sou · GTB3108 · 2006-01-01 00:00:00 — Utredningen bedömer att frågan om bevisbörda och beviskrav när det gäller om användningen av ett kontokort varit behörig eller obehörig lämpligen bör lösas i praxis. Bevisbördan för grov oaktsamhet och andra ansvarsgrundande omständigheter Frågan om bevisbörda vid tillämpningen av bestämmelserna i 34 § konsumentkreditlagen berörs inte i förarbetena till denna paragraf. Enligt nuvarande ordning torde bevisbördan för att kortet har 21 Se NJA 1984 s. 501 I och II. förlorats genom grov oaktsamhet i princip ligga på kreditgivaren.22 Kravet på bevisningens styrka får dock ibland nyanseras. Skulle kreditgivaren visa grund för att grov oaktsamhet föreligger torde det åligga kontohavaren att närmare redogöra för hur kortet förlorades. Det bör nämnas att det av den danska lagen på området uttryckligen framgår att kortutgivaren har bevisbördan för att sådana omständigheter föreligger som innebär att kontohavaren skall vara betalningsansvarig för mer än självrisken. I åligger det kortutgivaren att väcka talan i fall denne anser att kontohavaren skall ansvara för mer än självriskbeloppet. I princip är det i dock kontohavaren som har bevisbördan för att sådana omständig- heter inte föreligger som innebär att han eller hon skall vara betalningsansvarig. Det förhållandet att det är kontohavaren som i första hand bör ha kännedom om hur kortet har förlorats eller hur koden har kommit till en obehörig persons kännedom skulle tala för att han eller hon också bör ha bevisbördan för att transaktionerna inte orsakats av grov oaktsamhet. Det är dock kortutgivaren som har störst möjlighet att ta fram uppgifter om åtskilliga väsentliga omständigheter som har betydelse för frågan om ansvar. Det är t.ex. kortutgivaren som kan visa om korrekt kod har använts och om transaktionen har föregåtts av misslyckade inknappnings- försök. Har transaktionen skett med namnunderskrift är det kortutgivaren som kan förebringa utredning om vilka kontroller som säljföretaget gjort och uppgifter om säljföretaget. Vidare har kortutgivaren vissa möjligheter att dokumentera transaktioner i uttagsautomat, t.ex. genom användning av övervakningskameror.23 Även när det gäller tidpunkten för spärrning är det kortföretaget som har störst möjlighet att förebringa bevisning. Det torde inte vara rimligt att ålägga kontohavaren ett omfattande ansvar att närmare utreda omständigheterna runt transaktionen. Det bör således vara kortutgivaren som har utredningsbördan beträffande sådana tekniska förhållanden, i den utsträckning det är möjligt och rimligt att förebringa sådan utredning. Mot denna bakgrund anser utredningen att kortutgivaren primärt bör ha bevisbördan för att sådana omständigheter före- 22Anders och , Konsumentkrediter, 1993, s. 319, se även , och , Kommentar till konsumentkreditlagen, 1980, s. 223. 23Användning av övervakningskamera i anslutning till en uttagsautomat kräver i vissa fall tillstånd av , se 5, 11 och 15 §§ lag (1998:150) om allmän kameraövervakning. ligger som innebär att kontohavaren är betalningsskyldig för mer än självrisken. Detta ligger i linje med att kortutgivaren primärt ansvarar för systemsäkerheten. Skulle kortutgivaren visa på omständigheter som talar för att kontohavaren är ansvarig för mer än självrisken, bör det ankomma på kontohavaren att lämna sådana uppgifter som så långt som möjligt gör att händelseförloppet klargörs. Detta får anses överensstämma med allmänna principer om bevisbörda, varför någon särskild bestämmelse med detta innehåll inte är påkallad. I detta ligger att en kontohavare som inte i rimlig utsträckning medverkar vid bankens utredning av de obehöriga transaktionerna bär risken för att dessa omständigheter inte kan klargöras. Det förhållandet att en uppriktig och samarbetsvillig kontohavare saknar närmare kännedom om när och var kortet förlorats utgör däremot inte i sig skäl att utkräva ansvar. Utredningens bedömning: Utfärdare av kontokort bör inte vara skyldiga att väcka talan vid domstol eller för att kunna ålägga kontohavaren betal- ningsansvar med mer än självrisken. Enligt nuvarande ordning måste en kontohavare som är missnöjd med kortutgivarens bedömning och önskar undgå ansvar för obehöriga transaktioner anmäla ärendet till Allmänna reklama- tionsnämnden eller väcka talan vid domstol. I tillämpas i stället en ordning som innebär att kortutgivaren måste väcka talan vid Bankklagenemnda eller domstol, om kortutgivaren vill hålla kontohavaren ansvarig med mer än självrisken. Erfarenheterna av det norska systemet är enligt vad utredningen erfarit i huvudsak goda. Antalet ärenden hos Bankklagenemnda har dock ökat kraftigt, trots att nämndens praxis blivit allt tydligare. Det norska systemet framstår som konsumentvänligt på så vis att kontohavaren inte själv behöver ta initiativet till prövning. kommer kontohavaren i praktiken att bli instämd av kortutgivaren, vilket många kontohavare säkert upplever som obehagligt. En lösning av detta slag skulle för del innebära ett markant avsteg från nuvarande ordning, och riskerar att leda till en inte obetydlig ökning av antalet ärenden vid i första hand . Detta går stick i stäv med utredningens utgångspunkt att ärenden om ansvar vid obehörig användning av kontokort så långt som möjligt skall kunna lösas snabbt och utan större resursåtgång. Utredningen anser mot denna bakgrund att nuvarande ordning bör behållas. Utredningens förslag: En kontohavare skall inte kunna hållas betalningsansvarig för obehöriga transaktioner som har kunnat utföras på grund av att ett nummer eller någon annan uppgift som hör till ett kontokort angetts vid ett distansavtal eller på något annat sätt kommit till annans kännedom, om inte konto- havaren genom svek bidragit till att transaktionerna kunnat genomföras. Enligt artikel 8 i EG:s distansavtalsdirektiv skall medlemsstaterna säkerställa att det finns lämpliga åtgärder som gör det möjligt för en konsument att begära annullering av en betalning vid bedräglig användning av hans eller hennes betalkort inom ramen för ett distansavtal.24 Vidare föreskrivs det att medlemsstaterna skall säkerställa att det finns lämpliga åtgärder som gör det möjligt för en konsument att i sådana fall återkrediteras de utbetalda beloppen eller få dem återbetalade. Regeringen bedömde i samband med genomförandet av distans- avtalsdirektivet att svensk rätt redan uppfyller de krav som anges i artikel 8.25 Regeringen hänvisade till att avtalsvillkor om betalnings- skyldighet vid obehörig användning av kreditkort i andra fall än som anges i 34 § konsumentkreditlagen inte får göras gällande. Eftersom betalning med kort i en distansavtalssituation ofta går till så att konsumenten lämnar ut uppgift om bl.a. sitt kortnummer men behåller kortet, torde det enligt regeringen sällan finnas förutsättningar enligt 34 § konsumentkreditlagen att göra gällande avtalsvillkor om betalningsskyldighet vid obehörig användning. Lagrådet anmärkte att 34 § konsumentkreditlagen endast är direkt tillämplig på transaktioner med kreditkort men tillämpas 24Europaparlamentets och rådets direktiv /7/EG av om konsumentskydd vid distansavtal (EGT L 144, , s. 19–27). 1999/2000:89 s. 65 f. analogt på andra kontokort. Enligt Lagrådet är det osäkert om en laganalogi uppfyller direktivets krav. Regeringen gjorde dock bedömningen att de allmänt hållna reglerna i artikel 8 inte kräver en uttrycklig lagreglering i svensk rätt av betalning med kort som inte är kreditkort. EG:s direktiv om distansförsäljning av finansiella tjänster, som trädde i kraft , innehåller i artikel 8 en bestämmelse om obehöriga distansbetalningar med kort som i sak överens- stämmer med artikel 8 i distansavtalsdirektivet.26 Enligt artikel 18 i direktivet om distansförsäljning av finansiella tjänster skall detta direktiv tillämpas i stället för distansavtalsdirektivet när det gäller finansiella tjänster som omfattas av det förstnämnda direktivet. Vid genomförandet av direktivet om distansförsäljning av finansiella tjänster gjorde regeringen beträffande artikel 8 samma bedömning som vid genomförandet av motsvarande artikel i distansavtals- direktivet. Enligt utredningens mening är det angeläget att innehållet i artikel 8 i direktivet om distansförsäljning av finansiella tjänster direkt kommer till uttryck i lag. En bestämmelse bör därför införas som anger att en kontohavare inte skall vara betalningsskyldig för obehöriga transaktioner som kunnat genomföras med användning av uppgifter som hör till ett kontokort. Detta bör gälla inte endast om uppgifterna har överlämnats i samband med ett distansavtal, utan även om den obehörige personen fått kännedom om uppgifterna på annat sätt. Utredningens bedömning: En särskild reglering av konto- havarens betalningsansvar vid obehörig användning av konto- kort som inte är behörigt utfärdade är inte påkallad. Av allmänna civilrättsliga principer följer att en kontohavare i allmänhet inte kan hållas ansvarig för dispositioner av kontot som tredje man genomför med användning av ett förfalskat kort, t.ex. genom s.k. skimming. Kortutgivarna föreskriver inte heller i sina avtal att kontohavaren skall vara betalningsansvarig för sådana transaktioner. Skulle mot förmodan ett sådant ansvar föreskrivas 26 Se not 6 och prop. 2004/05:13 s. 71 ff. skulle villkoret med all sannolikhet komma att lämnas utan avseende med stöd av 36 § avtalslagen. Utredningen bedömer mot denna bakgrund att en särskild bestämmelse om transaktioner med förfalskade kontokort inte är påkallad. Den föreslagna regleringen av kort bör därför begränsas till dels obehöriga transaktioner som genomförs genom avläsning av kortet, dels distanstransaktioner som genomförs genom upp- givande av kortnumret eller annan uppgift som hör till kortet. Det sagda hindrar naturligtvis inte att en kontohavare, som genom brott eller på annat sätt svikligen medverkar till att ett kontokort t.ex. kopieras, på annan grund hålls ansvarig för transaktioner som utförs med det kopierade kortet. 8.2Internetbank och liknande självbetjäningstjänster Utredningens förslag: Bestämmelserna om en kontohavares betalningsansvar vid obehörig användning av kontokort skall tillämpas även vid obehörig användning av koder eller andra identifieringsmedel som utfärdats för att kontohavaren elektroniskt skall kunna styrka sin behörighet att genomföra kontantuttag, betalningar eller andra överföringar av pengar. Behörighetskontroll vid kontokorttransaktioner sker allt oftare genom att den personliga koden knappas in. Denna utveckling kan antas komma att bli ännu mer påtaglig vid en övergång till chip- kort. Ur säkerhetssynpunkt är i många avseenden hanteringen av koden minst lika viktig som hanteringen av kortet. Användningen av kontokort har således alltmer kommit att likna andra självbetjäningstjänster genom vilka en kontohavare på distans disponerar över sitt konto för att genomföra betalningar och andra överföringar av pengar. Dessa tjänster disponeras nämligen i allmänhet genom att kontohavaren knappar in en personlig behörighetskod och därutöver vidtar någon annan åtgärd genom vilken behörigheten styrks. Den självbetjäningstjänst som vunnit störst spridning är s.k. Internetbank, men även telefonbank disponeras på ett liknande sätt. Användningen av elektronisk legitimation för att bl.a. disponera konton har ökat.27 27 Se , med länkar till främst banker som erbjuder e-legitimation. Det är något oklart om frågan om en kontohavares ansvar vid obehörig användning av personliga bankkoder som används för att disponera t.ex. Internetbank uttryckligen omfattas av utredningens direktiv. Som nämnts har teknik- och marknadsutvecklingen lett till att det numera finns stora likheter mellan olika själv- betjäningstjänster för disposition av ett konto med användning av en personlig kod som identifieringsmedel. Utredningen har föreslagit att hanteringen av den personliga koden skall beaktas vid bedömningen av om en kontohavare skall vara ansvarig för obehöriga transaktioner med kontokort. Skulle utredningens förslag i denna del genomföras, kommer med all säkerhet fråga förr eller senare uppstå huruvida regleringen kan tillämpas analogt vid bedömningen av en kontohavares ansvar vid obehörig användning av personliga bankkoder. Utredningen anser mot denna bakgrund, och i beaktande av att frågan redan är föremål för reglering i våra grannländer och omfattas av en EG-rekommendation, att frågan om en konto- havares ansvar vid sådana transaktioner bör övervägas i detta sammanhang. Någon allmän reglering av olika betalningsmedel, innefattande näringsrättsliga frågor, bör dock inte övervägas. Regleringen av enkla skuldebrev i lagen (1936:81) om skuldebrev (skuldebrevslagen) utgår från att gäldenären på egen risk har att säkerställa att betalning sker till rätt borgenär. Enligt 33 § första stycket skuldebrevslagen finns beträffande s.k. legitimationspapper vissa möjligheter för gäldenären att göra förbehåll om att betalning med befriande verkan kan ske även till annan. Enligt 33 § andra stycket samma lag gäller beträffande motbok med bank vad därom är särskilt stadgat. Stycket syftar på de bestämmelser som finns i 9 kap. 4 § lagen (2004:297) om bank- och finansieringsrörelse. Enligt bestämmelsens andra stycke får banken inte träffa förbehåll om rätt för banken att åberopa betalning till någon annan än rätt innehavare av motbok. I samband med införandet av denna bestämmelse bankrörelselag uttalade departementschefen bl.a. att motböcker av detta slag i stor utsträckning innehas av personer som saknar varje möjlighet att på ett fullt betryggande sätt förvara sina tillhörigheter, att bankerna har förmåga att bära de från deras synpunkt obetydliga förluster som i dessa fall kan uppkomma samt att det stämmer bättre överens med billighet och det allmänna rättsmedvetandet att banken bär den förlust som uppkommer när banken betalar ut insättarmedel till en obehörig person än att förlusten drabbar insättaren.28 Det saknas i lagen om bank- och finansieringsrörelse och dess föregångare regler om hur fordringar som innehavare av motboks- lösa konton har på bankerna skall betraktas i värdepappersrättsligt hänseende. Enligt bör det av allmänna grundsatser följa att dessa fordringar skall behandlas helt enligt reglerna i skuldebrevslagen om enkla skuldebrev (26–31 §§).29 Utgångspunkten blir därmed att det åligger en bank att säkerställa att ett konto endast disponeras av den som är behörig. En obehörig disposition kan i regel inte åberopas mot konto- havaren. Enligt flera av de på marknaden förekommande standardavtalen för Internetbank är kontohavaren alltid ansvarig för transaktioner som genomförs med koder och som tas emot av banken, om inte banken gjort sig skyldig till grov vårdslöshet eller liknande. Det skulle betyda att kontohavaren enligt ordalydelsen är ansvarig för samtliga obehöriga transaktioner som utförts med användning av tilldelade personliga behörighetskoder. Ett sådant avtalsvillkor torde knappast vara förenligt med utgångspunkterna för skulde- brevslagens reglering av enkla skuldebrev och i många fall inte heller med bestämmelserna i 36 § avtalslagen. har i ett ärende prövat frågan om en kontohavares ansvar vid obehörig användning av personliga bankkoder.30 C hade gett en granne i uppdrag att vattna blommorna i C:s bostad när C var på semesterresa. hade grannens son berett sig tillträde till C:s bostad och disponerat C:s konto genom användning av Internetbank. Grannens son hade fört över sammanlagt från C:s konto till sitt eget. C hade förvarat den personliga behörighetskoden och 1968:143 s. 210 f. och 237, se även , Lagen om skuldebrev m.m., 2 uppl., s. 217 f. 29Betänkandet Bankaktiebolagslag, SOU 1984:27, del 2, s. 213, jfr även m.fl., , 1994, s. 67 f. 30Allmänna reklamationsnämnden, beslut , ärende nr 2003-8016. engångskoderna på olika platser i bostaden. C yrkade att banken skulle ersätta honom för det obehörigt disponerade beloppet. Banken bestred yrkandet och anförde bl.a. följande. Banken vitsordar C:s uppgifter om händelseförloppet. C omfattas av bankens avtal om Internet- och telefonitjänster. Av dessa villkor framgår att Ett meddelande som nått banken och som banken med hänsyn till meddelandets tekniska utformning har anledning att anta kommer från kunden är bindande för kunden om inte banken varit grovt oaktsam i det att den tagit fasta på meddelandet. Överföringarna har beordrats med användning av C:s koder och banken kan inte anses ha varit grovt oaktsam i att den tagit fasta på meddelandena. Det är inte möjligt att tillämpa 34 § konsumentkreditlagen analogt. anse att detta är möjligt anser banken att C har förlorat koderna genom grov oaktsamhet. Nämnden avslog C:s yrkande och anförde bl.a. följande. Bankens avtalsvillkor innebär i praktiken att banken inte har något ansvar för obehöriga överföringar oavsett hur en obehörig får tillgång till koderna, under förutsättningen att banken inte varit grovt oaktsam. Enligt nämnden kan det ovan redovisade avtalsvillkoret inte anses skäligt i alla situationer. I detta fall har C lämnat koderna till sina konton i lägenheten som en granne haft tillträde till lägenheten. Enligt nämndens uppfattning har C därigenom inte handlat med tillräcklig omsorg och varsamhet. Avtalsvillkoret bör därför inte jämkas. Hans yrkande skall således avslås. anförde beträffande frågan om en kontohavares ansvar vid obehörig användning av s.k. elektroniskt och liknande identifieringsmedel bl.a. följande.31 Obehörig användning av ett elektroniskt tillsammans med en personlig kod omfattas inte av 34 § konsumentkreditlagen. En kontohavare kan i dessa fall åläggas ett mer vidsträckt ansvar för obehöriga utnyttjanden än vad som är möjligt vid användning av kontokort. Det rimliga i denna avgränsning kan diskuteras. 31 SOU 1995:69 s. 269 och 273 f. reglering av kontokort måste ta hänsyn även till nämnda transaktionstyper. Inte minst måste hänsyn tas till den förskjutning av tyngdpunkten som framöver kan förväntas till förmån för själva den personliga kodens betydelse. föreslog bl.a. en generell civilrättslig reglering av betalningar från konto med användning av kontokort, personlig kod eller annat legitimationsmedel som hör till kontot. Enligt utredningens förslag skulle kontohavaren vara betalnings- skyldig för belopp som debiterats kontot genom obehörigt utnyttjande, om kontohavaren gjort utnyttjandet möjligt genom grov oaktsamhet vid hanteringen av sitt kontokort, sin personliga kod eller annat legitimationsmedel som hör till kontot. De flesta remissinstanser ställde sig i huvudsak positiva till utredningens förslag, men kritik framfördes mot delar av förslaget. Förslaget kom inte att leda till lagstiftning. föreslog att lagstiftningen borde justeras i linje med förslag.32 Kommittén anförde att man visserligen behövde se över och uppdatera förslag med hänsyn till den informationstekniska utvecklingen, men att huvuddragen i den föreslagna regleringen alltjämt var giltiga. Även var de flesta remissinstanser i huvudsak positiva till förslaget, men återigen framfördes kritik mot vissa delar. Flera remissinstanser ansåg också att förslag måste uppdateras i beaktande av den informationstekniska utvecklingen. När det gäller de föreslagna bestämmelsernas tillämp- lighet på s.k. homebanking-tjänster ansåg att en reglering av dessa tjänster var olämplig, då tjänsterna står i början av sin utveckling och stora förändringar kan förväntas både avseende tjänsteutbudets framtida art och dess omfattning. Föreningen anförde vidare att det finns en uppenbar risk att kreditgivare och andra drar sig för att utveckla nya tjänster om de kan komma att dra på sig de risker som en sådan reglering skulle innebära. Föreningen ansåg också att man bör ta ett helhetsgrepp på frågan om ansvaret för obehöriga transaktioner via t.ex. 32 SOU 2000:29, s. 149 f. Internet, varvid man även bör beakta bestämmelserna om elektroniska signaturer och andra transaktioner än betalningar. Inte heller kommitténs förslag har lett till lagstiftning. Med elektroniska pengar avses enligt 2 § lagen (2002:149) om utgivning av elektroniska pengar ett penningvärde som represen- terar en fordran på utgivaren och som, utan att finnas på ett individualiserat konto, är lagrat på ett elektroniskt medium och godkänns som betalningsmedel av andra företag än utgivaren. Betalningar med elektroniska pengar brukar delas in i två kategorier: sådana som sker med s.k. smarta kort (kontantkort) och sådana som utförs via datornät med värdeenheter som laddats på en dator eller på ett medium som kan anslutas till en dator (s.k. cyber money eller network money). Frågan om obehörig användning av elektroniska pengar disku- terades av Utredningen om elektroniska pengar i slutbetänkandet E-pengar – civilrättsliga frågor.33 Utredningen ansåg att utgångs- punkten från kontantliknande rutiner leder till att en användare normalt inte kan vända sig mot utgivaren när hans digitala värdeenheter har överlåtits av någon som t.ex. stulit ett kort eller olovligt berett sig tillgång till en dator med digitala värdeenheter. Risken skulle således inte överstiga värdet på de e-pengar som innehas. En sådan ansvarsfördelning bör enligt utredningen kunna godtas även från konsumentskyddssynpunkt, så länge förvarade e- pengar begränsas till mindre belopp och skyddas så att riskerna för användarna inte blir större än vid användning av kontanter för dagliga inköp m.m. Utredningen bedömde att det knappast torde finnas något behov av en materiell bestämmelse om betalnings- ansvar motsvarande 34 § konsumentkreditlagen. Genomförandet av EG:s direktiv om elektroniska signaturer EG:s direktiv om ett gemenskapsramverk för elektroniska signa- turer har i genomförts i huvudsak genom lagen (2000:832) om kvalificerade elektroniska signaturer.34 33SOU 1998:122, s. 66 ff. 34Europaparlamentets och rådets direktiv /93/EG av om ett gemenskapsramverk för elektroniska signaturer (EGT L 13, , s. 12–20). En elektronisk signatur kan användas för att säkerställa att elektroniskt överförd information inte har förändrats, att informationens avsändare är den som uppges samt att avsändaren inte förnekar att han eller hon sänt informationen. För att kunna använda en elektronisk signatur i ett öppet system där parterna inte känner varandra, såsom Internet, behöver parterna kunna inhämta information om kopplingen mellan en elektronisk signatur och en bestämd person. Därför har det utvecklats ett system för elektroniska signaturer som kan benämnas det öppna nyckel- systemet (Public , PKI). I detta system utfärdas ett elektroniskt intyg, ett certifikat, av en betrodd tredje part. Ett certifikat innehåller uppgifter om vem som är innehavare av en elektronisk signatur. Direktivets reglering bygger på elektroniska signaturer enligt det öppna nyckelsystemet. Det innehåller främst näringsrättsliga regler med krav på utfärdare av certifikat, men även regler om skadeståndsansvar och om rättsverkan av elektroniska signaturer. Det kan inträffa att någon annan än den egentlige under- tecknaren obehörigen använder den hemliga nyckeln och med hjälp av denna vidtar rättshandlingar i undertecknarens namn. De ansvarsfrågor som aktualiseras i en sådan situation regleras inte i direktivet. Regeringen anförde i propositionen till lagen om kvalificerade elektroniska signaturer beträffande frågan om obehörig användning av elektroniska signaturer att det kan finnas skäl att överväga en särskild reglering på detta område i svensk rätt.35 Frågan är dock enligt regeringen komplicerad och bör lämpligen övervägas i något annat sammanhang än vid genomförandet av direktivet. I infördes bestämmelser om s.k. home- banking. Av förarbetena till regleringen framgår bl.a. att dessa betalningstjänster företer påtagliga likheter med betalningssystem för kontokort, varför det är angeläget att systemen regleras på ett likartat sätt.36 Enligt 11 § lov om visse betalingsmidler är kontohavaren betalningsansvarig med högst vid obehörig användning av bl.a. Internetbank med personlig kod. 1999/2000:117 s. 49.