sou · H4B353 · 2016-08-31 00:00:00 — Direktivet anger t.ex. att i de fall då betaltjänstleverantören och inte betaltjänst- användaren ska svara för den obehöriga transaktionen och de fall då betalningstransaktionen har initierats av en leverantör av betalnings- initieringstjänster är det den kontoförvaltande leverantören som ska betala tillbaka det belopp som motsvarar den obe- höriga transaktionen. ska en leverantör av betalnings- initieringstjänster som är ansvarig för en obehörig transaktion enligt direktivet ersätta den kontoförvaltande leverantören för förluster som har återbetalts till kontohavaren, vilket innefattar beloppet av den obehöriga transaktionen. Att dela upp dessa bestämmelser mellan lagen om obehöriga transaktioner med betalningsinstrument och betaltjänstlagen gör inte lagstiftningen mer lättillgänglig för konsu- menterna och framstår inte heller i övrigt som ändamålsenligt. Även bestämmelserna om betaltjänstanvändarens respektive betaltjänst- leverantörens skyldigheter vid utgivning och användning av betal- ningsinstrument är uppdelade på de två lagarna. För att göra reg- leringen i denna del mer överskådlig är det en fördel om den finns samlad i en lag. Mot den bakgrunden finner utredningen att den reglering som genomför det andra betaltjänstdirektivet bör samlas i betaltjänst- lagen. För den enskilde konsumenten medför en sådan lösning inte att reglerna blir mindre lättillgängliga. För att tillgodose detta intresse bör emellertid reglerna så långt som möjligt vara utformade på samma sätt som i lagen om obehöriga transaktioner och samlas under sam- ma rubrik i betaltjänstlagens femte kapitel, som reglerar frågor om genomförande av betaltjänster. Bestämmelserna bör liksom vara tillämpliga för såväl närings- idkare som konsumenter, men de ska vara tvingande till konsumen- tens förmån. När det gäller reglernas tillämpningsområde i övrigt bör samma bestämmelser om undantag från betaltjänstlagens bestämmel- ser gälla för reglerna om obehöriga transaktioner och om betaltjänst- användares skyldigheter vid användning av betalningsinstrument som för lagens övriga regler. De i 1 kap. 7 § betaltjänstlagen angivna undantagen för vissa betalningstransaktioner bör alltså gälla även för reglerna om obehöriga transaktioner. Således gäller reglerna t.ex. inte betalningar med pappersbaserade instrument. Som framgår av de i avsnitt 7.2.1 återgivna förarbetsuttalandena ansåg regeringen att regleringen i lagen om obehöriga transaktioner med betalningsinstrument skulle vara tillämplig även beträffande tjänster som baseras på betalningsinstrument som bara kan utnyttjas inom bl.a. ett begränsat nätverk av leverantörer (1 kap. 6 § 5 betal- tjänstlagen). Detta undantag motsvaras av både första och andra betaltjänstdirektivens artikel 3 k. Utredningen delar regeringens upp- fattning att det finns ett behov av regler i fråga om ansvarsfördel- ningen vid obehöriga transaktioner även för dessa instrument. Som utvecklats i avsnitt 5.3.2 bör bestämmelserna om obehöriga trans- aktioner därför gälla samtliga betalningsinstrument som faller under artikel 3 k. När det gäller terminologin i lagen om obehöriga transaktioner med betalningsinstrument används begreppet kontohavare som be- teckning på den som ingått ett avtal med en betaltjänstleverantör. För en enhetlig terminologi i betaltjänstlagen bör de begrepp som används i lagen användas även för den reglering som föreslås. I stället för kontohavare bör betaltjänstanvändare eller betalare an- vändas med utgångspunkt i hur begreppen används i det andra betaltjänstdirektivet. Två av de definitioner som finns i 2 § lagen om obehöriga trans- aktioner med betalningsinstrument, konsument och betalningsinstru- ment, finns redan i 1 kap. 4 § betaltjänstlagen med samma innebörd som i den förstnämnda lagen. Någon definition av begreppet obe- hörig transaktion finns inte i betaltjänstlagen. Det behöver inte heller införas någon sådan definition, utan det är tillräckligt att begrep- pets innebörd kommer till uttryck i författningskommentaren. I artikel 61 i det första betaltjänstdirektivet används uttrycket bedrägligt handlande. Även i det andra direktivet, artikel 74, framgår att betalaren i vissa fall själv ska bära de ekonomiska konsekvenserna av en obehörig transaktion om betalaren har handlat bedrägligt. En- ligt artikel 73 i det andra betaltjänstdirektivet ska en betaltjänst- leverantör som har rimlig anledning att misstänka bedrägeri inte vara skyldig att betala tillbaka beloppet för en icke auktori- serad transaktion till betalaren. I den engelska originalversionen an- vänds uttrycken fraudulent behaviour (skäl 71), fraud (artikel 73) och acted fraudulently (artikel 74). Utredningen konstaterar att det inte är oproblematiskt att använda ett uttryck som är identiskt med eller liknar en brottsrubricering i Att betalarens fulla ansvar för beloppet enligt artikel 74 skulle vara begränsad till situationer där betalaren befunnits skyldig till bedrägeri framstår inte som konsekvent eller ändamålsenligt. Inte heller bör det, trots formuleringen i artikel 73, krävas att den kontoförvaltande betaltjänstleverantören har rimlig anledning att misstänka att kontohavaren har begått just ett bedrägeribrott för att leverantören ska få skälig tid för att utreda transaktionen. Det får därför förutsättas att direktivets formulering i denna del är något missvisande och kan begränsa tillämpningsområdet på ett sätt som inte är avsett. I 7 § lagen om obehöriga transaktioner används i stället uttrycket svikligt handlande för sådana förfaranden som ska medföra att konto- havaren ska ansvara för belopp som har belastat kontot trots att han eller hon har anmält till betaltjänstleverantören att betalningsinstru- mentet ska spärras. Enligt utredningens mening får detta uttryck, som anknyter till 30 § avtalslagen, anses vara mer ändamålsenligt i förhållande till syftet med direktivet. Uttrycket är välbekant för de professionella aktörerna på området eftersom det används i de all- männa avtalsvillkoren hos flertalet banker och finansföretag. Att det dessutom har använts för att beskriva motsvarande situationer i lagen om obehöriga transaktioner är också en uppen- bar fördel. Det kan visserligen konstateras att kontoförvaltarens återbetal- ningsskyldighet förutsätter att det är fråga om en obehörig trans- aktion, dvs. att den utförs utan kontohavarens samtycke. I det fall kontohavaren har handlat svikligt torde transaktionen normalt ha genomförts med samtycke och någon återbetalningsskyldighet blir inte aktuell. Det är alltså svårt att se när ett undantag på den grunden från kontoförvaltarens betalningsskyldighet skulle kunna bli aktuell. Någon särskild definition av begreppet bör inte införas i lagen. 7.3.2Skyldigheter vid utgivande och användande av betalningsinstrument Förslag: Betaltjänstanvändaren respektive betaltjänstleverantören ska vara skyldiga att skydda de personaliserade behörighetsfunk- tionerna som är knutna till det enskilda betalningsinstrumentet. Det ska vara avgiftsfritt för betaltjänstanvändaren att under- rätta betaltjänstleverantören om att betalningsinstrumentet har förkommit eller brukats obehörigen. Betaltjänstleverantören får endast ta ut avgift för de ersättningskostnader som är direkt för- knippade med det förlorade betalningsinstrumentet. De villkor som betaltjänstleverantören uppställer för utgiv- ning och användning av betalningsinstrument ska vara objektiva, icke-diskriminerande och proportionella. Artikel 69 reglerar betaltjänstanvändarens skyldigheter i fråga om betalningsinstrument. Regleringen överensstämmer i stora drag med artikel 56 i det första betaltjänstdirektivet, som alltså har genom- förts i 4 § lagen om behöriga transaktioner med betalningsinstru- ment. I artikel 69.1 a har dock det tillägget gjorts att villkoren för utgivning och användning av betalningsinstrument måste vara objek- tiva, icke-diskriminerande och proportionella. Det är alltså en regle- ring som snarare ålägger betaltjänstleverantören en skyldighet i fråga om utformandet av de villkor som reglerar tillgång och användning av betalningsinstrument som denne ger ut. I artikel 69.2 anges att betaltjänstanvändaren är skyldig att vidta alla rimliga åtgärder för att skydda sina personaliserade behörighetsfunktioner, i stället för personliga säkerhetsanordningar vilket följde av motsvarande bestäm- melse i det första betaltjänstdirektivet. Artikel 70.1 anger de skyldigheter som ankommer på den betal- tjänstleverantör som ger ut betalningsinstrument. Även beträffande denna artikel är regleringen i stort sett densamma som i det första betaltjänstdirektivet och som har genomförts i 5 kap. 5 § betaltjänst- lagen. I artikeln används dock, i likhet med artikel 69, begreppet personaliserade behörighetsfunktioner i stället för personliga säkerhets- anordningar. Vidare har det i artikel 70.1 d tillkommit en bestämmelse som anger att betaltjänstleverantören ska ge användaren möjlighet att avgiftsfritt lämna en underrättelse om ett betalningsinstrument förkommit eller använts obehörigen och i alla händelser endast ta ut avgift för ersättningskostnader som direkt kan hänföras till betal- ningsinstrumentet. I skäl 69 till det andra betaltjänstdirektivet anges följande i fråga om skyldigheten att skydda personaliserade behörighetsfunktioner. Skyldigheten att hålla personliga säkerhetsbehörighetsuppgifter säkra är av allra största vikt för att skydda betaltjänstanvändarens medel och begränsa risker med avseende på bedrägeri och icke auktoriserad till- gång till betalkontot. De villkor eller andra skyldigheter som betaltjänst- leverantörerna ålägger betaltjänstanvändarna när det gäller att hålla per- sonliga säkerhetsbehörighetsuppgifter säkra bör inte vara formulerade så att de hindrar betaltjänstanvändarna från att utnyttja tjänster som tillhandahålls av andra betaltjänstleverantörer, inbegripet betalnings- initieringstjänster och kontoinformationstjänster. Sådana villkor bör inte heller innehålla några bestämmelser som på något sätt gör det svårare att använda betaltjänster från andra betaltjänstleverantörer som är auktoriserade eller registrerade enligt detta direktiv. I de bestämmelser som har genomfört det första betaltjänstdirek- tivets bestämmelser i artiklarna 56 och 57 har termen personlig kod använts i stället för det i direktivet använda uttrycket personliga säkerhetsanordningar, som alltså har ersatts med personaliserade behörighetsfunktioner. Skälen till att begreppet personlig kod har använts i lagtexten har inte utvecklats närmare i förarbetena till de bestämmelser som har genomfört de angivna artiklarna. Begreppet avser koder som är personliga, dvs. som kontohavaren enligt konto- avtalet inte har rätt att uppge för någon annan person, t.ex. en s.k. PIN-kod. Begreppet personaliserade behörighetsfunktioner definieras enligt artikel 4.31 i det andra betaltjänstdirektivet som ”personligt anpassade funktioner som betaltjänstleverantören tillhandahåller betaltjänstanvändaren för autentiseringsändamål”. Begreppet får anses ha en mer vidsträckt innebörd och omfatta andra funktioner än en personlig kod. Exempel på sådana funktioner kan vara användning- en av biometrisk information, t.ex. att en betalning autentiseras med hjälp av betalarens fingeravtryck. Andra exempel kan vara s.k. iris- scanning eller röstigenkänning. Troligen kommer det i en nära fram- tid även att utvecklas andra funktioner för autentiseringsändamål, som är säkrare än användningen av en personlig kod. Det beror inte minst på de krav på stark kundautentisering som det andra betal- tjänstdirektivet uppställer för betaltjänstleverantörernas kommuni- kation med betaltjänstanvändarna. Stark kundautentisering är ett förfarande för autentisering där åtminstone två från varandra oberoende faktorer används (t.ex. kontokort och PIN-kod) i stället för endast en faktor, som är fallet med personlig kod (mer om regleringen av stark kundautentisering och när den ska träda i kraft, se kapitel 10). Mot denna bakgrund anser utredningen att det i lagtexten bör framgå att betaltjänst- användarens respektive betaltjänstleverantörens skyldighet omfattar skydd av betaltjänstanvändarens personaliserade behörighetsfunk- tioner, och alltså inte endast skydd av en personlig kod. För att genomföra det andra betaltjänstdirektivets bestämmelser i fråga om betaltjänstleverantörens skyldigheter bör det också framgå av betaltjänstlagen att det ska vara avgiftsfritt för betaltjänstanvän- daren att lämna en underrättelse om att betalningsinstrumentet har förkommit eller använts obehörigen och att avgift får tas ut endast för ersättningskostnader som är direkt hänförliga till betalnings- instrumentet. Sådana kostnader kan vara kostnader för ersättnings- kort, utskick av ny PIN-kod eller nytt Bank-ID. Slutligen är frågan hur den bestämmelse som anges i artikel 69.1 a) bör genomföras. Av bestämmelsen framgår hur villkoren för utgivning och användning av betalningsinstrument ska vara utformade. Visser- ligen finns regleringen i den artikel som behandlar betaltjänstanvän- darens skyldigheter i fråga om användning av ett betalningsinstru- ment, men den får ändå uppfattas som en skyldighet som ankommer på betaltjänstleverantören. För att genomföra denna bestämmelse bör det alltså av betaltjänstlagen framgå att de villkor leverantören ställer upp vid utgivning och användning av betalningsinstrument ska vara objektiva, icke-diskriminerande och proportionella. I ljuset av vad som anförs i skäl 69 torde detta innebära att leverantören i villkoren inte får ställa krav på betaltjänstanvändaren som begränsar användningen av betalningsinstrumentet mer än som behövs för att t.ex. skydda de personaliserade behörighetsfunktionerna så att risken för bedrägerier eller andra former av missbruk minskar. Villkoren får inte heller hindra användaren från att använda sig av andra betal- tjänstleverantörers tjänster, som t.ex. leverantörer av betalnings- initieringstjänster eller kontoinformationstjänster. Kraven på objektivitet, icke-diskriminering och proportionalitet är allmänt hållna i direktivtexten. Om en betaltjänstleverantörs villkor för utgivning och användning av betalningsinstrument i det enskilda fallet uppfyller de angivna kraven får prövas av tillsynsmyndigheten och ytterst avgöras i rättstillämpningen. I övrigt föranleder bestämmelserna i det andra betaltjänstdirek- tivet inte några lagstiftningsåtgärder för att anses genomförda. Be- stämmelsen i 4 § lagen om obehöriga transaktioner med betalnings- instrument ska dock föras in i betaltjänstlagen med den ändring som föreslagits ovan. 7.3.3Ansvar vid obehöriga transaktioner Betaltjänstleverantörens ansvar gentemot betalaren Förslag: Betalarens betaltjänstleverantör ska som huvudregel betala tillbaka beloppet för en obehörig transaktion till den drabbade betalaren. Det ska göras och allra senast i slutet av bankdagen efter det att leverantören har noterat eller underrättats om transaktionen. Det sagda gäller inte om betaltjänstleverantören har rimlig an- ledning att misstänka att betalaren genom svikligt handlande har bidragit till den obehöriga transaktionen, och skriftligen meddelar detta. Om leverantör ska återbetala beloppet för en obehörig trans- aktion till betalaren ska det debiterade betalkontot återställas till den ställning som skulle ha förelegat om den obehöriga trans- aktionen inte hade ägt rum. Valuteringsdagen för kreditering av betalarens betalkonto ska inte infalla senare än den dag då belop- pet debiterades. Det är den kontoförvaltande betaltjänstleverantören som ska återbetala beloppet för en obehörig transaktion till betalaren även om den har initierats av en leverantör av betalningsinitierings- tjänster. I artikel 73 finns bestämmelser om betaltjänstleverantörers ansvar för obehöriga betalningstransaktioner. Artikel 73.1 motsvarar i stort sett det första betaltjänstdirektivets artikel 60.1, medan artikel 73.2 är ny. Av artikel 73.1 framgår att betalarens betaltjänstleverantör omedel- bart ska betala tillbaka beloppet för en obehörig transaktion till betalaren. Återbetalning ska göras senast i slutet av bankdagen efter det att leverantören har noterat eller underrättats om transaktionen. Om leverantören har rimlig anledning att misstänka bedrägeri och skriftligen meddelar den berörda nationella myndigheten detta ska leverantören dock medges skälig tid för att genomföra en under- sökning före återbetalningen. I tillämpliga fall ska betalarens betaltjänstleverantör återställa det debiterade betalkontot till den ställning som skulle ha förelegat om den obehöriga transaktionen inte hade ägt rum. Detta ska också säkerställa att valuteringsdagen för krediteringen av betalarens betal- konto inte infaller senare än den dag då beloppet har debiterats, ett villkor som också är nytt i förhållande till det första betaltjänst- direktivet. En förutsättning för återbetalning är att betaltjänstanvän- daren anmäler förlusten till leverantören utan onödigt dröjsmål efter det att han eller hon fått kännedom om den obehöriga transaktionen och senast från debiteringsdagen, vilket framgår av artikel 71 (se nedan). Med betalare i avses i denna artikel inte den person som har genomfört den obehöriga transaktionen, utan den person som är innehavare av det betalkonto som debiterats den obehöriga transak- tionen. Termen betalare är därför något missvisande i sammanhanget, men då den används i direktivtexten bör den också användas i den svenska lagtexten. Utredningen anser att berörd nationell myndighet bör vara Finans- inspektionen. I skäl 71 till direktivet anges i fråga om denna bestämmelse att betaltjänstleverantören i händelse av en obehörig transaktion omedel- bart bör återbetala beloppet för transaktionen till betalaren. Om det finns en allvarlig misstanke om att en obehörig transaktion är resultatet av betaltjänstanvändarens bedrägliga beteende och om denna misstanke bygger på objektiva grunder bör betaltjänstleverantören ha möjlighet att inom rimlig tid genomföra en undersökning innan återbetalning sker. För att skydda betalaren bör valuteringsdagen för kreditering av återbetalning inte infalla senare än det datum då beloppet debiterades. Som framgår av avsnitt 7.3.1 har utredningen funnit att be- greppen bedrägeri och bedrägligt beteende är mindre lämpliga, och föreslår att uttrycket svikligt handlande används i lagen. Det första betaltjänstdirektivets artikel 60.1 har behandlats i samband med införandet av lagen om obehöriga transaktioner med betalningsinstrument. Regeringen fann då att det inte behövdes någon uttrycklig bestämmelse för att genomföra denna reglering. I propo- sitionen anfördes att det av lagförslaget framgår att kontohavaren i vissa fall helt eller delvis ska stå för det belopp som den obehöriga transaktionen uppgått till, men att i övriga fall betaltjänstleveran- tören ansvarar för beloppet. Det innebär att det av lag följer att betaltjänstleverantören är skyldig att betala tillbaka det belopp som motsvarar transaktionen, utom i de fall då konto- havaren ska stå för förlusten.15 Utredningen delar regeringens uppfattning att det indirekt fram- går av den nuvarande regleringen att återbetalning ska göras omedel- bart om det inte förhåller sig så att betalaren ska ansvara för hela eller delar av det belopp som avser den obehöriga transaktionen. Med hänsyn till de tillägg som gjorts i artikeln om under vilka förutsätt- ningar och när återbetalning ska göras bör dock en uttrycklig be- stämmelse införas i betaltjänstlagen. Av lagen bör det alltså framgå att betalarens betaltjänstleveran- tör ska återbetala beloppet för den obehöriga transaktionen, under förutsättning att det inte finns en rimlig misstanke om att betalaren genom svikligt handlande har bidragit till transaktionen. Av artikelns lydelse samt av skäl 71 framgår att misstankegraden ska vara för- hållandevis hög; det ska finnas en rimlig anledning till misstanke och misstanken ska baseras på objektiva skäl. Vidare ska betaltjänst- leverantören åläggas en skyldighet att rapportera denna misstanke och skälen för den till för att undgå återbetal- ningsansvaret. Att betaltjänstleverantören är skyldig att redovisa sina misstankar bör minska risken för att leverantörer slentrianmässigt hänvisar till en misstanke om att betalaren har handlat svikligt för att undkomma betalningsansvar. I flertalet fall torde ett sådant handlande innebära att transaktionen genomförts med betalarens samtycke och således inte utgör en obehörig transaktion, varvid någon återbetalning inte aktualiseras. 15 a.a. s. 20. I artikeln anges att återbetalning ska göras . Som framgår av skäl 71 bör betaltjänstleverantören ha skälig tid för att undersöka transaktionen. Enligt skälet får detta emellertid före- komma endast om det redan föreligger misstankar om bedrägeri som meddelats berörd myndighet. Ur betaltjänstleverantörernas syn- vinkel är det önskvärt att de i sådana fall kan göra en undersökning av transaktionen före återbetalning. Uttalandet i skälet och artikelns lydelse måste tolkas så att betaltjänstleverantören ges ett skäligt ut- rymme för att undersöka transaktionen. Vidare följer det av artikeln att valuteringsdagen för kreditering av betalarens betalkonto inte får infalla senare än det datum då beloppet debiterades kontot, vilket också framgår av skäl 71. Det bör alltså av betaltjänstlagen framgå att betaltjänstleveran- tören senast i slutet av bankdagen efter det att den har underrättats om transaktionen ska återbetala beloppet och återställa det debite- rade betalkontot till den ställning det skulle haft om den obehöriga transaktionen inte ägt rum. Det bör också anges att valuterings- dagen för kreditering av betalkontot inte får infalla senare än den dag då beloppet hade debiterats. Om leverantören har rimlig anled- ning att misstänka svikligt handlande och skriftligen meddelar den berörda nationella myndigheten detta ska leverantören dock medges skälig tid för att genomföra undersökningen före en eventuell åter- betalning. Av artikel 73.2 första stycket följer att om betalningstrans- aktionen initieras av en leverantör av betalningsinitieringstjänster den kontoförvaltande betaltjänstleverantören , och i alla händelser senast i slutet av följande bankdag, ska betala tillbaka ett belopp som motsvarar den obehöriga transaktionens och i tillämp- liga fall återställa det debiterade betalkontot till den ställning det skulle ha haft om transaktionen inte hade ägt rum. I artikelns andra stycke anges att om en leverantör av betalningsinitieringstjänster är ansvarig för den obehöriga transaktionen ska den på den konto- förvaltande leverantörens begäran ersätta denne för för- luster eller betalda belopp till följd av återbetalningen till betalaren, inbegripet beloppet för den obehöriga transaktionen. Denna ansvars- fördelning mellan de två betaltjänstleverantörerna i en transaktion har behandlats i avsnitt 6.2.7, som tar upp frågor om ansvar för leverantörer av betalningsinitieringstjänster och behandlas inte vidare i detta sammanhang. I konsekvens med artikel 73.2 bör det komma till uttryck i betal- tjänstlagen att det är den kontoförvaltande betaltjänstleverantören som ska återbetala medlen även om en leverantör av betalnings- initieringstjänster varit involverad och återbetal- ning senast ska ske. Av artikel 73.3 framgår att ytterligare ersättning kan fastställas i enlighet med den rätt som är tillämplig på det avtal som ingåtts mellan betalaren eller betaltjänstleverantören, eller det avtal som ingåtts mellan betalaren och leverantören av betalningsinitieringstjänster. Artikeln överensstämmer i stort sett med det första betaltjänst- direktivets artikel 60.2. Bestämmelsen har dock ingen motsvarighet i lagen om obehöriga transaktioner med betalningsinstrument. Det framstår som onödigt att ta in en sådan bestämmelse i lag, eftersom betaltjänstanvändare även utan uttryckligt stöd i lagen kan avtala om mer fördelaktiga ersättningsvillkor i dessa situationer. En ut- trycklig sådan bestämmelse behöver därför inte införas.