sou · GTB3108 · 2006-01-01 00:00:00 — Kortinnehavaren är vanligtvis en fysisk person som har ingått avtal med en kortutgivare om att använda ett visst kontokort för att utföra betalningar och ta ut kontanter från uttagsautomater. Ett kontokort kan också vara utställt på ett företag och är då avsett att utnyttjas av anställda för betalningar i samband med t.ex. resor och representation. Vissa kontokort är uteslutande avsedda för fysiska personer, t.ex. bankkort som är kopplade till ett löne- eller pensionskonto och kreditkort. Betalkort vänder sig inte sällan till företag. Ett säljföretag är en näringsidkare som tillhandahåller varor eller tjänster och har slutit avtal med en eller flera kortutgivare eller inlösare om att acceptera kontokort för betalning. Även inom offentlig verksamhet accepteras kontokort. Säljföretag kan vara butiker, hotell, restauranger, resebyråer, tandläkare, taxiföretag m.m. I regel har avtal slutits med flera kortutgivare, vilket innebär att man som kund oftast kan räkna med att kunna betala med sitt kontokort. Det finns numera i knappt 100 000 säljföretag som accepterar kontokort som betalningsmedel. En inlösare betalar säljföretaget för de köp som har företagits med kontokort. Inlösarens affärsidé är att mot betalning utföra en inlösentjänst åt säljföretaget och i samband med detta i princip garantera säljföretaget betalning. Den ersättning som inlösaren erhåller av säljföretaget kallas serviceavgift. Interchangeavgift kallas den del av serviceavgiften som inlösaren i sin tur avstår till kortutgivaren. En inlösare kan representera flera olika kortsystem. Genom att inlösaren träffar avtal med olika säljföretag ansluts dessa till ett eller flera sådana system. I avtalen mellan inlösare och säljföretag regleras vilka kontroller som säljföretagen skall utföra i samband med köpet, t.ex. spärr- och legitimationskontroll. Det är också vanligt att inlösaren förser säljföretaget med olika hjälpmedel som används för att genomföra kortköpet, t.ex. köpnotor, avdrags- apparater och datasystem. Inlösaren är i regel den bank där säljföretaget normalt gör sina bankärenden. I är de största inlösarna av transaktioner som gjorts med generella kontokort (under varumärket ), (under bifirman ), , och . Vissa inlösare sköter hantering och auktorisation av korttrans- aktioner själva. Flera inlösare har dock helt eller delvis överlåtit denna uppgift åt en servicebyrå. Den dominerande servicebyrån är Centralen för (). Bolaget ägs av , , och . När det gäller transaktioner i betalningsterminal ombesörjer CEKAB för inlösarens räkning insamling och auktorisation av köptransaktioner, liksom verifiering av kod. CEKAB administrerar vidare ett system för spärrning av kort inom samt tar emot information om spärrning av kort från andra spärrcentraler i och från kortföretag. CEKAB hanterar också för vissa bankers räkning transaktioner i uttagsautomat. Auktorisation av sådana uttag görs dock direkt av respektive bank. 3.4.5Internationella kortsystem och varumärken De viktigaste internationella kortsystemen som finns i är Visa, MasterCard, American Express och . Visa och MasterCard ger inte själva ut några kort utan är varumärkes- organisationer som bankerna har anslutit sig till. Visa och MasterCard hålls samman via regelverk, som kan betecknas som multilaterala avtal mellan kortutgivande och inlösande banker över hela världen. De avtal som kortutgivare och inlösare sluter med kortinnehavare och säljföretag grundas på dessa mycket omfattande regelverk. Regelverken är konfidentiella, men vissa delar är ändå allmänt kända. En bank som ansluter sig till Visa eller MasterCard åtar sig att följa de regler som finns uppställda för systemet. Banker som är kortutgivare inom Visa- eller MasterCard- systemen kan också uppträda som inlösare i samma system. Det innebär att banken enligt avtal med ett säljföretag löser in kortköp som gjorts med alla kort inom det aktuella kortnätverket. (Visa) är en ideell förening med mer än 21 000 medlemmar över hela världen. Medlemmarna är uteslutande banker och företag närstående till banker. De flesta svenska banker ger ut . Enligt Visas egna uppgifter fanns det över en miljard i användning, vilka accepteras av mer än 20 miljoner säljföretag i över 150 länder. Visas verksamhet består i att ge ut och underhålla regelverk samt att driva ett gemensamt datanät. Genom detta nätverk sköts den internationella utväxlingen av auktorisationsförfrågningar och utbytet av köptransaktioner, inklusive regleringen av fordringar och skulder mellan de samverkande bankerna. Visa tillhandahåller kortprodukten , som till skillnad från vanliga endast fungerar i uttagsautomat eller online- ansluten betalningsterminal. Kortet kan således bara användas under förutsättning att omedelbar kontroll kan ske av konto- havarens behållning på sitt konto. Sådana kort, som är avsedda för kunder som inte uppfyller kraven för att beviljas ett vanligt kontokort, brukar benämnas elektroniska debetkort. I representeras Visa av varumärkesföreningen , där de svenska bankerna är medlemmar. Den viktigaste uppgiften för föreningen är att övervaka varumärket och förvalta regelverken. Detta inbegriper säkerhetsfrågor. Över 75 000 försäljningsställen i är anslutna till Visa. Ett säljföretag ansluts till Visa genom att ett inlösenavtal tecknas mellan företaget och en av Visas medlemmar. är ett privat företag, vars huvudsakliga verksamhet drivs genom (MasterCard), som var en förening men har ombildats till ett bolag. MasterCard säljer licenser som ger banker rätt att utfärda kort med bl.a. varumärket och övervakar att regelverket följs. I bedrivs denna verksamhet genom MasterCard Europe. MasterCards verksamhet omfattar kontokort med flera varu- märken, bl.a. MasterCard, Cirrus och Maestro. De flesta svenska banker ger ut MasterCard och Maestro. Maestro är ett elektroniskt debetkort, vilket innebär att kortet endast kan användas i uttagsautomater och online-anslutna betalningsterminaler. Enligt egna uppgifter hade MasterCard 2004 utfärdat knappt 680 miljoner kort med något av sina varumärken. Dessa kort accepteras på 24,6 miljoner platser i över 210 länder och territorier. (American Express) driver i huvudsak sin verksamhet genom helägda dotterbolag. Det svenska dotterbolaget är . grundades och har cirka 60 miljoner kortmedlemmar i hela världen. Dotterbolag finns i över 120 länder. American Express ger till skillnad från Visa och MasterCard ut egna kort. I ges American Expresskort också ut av . American Express utfärdar endast betalkort, vilket innebär att kortinnehavaren betalar för gjorda inköp efter fakturering. De av American Express utfärdade korten är inte sällan företagskort. () ägs av det amerikanska bolaget . Den internationella verksamheten grundas på franchising, vilket innebär att man säljer rätten att ge ut till bolag i olika länder. Dessa bolag behöver inte vara banker eller nära knutna till banker. beviljar inte franchise till mer än ett bolag per land. finns representerat i över 175 länder. I är representerat genom . Bolaget ägs av och är ett auktoriserat kreditmarknadsbolag. är ett betalkort. Det är inte sällan ett företagskort, avsett för resor och representation. Avtalsförhållandet mellan kortutgivaren och kortinnehavaren regleras genom kontokortavtalet, som ingås genom att kunden fyller i en standardiserad ansökan om utfärdande av kontokort och i samband med detta accepterar avtalsvillkoren. I regel kräver kortutgivaren att den som tilldelas ett kontokort skall ha uppnått en viss ålder, ha fast anställning och sakna betalningsanmärkningar. Enligt 9 § konsumentkreditlagen skall ett avtal om kredit i allmänhet vara skriftligt, om kredittagaren är konsument. Undan- tag gäller för vissa engångskrediter och när krediten endast uppgår till ett lågt belopp. Avtalet skall enligt samma paragraf under- tecknas av konsumenten eller signeras med en avancerad elek- tronisk signatur. Konsumenten skall vidare få en kopia av avtalet. Enligt i det föregående nämnda allmänna råd om kontokort och automattjänster, 1 §, bör avtal om kontokort även i fall som inte omfattas av 9 § konsument- kreditlagen vara skriftliga eller vara dokumenterade på annat sätt som innebär att mottagaren kan antas ha varaktig tillgång till avtalet. Innan avtalet ingås bör sökanden ha fått klar och fullständig information om avtalets innebörd. Avtalet bör innehålla full- ständiga villkor med angivande av kortinnehavarens rättigheter och förpliktelser. Ansvarsfördelningen mellan kortutgivare och kortinnehavare bör enligt 5 § i nämnda allmänna råd framgå av kortavtalet, liksom eventuella medkontohavares och extrakortinnehavares ansvar och behörighet. Av avtalsvillkoren bör enligt 6 § framgå hur kort- innehavaren skall hantera kontokort och behörighetskod (s.k. PIN-kod). Av 7 § följer att kortutgivaren bör redovisa trans- aktionerna på kortinnehavarens konto genom att regelbundet tillhandahålla denne skriftliga kontoutdrag per post. Författningen innehåller vidare bestämmelser om information om avgifter och avgiftsändringar (8 och 9 §§) samt möjligheten till spärrning av kort (10 §). Europeiska kommissionen har i en rekommendation angett vissa minimikrav som ett avtal om kontokort bör uppfylla.15 Dessa krav överensstämmer i hög grad med vad som anges i Finansinspek- tionens nämnda allmänna råd. De på marknaden förekommande standardavtalen för kontokort är ganska lika. I avtalen regleras bl.a. frågor om avgifter, löptid, kortinnehavarens ansvar vid obehörig användning av kortet och 15 Kommissionens rekommendation 97/489/EG av om transaktioner med hjälp av elektroniska betalningsmedel med tonvikt på förhållandet mellan utgivare och innehavare, artikel 3 (EGT L 208, s. 52–58), jfr även Rådets direktiv /102/EEG av om tillnärmning av medlemsstaternas lagar och andra författningar om konsumentkrediter, artikel 4 (3) jämte punkt 2 i bilagan till direktivet (EGT L 42, , s. 48–53). eventuella begränsningar i möjligheten att disponera kortet. De avtalsvillkor som rör kortinnehavarens ansvar vid obehörig använd- ning av kortet överensstämmer i regel med bestämmelserna i 34 § konsumentkreditlagen. Krav ställs i regel också på hanteringen av PIN-koden, främst att den inte får förvaras tillsammans med kortet. Skulle flera kort vara knutna till samma konto föreskriver avtalsvillkoren regelmässigt att kortinnehavarna är solidariskt betal- ningsansvariga för de transaktioner som genomförs. Enligt den nämnda rekommendationen från kommissionen får kortutgivaren ändra avtalsvillkoren, om kortinnehavaren meddelas detta och ges möjlighet att inom minst frånträda avtalet.16 Kortinnehavaren betalar i allmänhet en årlig kortavgift till kortutgivaren. Denna avgift brukar uppgå till 100–, men kan vara betydligt högre för betalkort som har höga kreditgränser och omfattande förmåner knutna till kortet. Med betalningsterminal avses en anordning som används för betalning med kontokort på ett inköpsställe. användes främst avdragsapparater. Med dessa görs ett avdrag av kortet på en köpnota med karbon. Avdragsapparaterna har numera ersatts av elektroniska betalningsterminaler, men används fort- farande som reservrutin. En elektronisk terminal består av tangentbord, kortläsare (som läser information i kortets magnet- spår eller chip) och kvittoskrivare. är betalningsterminalen inbyggd i kassan. har antalet betalningsterminaler vuxit, från cirka 70 000 terminaler 1997/98 till 102 2002.17 Antalet transaktioner i betalningsterminaler har ökat kraftigt från cirka 200 miljoner 1998 till närmare 2002. Det mesta tyder på att antalet transaktioner i betalningsterminal kommer fort- sätta att öka , då både banker och handeln vill minimera kontanthanteringen till förmån för elektroniska kort- betalningar. 16Kommissionens rekommendation 98/498/EG, artikel 7 (1). 17SOU 2004:52, s. 93 f. Kontantuttagen över disk hos bank eller annat finansiellt institut har minskat kraftigt . En kund som handlar med kontokort har dock möjlighet att i samband med kortbetalningen få tillgång till kontanter via kontantavrundning (cash back). Frågor som rör kontantavrundning regleras i avtalet mellan säljföretaget och inlösaren. Genom sådana transaktioner minskar säljföretagets innehav av kontanter och därmed också dagskassorna. Kontantavrundningen kan vanligtvis ske med belopp . Enligt de avtal som flera banker ingått med olika livsmedelskedjor ges kunden även möjlighet att göra kontantuttag på inköpsstället (cash advance). Kontantavrundning och uttag kan endast göras om inköpsstället har en betalningsterminal som är online-ansluten till ett centralt datasystem, då detta är en förut- sättning för att saldo skall kunna kontrolleras. Transaktioner i betalningsterminal brukar kallas POS- transaktioner. POS står för Point of . 3.6.2Genomförande av en betalning med kontokort Vissa formella krav måste uppfyllas för att en betalningsanvisning skall vara giltig. Dessa krav framgår av säljföretagets avtal med inlösaren eller kortutgivaren. I sådana avtal ingår i regel villkor om bl.a. behörighetskontroll och kontroll av att det finns täckning på kontot. För att betalning skall kunna ske måste kortet godkännas som betalningsinstrument, dvs. att det är äkta, giltigt och ospärrat. Härutöver krävs att kunden godkänns som behörig användare av kortet. Transaktionen godkänns av kortinnehavaren genom särskild inknappning av klartecken efter angivande av PIN-kod eller genom underskrift av en köpnota. Det är det elektroniska beviset om kundens inknappning av klartecken eller den underskrivna köpnotan som utgör den egentliga betalningsanvisningen, vilken direkt eller indirekt åberopas av säljföretaget för att erhålla betalning av inlösaren. Vid en kontokortsbetalning sker en kontroll av att kortet är äkta, dvs. att det härrör från behörig tillverkare och inte har manipulerats. I ett manuellt system är man hänvisad till kortets synbara utseende, såsom utformningen av logotyper, hologram och utstansad text. Ett hologram är en tredimensionell bild som registrerats på kortet. Härutöver används en särskild beläggning i den plast där kortinnehavarens namnteckning finns. Beläggningen avslöjar för- sök att ändra den ursprungliga namnteckningen. Vid utfärdandet ges kortet ett sista giltighetsdatum. Detta datum kan utläsas antingen visuellt av informationen som har präglats på kortet eller med elektronisk avläsning från kortets magnetremsa eller chip. Kontokortet utgör en behörighetshandling, vilken är avsedd att utvisa att kortinnehavaren har ett tillgodohavande eller en kredit hos kortutgivaren. Ett säljföretag är enligt avtalet med kortut- givaren eller inlösaren skyldigt att förvissa sig om att den som presenterar kortet också är den rättmätige innehavaren. skedde behörighetskontrollen i oftast genom att säljföretaget kontrollerade köparens namnteckning på köpnotan och jämförde den med namnteckningen på kontokortet. Detta förfaringssätt är alltjämt internationell praxis. I gäller ett skriftligt åtagande från branschen om rutiner vid distribution av kort och vid transaktioner med hjälp av kortet, det s.k. åtagandet.18 Åtagandet var resultatet av en överenskommelse mellan , dåvarande Bankinspektionen, kortutgivarna och handeln. Bakgrunden till åtagandet var oro för ett ökat antal kontokortsbedrägerier. Enligt åtagandet skall kunden vid köp med kontokort alltid visa upp en godkänd legitimationshandling. Handlingens art och nummer skall antecknas på köpnotan eller på någon annan lämplig handling. Vidare får utlämnande av kontokort, utom vid utbyte av kort, ske endast efter ansökan. 18 Åtagandet är daterat . Från huvudregeln om legitimationskrav görs undantag för vissa situationer. Legitimation behöver inte visas om kortet är utfärdat utomlands eller det på annat sätt framgår att det används av en utlänning som inte är bosatt i . Finns särskild anledning till det, skall legitimation dock uppvisas även i ett sådant fall. Inte heller behöver legitimation visas vid inköp som sammanlagt uppgår till högst , om köparen är väl känd på försäljningsstället, om PIN-kod knappas in i registreringsautomat eller om köpet sker i automat eller vid taxiresa. Sådan behörighetskontroll som föreskrivs i åtagandet kan inte ske vid köp där köparen och säljaren inte sammanträffar person- ligen. Detta är t.ex. fallet vid köp på Internet eller postorder, liksom vid köp per telefon. Frågan om behörighetskontroll vid sådana köp regleras inte i åtagandet. Vid köp på Internet eller per telefon kontrolleras i allmänhet kortnumret, då detta kan jämföras med beställarens uppgivna namn och adress. Det kan nämnas att Visa och MasterCard är av uppfattningen att ett giltigt kontokort i sig är en tillräcklig behörighetshandling, och att behörighetskontroll genom uppvisande av legitimationshand- ling (s.k. secondary ID) därför inte bör krävas. Kontrollen av behörigheten att använda ett kontokort i samband med köp i butik sker i allt större utsträckning genom att kunden anger en PIN-kod. PIN står för Personal Identification Number. Koden är personlig och består vanligtvis av fyra siffror. Vissa kortutgivare tilldelar kunden en slumpvis utvald kod, medan andra låter kunden själv välja sin kod. När behörighetskontroll sker genom angivande av PIN-kod kontrolleras i allmänhet inte legitimation. Av säkerhetsskäl sker kontrollen av att rätt kod knappas in vanligtvis genom att kortterminalen läser in kontokortets nummer och PIN-koden. På grundval av dessa uppgifter skapar terminalen ett anpassningsvärde, den s.k. nyckeln. Värdet framräknas med hjälp av en hemlig algoritm, som utgörs av sambandet mellan koden och kortets anpassningsvärde. Med detta förfaringssätt behöver koden inte lagras. Kontrollen av nyckeln kan antingen ske genom den centrala databas där nyckeln lagras eller i den lokala terminalen. munikationen mellan terminal och centraldator sker i krypterad form. Inknappning av korrekt PIN-kod bevisar dock inte att det är kortinnehavaren själv som har genomfört transaktionen. Olika alternativ till PIN-kod har därför diskuterats, främst s.k. bio- metriska metoder. Som exempel kan nämnas automatiserad identifiering av röst, ögonkaraktär eller fingeravtryck. Ingen av dessa metoder har visat sig vara förenad med tillräckligt hög säkerhetsnivå. Den ökande användningen av PIN-kod vid betalningar med kontokort har lett till att antalet bedrägerier med stulna eller tappade kort minskat. Ett kort spärras vanligen med anledning av att kortet har tappats bort eller stulits. Kortinnehavaren skall vid en sådan händelse enligt avtalsvillkoren göra en anmälan till kortutgivaren, som då för in en spärrkod i kortregistret. En anmälan medför som regel att kortutgivaren övertar risken från tidpunkten för anmälan. Spärrning av ett kontokort innebär att försäljning mot kortet inte får ske. Spärrning av kort skedde genom att kortutgivarna med vissa intervall skickade ut en spärrlista i pappersformat. distribueras spärrlistan elektroniskt. Det betyder att en spärr i allmänhet blir effektiv , även i betalningsterminaler och uttagsautomater utomlands. Säljföretag inom vissa branscher har dock lokala spärrdatabaser, vilka inte är uppkopplade mot kortregistret. I förhållande till sådana säljföretag har bankerna avtalat om regressrätt för transaktioner som skett med spärrade kort. Om säljföretaget underlåtit att utföra spärrkontroll och trans- aktionen har skett obehörigen återdebiteras säljföretaget detta köp, s.k. charge back. Frågor om charge back regleras utförligt i Visas och MasterCards regelverk. Sedan säljföretaget konstaterat att den som begär att få en trans- aktion utförd är behörig kontoinnehavare, återstår att kontrollera om det finns tillräckligt med nettotillgångar eller kreditutrymme på kontot. Denna kontroll sker inom ramen för det s.k. auktorisa- tionsförfarandet. Auktorisation innebär att kortutgivaren eller annan aktör i systemet godkänner att det begärda kortköpet får genomföras med angivet belopp. Eller annorlunda uttryckt, auktorisationen innebär att säljföretaget är garanterat betalning från kortutgivaren eller inlösaren, under förutsättning att avtalade rutiner har följts. Som bevis på kortutgivarens godkännande erhåller säljföretaget ett för transaktionen unikt auktorisationsnummer, ett s.k. kontrollnummer. Utfärdandet av numret innebär att säljföretaget får en bekräftelse på auktorisationen, som kortutgivaren i efterhand kan kontrollera om auktorisation har lämnats. Auktorisationen innebär inte att det sker en debitering av beloppet på kontoinnehavarens konto, utan utgör endast en preliminär bokning av en betalning som gäller , vanligen . Om säljföretaget redovisar transaktionen för kortutgivaren eller inlösaren kommer säljföre- taget att erhålla betalningen, återigen förutsatt att avtalade kontroller har skett. Redovisas transaktionen senare riskerar sälj- företaget att kortinnehavaren har genomfört transaktioner på andra håll, och därigenom förbrukat tillgångarna eller kreditutrymmet. I så fall kan kortutgivaren vägra säljföretaget betalning, vilket medför att säljföretaget på egen hand får kräva kunden på betalning. Auktorisation sker i regel med hjälp av en dataterminal i samband med att övriga kontroller görs, t.ex. kontroll av spärrning och kod. Skulle uppkopplingen till banken ligga nere görs auktorisationen per telefon. Vid transaktioner som uppgår till låga belopp krävs i regel inte någon auktorisation. Den kontrollgräns över vilken kortutgivaren fordrar ett auktorisationsförfarande för att ta på sig kreditrisken kallas kontrollgräns, eller floor limit. Denna gräns kan kortutgivaren sätta olika högt för olika säljföretag. Sedan föreskrivna kontroller utförts, auktorisation skett och köpet genomförts åligger det säljföretaget att ett inom redovisa betalningsanvisningarna för kortutgivaren. Genom detta kan s.k. clearing av transaktionerna ske. Med clearing avses här sammanställning och redovisning av två eller flera ömsesidiga betalningsförpliktelser. Kortutgivaren kan ombesörja clearing och inlösen själv eller låta andra aktörer utföra dessa uppgifter. Visa och MasterCard ombesörjer clearingen av kort som har getts ut av banker och är knutna till respektive varumärkesorganisation. Clearingen av köp i med sker således i , medan clearingen av köp gjorda med sker i . Clearing innefattar alltså inte själva lösandet av dessa förpliktelser genom överföring av likvid. Detta moment brukar kallas avveckling samt ombesörjs i av beträffande kort knutna till Visa och av beträffande kort knutna till MasterCard. När det gäller kort som getts ut av säljföretag inom daglig- varuhandeln och bensinbranschen är det vanligt att kortutgivarna själva ombesörjer såväl clearing som avveckling. Kontokort kan också ofta användas för uttag av kontanter från uttagsautomat. För att en kortinnehavare skall ha tillgång till en uttagsautomat krävs att kortutgivaren träffat avtal med den automatägande banken. Denna bank kallas även ATM-operatör, där ATM står för Automatic . Ett uttag sker på i huvudsak följande sätt. Uttagsautomatens kortläsare läser av kortets magnetremsa eller chip. Kontakt etableras med kundens bank, varefter krypterade uppgifter om kortnummer, inknappad personlig kod och begärt belopp skickas iväg till banken via telenätet. Hos banken kontrolleras uppgifterna om kortet mot kortregistret, för att säkerställa att kortet är utfärdat av banken och är giltigt. Det begärda beloppet kontrolleras mot kontoregistret. Även kontroll av PIN-koden sker. Är dessa uppgifter i sin ordning skickas ett godkännande till uttagsauto- En journal i uttagsautomaten registrerar alla delmoment; dock registreras inte kundens kod. Sedlarna lämnas ut, varvid kunden i regel förutom beloppet får en minneslapp med saldo och uppgift om de senaste transaktionerna. En kortinnehavares möjlighet att ta ut kontanter från en uttagsautomat är i allmänhet beloppsbegränsad. Sådana begräns- ningar kan gälla per uttag, liksom för sammanlagt uttaget belopp . En bank anger t.ex. för vanliga bankkort en uttagsbegränsning på och per uttag. Hos många banker kan ännu högre belopp tas ut.