sou · H4B353 · 2016-08-31 00:00:00 — Frågor om självrisk och betalarens ansvar Förslag: Betalaren får av betaltjänstleverantören åläggas att stå för den förlust som är hänförlig till en obehörig transaktion upp till ett belopp om om transaktionen har kunnat genom- föras till följd av att ett betalningsinstrument förkommit eller missbrukats. Självrisk ska inte utgå om betalaren inte kunnat upp- täcka förlusten eller missbruket av betalningsinstrumentet innan den obehöriga transaktionen genomfördes eller om förlusten till följd av transaktionen har orsakats av någon på betaltjänstleve- rantörens sida. Betalaren ska ansvara för hela beloppet om en obehörig trans- aktion har kunnat genomföras till följd av att kontohavaren av grov oaktsamhet har brutit mot sina förpliktelser. I konsument- förhållanden ska ansvaret vid grov oaktsamhet begränsas till sam- manlagt . Har konsumenten handlat särskilt klan- dervärt, ska han eller hon dock ansvara för hela beloppet. Betalaren ska inte stå för något belopp som har belastat kontot efter det att betalaren har anmält att betalningsinstrumentet ska spärras, om inte betalaren genom svikligt handlande har bidragit till den obehöriga transaktionen. Det ska också uttryckligen framgå av betaltjänstlagen att om betalarens betaltjänstleverantör inte tillämpar stark kundautenti- sering ska betalaren bara stå för beloppet vid en obehörig trans- aktion i de fall då betalaren genom svikligt handlande har bi- dragit till transaktionen. Artikel 74 reglerar frågor om betalarens ansvar vid obehöriga trans- aktioner. Artikeln motsvarar i stora delar det första betaltjänstdirek- tivets artikel 61, men viss ny reglering har tillkommit. Av artikel 74.1 framgår att betalaren får (tidigare ska) åläggas att stå för sådana förluster upp till ett belopp om (tidigare ) vid alla obehöriga transaktioner som är en följd av att ett förlorat eller stulet betalningsinstrument har använts eller av att ett betalningsinstrument missbrukats. I den tidigare artikel 60 angavs som ett villkor för att självrisk skulle utgå att betalaren hade underlåtit att skydda sina per- sonliga säkerhetsanordningar och att detta lett till att betalnings- instrumentet missbrukats, ett villkor som inte finns i den nuvarande bestämmelsen. Enligt artikelns andra stycke, som är nytt, ska betalaren inte vara ansvarig för den obehöriga transaktionen om a)förlusten, stölden eller missbruket av ett betalningsinstrument inte kunde upptäckas av betalaren innan en betalning utfördes, med undantag för om betalaren handlat bedrägligt, eller b)förlusten orsakades av agerande eller brist på agerande av en betaltjänstleverantörs anställda, ombud, filialer eller enheter till vilka dennes verksamhet utkontrakterats. Begreppet förlust under b) torde avse den ekonomiska förlust som uppkommit till följd av den obehöriga transaktionen, dvs. inte för- lusten av själva betalningsinstrumentet. I skäl 71 till direktivet anförs bl.a. följande om den aktuella bestämmelsen. … För att skapa incitament för betalaren att utan onödigt dröjsmål underrätta sin betaltjänstleverantör om ett stulet eller förlorat betal- ningsinstrument och således minska risken för icke auktoriserade betalningstransaktioner, bör användaren enbart vara ansvarig för ett mycket begränsat belopp, såvida inte denne har handlat bedrägligt eller visat grov vårdslöshet. I detta sammanhang förefaller ett belopp på vara lämpligt för att garantera ett harmoniserat och starkt skydd för användare inom unionen. Inget ansvar bör föreligga om betalaren inte kunnat känna till förlusten, stölden eller missbruket av betalningsinstrumentet. Så snart som en användare har underrättat en betaltjänstleverantör om att vederbörandes betalningsinstrument har kommit i orätta händer, bör betalaren inte vara skyldig att stå för några ytterligare förluster till följd av icke auktoriserad användning av instru- mentet. Detta direktiv bör inte påverka betaltjänstleverantörers ansvar för sina egna produkters tekniska säkerhet. De bestämmelser som har genomfört det första betaltjänstdirektivets artikel 61 finns i lagen om obehöriga transaktioner med betal- ningsinstrument. Utredningen har funnit att denna reglering bör föras över till betaltjänstlagen på ett sådant sätt att bestämmelserna bör samlas under en egen rubrik i femte kapitlet och så långt som möjligt behålla samma systematik. För att genomföra de ändringar som artikel 74.1 medför i fråga om självrisk gör utredningen följan- de överväganden. I artikel 74.1 anges alltså att betalaren får åläggas en självrisk, till skillnad mot den tidigare artikel 61.1 som angav att betalaren skulle åläggas att betala en självrisk. Den nya regleringen bör tolkas så att betalaren får åläggas att stå för ett belopp motsvarande högst under de förutsättningar som anges i artikeln, men att den enskilde betaltjänstleverantören i stället kan välja att själv stå för hela förlusten vid en obehörig transaktion. Det är alltså inte fråga om en möjlig- het till särlösning för medlemsstaterna, eftersom artikel 74.1 första stycket inte finns med i uppräkningen i artikel 107, som anger att medlemsstaterna har möjlighet att välja om vissa artiklar i direktivet ska införas i den nationella lagstiftningen eller inte. Vidare har beloppet för självrisk sänkts från till , dvs. till en tredjedel av beloppet i den nuvarande regleringen, varför det belopp som anges i 5 § lagen om obehöriga transaktioner med betalningsinstrument bör sänkas i motsvarande mån, dvs. föreskrivs i 5 § lagen om obehöriga transaktioner med be- talningsinstrument att en förutsättning för att självrisk ska utgå är att kontohavaren underlåtit att skydda sin personliga kod. Som skäl för att självrisk skulle utgå endast i sådana fall anfördes följande i förarbetena till bestämmelsen. SOU 2016:53 Obehöriga transaktioner m.m. Den möjlighet direktivet ger för medlemsstaterna att begränsa ansvaret skulle kunna uppfattas som enbart en rätt att införa en skälighetsregel. I skäl 34 anges dock att medlemsstaterna bör kunna fastställa mindre stränga villkor och att medlemsstaterna bör få minska eller helt elimi- nera betalarens ansvar. Detta ger stöd för tolkningen att direktivet inte hindrar medlemsstaterna från att ange att en självrisk ska utgå under vissa i lagen angivna förutsättningar och inte i andra. Vid de nordiska departementsöverläggningarna har det också funnits enighet om att bestämmelsen bör tolkas så. Utgångspunkten måste vara att kontohavaren bara ska stå för en obehörig transaktion om han eller hon kan lastas för den på något sätt. Obehöriga transaktioner som har skett med användning av en kod för- utsätter dock att den obehörige användaren på något sätt har lyckats få kännedom om koden. Att någon har fått tillgång till en kod beror i regel på kontohavaren; det är i det närmaste omöjligt att gissa sig till den kod som hör till ett visst kort. Det är därför motiverat att låta kontohavaren stå för en självrisk just när en personlig kod använts. En självrisk i de fall då en kod har använts ger ett tydligt incitament för kontohavaren att hantera koder så säkert och omsorgsfullt som möjligt. Kontohavaren bör däremot inte stå för någon självrisk om en obehörig transaktion sker på något annat sätt, t.ex. att någon kommer över ett kort och handlar med det genom att förfalska en namnunderskrift.16 I artikel 74.1 anges inte, till skillnad från artikel 61.1 i det första betaltjänstdirektivet, att ett villkor för självrisken är att betalaren har underlåtit att skydda de personliga säkerhetsanordningarna. Det har också tillkommit en reglering i artikelns andra stycke som uttryck- ligen anger när reglerna om självrisk inte ska tillämpas; antingen att förlusten eller stölden av betalningsinstrumentet inte kunde upp- täckas av betalaren innan betalningen utfördes eller att den ekono- miska förlusten orsakats av någon som agerat för betaltjänstleveran- törens räkning. På samma sätt framgår det av skäl 71 till direktivet att inget ansvar bör åläggas betalaren om denne inte kunnat känna till förlusten, stölden eller missbruket av betalningsinstrumentet. Vidare anser utredningen att termen personlig kod är föråldrad. Betalningar kan ju autentiseras med hjälp av andra funktioner än en sådan kod och det får förutsättas att nya och säkrare funktioner för autentisering kommer att utvecklas inom . Det framstår därför som mindre lämpligt att självrisk ska utgå endast vid 16 a.a. s. 15 f. användning av personlig kod, men inte vid användning av en säkrare form för autentisering. Eftersom det i artikel 74.1 första stycket inte längre görs någon uttrycklig koppling mellan självrisk och skyddet av personaliserade behörighetsfunktioner – som i det första betaltjänstdirektivet – bör det inte heller göras någon sådan koppling i de nationella reglerna. I stället bör det anges i betaltjänstlagen att betalaren får åläggas att stå för den förlust som är hänförlig till en obehörig transaktion upp till ett belopp om om transaktionen har kunnat genomföras till följd av att ett betalningsinstrument förkommit eller missbrukats. Utgångspunkten bör alltjämt vara att betalaren ska stå för en obehörig transaktion endast om han eller hon kan lastas för den, dvs. om betalaren på något sätt har förfarit oaktsamt med betalnings- instrumentet och att det föreligger ett orsakssamband mellan betalar- ens agerande eller underlåtenhet att agera och den obehöriga trans- aktionen. När det gäller den nuvarande regleringen i fråga om självrisk åläggs betalaren närmast ett strikt ansvar om en obehörig transaktion genomförts med hjälp av en personlig kod (se avsnitt 7.2.1). Det- samma bör gälla även i fråga om den nu föreslagna regleringen; har en transaktion genomförts med hjälp av betalarens personaliserade behörighetsfunktioner bör detta vara en stark indikation på att be- talaren inte skyddat dessa uppgifter. Liksom tidigare bör det läggas ett långtgående ansvar på betalaren i dessa fall. Den föreslagna regleringen innebär dock att självrisk kan utgå även i andra fall, dvs. även om en obehörig transaktion genomförs utan hjälp av betalarens personaliserade behörighetsfunktioner. Betal- tjänstleverantören ska dock stå för transaktionen om förlusten eller missbruket inte kunnat upptäckas av betalaren innan den obehöriga transaktionen genomfördes eller att förlusten till följd av trans- aktionen har orsakats av någon på betaltjänstleverantörens sida. Någon självrisk ska således inte utgå i dessa fall. Den föreslagna regleringen innebär alltså inte att betalaren åläggs ett strikt ansvar för samtliga obehöriga transaktioner, eftersom en förutsättning för ansvar är att betalaren ska haft möjlighet att upptäcka förlusten eller missbruket innan den obehöriga transaktionen ägde rum och att den ekonomiska förlusten inte har orsakats av någon på betaltjänst- leverantörens sida. Det är inte möjligt att generellt ange vilka krav på aktsamhet som bör gälla i olika situationer, utan detta får av- göras från fall till fall och ytterst av rättstillämpningen. Ur konsumentsynpunkt torde detta innebära en minskad förut- sägbarhet eftersom det kan vara svårt för den enskilde betalaren att överblicka i vilka situationer självrisk kan utkrävas. Självrisken är ju inte längre kopplad till en specifik funktion, som skyddet av en per- sonlig kod. Förslaget innebär å andra sidan att självriskens storlek minskas till en tredjedel, vilket är till gagn för den enskilde betalaren. Ansvar vid grovt oaktsam överträdelse av förpliktelserna vid användning av betalningsinstrument Artikel 74.1 tredje stycket, som motsvaras av det första betaltjänst- direktivets artikel 61.2, anger att betalaren ska stå för samtliga för- luster till följd av obehöriga transaktioner om betalaren ådrog sig dem genom att handla bedrägligt eller genom att avsiktligen eller med grov vårdslöshet underlåta att uppfylla en eller flera av sina skyl- digheter enligt artikel 69. I sådana fall ska reglerna om självrisk i första stycket inte tillämpas. Enligt det fjärde stycket i artikel 74.1, som i stort sett motsvaras av tidigare artikel 61.3, får betalarens ansvar begränsas om betalaren varken har handlat bedrägligt eller avsiktligen underlåtit att upp- fylla sina skyldigheter enligt artikel 69, varvid särskild hänsyn ska tas till arten av de personaliserade behörighetsfunktioner (tidigare person- liga säkerhetsanordningar) och till de särskilda omständigheter under vilka betalningsinstrumentet förlorades, stals eller missbrukades. I likhet med det första betaltjänstdirektivet anger artikel 74.1 alltså att medlemsstaterna får begränsa ansvaret vid grov oaktsamhet, var- vid hänsyn ska tas till arten av de personaliserade behörighetsfunk- tionerna och till de särskilda omständigheter under vilka betalnings- instrumentet förkom eller missbrukades. Vid genomförandet av denna bestämmelse fann regeringen att parterna i viss mån bör dela på ansvaret vid en obehörig transaktion, även i de fall då betalaren anses ha varit grovt oaktsam. Grunden för en sådan ansvarsfördelning var ambitionen att uppmuntra an- vändningen av kontokort och andra betalningsinstrument. anförde regeringen att det ekonomiska ansvaret borde vara känn- bart så att betalaren i det längsta skulle försöka följa de villkor som gällde för användningen av betalningsinstrumentet.17 Mot denna bakgrund infördes alltså takregeln om för konsumenter i 6 § andra stycket lagen om obehöriga transaktioner. Utredningen instämmer i den tolkning av direktivtexten som regeringen gjorde vid genomförandet av det första betaltjänstdirektivets reglering. Vidare ansluter sig utredningen till bedömningen att en takregel för kon- sumenter som handlat grovt oaktsamt fyller den funktionen att den uppmuntrar användningen av kontokort och andra betalnings- instrument. Skulle regeln tas bort kan det medföra att konsumenter blir mindre benägna att använda t.ex. kontokort i rädsla för risken att få stå för hela beloppet vid en obehörig transaktion. Även i övrigt anser utredningen att den reglering som genom- fört det första betaltjänstdirektivets reglering i dess artikel 61.2 och 61.3 bör föras över till betaltjänstlagen utan ändringar av det mate- riella innehållet. De förarbetsuttalanden om vad som kan utgöra grov oaktsamhet respektive särskilt klandervärt beteende och den praxis som har utvecklats på området har alltså alltjämt bäring för tolkningen av dessa bestämmelser (för en redogörelse i denna del, se avsnitt 7.2.1). Det behövs alltså inte någon ändrad reglering för att det andra betaltjänstdirektivet ska anses genomförd i denna del. Ansvaret då stark kundautentisering inte har använts Artikel 74.2, som är ny, föreskriver att om betalarens betaltjänst- leverantör inte kräver stark kundautentisering ska betalaren bära de ekonomiska konsekvenserna av en obehörig transaktion bara om betalaren har handlat bedrägligt (se avsnitt 7.3.1 om detta begrepp). Om betalningsmottagaren eller dennes betaltjänstleverantör inte godtar stark kundautentisering ska de återbetala den ekonomiska skada som vållats betalarens betaltjänstleverantör.18 För att genomföra denna nya bestämmelse bör det uttryckligen framgå av betaltjänstlagen att om betalarens betaltjänstleverantör inte tillämpar stark kundautentisering ska betalaren bara stå för beloppet vid en obehörig transaktion i de fall då betalaren genom svikligt handlande har bidragit till transaktionen. 18Av den engelska originaltexten framgår, till skillnad från den svenska översättningen, att det är betalningsmottagarens betaltjänstleverantör som kan bli ansvarig enligt andra meningen. sering innebär högre krav på säkerhet vid autentisering av betal- ningstransaktioner än t.ex. användande av en PIN-kod. En bestäm- melse med detta innehåll bör medföra ytterligare incitament för betaltjänstleverantören att tillämpa denna form av autentisering efter- som den annars riskerar att få stå för hela beloppet vid en obehörig transaktion även om betalaren har agerat grovt oaktsamt. Det bör också framgå av betaltjänstlagen att i de fall då betalningsmot- tagaren eller dennes betaltjänstleverantör inte godtar stark kund- autentisering, de ska stå för den ekonomiska skada som har drabbat betalarens betaltjänstleverantör. Den skadan innefattar beloppet för transaktionen men även den kostnad som den skadelidande betal- tjänstleverantören haft för att utreda om transaktionen varit obehörig. Bestämmelsen innebär alltså att betalarens betaltjänstleverantör har en regressrätt mot betalningsmottagaren eller dennes betaltjänst- leverantör om stark kundautentisering inte har kunnat tillämpas på grund av att de sistnämnda aktörerna inte godtar denna form av autentisering. Av artikel 74.3, som överensstämmer med tidigare artikel 61.4 och 61.5, framgår att efter underrättelse enligt artikel 69.1 b ska betalaren inte bära några ekonomiska konsekvenser av användningen av ett betalningsinstrument som förlorats, stulits eller missbrukats, såvida betalaren inte har handlat bedrägligt (första stycket). Om betaltjänst- leverantören inte erbjuder ett lämpligt sätt att anmäla att ett betal- ningsinstrument förlorats, stulits eller missbrukats i enlighet med kraven i artikel 70.1 c ska betalaren inte ansvara för de ekonomiska konsekvenserna av betalningsinstrumentets användning, såvida be- talaren inte har handlat bedrägligt (andra stycket). Artikeln motsvarar i sin helhet det första betaltjänstdirektivets reglering och innebär således inte någon ändring av reglerna om ansvar efter spärranmälan gjorts. Den bestämmelse som har genomfört det första betaltjänstdirektivets reglering på området bör därför utan ändringar föras in i betaltjänstlagen. Underrättelse och rättelse vid obehöriga transaktioner och betalarens ansvar för annan behörig persons hantering av betalningsinstrument Det andra betaltjänstdirektivets artikel 71.1, som motsvarar det första direktivets artikel 58, innehåller bestämmelser om att en betaltjänst- användare ska få rättelse av betaltjänstleverantören endast om an- vändaren, när den får kännedom om obehöriga eller felaktigt genom- förda betalningstransaktioner, underrättar sin leverantör utan onödigt dröjsmål och månader efter debiteringsdagen. Denna tids- frist gäller inte om betaltjänstleverantören varken har lämnat eller tillgängliggjort information om betalningstransaktionen i enlighet med bestämmelserna i avdelning III. Av artikel 71.2, som är ny, fram- går att om en leverantör av betalningsinitieringstjänster är involverad i transaktionen ska betaltjänstanvändaren få rättelse av den konto- förvaltande betaltjänstleverantören enligt artikel 71.1. (Denna nya bestämmelse har även behandlats i avsnitt 6.2.10, som handlar om det ansvar som ankommer på leverantörer av betalningsinitierings- tjänster i samband med felaktigt genomförda transaktioner). En bestämmelse med motsvarande innehåll om rättelse vid fel- aktigt genomförda transaktioner finns i 5 kap. 30 § betaltjänstlagen. För obehöriga transaktioner finns en bestämmelse med samma inne- håll i 8 § lagen om obehöriga transaktioner med betalningsinstru- ment. För att genomföra direktivets reglering i denna fråga bör denna bestämmelse införas i betaltjänstlagen. Till följd av artikel 71.2 bör det också framgå att det är den kontoförvaltande betaltjänst- leverantören som ska underrättas om en obehörig betalningstrans- aktion av betalaren oavsett om en leverantör av betalningsinitierings- tjänster varit involverad i genomförandet av transaktionen och att det är den kontoförvaltande leverantören som i dessa fall ska ge användaren rättelse. Enligt 9 § lagen om obehöriga transaktioner med betalnings- instrument ska, om någon annan än kontohavaren enligt avtal är behörig att använda ett betalningsinstrument, den andre personens handlande räknas som om kontohavaren själv hade handlat vid be- dömningen om kontohavaren ansvarar för något belopp. Denna bestämmelse har inte någon motsvarighet i varken det första eller andra betaltjänstdirektivet. Det är sannolikt vanligt att även någon annan än innehavaren av ett betalkonto är behörig att använda ett betalningsinstrument som är kopplat till kontot. ett värde, särskilt ur konsumentsynpunkt, att frågan om andra be- höriga personers ansvar vid obehöriga transaktioner är reglerat i lag. En bestämmelse med detta innehåll bör således föras in i betal- tjänstlagen. 8Tillträde till betalningssystem och till konton som hålls Betalningssystem definieras i 1 kap. 4 § 9 p betaltjänstlagen som ett generellt betalsystem enligt 1 kap. 3 § andra stycket lagen (2004:297) om bank- och finansieringsrörelse. Enligt detta lagrum avses med generella betalsystem sådana system för förmedling av betalningar från ett stort antal från varandra fristående betalare som är avsedda att nå ett stort antal från varandra fristående slutliga betalnings- mottagare. Det första betaltjänstdirektivets regler om tillträde till betalnings- system har genomförts i betaltjänstlagens sjunde kapitel. Enligt 7 kap. 1 § första stycket ska den eller de som har ansvar för ett betal- ningssystem se till att reglerna om tillträde till betalningssystemet är objektiva, icke-diskriminerande och proportionella. Reglerna får inte hindra tillträde i större utsträckning än vad som är nödvändigt för att skydda mot risker i verksamheten och för att skydda betal- ningssystemets finansiella och operativa stabilitet. Enligt paragrafens andra stycke får reglerna om tillträde till betalningssystem inte be- gränsa faktiskt deltagande i andra betalningssystem eller diskrimi- nera betaltjänstleverantörer på grund av den juridiska form som deras verksamhet bedrivs i. De regler som avses i paragrafen är de regler som den ansvarige för betalningssystemet ställer upp och som anger vilka krav som ställs på en aktör som vill få tillträde till syste- met. Tillträde till betalningssystem och till konton som hålls i ett kreditinstitut Av 7 kap. 2 § betaltjänstlagen framgår att en betaltjänstleveran- tör enligt 1 kap. 3 § som är en juridisk person inte får nekas tillträde till ett betalningssystem, om den uppfyller sådana krav för tillträde till betalningssystemet som uppställts i enlighet med 1 §. Enligt förarbetena till betaltjänstlagen innebär regleringen i 7 kap. 2 § bl.a. att ett betalningsinstituts tillträde till betalningssystem inte får begränsas genom att vissa regler ställer striktare krav på dessa än vad som gäller för t.ex. kreditinstitut. Den lagstiftning som reglerar verksamheten i finansiella företag kan emellertid ställa krav som innebär att vissa företag måste ansöka om ytterligare tillstånd för att kunna ansluta sig till ett generellt betalsystem. Krav på sådana tillstånd för att få delta i ett betalningssystem bör inte ses som en diskri- minerande tillträdesregel. Slutligen sägs att prövningen av om ett betalningssystems tillträdesregler uppfyller betaltjänstlagens krav får göras av ansvarig tillsynsmyndighet och ytterst avgöras i rättstillämp- ningen.1 Av 7 kap. 3 § följer att bestämmelserna i 1 och 2 §§ inte gäller för betalningssystem enligt lagen (1999:1309) om system för avveckling av förpliktelser på finansmarknaden (avvecklingslagen), eller betal- ningssystem i vilka en betaltjänstleverantör verkar eller kan verka både som betalarens och betalningsmottagarens betaltjänstleveran- tör samt är ensamt ansvarig för betalningssystemets ledning, och denne betaltjänstleverantör tillåter andra betaltjänstleverantörer att delta i betalningssystemet utan att dessa kan förhandla om avgifter mellan sig avseende betalningssystemet. Genom avvecklingslagen har det s.k. finalitydirektivet2 genom- förts i svensk rätt. Av 2 § i denna lag följer att med ett anmält av- vecklingssystem avses ett avvecklingssystem som en stat inom EES har anmält till Europeiska värdepappers- och marknadsmyndigheten () eller till Eftas övervakningsmyndighet. I är tre betalningssystem anmälda till i enlighet med denna reglering: RIX-system, Bankgirots Clearing- och avvecklingstjänst och . Dessa tre system omfattas därmed inte av kraven på icke-diskriminerande tillträdesregler i 7 kap. 1–2 §§ betaltjänstlagen.