sou · GTB3108 · 2006-01-01 00:00:00 — I lagrådsremissen anslöt sig regeringen till promemorians bedömning att med grov vårdslöshet skulle jämställas fall där den försäkrade annars måste antas ha handlat eller underlåtit att handla i vetskap om att detta innebar en betydande risk för att skadan skulle inträffa. Sådant handlande eller underlåtenhet skulle enligt regeringen i vissa fall kunna falla utanför begreppet grov vårds- löshet. I lagrådsremissens lagtext tillades därför i en särskild mening att samma nedsättningsregel skulle gälla för sådana fall. Mot denna utformning invände Lagrådet att man i den angivna situationen i de flesta fall torde kunna konstatera att den försäkrade varit grovt vårdslös eller i en del fall rent av handlat uppsåtligt.17 Lagrådet ansåg att det starkt kunde ifrågasättas om det fanns behov av detta tillägg och föreslog att det skulle utgå. Regeringen ansåg med anledning av dessa synpunkter att alla de situationer där ersättningen rimligen bör nedsättas på grund av den försäkrades medvetna risktagande inte kan anses omfattas av begreppen uppsåt och grov vårdslöshet.18 Det kunde enligt regeringen inte anses lämpligt att begreppet grov oaktsamhet just i försäkringsförhållanden utsträcks att omfatta situationer som i andra sammanhang inte skulle betecknas på detta vis. Regeringen ansåg därför att det trots allt fanns behov att låta den om- diskuterade meningen ingå i paragrafen. 15Ny försäkringsavtalslag, Ds 1993:39, s. 23, 25 och 165 ff. 2003/04:150 s. 176 f. 2003/04:150 s. 1065. Bestämmelser om betalningstransaktioner med kontokort infördes genom lov om betalingskort m.v., som trädde i kraft den 1 januari 1985.1 Stora förändringar i lagen genomfördes , bl.a. beträf- fande regleringen av en kontohavares ansvar vid obehörig använd- ning av kontokort. Lagen upphävdes 2000, varvid regleringen av dessa frågor fördes över till den alltjämt gällande lov om visse betalingsmidler.2 Forbrugerombudsmanden har utfärdat riktlinjer när det gäller distansköp med användning av kontokort.3 Frågor om en kontohavares ansvar vid obehörig användning av kontokort prövas förutom av allmän domstol av en privat nämnd, Pengeinstitutankenævnet. Enligt en granskning som har gjorts på uppdrag av Europeiska kommissionen är det enda EU-land som till fullo uppfyller vad som föreskrivs i kommissionens rekommendation 97/489/EG om transaktioner med hjälp av elektroniska betalningsmedel med tonvikt på förhållandet mellan utgivare och innehavare.4 Kontokortsmarknaden i domineras starkt av det s.k. dankortet, som är ett betalkort. Dankortet administreras av PBS (), som ägs av flera danska banker och . PBS ansvarar för strax under fem 1Lov nr 284, . 2Lov nr 414, . 3Retningslinjer vedrørende fjernsalg m.v. i betalingssystemer med betalingskort, . 4Europeiska kommissionen, Study on the implementation of Recommendation 97/489/EC concerning transactions carried out by electronic payment instruments and in particular the relationship between holder and issuer, Call for tender XV/99/01/C, Final report – part a), , s. 22 ff. Kunderna är banker, detaljhandelsföretag och finansbolag. 7.1.1Lov om betalingskort m.v. Den numera upphävda lov om betalingskort m.v. var enligt sin ursprungliga lydelse tillämplig på betalningssystem med betalings– kort och betalningssystem som kunde jämställas med sådana. Med betalningskort avsågs enligt lagen konto-, kredit- og købekort som används för att genomföra betalningar (nedan kontokort). Frågor som rör en kontohavares ansvar vid obehörig användning av kontokort reglerades i första hand genom bestämmelserna i 21 §. Av paragrafens första stycke framgick att en kortinnehavare endast är ansvarig för förluster till följd av obehörig användning av ett kontokort, om (1) kortinnehavaren eller någon denne över- lämnat kortet till har förlorat kortet genom grov oaktsamhet (grov uagtsomhet), (2) kortinnehavaren eller någon denne överlämnat kortet till har underlåtit att meddela kortutgivaren (snarest muligt) efter att ha fått kännedom om att kortet förlorats eller inom rimlig tid efter förlusten, eller (3) kortet har använts obehörigt av någon som kortinnehavaren har överlämnat det till. Kortinnehavarens ansvar enligt första stycket kunde inte överstiga vissa belopp som skulle fastställas av industriministeren. Hade kortinnehavaren uppsåtligen agerat på något av de angivna sätten skulle någon beloppsbegränsning inte gälla. Enligt paragrafen kunde ansvarsbegränsningsbeloppen vid en för sent gjord spärranmälan fastställas olika beroende på om fråga varit om enkel eller grov oaktsamhet. Beloppen fastställdes till vid enkel oaktsamhet och vid grov oaktsamhet. Betalningsmottagaren, dvs. säljföretaget, skulle vara ansvarigt för förlusten, om denne visste eller borde ha vetat att fråga var om obehörig användning av kortet. Om inte annat följde av nämnda bestämmelser var kort- utgivaren ansvarig för förlusten. Efter att spärranmälan gjorts var kortutgivaren alltid ansvarig, med undantag för fall då ansvaret i stället skulle ligga på betalningsmottagaren. Enligt förarbetena till lagen skulle utgångspunkten vara att kortutgivaren svarar för de förluster som uppstår genom obehöriga transaktioner.5 Anledningen till detta var enligt samma förarbeten 5 FT 1983-84, 2 samling, tillæg A, spalte 812. att det är kortutgivaren som bestämmer vilka säkerhetslösningar som skall skydda systemet, och att kortutgivaren därför bättre än kortinnehavaren kan bedöma riskerna för missbruk. Kortutgivaren kan vidare behandla förluster som uppstår på grund av obehöriga transaktioner som en affärsrisk, vilken kan kompenseras genom de avgifter som kortinnehavare och betalningsmottagare har att erlägga. genomfördes omfattande ändringar i lov om betalingskort m.v.6 I synnerhet regleringen i 21 § om obehörig användning av kontokort genomgick stora förändringar. De regler om ansvarsfördelning mellan kontohavare och kort- utgivare som fördes in i lagen överensstämde i huvudsak med en överenskommelse mellan från 1991.7 I förarbetena till ändringarna i 21 § betalingskortloven anfördes bl.a. följande.8 Förslaget innebär en avvägning mellan tre hänsyn: (1) reglerna skall beakta kortinnehavarens rättssäkerhet, (2) reglerna skall upp- muntra kortinnehavaren att agera ansvarsfullt och kortutgivaren att säkerställa största möjliga systemsäkerhet så att obehörig använd- ning begränsas, samt (3) reglerna skall vara klara, begripliga och praktiskt tillämpbara, så att bevisvärderingsproblem så långt som möjligt kan undvikas. De centrala beståndsdelarna i förslaget var dels att ansvars- reglerna skall omfatta även förvaringen av PIN-koden, dels att en självrisk på högst införs, dels att kortinnehavarens fullt ut skall ansvara om denne har avslöjat sin kod, och dels att kortinnehavaren skall ansvara för högst när de obehöriga dispositionerna har möjliggjorts genom grovt oförsvar- ligt handlande (groft uforsvarlig adfærd). 6Lov nr 184, , lovbekendtgørelse nr 464, . 7Finansådet, Kodex, . 8Forslag till Lov om ændring af lov om betalingskort m.v., FT 1991-92, tillæg A, spalte 1159 ff. Bakgrunden till förslaget om självrisk är att det i praxis, särskilt hos Pengeinstitutankenævnet, visat sig att de nuvarande reglerna lett till svåra bevisvärderingsproblem. Förslaget innebär att kortinne– havaren alltid skall svara för ett självriskbelopp om högst , när transaktionerna har genomförts med en personlig och hemlig kod samt transaktionerna har registrerats och bokförts korrekt. Självrisken gäller oavsett om kortinnehavaren kan till- skrivas vållande eller inte. Ärenden som rör obehörig användning av kontokort med PIN- kod kommer härmed i allmänhet att kunna avslutas genom att kortinnehavaren hålls ansvarig för självriskbeloppet. Kortutgivaren skall bara kunna hålla kortinnehavaren ansvarig för högre belopp än detta, om kortutgivaren bevisar att kortinnehavarens handlande är särskilt oförsvarligt eller att transaktionerna har genomförts av kortinnehavaren själv eller någon denne har samarbetat med. Det kan dock förekomma situationer då det skulle framstå som stötande att hålla kortinnehavaren ansvarig för självrisken, t.ex. om denne har utsatts för våld eller hot om våld. Det förutsätts att kortinnehavaren i sådana situationer ersätts genom försäkring eller att kortutgivaren avstår från att kräva kortinnehavaren på självrisken. Uttrycket högst skall inte tolkas så att en gradering av ansvaret skall göras, utan innebär att självriskbeloppet blir lägre än när förlusten är lägre än detta belopp. Det har visat sig att kortinnehavare ofta har svårt att lära sig PIN-koden utantill. I förslaget förutsätts att kortutgivaren ger kortinnehavaren anvisningar om hur koden på bästa sätt kan förvaras. Att kortinnehavaren följer sådana anvisningar fritar inte från ansvar för självrisken, men det minskar risken för att en obehörig person använder kortet till följd av att koden varit dåligt maskerad. Koden avslöjas för annan Det finns inte något skyddsbehov för en kortinnehavare som avslöjar sin kod för en obehörig person, som därefter genomför transaktioner med användning av koden. Kortinnehavaren skall i sådana fall vara ansvarig utan beloppsbegränsning. Bestämmelsen är tillämplig endast i de situationer då den obehörige personen även har tillgång till kortet. Kortinnehavaren skall alltså inte vara ansvarig utan beloppsbegränsning om den som fått kännedom om koden vid senare tillfälle tillgriper kortet genom brott. Kortet överlämnas till annan Liksom tidigare skall kortinnehavaren ansvara i fall där kortet överlämnats till någon som genomför en obehörig transaktion. Kortinnehavarens ansvar är i dessa fall begränsat till högst , såvida inte nämnda bestämmelse om över- lämnande av koden är tillämplig och kortinnehavaren därför skall ansvara utan beloppsbegränsning. Ansvar vid grovt oförsvarligt handlande Enligt förslaget skall kortinnehavaren ansvara med högst , om denne möjliggjort den obehöriga användningen av kortet genom grovt oförsvarligt handlande. Förslaget syftar till att säkerställa att kortinnehavaren har incitament att hantera kort och kod omsorgsfullt. Det förutsätts att detta utvidgade ansvar bara kommer att göras gällande i begränsad omfattning. Bestämmelsen utgör vid användning av kod ett komplement till den nämnda bestämmelsen om självrisk, och har närmast karaktären av en undantagsbestämmelse i förhållande till denna. Bestämmelsen är avsedd för situationer där kortinnehavaren av preventiva skäl bör hållas ansvarig för ett högre belopp än . I bestämmelsen preciseras att kortutgivaren har bevisbördan för att sådana omständigheter har förelegat som medför ett utvidgat ansvar för kortinnehavaren. I likhet med bestämmelsen om självrisk innebär ansvar med högst det angivna beloppet inte att en gradering av ansvaret skall göras, utan att beloppet blir lägre när det obehörigt disponerade beloppet understiger . I förslaget har det i lagen använda begreppet grov oaktsamhet (grov uagtsomhed) ersatts med grovt oförsvarligt handlande (groft uforsvarlig adfærd). Detta innebär en väsentlig skärpning av förutsättningarna för ansvar i förhållande till Penge– institutankenævnets tidigare praxis när det gäller förvaring av koden tillsammans med kortet. Traditionelt omtales begrebet grov uagtsomhed som en tilsidesættelse af den agtpågivenhed, som selv skødesløse personer plejer at udvise. Begrebet omfatter sløseri, der er præget af ligegyldighed i forbindelse med opbevaring af kort med eller uden kode. Det utvidgade ansvaret förutsätts bara kunna göras gällande i ett fåtal situationer. Syftet med förslaget är att den klart övervägande delen av kortinnehavarna endast skall behöva löpa risk att drabbas av en självrisk om , även vid oaktsamt handlande. Att förvara koden i maskerad form tillsammans med kortet utgör inte grovt oförsvarligt handlande, även om en tjuv skulle lyckas lista ut koden. Det förutsätts således vid tillämpningen av begreppet grovt oförsvarligt handlande att hänsyn tas till de svårigheter som vanliga människor har att minnas och hantera en PIN-kod. Det utgör däremot grovt oförsvarligt handlande att skriva koden på kortet eller på en sedel eller liknande som förvaras i omedelbar anslutning till kortet. Ansvar förutsätter att det är kortinnehavarens grovt oförsvarliga handlande som har möjliggjort de obehöriga transaktionerna. I detta sammanhang kan betalningssystemets säkerhetsrutiner vara att beakta. För att kortinnehavaren skall bli ansvarig måste samtliga brister i säkerheten kunna hänföras till kortinnehavaren. Kortinne- havaren skall kunna utgå från att betalningssystemets säkerhets- rutiner iakttas av såväl kortutgivaren som betalningsmottagaren (dvs. Ansvar kräver att den obehörige personens tillgång till såväl kortet som koden skall kunna hänföras till kortinnehavarens grovt oförsvarliga handlande. Vid bedömningen bör vikt läggas vid eventuella avtalsvillkor som gäller mellan kortutgivaren, kortinnehavaren och betalningsmot- tagaren. Ett exempel på sådana avtalsvillkor är de belopps- begränsningar för varuköp som gäller för vissa kort, främst bensinkort. Ansvar vid sen spärranmälan Kortinnehavaren skall alltjämt meddela kortutgivaren vid förlust av kortet. I motsats till enligt gällande lag skiljer förslaget dock inte mellan enkel och grov oaktsamhet. enligt förslaget ansvara med högst , oavsett om den sent gjorda spärranmälan kan tillskrivas enkel eller grov oaktsamhet. Till skillnad från vad som följer av nuvarande lag ställs i förslaget inget krav på att spärranmälan skall ske inom rimlig tid efter förlusten. Det betyder att ansvar för bristande kontroll av besittningen av kortet endast kan föreligga enligt den nämnda bestämmelsen om den obehöriga användningen av kortet har möjliggjorts genom kortinnehavarens grovt oförsvarliga handlande. Prövning av kortinnehavarens ansvar Skulle det vara oklart i vilken utsträckning kortinnehavaren skall ansvara, bör det i allmänhet vara kortutgivaren som har att väcka talan i denna fråga. Har beloppet dragits från kortinnehavarens konto förutsätts att banken återför beloppet, med avdrag för självrisk, till kortinnehavarens konto. Detta skall dock inte gälla när banken anser sig ha klara bevis för att omständigheterna är sådana att kortinnehavaren ansvarar för mer än självriskbeloppet. Ansvar efter att spärranmälan gjorts Spärranmälan skall liksom tidigare gälla i förhållande till kort- utgivaren från den tidpunkt då anmälan har nått fram. Detta gäller även om betalningssystemet är organiserat så att kortutgivaren inte genast kan hindra att kontot disponeras. Regeln ger således kortutgivaren incitament att införa effektiva spärrutiner. I syfte att föregripa eventuella bevisproblem föreskrivs också att kortutgivaren skriftligt skall meddela kortinnehavaren att spärr- anmälan har mottagits, med angivande av tidpunkt för detta. Betalningsmottagaren skall alltjämt vara ansvarig för förlusten när denne kände till eller borde ha känt till att fråga var om obehörig användning av kontokort. Betalningsmottagaren skall också ansvara i den utsträckning detta följer av avtalet med inlösaren. I förslaget anges vidare att industriministeren skall bemyndigas att ändra självriskbeloppet och ansvarsbegränsnings- beloppet , om detta skulle vara motiverat av förändringar i penningvärdet. utvidgades tillämpningsområdet för lov om betalingskort m.v.9 I lagen infördes särskilda bestämmelser om en kontohavares ansvar vid obehörig användning av elektroniska betalningssystem som bygger på användning av kod. I förarbetena till de nya bestämmelserna uttalades bl.a. följande. Bankerna har i allt större utsträckning börjat erbjuda konsu- menterna s.k. homebanking-system.10 Med homebanking avses elektronisk betalningsförmedling som kan ske med användning av en hemlig kod, utan att konsumenten är i kontakt med någon annan person. Dessa betalningstjänster företer påtagliga likheter med betalningssystem för kontokort, varför det är angeläget att regleringen av tjänsterna sker på ett likartat sätt. I lagen infördes bl.a. bestämmelser om en kontohavares ansvar vid obehörig användning av sådana betalningstjänster. Bestämmel- serna var i allt väsentligt utformade med 21 § betalingskortloven som förebild. Bestämmelser infördes således om självrisk om högst samt ansvar med högst vid grovt oförsvarligt handlande och underlåtenhet att spärranmäla en kod som kommit till någon obehörigs kännedom etc. Lagändringarna trädde i kraft . 7.1.4Lov om visse betalingsmidler Lov om visse betalingsmidler trädde i kraft och gäller alltjämt.11 Genom lagen upphävdes lov om betalingskort m.v. Betalingskortlovens bestämmelser om obehörig användning av kontokort och vissa andra betalningsmedel fördes i huvudsak 9Lov nr 426, , lovbekendtgørelse nr 811, . 10Forslag till lov om ændring af lov om betalingskort m.v., FT 1993-94, tillæg A, spalte 5341 ff. 11Lov nr 414, , Nuvarande lydelse enligt bekendtgørelse af lov om visse betalningsmidler, nr 1501, av . oförändrade över till den nya lagen. Några mindre ändringar gjordes dock, och regleringen strukturerades i vissa delar om. I den nya lagen kom frågor som rör en kontohavares ansvar vid obehörig användning av kontokort och obehörig användning av andra betalningsmedel som omfattas av lagen att regleras i samma paragraf. Transaktioner med kod och transaktioner med namn- underskrift kom att regleras i olika stycken. Enligt den nya lagen ansvarar kortutgivaren fullt ut om kortet används svikligen i samband med ett distansavtal. Lagen tillkom efter att en projektgrupp utvärderat betalings- kortlovens ändamålsenlighet samt utrett huruvida regleringen borde anpassas till den tekniska utvecklingen och förenklas. Av förarbetena till den nya lagen framgår att det vid regleringen av betalningsförmedlingsområdet är viktigt att en avvägning görs som beaktar den tekniska utvecklingen samt näringslivs-, samhälls- och konsumentintressen.12 Under förarbetena till lagen uttalades bl.a. följande.13 Det är av avgörande betydelse att koden hanteras på ett säkert sätt. Koden är nyckeln till användningen av betalningsmedlet. Användaren får därför inte överlämna eller avslöja koden för andra. Det är vid tillämpningen av ansvarsreglerna inte avgörande om användaren har överlämnat själva betalningsinstrumentet, t.ex. ett kontokort, till en annan person, eftersom det är koden som står för systemets säkerhet. De nya reglerna är inte avsedda att medföra någon ändring av praxis i detta avseende. Det förutsätts som att reglerna om utvidgat ansvar med högst endast kommer att tillämpas i ett fåtal situationer. – Skulle betalningsmottagaren, dvs. säljföretaget, ha känt till eller borde ha känt till att fråga var om obehörig användning, ansvarar den som kortinnehavaren har ingått tjänsteavtalet med (udsteder, nedan utställaren) för detta i förhållande till kortinnehavaren. Ansvarsfördelningen mellan utställaren, inlösaren och betalningsmottagaren kan regleras genom inbördes avtal. – Utställaren ansvarar också fullt ut om ett kontokort har använts svikligen i samband med ett distansavtal. Genom denna bestämmelse genomförs artikel 8 i EG:s distans- 12Forslag till lov om visse betalingsmidler, FT 1999-2000, tillæg A, s. 1548 ff. lovforslag, s. 30 ff. – De fall då betalningsmedlet missbrukas av användaren själv regleras inte i paragrafen. Användaren kan i dessa fall med stöd av allmänna avtals- och ersättningsrättsliga regler bli ersättningsskyldig i förhållande till utställaren, om användaren uppsåtligt eller av grov oaktsamhet har medverkat till sådant missbruk. Tillämpningsområde och grundläggande krav Lagen är enligt 1 § tillämplig på (1) kontokort som är knutna till bestämda användare, (2) andra fysiska legitimationsmedel som är knutna till bestämda användare och kan avläsas elektroniskt, (3) koder och biometriska värden, som används för att legitimera användaren, och (4) elektroniskt lagrade fordringar som utställaren är förpliktad att infria på anmodan av användaren. Förbetalda kort kan i vissa fall omfattas av lagen. Lagen tillämpas inte på betalnings- medel som uteslutande används inom näringsverksamhet. Lagen innehåller i 4 § en generalklausul, som anger att lagens syfte är att betalningsmedel skall vara säkra och välfungerande. Vidare skall den som förestår ett betalningssystem säkerställa bl.a. att systemet inte kan användas av obehöriga. Den som förestår systemet skall därför löpande vidta de juridiska, organisatoriska, driftsmässiga, tekniska och säkerhetsmässiga åtgärder som krävs för att systemet skall vara säkert och välfungerande. Krav ställs vidare på att utställaren i allmänhet skall vara etablerad i och vara anmäld till Forbrugerombudsmanden. Obehörig användning av betalningsmedel Regleringen av obehörig användning av betalningsmedel, däribland kontokort, finns i 11 §. Enligt första stycket är utställaren i förhållande till användaren betalningsansvarig för förlust som uppstår till följd av obehörig användning av ett betalningsmedel, om inte annat följer av andra till sjätte styckena. Användaren kan bli betalningsansvarig enligt dessa stycken endast om transaktionen är korrekt registrerad och bokförd. Enligt andra stycket är användaren ansvarig med högst för förlust som uppstår på grund av obehörig använd- SOU 2005:108 Internationell utblick ning av ett betalningsmedel, om den till betalningsmedlet hörande personliga och hemliga koden har använts. Detta ansvar gäller alltså oavsett vållande och i den utsträckning användaren enligt tredje eller sjätte stycket inte skall ansvara för ett högre belopp. Om inte användaren enligt sjätte stycket skall ansvara för ett högre belopp, är denne enligt tredje stycket ansvarig med högst för förlust till följd av obehörig användning av ett betalningsmedel när den till betalningsmedlet hörande personliga och hemliga koden har använts samt dessutom någon av tre angivna förutsättningar är uppfyllda. Dessa förutsättningar är (1) att användaren har underlåtit att underrätta utställaren efter att ha fått kännedom om att en obehörig person har fått vetskap om koden, (2) att användaren, utan att sjätte stycket är tillämpligt, lämnat ut koden till den som företog den obehöriga dispositionen, eller (3) att användaren genom grovt oförsvarligt handlande (groft uforsvarlig adfærd) har möjliggjort den obehöriga användningen. Användaren kan enligt fjärde stycket vara ansvarig med högst för förlust som uppstår till följd av obehörig användning av ett betalningsmedel, när detta har avlästs manuellt eller elektroniskt och den obehörige personen använt sig av falsk namnteckning. Detta är fallet när någon av två förutsättningar är uppfyllda, nämligen (1) att användaren eller någon denne över- lämnat betalningsmedlet till har underlåtit att underrätta utställaren efter att ha fått kännedom om att betalningsmedlet förlorats, eller (2) att användaren eller någon denne överlämnat betalningsmedlet till genom grovt oförsvarligt handlande har möjliggjort den obehöriga användningen. Är användaren ansvarig enligt såväl tredje som fjärde stycket, kan dennes ansvar enligt femte stycket inte överstiga . Enligt sjätte stycket kan användaren utan beloppsbegränsning vara ansvarig för förlust som uppstår till följd av obehörig användning av ett betalningsmedel. Detta är fallet när utställaren bevisar att den till betalningsmedlet hörande personliga och hemliga koden har använts för transaktionen samt användaren har meddelat en obehörig person koden och detta har skett under omständigheter där användaren insåg eller borde ha insett risken för obehörig användning av betalningsmedlet. Av sjunde stycket följer att utställaren oavsett vad som anges i andra till sjätte styckena är fullt ansvarig för obehörig användning som äger rum efter det att utställaren har underrättats om vissa förhållanden. Detta kan vara att betalningsmedlet förlorats, att en obehörig person har fått kännedom om koden, eller att användaren av andra skäl vill att betalningsmedlet skall spärras.