prop · H50377 · 2018-01-30 00:00:00 — missbrukats eller använts utan auktorisation och i alla händelser endast ta ut avgift för ersättningskostnader som direkt kan hänföras till betal- ningsinstrumentet (artikel 70.1 d). Betaltjänstleverantörens skyldigheter avseende ett betalningsinstru- ment regleras i betaltjänstlagen (5 kap. 5 §). I lagen regleras inte vilka avgifter betaltjänstleverantören får ta ut i anledning av att ett betalnings- instrument förkommit eller använts obehörigen. För att genomföra Prop. 2017/18:77 reglerna i direktivet i denna del bör det införas en bestämmelse i betal- tjänstlagen om att det ska vara avgiftsfritt för betaltjänstanvändaren att lämna en underrättelse om att betalningsinstrumentet har förkommit eller använts obehörigen och att avgift får tas ut endast för ersättnings- kostnader som är direkt hänförliga till betalningsinstrumentet. Sådana kostnader kan t.ex. avse ersättningskort, utskick av ny PIN-kod eller nytt BankID. 8.4Ansvar vid obehöriga transaktioner 8.4.1Betaltjänstleverantörens ansvar att återställa den drabbade kontohavarens konto Regeringens förslag: Har det genomförts en obehörig transaktion från en kontohavares konto, ska kontohavarens betaltjänstleverantör, som huvudregel, återställa kontot till den ställning det skulle ha haft om den obehöriga transaktionen inte genomförts. Återställandet ska ske omedel- bart och senast i slutet av den bankdag som inträffar efter det att leverantören har fått kännedom om den obehöriga transaktionen. Om det finns anledning att misstänka att transaktionen är behörig, har betaltjänstleverantören dock rätt till en skälig tid för att undersöka saken. Om kontot inte återställs eller senast i slutet av den bankdag som inträffar efter det att betaltjänstleverantören har fått kännedom om transaktionen, ska leverantören skriftligen underrätta om anledningen. Utredningens förslag överensstämmer i huvudsak med regeringens Utredningens förslag avviker från regeringens förslag genom att det i utredningens förslag anges att ska underrättas för att det ska finnas en rätt till skälig tid att undersöka transaktionen, men det anges inte sådan underrättelse ska ske. utredningens förslag ska betaltjänstleverantören ha rätt att undersöka den misstänkta transaktionen endast om leverantören har rimlig anledning att misstänka att kontohavaren genom svikligt handlande bidragit till den Remissinstanserna: Flertalet remissinstanser tillstyrker förslaget eller har inget att invända mot det. ”har fått kännedom om transaktionen” i lagtexten bör ändras till ”har noterat den obehöriga transaktionen”. Vidare önskar Svenska Bank- föreningen ett klargörande om samtliga transaktioner som ger upphov till misstanke om svikligt handlande behöver anmälas till Finansinspek- Föreningen anser även att det behöver klargöras vid vilken tid- punkt leverantören ska anmäla till och hur inspek- tionen ska hantera anmälningarna. Skälen för regeringens förslag: Enligt andra betaltjänstdirektivet ska betalarens betaltjänstleverantör som huvudregel betala tillbaka beloppet för en obehörig transaktion till betalaren (artikel 73.1). betalning ska göras senast i slutet av bankdagen efter det att leverantören har noterat eller underrättats om transaktionen. Om leverantören har rimlig anledning att misstänka bedrägeri och skriftligen meddelar den berörda nationella myndigheten detta ska leverantören dock medges skälig tid för att genomföra en undersökning före återbetalningen (artikel 73.1). I skälen till direktivet anges att om det finns en allvarlig misstanke om att en obehörig transaktion är resultatet av betaltjänstanvändarens bedrägliga beteende och om denna misstanke bygger på objektiva grunder, bör betaltjänstleverantören ha möjlighet att inom rimlig tid genomföra en undersökning innan återbetalning sker (skäl 71). Med betalare avses i reglerna i direktivet inte den person som har genomfört den obehöriga transaktionen, utan den person som är inne- havare av det konto som debiterats den obehöriga transaktionen. utvecklas i avsnitt 8.2 är termen betalare i detta sammanhang missvisande eftersom definitionen av betalare i betaltjänstlagen tar sikte på den person som godkänt betalningen (1 kap. 4 §). I avsnitt 8.2 föreslås därför att termen kontohavare ska användas i bestämmelserna om obehöriga transaktioner i Även i första betaltjänstdirektivet finns en regel om betaltjänst- leverantörens omedelbara återbetalningsansvar i samband med obehöriga transaktioner (artikel 60.1), men i det direktivet anges ingen sista tid- punkt för när återbetalning ska ske och där regleras inte heller betaltjänst- leverantörens rätt till en viss tidsfrist för att undersöka misstänkta trans- De nu aktuella reglerna i första betaltjänstdirektivet behandlades vid införandet av lagen om obehöriga transaktioner med betalnings- Regeringen fann då att det inte behövdes någon uttrycklig bestämmelse om att betaltjänstleverantören är skyldig att betala tillbaka det belopp som motsvarar transaktionen. ansåg att detta framgår av bestämmelserna om att kontohavaren i vissa fall helt eller delvis ska stå för beloppet (prop. 2009/10:122 s. 20). innebär att betaltjänstleverantören är skyldig att betala tillbaka det belopp som motsvarar transaktionen, utom i de fall då kontohavaren ska stå för förlusten. Visserligen framgår indirekt av nuvarande bestämmelser i lagen om obehöriga transaktioner med betalningsinstrument att återbetalning ska göras om det inte förhåller sig så att betalaren ska ansvara för hela eller delar av det belopp som avser den obehöriga transaktionen. hänsyn till de tillägg som gjorts i andra betaltjänstdirektivet om under vilka förutsättningar och när återbetalning ska göras, anser regeringen dock att en uttrycklig bestämmelse om omedelbar återbetalning bör in- föras i betaltjänstlagen. anser att uttrycket ”har fått kännedom om transaktionen” i lagtexten bör ändras till ”har noterat den obehöriga Regeringen bedömer att termen ”kännedom” är lämp- ligare än ”noterat” för att beskriva vilken vetskap betaltjänstleverantören ska ha om transaktionen, men att det i lagtexten bör tydliggöras att det handlar om en obehörig transaktion. När det gäller det undantag från den omedelbara återbetalnings- skyldigheten som framgår av direktivet ska enligt utredningens förslag rätten till en skälig tid för att undersöka saken gälla endast när det finns anledning att misstänka att kontohavaren genom svikligt handlande har bidragit till transaktionen. Lagrådet påpekar att betaltjänstdirektivet Prop. 2017/18:77 emellertid bör förstås så att tiden ska gälla i alla de situationer där det finns anledning att misstänka att de aktuella transaktionerna i själva verket är behöriga. Regeringen instämmer med Lagrådet. Det bör därför anges i betaltjänstlagen att en betaltjänstleverantör har rätt till en skälig tid att undersöka saken om det finns anledning att misstänka att transak- tionen är behörig. Vidare bör betaltjänstleverantören åläggas en skyldighet att rapportera sin misstanke kring transaktionen och skälen för den till Finansinspek- tionen. Att betaltjänstleverantören är skyldig att redovisa sina misstankar bör minska risken för att leverantörer slentrianmässigt hänvisar till en misstanke om att betalaren har handlat svikligt för att undkomma ett betalningsansvar. tar upp frågan om betaltjänstleverantören all- tid måste underrätta vid varje misstanke om svikligt handlande och en sådan underrättelse ska ske samt hur inspektionen ska hantera underrättelserna. Regeringen uppfattar att direktivet innebär att en underrättelse ska lämnas till som en betaltjänstleverantör utnyttjar rätten till en skälig tid att undersöka om transaktionen är behörig och därmed inte återställer kontot senast i slutet av den bankdag som inträffar efter det att betaltjänstleverantören har fått kännedom om transaktionen. Under- rättelsen ska ske i direkt anslutning till att betaltjänstleverantören ut- nyttjar rätten till en skälig tid att undersöka transaktionen. Hur under- rättelserna ska hanteras av den behöriga myndigheten anser regeringen är en fråga för som inte bör regleras i lag. 8.4.2Valuteringsdag vid återställande av kontot Regeringens förslag: När ett konto ska återställas efter en obehörig transaktion ska valuteringsdagen för kreditering av kontohavarens konto bestämmas till senast den dag då beloppet debiterades. Utredningens förslag överensstämmer med regeringens förslag. Remissinstanserna tillstyrker förslaget eller har inget att invända mot Skälen för regeringens förslag: Enligt andra betaltjänstdirektivet ska betalarens betaltjänstleverantör vid en obehörig transaktion återställa det debiterade betalkontot till den ställning som skulle ha förelegat om den obehöriga transaktionen inte hade ägt rum, vilket ska säkerställa att valuteringsdagen (dvs. den tidpunkt som används för att beräkna räntan) för krediteringen av betalarens betalkonto inte infaller senare än den dag då beloppet har debiterats (artikel 73.1 andra och tredje meningarna). Dessa regler är nya i förhållande till första betaltjänstdirektivet. I avsnitt 8.4.1 föreslås att det i betaltjänstlagen ska införas en uttrycklig bestämmelse om betaltjänstleverantörens skyldighet att återställa ett konto vid obehöriga transaktioner. För att genomföra andra betaltjänstdirektivet i denna del bör det tas in en bestämmelse i betaltjänstlagen om att valuteringsdagen för kreditering 2017/18:77 av kontohavarens konto ska bestämmas till senast den dag då beloppet debiterades. 8.4.3Ansvar när den obehöriga transaktionen initierats av en leverantör av betalningsinitieringstjänster Regeringens förslag: Den kontoförvaltande betaltjänstleverantören ska återställa kontot, även om den obehöriga transaktionen har initierats av en leverantör av betalningsinitieringstjänster. Utredningens förslag överensstämmer med regeringens förslag. Remissinstanserna tillstyrker förslaget eller har inget att invända mot Skälen för regeringens förslag: Av andra betaltjänstdirektivet följer att även om betalningstransaktionen initieras av en leverantör av betal- ningsinitieringstjänster ska den kontoförvaltande betaltjänstleverantören , och i alla händelser senast i slutet av följande bankdag, betala tillbaka ett belopp som motsvarar den obehöriga transaktionen och i tillämpliga fall återställa det debiterade betalkontot till den ställning det skulle ha haft om transaktionen inte hade ägt rum (artikel 73.2 första stycket). Om en leverantör av betalningsinitieringstjänster är ansvarig för den obehöriga transaktionen ska den på den kontoförvaltande leveran- törens begäran ersätta denne för förluster eller betalda belopp till följd av återbetalningen till betalaren, inbegripet beloppet för den obehöriga transaktionen (artikel 73.2 andra stycket). De nämnda reglerna har ingen motsvarighet i första betaltjänst- direktivet. För att genomföra dessa bör det komma till uttryck i betal- tjänstlagen att det är den kontoförvaltande betaltjänstleverantören som ska återställa kontot även om en leverantör av betalningsinitierings- tjänster medverkat vid transaktionen. Ansvarsfördelningen mellan de två betaltjänstleverantörerna i en transaktion behandlas närmare i avsnitt 7.2.15, där frågor om ansvar för leverantörer av betalningsinitieringstjänster tas upp. 8.4.4Kontohavarens ansvar vid obehöriga transaktioner till följd av att kontohavaren inte har skyddat sin personliga behörighetsfunktion Regeringens förslag: Om obehöriga transaktioner har kunnat genom- föras till följd av att kontohavaren inte har skyddat sin personliga behörighetsfunktion, ska kontohavaren ansvara för beloppet, dock högst . Utredningens förslag överensstämmer delvis med regeringens förslag. Utredningens förslag avviker från regeringens förslag genom att enligt utredningens förslag ska betaltjänstleverantören få kräva att konto- havaren ska stå för beloppet om den obehöriga transaktionen har kunnat genomföras till följd av att ett betalningsinstrument kommit bort eller obehörigen använts och att detta inte ska gälla om kontohavaren inte kunnat upptäcka att betalningsinstrumentet kommit bort eller använts obehörigen innan den obehöriga transaktionen genomfördes eller om betaltjänstleverantören har orsakat den förlust som uppkommit till följd av den obehöriga transaktionen. Remissinstanserna tillstyrker förslaget eller har inget att invända mot det. Skälen för regeringens förslag: Enligt andra betaltjänstdirektivet får betalaren vid alla icke-auktoriserade betalningstransaktioner åläggas att stå för sådana förluster som är en följd av att ett förlorat eller stulet betalningsinstrument har använts eller av att ett betalnings- instrument missbrukats (artikel 74.1 första stycket). I motsvarande regler i första betaltjänstdirektivet anges att betal- tjänstanvändaren ska stå för sådana förluster vid alla icke-auktoriserade betalningstransaktioner, upp till högst , som är en följd av att ett förlorat eller stulet betalningsinstrument använts eller, om betalaren har underlåtit att skydda de personliga säkerhetsanordningarna, av att ett betalningsinstrument missbrukats (artikel 61.1). I andra betaltjänstdirektivet har det tillkommit regler (artikel 74.1 andra stycket) som innebär att betalaren dock inte ska vara ansvarig för den obehöriga transaktionen om a)förlusten, stölden eller missbruket av ett betalningsinstrument inte kunde upptäckas av betalaren innan en betalning utfördes, med undantag för om betalaren handlat bedrägligt, eller b)förlusten orsakades av agerande eller brist på agerande av en betal- tjänstleverantörs anställda, ombud, filialer eller enheter till vilka dennes verksamhet utkontrakterats. Enligt lagen om obehöriga transaktioner med betalningsinstrument an- svarar kontohavaren för ett begränsat belopp – en självrisk – om en obe- hörig transaktion kunnat genomföras till följd av att kontohavaren under- låtit att skydda sin personliga kod (5 §). Denna självrisk (dvs. det högsta beloppet som kontohavaren kan få stå för) uppgår till . Utredningen föreslår att det inte ska göras någon koppling mellan självrisken och skyddet av personliga behörighetsfunktioner eftersom den ovan nämnda regeln i direktivet (artikel 74.1 första stycket) inte gör det. I stället bör det, enligt utredningen, anges i betaltjänstlagen att kontohavaren får åläggas att stå för den förlust som är hänförlig till en obehörig transaktion upp till ett belopp om om transaktionen kunnat genomföras till följd av att ett betalningsinstrument förkommit eller missbrukats. Lagrådet framhåller emellertid att reglerna i första och andra betaltjänstdirektivet inte skiljer sig åt i grunden och ger ett inte obetydligt utrymme vid genomförandet (se även regeringens resonemang i prop. 2009/10:122 s. 15 f. och artikel 60.3 i första betaltjänstdirektivet). Enligt andra betaltjänstdirektivet får medlemsstaterna begränsa konto- havarens ansvar för självrisken och gå längre i konsumentskyddet än direktivets regler, om kontohavaren inte har handlat bedrägligt eller avsiktligen underlåtit att uppfylla sina skyldigheter med avseende på betalningsinstrument eller personliga säkerhetsbehörighetsuppgifter (artikel 74.1 fjärde stycket). Mot bakgrund av regleringen i direktivet får, som Lagrådet framhåller, den grundläggande tanken med direktivet anses vara att kontohavaren ska stå för självrisken för en obehörig transaktion när han eller hon kan lastas för den på något sätt. Lagrådet anser mot denna bakgrund att bestämmelsen om självrisk bör utformas i närmare anslutning till vad som gäller enligt den nuvarande regleringen. Bestämmelsen om självrisk bör därför, till skillnad från vad utredningen föreslår, utformas på så sätt att det görs en koppling mellan kontohavarens skyldighet att stå för ett självriskbelopp och dennes underlåtenhet att skydda sin personliga behörighetsfunktion. När gäller vilket belopp självrisken ska uppgå till har detta genom andra betaltjänstdirektivet sänkts från till . anges i lagen om obehöriga transaktioner med betalningsinstrument (5 §) bör därför sänkas i motsvarande mån, dvs. Kontohavarens ansvar vid grovt oaktsamma överträdelser av förpliktelserna vid användning av Regeringens förslag: Om obehöriga transaktioner har kunnat genom- föras till följd av att kontohavaren genom grov oaktsamhet har brutit mot de förpliktelser som gäller för användning av betalningsinstru- ment, ska kontohavaren ansvara för hela beloppet. I konsumentförhållanden ska ansvaret vid grov oaktsamhet begrän- sas till högst . Har konsumenten handlat särskilt klan- dervärt, ska han eller hon dock ansvara för hela beloppet. Utredningens förslag överensstämmer med regeringens förslag. Remissinstanserna tillstyrker förslaget eller har inget att invända mot Skälen för regeringens förslag: Enligt andra betaltjänstdirektivet ska betalaren stå för samtliga förluster till följd av obehöriga transaktioner om betalaren ådrog sig dem genom att handla bedrägligt eller genom att avsiktligen eller med grov vårdslöshet underlåta att uppfylla en eller flera av sina skyldigheter med avseende på betalningsinstrument och person- liga behörighetsfunktioner (artikel 74.1 tredje stycket). Som framgår i avsnitt 8.4.4 får medlemsstaterna begränsa betalarens ansvar om betalaren varken handlat bedrägligt eller avsiktligen underlåtit att uppfylla sina skyldigheter, varvid särskild hänsyn ska tas till arten av de personliga behörighetsfunktioner (i det första betaltjänstdirektivet kallat personliga säkerhetsanordningar) och till de särskilda omstän- digheter under vilka betalningsinstrumentet förlorades, stals eller miss- brukades (artikel 74.1 fjärde stycket). Motsvarande regler finns i första betaltjänstdirektivet (artikel 61.1– Enligt lagen om obehöriga transaktioner med betalningsinstrument ansvarar kontohavaren för hela beloppet om en obehörig transaktion har kunnat genomföras till följd av att kontohavaren har åsidosatt någon av sina skyldigheter enligt lagen genom grov oaktsamhet (6 §). förandet i svensk rätt av de nu aktuella reglerna i första betaltjänst- direktivet fann regeringen att parterna i viss mån bör dela på ansvaret vid en obehörig transaktion, även i de fall då betalaren anses ha varit grovt Prop. 2017/18:77 oaktsam (jfr prop. 2009/10:122 s. 17 f.). Grunden för en sådan ansvars- fördelning var ambitionen att uppmuntra användningen av kontokort och andra betalningsinstrument. anförde regeringen att det ekonomiska ansvaret borde vara kännbart så att kontohavaren i det längsta ska försöka följa de villkor som gäller för användningen av betalningsinstrumentet (jfr samma prop. s. 18). Mot denna bakgrund in- fördes alltså en takregel om för konsumenter. Regeringen finner inte skäl att nu göra någon annan bedömning. Liksom bör dock konsumenten även i fortsättningen ansvara för hela beloppet om han eller hon har handlat särskilt klandervärt. Ansvaret när stark kundautentisering inte har Regeringens förslag: Om stark kundautentisering inte har använts för en elektronisk betalningstransaktion som omfattas av bestämmelserna om stark kundautentisering, ska kontohavarens betaltjänstleverantör ansvara för hela beloppet för de obehöriga transaktionerna. dock inte gälla om betalaren genom svikligt förfarande har orsakat eller bidragit till de obehöriga transaktionerna. Om betalningsmottagaren eller dennes betaltjänstleverantör inte har krävt stark kundautentisering, ska den part som inte krävt detta ersätta kontohavarens betaltjänstleverantör för den förlust som drabbat denne. Utredningens förslag överensstämmer i huvudsak med regeringens Utredningens förslag avviker från regeringens förslag genom att utredningens förslag innebär att betalningsmottagaren och dennes betal- tjänstleverantör ska ersätta betalarens betaltjänstleverantör om någon av dem inte godtagit stark kundautentisering. Remissinstanserna: Flertalet remissinstanser tillstyrker förslaget eller har inget att invända mot det. Förvaltningsrätten i anför att utredningens förslag innebär att betalningsmottagaren och dennes betal- tjänstleverantör blir solidariskt ersättningsskyldiga gentemot betalarens betaltjänstleverantör, vilket troligen inte är syftet med bestämmelsen. Skälen för regeringens förslag: I andra betaltjänstdirektivet finns en definition av stark kundautentisering (artikel 4.30). ”en autentisering som grundas på två eller flera element, kategoriserade som kunskap (något som bara användaren vet), innehav (något som bara användaren har) och unik egenskap (något som användaren är), som är fristående från varandra så att det faktum att någon har kommit över ett av elementen inte äventyrar de andra elementens tillförlitlighet, och som är utformad för att skydda autentiseringsuppgifternas sekretess” och innebär ett relativt högt krav på säkerhet vid autentisering av betalnings- transaktioner (se närmare om detta uttryck i avsnitten 5.3.4 och 11.4). I direktivet regleras ansvaret för obehöriga transaktioner när stark kundautentisering inte har använts (artikel 74.2). tjänstleverantör inte kräver stark kundautentisering ska betalaren, enligt direktivet, bära de ekonomiska konsekvenserna av en obehörig transak- tion bara om betalaren har handlat bedrägligt. 2017/18:77 eller dennes betaltjänstleverantör inte godtar stark kundautentisering ska de ersätta den ekonomiska skada som vållats betalarens betaltjänstleveran- tör. Betalarens betaltjänstleverantör tillerkänns i det sistnämnda fallet alltså en regressrätt. Regeln i direktivet bör förstås som att den gäller betalningstransaktioner på vilka reglerna om stark kundautentisering ska tillämpas, dvs. elektroniska betalningstransaktioner som initieras av betalaren (se avsnitt 11.4). Vidare bör regeln förstås som att den ska gälla dels vid åsidosättande av skyldigheterna att kräva stark kundautenti- sering, dels när ett undantag från dessa krav tillämpas i enlighet med tekniska standarder som antagits av kommissionen (se samma avsnitt). Ansvarsfördelningen bör också gälla för de aktuella betalningstransak- tionerna till dess att betaltjänstleverantörerna blir skyldiga att kräva stark kundautentisering för dem (se avsnitt 15.1). Den nu aktuella regleringen bestämmer ansvaret i två olika avseenden när stark kundautentisering inte tillämpas: dels mellan kontohavaren och dennes betaltjänstleverantör, dels mellan kontohavarens betaltjänst- leverantör och betalningsmottagaren och dennes betaltjänstleverantör. I det förstnämnda avseendet svarar kontohavarens betaltjänstleverantör alltid i förhållande betaltjänstanvändaren såvida inte kontohavaren handlat svikligt. Det spelar alltså ingen roll vem som underlåtit att kräva stark kundautentisering. I det andra avseendet gäller att betalnings- mottagaren eller dennes betaltjänstleverantör i vissa fall i sin tur ska ersätta kontohavarens betaltjänstleverantör för den förlust som upp- kommit. För att ersättning ska komma i fråga är det här en förutsättning att betalningsmottagaren eller dennes betaltjänstleverantör kan välja att inte tillämpa stark kundautentisering. Ersättning kan alltså komma i fråga t.ex. när en kortbetalning initierats utan att betalningsmottagaren eller dennes betaltjänstleverantör har krävt stark kundautentisering. Någon ersättning kommer däremot inte i fråga för transaktioner där tillämp- ningen av stark kundautentisering är inom kontohavarens betaltjänst- leverantörs kontroll, t.ex. vid en betalningstransaktion som initieras av kontohavaren genom dennes internetbank. Mot den här bakgrunden framstår det, i linje med vad Lagrådet påpekar, som bättre att vid genomförandet av direktivet utforma ersättningsregeln så att den tar sikte på att betalningsmottagaren eller dennes leverantör inte har ”krävt” stark kundautentisering än att någon av dem – så som det uttrycks i andra betaltjänstdirektivet – inte ”godtagit” det. Vid genomförandet bör det även beaktas att det i förhållandet mellan betaltjänstanvändaren och dennes betaltjänstleverantör inte spelar någon roll vilken part som underlåtit att tillämpa stark kundautentisering.