder för att säkra informationen på remsan är Card Verficiation Value (CVV), som används av Visa, och Card Verification Code (CVC), som används av MasterCard. CVV och CVC innebär att det i samband med auktorisationen skickas med vissa uppgifter som gör att kortutgivaren kan identifiera kortet. Metoderna skyddar till skillnad från watermark inte mot kopiering utan endast mot förfalskningar. CVV och CVC är avsedda att i efterhand fastställa om ett kort är äkta eller åtminstone identiskt med ett äkta kort. Ett Visa-korts CVV-nummer utgörs av de tre siffror som anges efter kortnumret på kortets baksida. Säkerheten i samband med kontantuttag från uttagsautomat ökar fortlöpande genom att övervakningskameror installeras i anslutning till allt fler uttagsautomater. Det får anses i det närmast omöjligt att en obehörig person helt enkelt gissar sig till den PIN-kod som hör till ett kontokort. Felslag av PIN-kod ackumuleras och hävs först när rätt kod knappas in. Samtliga kontokort kommer att bytas ut mot nya s.k. chipkort. Chiptekniken har främst använts i förbetalda kort. Den nya tekniken innebär att nya betalnings- terminaler och uttagsautomater måste installeras. Den information som finns lagrad i magnetremsan lagras på ett chipkort i stället i en integrerad krets i själva kortet. Den integrerade kretsen erbjuder ett betydligt bättre skydd mot kopiering och annan manipulation än magnetremsan, samt kan dessutom lagra mer information. Tekniken bygger på den internationella kontokortstandarden EMV, som står för Europay, MasterCard och Visa. Chipkort kallas också . IC står för integrated circuit, eller integrerad krets. Chipkort vars integrerade krets även har en mikroprocessor som kan bearbeta viss information brukar kallas smarta kort. Mikroprocessorn innebär att kortet själv kan bearbeta information och kommunicera i krypterad form med säljföretagets betalningsterminal. Chiptekniken gör det också möjligt att genomföra betalningar av små belopp utan att säljföretagets betalningsterminal kopplas upp mot banken. Transaktionen lagras i stället i betalningsterminalen, och registreras hos banken först i samband med att en större transaktion sker. I syfte att öka användningen av EMV-teknik har Visa och MasterCard per beslutat om vissa förändringar i sina regelverk. Dessa förändringar innebär att kortutgivaren i stället för inlösaren skall stå för förluster som orsakas av bedrägeri i fall då förlusten hade kunnat undvikas om kortet varit utrustat med EMV-teknik (s.k. liability shift). Antalet kortbedrägerier förväntas minska när den nya tekniken har införts, då en avsevärd del av kortbedrägerierna sker genom kopiering av kortinformation. Införandet av EMV-standard i kombination med krav på användning av PIN-kod anses ge ett gott skydd mot kortbedrägerier. Övergången till kontokort med EMV-standard går fort. har t.ex. gett ut cirka en miljon bankkort med EMV-chip, och har bedömt att hela teknikskiftet skall vara fullt genomfört 2008. I är det i och som övergången till EMV-standard har kommit längst. I hela hade det getts ut över 100 miljoner chipkort med EMV-standard. Som nämnts i avsnitt 2.4 arbetar () för att skapa ett enhetligt område för effektiva betalningar i euro, Single Euro Payments Area (SEPA). Enligt för kontokort, Framework, är chip och PIN-kod den teknik som skall tillämpas inom SEPA.27 Detta innebär att kontokort med magnetremsa inte kommer att uppfylla de krav som ramverket ställer efter 2010. Betalningsmetoden 3 D Secure/Secure Payment Application används för betalningar på Internet och baseras på säkerhets- standarder som har tagits fram av Visa och . Denna metod är under installation hos ett stort antal Internetbutiker i hela världen. har lanserat tjänsten e-kort, som möjliggör betalningar på Internet utan angivande av kortnummer. Med e-kort skapas ett unikt kortnummer varje gång kunden skall betala på Internet, ett s.k. e-nummer. E-numret fungerar endast hos utsedd handlare och har vanligtvis en livslängd på en månad. Endast bakomliggande säkerhetssystem kan koppla ihop e-numret med kundens kontokort. Säljföretaget ser ingen skillnad på ett e-kort och ett vanligt kontokort. 3.8.5Postförsändelse med kontokort och kortaktivering Enligt det i avsnitt 3.6.2 nämnda s.k. åtagandet skall kontokort sändas till kontohavaren med postförsändelse eller överlämnas till denne på säljstället. Om kortet överlämnas på säljstället skall kontohavaren legitimera sig, om han inte är väl känd. I fall kortet är kombinerat med PIN-kod skall kort och kod sändas i separata försändelser . I kortavtalen brukar vidare anges att postbefordran av konto- kort, som inte sker genom kortutgivarens försorg, endast får ske inom och då i rekommenderad försändelse. 27 , Framework, Version 1.0, , Cards-027/05, avsnitt 1.3.2. Vissa kortutgivare har som policy att kortet eller koden måste aktiveras innan kortet kan användas. Ett utbyteskort kan vanligtvis aktiveras genom att den tidigare använda personliga koden knappas in i uttagsautomat eller i betalningsterminal på ett säljställe. Betänkandet SOU 1975:63 Konsumentkreditlag m.m. tillsattes 1971 med uppdrag att föreslå åtgärder som förstärker konsumentskyddet i kreditsammanhang. Kommittén föreslog i sitt delbetänkande Konsumentkreditlag m.m. att en konsumentkreditlag skulle införas, och att denna lag bl.a. skulle innehålla en bestämmelse om en kontohavares betalnings- ansvar vid obehörig användning av kontokort. Kommittén anförde i denna fråga i huvudsak följande.1 Kreditavtal innehåller i regel avtalsvillkor, varigenom konsumenten påtar sig ansvar för belopp som påförts kontot genom att kontokortet använts av obehörig. Det är uppenbart att förlusten av ett kontokort, om sådana avtalsvillkor tillämpas fullt ut, kan få mycket obehagliga följder för konsumenten. Det torde vara lämpligt att en blivande konsumentkreditlag innehåller ett grundskydd i detta avseende. Kommittén anser att risken för en ekonomisk förlust till följd av missbruk av kontokort i första hand bör bäras av kreditgivaren. Denne har möjlighet att genom strängare krav på legitimation begränsa sitt risktagande. I vissa fall bör kreditgivaren av konsumenten kunna återkräva belopp som genom missbruk av kortet påförts kontot och utbetalats till säljaren. Krav av detta slag bör för det första kunna göras gällande om kontohavaren frivilligt lämnat ifrån sig kortet till annan person som använt sig av detsamma. Krav bör vidare kunna resas om kontohavaren till följd av grov oaktsamhet blivit av med kortet och detta därefter använts av obehörig. Även vid oaktsamhet som inte kan anses som grov bör kreditgivaren ha viss möjlighet att kräva betalning av kontohavaren, nämligen i det fall att kontohavaren underlåtit att efter upptäckten av förlusten av kortet anmäla förlusten till kreditgivaren. 1 SOU 1975:63 s. 198 f. Kommittén föreslår sålunda att avtalsvillkor som innebär att konto- havaren åtar sig betalningsansvar för belopp, som påförts kontot genom att kontokort använts av obehörig för inköp, endast får göras gällande om kontohavaren lämnat ifrån sig kortet till annan, om kontohavaren genom grov oaktsamhet förlorat kortet eller om kontohavaren, utan att grov oaktsamhet ligger honom till last, förlorat kortet och underlåtit att efter upptäckt av förlusten göra anmälan hos kreditgivaren. Såvitt avser oaktsamhet vilken inte är att beteckna som grov innebär förslaget således att kontohavaren, om han genast efter upptäckt anmäler förlusten, inte behöver betala för de inköp som kan ha gjorts i tiden mellan förlusten och upptäckten. Enligt kommitténs mening bör kontohavaren, oavsett hur kortet kommit ur hans besittning eller vilken grad av oaktsamhet som kan läggas honom till last, i princip inte behöva betala för inköp som gjorts efter det att han anmält att han inte längre innehar kortet. Om kontohavaren anmäler till kreditgivaren att han inte längre har kortet i sin besittning kan kreditgivaren nämligen föra upp kortet på en spärrlista som sänds ut till de säljare som är anslutna till kortsystemet och därigenom undvika att kortet används för inköp. Har emellertid kontohavaren gjort sig skyldig till svikligt förfarande bör han naturligtvis inte kunna undandra sig att betala det belopp som efter anmälan påförts kontot. Kommittén föreslår därför att kontohavaren endast om han förfarit svikligt skall vara betalningsskyldig för belopp som påförts kontot sedan kontohavaren hos kreditgivaren anmält att han inte längre har kortet i sin besittning. Kommitténs förslag i denna del godtogs eller lämnades utan erinran av så gott som alla remissinstanser.2 ansåg att de föreslagna bestämmelserna ger konsu- menten ett gott skydd. Enligt bolaget överensstämde de i stort med den praxis som tillämpas av flertalet kontokortsföretag. () ansåg att det fanns anledning att överväga om man inte i – såsom har skett i – bör införa regler som generellt begränsar kontohavarnas betalnings- ansvar till visst belopp och som befriar dem helt från ansvar i de fall då kortet använts av någon annan obehörig, som inte varit legitimerad på annat sätt än genom innehav av kortet. påpekade att kommitténs förslag innebär att en kontohavare kan bli ansvarig för belopp som påförts kontot efter det att han mist kortet men innan han anmält detta. 1976/77:123 s. 303. föreslog att kontohavarens ansvarighet härvidlag begränsas till ett belopp motsvarande en tjugondel av basbeloppet. anmärkte att de föreslagna bestämmelserna, särskilt i de fall kortet lämnas ut till annan, inte ger kontohavaren tillräckligt skydd mot att säljaren eller annan som lämnar kredit mot kontokort förfar oaktsamt. hänvisade härvid till 33 § skuldebrevslagen. avstyrkte i ett särskilt yttrande KO:s och nämnda förslag om en generell begränsning av kontohavares betalningsansvar vid obehöriga uttag till visst belopp. Föreningen framhöll bl.a. att de av kommittén föreslagna reglerna om kontohavares betalningsansvar ger konsu- menten ett gott skydd. Om man härutöver inför en beloppsmässig begränsning skulle detta enligt föreningen sannolikt bidra till minskad respekt hos kontohavarna för regler om bl.a. noggrann förvaring och anmälan vid förlust av kontokort. Propositionen 1976/77:123 Förslag till konsumentkreditlag m.m. När det gäller kommitténs förslag till begränsning av en konto- havares betalningsansvar vid obehörig användning av kontokort anförde föredragande departementschefen i huvudsak följande.3 Det finns ett klart behov av regler till skydd för kontohavare i fall då kontokort används av obehörig. Vid utformningen av reglerna bör utgångspunkten vara att risken för ekonomisk förlust i första hand skall bäras av kreditgivaren. Kreditgivaren har nämligen möjlighet att på olika sätt begränsa sitt risktagande, främst genom krav på legitimation när kort används. I vissa kvalificerade fall bör dock kreditgivaren ha möjlighet att göra konsumenten betalningsskyldig. Liksom huvuddelen av remissinstanserna anser jag att de bestämmelser som kommittén härvidlag har föreslagit innebär en lämplig avvägning. Detta betyder att jag inte nu vill förorda ytterligare speciella begräns- ningar av den typ som har föreslagits av KO och . Att införa en generell begränsning av kontohavarens ansvar till en viss beloppsnivå skulle enligt min mening kunna alltför mycket undergräva respekten för de normer som måste finnas när det gäller skyldighet att förvara kortet väl och anmäla förlust av kortet. Ansvarsbe- gränsningsregeln skulle ju få betydelse endast om kontohavaren över- lämnat kortet till annan, förlorat kortet genom grov oaktsamhet eller förlorat kortet på annat sätt och underlåtit att efter upptäckt anmäla förlusten. Och i dessa fall blir kontohavaren ansvarig endast för 1976/77:123 s. 138 ff. sådana obehöriga kontouttag som sker innan kreditgivaren har mottagit anmälan att kontohavaren inte längre har kortet i sin besittning. Självfallet kan ett sådant ansvar – med hänsyn till beloppets storlek eller andra omständigheter – stundom framstå som oskäligt mot kontohavaren. Sådana fall kan emellertid angripas med hjälp av jämkningsregeln i 36 § avtalslagen.4 De särskilda reglerna om betalningsansvar vid obehörigt användande av kontokort bör enligt min mening äga tillämpning oavsett kontokreditens närmare inriktning. Reglerna bör således gälla såväl när kontokrediten avser endast inköp av varor som när krediten kan användas för annat ändamål. I propositionens specialmotivering anförde departementschefen härutöver bl.a. följande.5 Med kontokort avses en handling eller ett föremål, vanligen en plast- bricka, som används som bevis om att ett avtal om kontokredit har ingåtts. Vid bedömningen av om kontohavaren genom grov oaktsamhet har förlorat kortet bör beaktas att kontokort i regel är avsedda att lättillgängligt kunna medföras i olika sammanhang, ofta för att användas i stället för pengar vid smärre inköp. Det bör därför krävas mera försvårande omständigheter för att grov oaktsamhet skall anses föreligga. Som exempel kan nämnas att kontokortet har lämnats kvar i ficka, väska, fordon e.d. som inte stått under uppsikt. Förloras kontokort när det förvaras i vederbörandes bostad torde grov oaktsamhet i regel inte böra anses föreligga. Kontohavaren går vid annan oaktsamhet fri från betalningsansvar, om förlustanmälan sker till kreditgivaren. Sådan förlustanmälan kan med denna verkan ske även om kortet för anmälan åter har kommit i kontohavarens eller annan behörig persons besittning. Om förlustanmälan inte sker efter upptäckt blir kontohavaren i allmänhet betalningsansvarig för alla de belopp som genom obehörig användning av kontokortet har påförts kontot. Även om kontohavaren eller annan behörig användare har lämnat ifrån sig kortet till annan, förlorat kortet genom grov oaktsamhet eller förlorat besittningen av kortet på annat sätt och underlåtit att efter upptäckt anmäla förlusten hos kreditgivaren, kan kontohavarens betal- ningsansvar begränsas. Kontohavaren är nämligen enligt den föreslagna bestämmelsen i princip inte betalningsansvarig för belopp som genom att kontokort använts av obehörig har påförts konto efter det att kredit- givaren mottagit förlustanmälan. Som ett undantag från denna huvudregel gäller emellertid att kontohavaren är betalningsskyldig även för sådant belopp, om kontohavaren har förfarit svikligt. Kontohavaren kan t.ex. ha lämnat kontokortet till någon som inte enligt kontoavtalet är behörig att använda kortet och ha överenskommit med den till vilken kortet 4Se om denna fråga i SvJT 1992 s. 721. överlämnats att denne skall fortsätta att bruka kortet sedan kontohavaren gjort förlustanmälan. Vid tillämpning av denna bestämmelse saknar det betydelse vem som har gjort anmälan till kreditgivaren. Anmälaren kan sålunda vara en helt utomstående person, t.ex. någon som hittat kortet och översänt det till kreditgivaren. Det kan förekomma att två eller flera personer är kontohavare i ett och samma kontoavtal. Vanligen torde dessa vara solidariskt betalnings- ansvariga för belopp som påförts kontot. I sådant fall gäller förlust- anmälan till förmån för alla kontohavarna. Lagrådet anförde med anledning av lagförslaget bl.a. att om kreditgivaren genom vårdslöshet medverkat till den oriktiga debiteringen av kontot, kan detta uppenbarligen komma att inverka på bedömningen av kontohavarens ansvar.6 Bestämmelserna i 24 § konsumentkreditlagen Konsumentkreditlagen (1977:981) trädde i kraft . Lagen kom att i 24 § innehålla bestämmelser om obehörig användning av kontokort, vilka i sak överensstämde med kredit- köpkommitténs förslag. Enligt paragrafens första stycke fick avtalsvillkor som innebar att en kontohavare skall vara betalningsskyldig för belopp, som påförts kontot genom att kontokort har använts av obehörig, göras gällande endast om någon av vissa angivna förutsättningar var uppfyllda. Dessa förutsättningar var att kontohavaren eller annan som enligt kontoavtalet var behörig att använda kontokortet lämnat ifrån sig kortet till annan, genom grov oaktsamhet förlorat kortet, eller på annat sätt förlorat besittningen av kortet och inte efter upptäckten anmält förlusten hos kreditgivaren. Paragrafens andra stycke reglerade den situationen att belopp påförts kontot enligt första stycket sedan kreditgivaren mottagit anmälan att kontohavaren eller annan som enligt kontoavtalet är behörig att använda kontokortet inte längre har detta i sin besittning. Kontohavaren var enligt bestämmelsen betalnings- skyldig för sådana belopp endast om denne förfarit svikligt. 1976/77:123 s. 365. Konsumentkreditlagen (1992:380) trädde i kraft , varvid konsumentkreditlag upphörde att gälla. Bestämmel- serna om obehörig användning av kontokort fördes i sak oförändrade in som 34 § i den nya lagen. Vissa språkliga föränd- ringar gjordes i lagtexten. Regeringen uttalade i propositionen till den nya konsument- kreditlagen att 34 § är direkt tillämplig endast på kontokort som är knutna till krediter, men torde analogiskt kunna tillämpas även på andra kontokort.7 Bestämmelserna i 34 § konsumentkreditlagen Konsumentkreditlagens paragraf om betalningsansvar vid obehörig användning av kontokort, 34 §, har numera följande lydelse. Ett avtalsvillkor som innebär att en kontohavare skall vara betalningsskyldig för ett belopp som har påförts kontot genom att ett kontokort har använts av någon obehörig person får göras gällande endast om kontohavaren eller någon annan som enligt kontoavtalet är behörig att använda kontokortet har 1.lämnat ifrån sig kortet till någon annan, 2.genom grov oaktsamhet förlorat kortet, eller 3.på något annat sätt förlorat besittningen av kortet och inte efter upptäckten anmält förlusten hos kreditgivaren.