sou · H4B353 · 2016-08-31 00:00:00 — Bestämmelsen bör tolkas på så sätt att godkänn- andet ska lämnas till leverantören av kontoinformationstjänster, dvs. inte till den kontoförvaltande betaltjänstleverantören. förvaltande betaltjänstleverantören kan således inte uppställa krav på i vilken form detta godkännande ska ha lämnats för att ge leverantören av kontoinformationstjänster tillgång till det aktuella betalkontot, något som skulle kunna äventyra betaltjänstanvändarens rätt att enligt artikel 67.1 använda sig av denna form av tjänst. Begreppen personaliserade behörighetsfunktioner respektive känsliga betalningsuppgifter i artikel 67.2 b) och e) har definierats i direktivets artikel 4.31 och 4.32. Begreppen har behandlats i av- snitt 4.3 och utredningen har föreslagit att definitioner av dessa termer ska införas i betaltjänstlagen. I detta sammanhang kan på- pekas att det i artikel 4.32 i direktivet anges att kontohavarens namn och kontonummer inte utgör känsliga betalningsuppgifter för verksamhet som bedrivs av leverantörer av kontoinformations- tjänster. Den information om betaltjänstanvändarens betalkonto, som t.ex. uppgifter om sparande, krediter och kontots historik som leverantören av kontoinformationstjänster kan få tillgång till i sam- band med tillhandahållandet av en kontoinformationstjänst får alltså enligt artikel 67.2 f) inte lagras eller användas för andra ändamål. Om betaltjänstanvändaren begär det torde det dock vara möjligt för leverantören att efterfråga uppgifter i syfte att t.ex. göra kredit- prövningar för annan parts räkning, till skillnad från vad som är fallet för leverantörer av betalningsinitieringstjänster. De senare får ju enligt artikel 66.2 c) lämna information om betaltjänstanvänd- aren med dennes samtycke till endast betalningsmottagaren. Någon sådan begränsning föreligger alltså inte för leverantörer av konto- informationstjänster, dock under förutsättning att det föreligger ett uttryckligt godkännande från betaltjänstanvändaren. För att genomföra regleringen i artikel 67.2 bör motsvarande bestämmelser som reglerar de skyldigheter som ankommer på leve- rantörer av kontoinformationstjänster införas i betaltjänstlagen. Den kontoförvaltande betaltjänstleverantörens skyldigheter Av artikel 67.3 följer vilka skyldigheter som åligger den kontoför- valtande betaltjänstleverantören i samband med kontoinformations- tjänster. Denna aktör ska kommunicera säkert med leverantören av kontoinformationstjänster i enlighet med artikel 98.1 d. förvaltande betaltjänstleverantören får inte heller behandla förfråg- ningar om uppgifter som överförs via en leverantör av kontoinforma- tionstjänster på ett avvikande sätt annat än av objektiva skäl. I fråga om vad som kan utgöras sådana objektiva skäl kan hänvisas till av- snitt 6.2.7, som behandlar kontoförvaltande betaltjänstleverantörers skyldigheter i fråga om betalningsinitieringstjänster. I betaltjänstlagen bör det införas en bestämmelse som motsvarar de angivna skyldigheterna som ankommer på den kontoförvaltande betaltjänstleverantören. För att säkerställa en rättvis konkurrens på marknaden bör det följaktligen anges att dessa aktörer inte får be- handla förfrågningar om kontouppgifter som överförs via en leve- rantör av kontoinformationstjänster på ett avvikande sätt i förhåll- ande till om förfrågan görs direkt av innehavaren av betalkontot, om det inte finns objektiva skäl att göra detta. Ikraftträdande av regler om säkerhetsåtgärder Som framgår av redogörelsen ovan är leverantören av kontoinforma- tionstjänster enligt artikel 67.2 c) skyldig att vid varje kommunika- tionssession identifiera sig mot betaltjänstanvändarens kontoför- valtande betaltjänstleverantör och kommunicera med denne och med betaltjänstanvändaren på ett säkert sätt i enlighet med artikel 98.1 d. Den kontoförvaltande betaltjänstleverantören är å sin sida enligt artikel 67.3 a) skyldig att kommunicera säkert med leverantörer av kontoinformationstjänster i enlighet med artikel 98.1 d. Som angetts i avsnitt 6.2.7 ska först till EU- kommissionen överlämna sitt förslag på tekniska standarder för säker kommunikation enligt artikel 98.1. Av artikel 115.4 följer att de säkerhetsåtgärder som avses i bl.a. artikel 67.2 c) och 67.3 a) ska tillämpas arton månader efter dagen för ikraftträdandet av de tek- niska standarder som avses i artikel 98. Som utvecklats i avsnitt 6.2.7 innebär detta inte att de övriga bestämmelserna i artikel 67 också senareläggs, utan dessa ska träda ikraft som övriga bestäm- melser i direktivet. Vad detta innebär för leverantörer av betal- ningsinitieringstjänster respektive kontoinformationstjänster har utvecklats i avsnitt 6.2.7, och det hänvisas till detta avsnitt för ett utförligare resonemang i frågan. Tillgång till betalkonto för leverantörer av kontoinformationstjänster I det andra betaltjänstdirektivets artikel 68.5 och 68.6 finns regler om rätten för en kontoförvaltande betaltjänstleverantör att neka leverantörer av kontoinformationstjänster respektive betalnings- initieringstjänster tillgång till en betaltjänstanvändarens betalkonto. Denna bestämmelse har behandlats i avsnitt 6.2.6. Med hänvisning till vad som anförts under rubriken ”tillgång till betalkonto för leverantörer av betalningsinitieringstjänster” bör det i betaltjänstlagen införas en motsvarande regel i fråga om leverantörer av konto- informationstjänster, som har föreslagits för leverantörer av betal- ningsinitieringstjänster. En kontoförvaltande betaltjänstleverantör föreslås således att endast ha rätt att neka en leverantör av konto- informationstjänster tillgång till en betaltjänstanvändarens konto om den förstnämnda leverantören kan styrka att den senare har obehörig tillgång till betalkontot. Den kontoförvaltande betaltjänst- leverantören ska vidare informera betaltjänstanvändaren om att till- gång till betalkontot har nekats och skälen till detta. Sådan infor- mation får inte lämnas om det är oförenligt med annan lag eller om det är motiverat av säkerhetsskäl att inte göra detta. För ett utför- ligare resonemang i frågan hänvisas till avsnittet 6.2.7. 6.3.6Övriga tillämpliga bestämmelser för leverantörer av kontoinformationstjänster Bedömning: Artikel 69 reglerar bl.a. villkoren för utgivning och användning av betalningsinstrument. Det krävs inte någon ut- trycklig bestämmelse i betaltjänstlagen som anger att artikeln är tillämplig på leverantörer av kontoinformationstjänster. Av direktivets artikel 33.2 följer att artikel 69 är tillämplig för leve- rantörer av kontoinformationstjänster. Artikeln reglerar betaltjänst- användarens skyldigheter i fråga om användning av betalningsinstr- ument och motsvarar i stort sett det första betaltjänstdirektivets artikel 56. Denna reglering har genomförts i 4 § lagen om obehöriga transaktioner med betalningsinstrument. Av denna paragraf följer bl.a. att en kontohavare är skyldig att skydda en personlig kod som han eller hon fått. I artikel 69 har det dock bl.a. tillagts att de villkor som reglerar utgivning och användning av betalningsinstru- ment ska vara objektiva, icke-diskriminerande och proportionella, en bestämmelse som snarare riktar sig till betaltjänstleverantören som är utgivare av betalningsinstrumentet (mer om denna bestäm- melse, se avsnitt 7.3.2). I skäl 69 till det andra betaltjänstdirektivet framförs att de villkor eller andra skyldigheter som betaltjänstleverantörerna ålägger betal- tjänstanvändarna när det gäller att hålla personaliserade behörig- hetsfunktioner säkra inte bör vara formulerade så att de hindrar betaltjänstanvändarna från att utnyttja tjänster som tillhandahålls av andra betaltjänstleverantörer, som t.ex. kontoinformationstjänster. I ljuset av uttalandet i skäl 69 till direktivet bör regleringen om att artikel 69 även är tillämplig för leverantörer av kontoinforma- tionstjänster tolkas på så sätt att en betaltjänstanvändare som an- vänder sig av sådana tjänster är skyldig att skydda de personaliserade behörighetsfunktioner som följer med ett betalningsinstrument, men att de villkor som gäller för betalningsinstrumentet inte får hindra användaren från att använda sig av en kontoinformationstjänst. Rätten för en betaltjänstanvändare att nyttja en tjänst av aktuellt slag följer för övrigt redan av artikel 67 samt av den bestämmelse i betaltjänst- lagen som föreslagits för att genomföra artikel 67 (se avsnitt 6.3.5). I avsnitt 7.3.2 lämnar utredningen det förslaget att den bestämmelse som genomför artikel 69 ska föras in i betaltjänstlagen samt att det av lagen ska framgå att villkoren för utgivning och användning av betalningsinstrument ska motsvara de villkor som anges i artikel 69. Mot denna bakgrund finns det inte skäl till ytterligare reglering i fråga om just rätten för en betaltjänstanvändare att använda sig av kontoinformationstjänster. Även artiklarna 95–98, som är nya i förhållande till det första direktivet, är tillämpliga för leverantörer av kontoinformationstjänster. Dessa artiklar behandlar frågor om operativa risker, säkerhetsrisker och stark kundautentisering och diskuteras i kapitel 10. 7 Obehöriga transaktioner m.m. I likhet med det första betaltjänstdirektivet innehåller det andra betaltjänstdirektivet regler om de olika aktörernas ansvar vid en obe- hörig transaktion, t.ex. när ett kontokort har använts obehörigen för inköp. Det första betaltjänstdirektivets bestämmelser om ansvar vid obehöriga transaktioner finns i lagen (2010:738) om obehöriga transaktioner med betalningsinstrument. Bestämmelserna om vilka förpliktelser en betaltjänstanvändare med ett betalningsinstrument har i förhållande till betaltjänstleverantören som har utfärdat instru- mentet har också genomförts i den lagen. Direktivets regler om de skyldigheter som åvilar den leverantör som utfärdar ett betalnings- instrument har i stället genomförts i betaltjänstlagen. I det andra betaltjänstdirektivets artiklar 69–74 finns regler om betaltjänstanvändarens respektive betaltjänstleverantörens skyldig- heter i fråga om betalningsinstrument samt regler om ansvar vid obehöriga transaktioner. I stora delar överensstämmer denna regle- ring med motsvarande bestämmelser i det första betaltjänstdirektiv- et. Det har dock tillkommit bestämmelser som reglerar ansvaret vid en obehörig transaktion när en leverantör av betalningsinitierings- tjänster har varit involverad i transaktionen. Dessutom har reglerna om självrisk fått en delvis ändrad lydelse. I detta kapitel behandlas det andra betaltjänstdirektivets regler om betaltjänstanvändarens och betaltjänstleverantörens skyldigheter i samband med utgivning och användning av betalningsinstrument samt om ansvarsfördelningen vid obehöriga transaktioner. I detta sammanhang berörs även frågan om reglerna, som alltså är fallet , ska genomföras i två olika lagar eller om de i stället ska samlas i betaltjänstlagen. 7.2.1Lagen (2010:738) om obehöriga transaktioner med betalningsinstrument I 1 § beskrivs lagens tillämpningsområde. Av bestämmelsen följer att lagen gäller en kontohavares ansvar för belopp som belastar ett konto på grund av en obehörig transaktion med ett betalningsin- strument. Begreppet betalningsinstrument definieras som ”ett konto- kort eller något annat personligt instrument eller personlig rutin som används för att elektroniskt initiera en betalningstransaktion” (2 § 1 p). Med termen obehörig transaktion avses ”en transaktion som genomförs utan samtycke från kontohavaren eller någon annan som enligt kontoavtalet är behörig att använda betalningsinstrumentet” (2 § 2 p). Lagen är tillämplig för såväl konsumenter som närings- idkare, men är tvingande till skydd för en konsument (3 §). I förarbetena till lagen anges att tillämpningsområdet bör be- gränsas till transaktioner med sådana instrument eller rutiner som innebär att transaktionen initieras elektroniskt. Regeringen anförde att det är främst för kontokort och liknande instrument som det finns ett behov av regler till skydd för konsumenterna, varför pappers- handlingar, t.ex. bankgiroblanketter, faller utanför lagens tillämp- ningsområde (se det första respektive andra betaltjänstdirektivets artikel 3 a och ). Lagen borde dock reglera även sådana instru- ment som kan användas för förvärv av varor och tjänster endast i de lokaler utgivaren använder, inom ett begränsat nätverk av tjänste- leverantörer eller ifråga om ett begränsat varu- eller tjänsteutbud, vilka var undantagna från det första betaltjänstdirektivets tillämp- ningsområde enligt artikel 3 k. Som skäl för att även dessa instru- ment skulle omfattas av lagen angav regeringen att transaktioner med dessa instrument kan uppgå till betydande belopp, och att risken för obehöriga transaktioner med dem är lika stor som för t.ex. bank- kort. Av 4 § framgår vilka skyldigheter som åligger en kontohavare i samband med användningen av ett betalningsinstrument. Konto- havaren ska skydda sin personliga kod. Bestämmelsen avser koder som kontohavaren inte har rätt att uppge för någon annan, t.ex. en 2009/10:122 s.13. Skyldigheten att skydda koden innebär att konto- havaren normalt inte får ange dess egenskap av kod och dess sam- band med betalningsinstrumentet om koden antecknas. En anteck- ning om koden får inte heller vara fäst vid kortet eller förvaras tillsammans med kortet.2 Vidare är kontohavaren skyldig att till betal- tjänstanvändaren anmäla att ett kontokort eller annat betal- ningsinstrument har kommit bort eller att kontohavaren har fått vetskap om att det har använts obehörigen. Slutligen är kontohavaren skyldig att i övrigt följa de villkor som enligt avtalet gäller för an- vändning av betalningsinstrumentet. Ett avtalsvillkor kan t.ex. ange att kontohavaren är skyldig att förvara betalningsinstrumentet på ett säkert sätt. Bestämmelsen i 4 § genomför det första betaltjänst- direktivets artikel 56. Av 5 § följer att om en obehörig transaktion har kunnat genom- föras på grund av att kontohavaren har underlåtit att skydda en personlig kod ansvarar kontohavaren för beloppet, men med högst . Bestämmelsen gäller bara de fall där en obehörig transak- tion har genomförts med hjälp av en personlig kod. En obehörig transaktion som har gjorts med t.ex. en förfalskad namnunderskrift faller utanför tillämpningsområdet. I förarbetena till lagen anges att bestämmelsen innebär ett långtgående ansvar för kontohavaren, på gränsen till strikt men med ett visst utrymme för en aktsamhets- bedömning. Som exempel på det sistnämnda anges att kontohavaren inte anses ha underlåtit att skydda sin kod vid en obehörig trans- aktion som möjliggjorts genom s.k. skimning, dvs. när någon har kommit över informationen på ett korts magnetspår och filmat koden i anslutning till ett bankomatuttag och sedan har framställt ett för- falskat kort.3 Paragrafen genomför det första betaltjänstdirektivets artikel 61.1 och 61.3. I 6 § anges i vilka fall kontohavaren ska ansvara för hela belop- pet vid en obehörig transaktion. Av första stycket följer att konto- havaren ansvarar för hela beloppet om en obehörig transaktion har kunnat genomföras till följd av att en skyldighet enligt någon av de punkter som anges 4 § har åsidosatts genom grov oaktsamhet. Med grov oaktsamhet avses ett markant avsteg från aktsamhetsnormen. För att avgöra om kontohavaren orsakat transaktionen genom grov oaktsamhet får en samlad bedömning göras av omständigheterna i det enskilda fallet.4 Av andra stycket framgår att det finns ett tak om för det belopp som en konsument behöver ansvara för om han eller hon genom grov oaktsamhet har brutit mot en förpliktelse enligt 4 §. Om kontohavaren har handlat särskilt klandervärt och detta har lett till att en obehörig transaktion har kunnat genomföras, svarar dock kontohavaren för hela beloppet. Som exempel på särskilt klandervärt handlande nämns i förarbetena att kontohavaren – trots villkoren – lämnar ett kontokort lättillgängligt och obevakat på en badstrand med mycket folk, i ett omklädningsrum eller i garderoben på en restaurang. Det anges också att vid bedöm- ningen om handlandet är särskilt klandervärt måste beaktas att an- svaret för en obehörig transaktion inträder först vid grov oaktsam- het och att med särskilt klandervärt således avses kvalificerade fall av grov oaktsamhet. 5 Bestämmelsen i 6 § genomför artikel 61.2 och 61.3 i det första betaltjänstdirektivet. Av 7 § följer att kontohavaren inte ansvarar för något belopp som har belastat kontot efter det att han eller hon har anmält till betaltjänstleverantören att kontot ska spärras, och detta oavsett om en obehörig transaktion har kunnat genomföras på grund av orsak- er som anges i 5 och 6 §§. Kontohavaren ansvarar dock för en obe- hörig transaktion som görs efter det att en spärranmälan har gjorts om han eller hon genom svikligt handlande har bidragit till den obe- höriga transaktionen. Bestämmelsen genomför artikel 61.4– 5 i det första betaltjänstdirektivet. Enligt 8 § ansvarar kontohavaren för hela beloppet om han eller hon inte underrättar betaltjänstleverantören utan onödigt dröjsmål efter att ha fått vetskap om den obehöriga transaktionen. Detsam- ma gäller om betaltjänstleverantören har lämnat kontohavaren infor- mation om transaktionen och kontohavaren inte underrättar betal- tjänstleverantören från det att beloppet belastat kontot. Bestämmelsen genomför delvis artikel 58 i det första betal- tjänstdirektivet. I 9 § regleras under vilka förutsättningar kontohavaren ska an- svara för beloppet om det inträffar en obehörig transaktion när någon annan än kontohavaren är behörig att använda ett betalningsinstru- ment som är kopplat till kontot. Bestämmelsen avser de fall där någon utöver kontohavaren fått rätt att disponera över medel på kontot eller ta ett kreditutrymme i anspråk, t.ex. genom att ett extrakort utfärdas åt en familjemedlem. Vid bedömningen av om kontohavaren ansvarar för något belopp ska enligt bestämmesen, den andra per- sonens handlande räknas som om kontohavaren själv hade handlat. Om en obehörig transaktion har ägt rum, har extrakortinnehavar- ens handlande följaktligen samma verkan för kontohavaren som om han eller hon själv hade handlat. Efter det att lagen om obehöriga transaktioner med betalnings- instrument trätt i kraft kan det konstateras att Allmänna reklama- tionsnämnden har lagt ett långtgående ansvar på kontokortshavaren och i ett stort antal fall funnit att han eller hon har agerat grovt oaktsamt när ett kontokort har försvunnit. Nämnden har funnit det grovt oaktsamt att lämna ett kort utan uppsikt i ett låst rum eller skåp dit även andra hade tillträde.6 Även att förlora sitt kort i samband med att man , i berusat tillstånd, delar taxi med okända personer har ansetts vara grovt oaktsamt.7 Att förvara sitt kort i ett låst handskfack i en bil har också bedömts vara grovt oaktsamt8 liksom att lämna sitt kort obevakat i ett hotellrum där också en tillfällig bekant vistades.9 En kvinna hängde sin väska på sin stol i en restaurang, varvid hennes väska stals och obehöriga ut- tag gjordes med hennes kort. Nämnden fann det grovt oaktsamt att hon hade brustit i uppsikt över väskan under den timme hon åt lunch.10 En kvinna fick sin plånbok stulen i samband med att hon betalade för varor på ett apotek och upptäckte stölden på väg ut från . Eftersom hon saknade tillgång till mobiltelefon spärrades kortet först när hon hade kommit hem, . Nämnden ansåg att kvinnan hade brustit i sin uppsikt och kontroll över kortet på ett sådant sätt att det fick anses ha förlorats genom grov oaktsamhet.11 Exempel på agerande som av nämnden har bedömts som särskilt klandervärt är att glömma kvar sin kavaj med plånbok och kort i på en restaurang och spärra kortet först morgonen efter.12 Ett annat exempel på beteende som bedömts som särskilt klandervärt är att vid upprepade tillfällen i över en timmes tid, i strid mot bankens säker- hetsföreskrifter och tydliga villkor, lämna ut koder från den egna bankdosan till en annan person via Facebook, utan att kunna se eller kontrollera vare sig vilka belopp som överförs eller till vem trans- aktionerna riktades.13 Vid en genomgång av den nämndpraxis som finns kan det kon- stateras att nämnden har funnit att kontohavaren har agerat grovt oaktsamt i nästan samtliga fall där han eller hon har lämnat korten utan uppsikt i offentlig miljö, en bedömning som har stöd i de redo- visade förarbetsuttalandena. 7.2.2Betaltjänstleverantörens skyldigheter i fråga om betalningsinstrument Frågor om betaltjänstanvändarens eller kontohavarens skyldigheter vid användning av ett betalningsinstrument regleras i lagen om obe- höriga transaktioner med betalningsinstrument. Motsvarande reg- lering för betaltjänstleverantören finns i betaltjänstlagen. Av 5 kap. 5 § första stycket följer att en betaltjänstleverantör som utfärdar ett betalningsinstrument ska förvissa sig om att de personliga säker- hetsanordningarna i betalningsinstrumentet inte är tillgängliga för andra än den betaltjänstanvändare som har rätt att använda instru- mentet (1 p). Leverantören ska skicka betalningsinstrumentet endast efter föregående beställning. Detta gäller dock inte i fråga om ett betalningsinstrument som ersätter ett annat sådant instrument (2 p). Leverantören ska vidare se till att användaren när som helst har möjlighet att anmäla att ett betalningsinstrument har kommit bort eller använts obehörigen (3 p). Efter en sådan anmälan ska leveran- tören se till att betalningsinstrumentet inte kan användas (4 p). Leverantören ska på användarens begäran göra det möjligt för denne att styrka att en anmälan har lämnats, och bevara sådan information som möjliggör detta (andra Bestämmelsen genomför artikel 57 i det första betaltjänst- direktivet. 7.3.1Direktivets reglering bör genomföras i betaltjänstlagen Bedömning: De bestämmelser som genomför det andra betal- tjänstdirektivets regler om skyldigheter i samband med utgivande och användande av betalningsinstrument samt om ansvar vid obehöriga transaktioner ska samlas i betaltjänstlagen, varvid lagen om obehöriga transaktioner med betalningsinstrument ska upp- höra att gälla. Regeringen anförde följande om varför den valde att genomföra det första betaltjänstdirektivets regler om obehöriga transaktioner med betalningsinstrument i en särskild lag. Reglerna om betalningsansvar är av stor praktisk betydelse och det finns ett värde i att de är lättillgängliga. Detta gäller särskilt eftersom reglerna är avsedda att skydda konsumenter. Genom en ny lag som bara handlar om ansvaret vid obehöriga transaktioner uppnås en mer överskådlig lagstiftning än om bestämmelserna tas med i en omfattan- de och i viss mån tekniskt komplicerad lagstiftning om betaltjänster, som väsentligen innehåller regler av näringsrättsligt slag. Bestämmel- serna om betalningsansvar hänger inte heller sakligt samman med övriga bestämmelser i direktivet på ett sådant sätt att de måste ingå i en lag om betaltjänster. Som föreslås i promemorian bör dessa bestäm- melser i stället brytas ut, och genomföras med en särskild lag om obe- höriga transaktioner med betalningsinstrument. En sådan lag och den lag om betalningsinstitut och betaltjänster som regeringen avser att föreslå bör dock naturligtvis så långt som möjligt samordnas.14 Utredningen instämmer i bedömningen att det ur ett konsument- perspektiv är en fördel att reglerna om obehöriga transaktioner är lättillgängliga och överskådliga. är det av vikt att begränsa antalet lagar på det finansiella området och det finns ett värde även för konsumenterna i att samla de bestämmelser som genomför det andra betaltjänstdirektivet i en och samma lag. För detta talar sär- 2009/10:122 s. 12 f. skilt att direktivet innehåller bestämmelser som även reglerar an- svaret för obehöriga transaktioner när en leverantör av betalnings- initieringstjänster är involverad i transaktionen.