Dato: 2024-05-31

Sammendrag: Dagleg leiar i eit energiselskap vart i 2019 narra av eksterne svindlarar til å overføre om lag 130 millionar kroner frå selskapets konto i Danske Bank til to kontoar i Hong Kong, kontrollert av svindlarar.

Spørsmålet for Høgsterett var om banken er ansvarleg for ikkje å ha åtvara kunden mot overføringane.

Selskapet som vart svindla gjorde gjeldande at banken var ansvarleg for tapet fordi betalingstransaksjonane var uautoriserte, men fekk ikkje medhald i dette. Høgsterett kom til at betalingane var autoriserte av kunden.

Selskapet gjorde subsidiært gjeldande at Danske Bank var ansvarleg på aktløysegrunnlag sjølv om betalingane var autoriserte. Selskapet fekk heller ikkje medhald i dette. Høgsterett meinte banken korkje hadde brote plikter i lov, forskrift, direktiv eller bransjenormer, inkludert kvitvaskingsreglane.

D O M
sagd 31. mai 2024 av Høgsterett i avdeling med
dommar Aage Thor Falkanger
dommar Wenche Elizabeth Arntzen
dommar Borgar Høgetveit Berg
dommar Erik Thyness
dommar Are Stenvik
HR-2024-990-A, (sak nr. 23-101291SIV-HRET)
Anke over Borgarting lagmannsretts dom 19. april 2023
I.
Danske Bank (advokat Olav Fredrik Perland)
Finans Norge (partshjelpar) (advokat Henning Harborg)
mot
Edison international S.p.A. (advokat Nils Christian Langtvedt – til prøve)
II.
Edison international S.p.A. (advokat Nils Christian Langtvedt – til prøve)
mot
Danske Bank (advokat Olav Fredrik Perland)
Finans Norge (partshjelpar) (advokat Henning Harborg)

2
R Ø Y S T I N G
(1) Dommar Høgetveit Berg:
Kva saka gjeld og bakgrunnen for henne
(2) Saka gjeld ein banks skadebotansvar overfor ein profesjonell bedriftskunde, der den
daglege leiaren hjå kunden hadde blitt manipulert av svindlarar til å overføre store pengar
til kontoar i Hong Kong. Spørsmålet er om banken er ansvarleg for ikkje å ha åtvara
kunden mot overføringane.
(3) Edison Norge AS var i 2019 ein del av eit energikonsern. Morselskapet Edison
International S.p.A. – Edison – har hovudkontor i Italia. Morselskapet er indirekte eigd
med over 99 % av Électricité de France (EDF).
(4) Den daglege leiaren i Edison Norge vart hausten 2019 narra av eksterne svindlarar til å
overføre om lag 130 millionar kroner frå selskapets konto i Danske Bank til to kontoar i
Hong Kong, kontrollert av svindlarar.
(5) Svindelen kom i gang ved at den daglege leiaren i Edison Norge – A – mottok ein e-post
frå ein svindlar som ga seg ut for å vera dagleg leiar i konsernspissen – B – med melding
om eit selskapsoppkjøp. A fekk beskjed om å svare skriftleg. Svindlaren nytta ei
e-postadresse som var til forveksling lik adressa til B. A har forklart at han på dette
tidspunktet hadde eit ubesvart opprop på telefonen frå B. Han prøvde å ringe tilbake, men
B tok ikkje telefonen. Han skreiv då til svindlar-B at han hadde forsøkt å ringe han.
(6) Svindlar-B svarte at A ikkje skulle ringe, men lese den følgjande e-posten ein stad der
ingen kunne sjå han. Svindlaren gav her informasjon om eit oppkjøp i Kina og instruks om
at ein advokat ville gje han alle betalingsinstruksjonane i høve oppkjøpet. Svindlar-B bad
A om full diskresjon, også internt, og at kommunikasjonen skulle skje gjennom advokaten.
A godtok dette og tok kontakt med svindlar-advokaten, som instruerte om at all
kommunikasjon skulle skje på Gmail. Svindlar-advokaten ga deretter instruksar om
kontonummer og beløp som skulle overførast til Hong Kong.
(7) I alt 13 betalingar vart gjorde gjennom Danske Bank frå 24. september til 8. oktober 2019.
Alle transaksjonane vart gjennomførte ved at A, som hadde einesignatur og prokura for
Edison Norge, gav skriftlege betalingsinstruksar per e-post til banken. Overføringane var
delte opp, slik at A heldt seg innanfor den interne fullmakta si på 1 million euro kvar gong.
Også Edison Norges finansdirektør – C – var involvert i kontakten med banken, og var ein
pådrivar overfor banken for å få transaksjonane gjennomførte.
(8) Danske Bank hadde eit automatisert system for å oppdage mistenkjelege transaksjonar, ei
såkalla fraud engine. Systemet blir aktivert ved at ein transaksjon får «raude flagg» dersom
det er eitt eller fleire avvikande omstende ved transaksjonen. Av ukjent grunn var
fraud engine ikkje aktivert for betalingar frå Edison Norge. Likevel vart den fyrste
betalingstransaksjonen stoppa, men dette var på grunn av ein tastefeil i banken som gjorde
at beløpet gjekk til ein internkonto i banken. Banken avklarte med A at han stod bak og
gjennomførte deretter betalinga.
HR-2024-990-A, (sak nr. 23-101291SIV-HRET)

3
(9) Betalingane vart finansierte ved at Edison Norge løpande henta midlar gjennom cash calls
frå morselskapet. Oppmodingane om overføringane av desse midlane frå Italia vart
grunngjevne i generelle vendingar utan å nemne det oppkonstruerte oppkjøpet i Kina.
(10) Det grove bedrageriet vart avdekt 10. oktober 2019. Mesteparten av pengane var tapte.
To svindlarar vart i 2022 dømde til fengsel i seks år for brotsverket, sjå
TSRO-2021-134092-1. Begge godtok dommen.
(11) Edison Norge AS reiste søksmål mot Danske Bank for Oslo tingrett i august 2020. Ved
årsskiftet 2020–2021 vart Edison Norge AS seld til Sval Energi AS og skifta namn til
Sval Norge AS. Edison International S.p.A. heldt attende skadebotkravet mot Danske Bank
ved salet og tredde inn i rettssaka som einaste saksøkar mot Danske Bank.
(12) Oslo tingrett sa 8. februar 2022 dom med slik domsslutning:
«1. Danske Bank NUF dømmes til å betale 31 410 109
– trettienmillionerfirehundreogtitusenetthundreogni – kroner i erstatning til
Edison International S.p.A. med tillegg av lovens forsinkelserente fra
19. april 2020.
2. Sakskostnader tilkjennes ikke.»
(13) Tingretten kom til at overføringane var autoriserte av Edison Norge, men at Danske Bank
ikkje hadde handla forsvarleg i tilknyting til svindelkontrollen i banken og kunne lastast
for dette. Retten fann årsakssamanheng mellom bankens unnlatingar og Edison Norges tap.
(14) Tingretten kom likevel til at Edison Norges daglege leiar og finansdirektør hadde vore
aktlause, og reduserte skadebota med ¾ ut frå medverknaden til den skadelidne,
jf. skadebotlova § 5-1. Begge partane anka dommen.
(15) Borgarting lagmannsrett sa 19. april 2023 dom med slik domsslutning:
«1. Ankene for Danske Bank NUF og Edison International S.p.A. forkastes.
2. Hver av partene bærer egne sakskostnader for lagmannsretten.»
(16) Lagmannsretten kom til at overføringane var autoriserte av Edison Norge ved at A hadde
dei nødvendige fullmaktene. Fleirtalet i lagmannsretten kom, som tingretten, til at Danske
Bank ikkje hadde opptredd forsvarleg i svindelkontrollen. Fleirtalet fann også
årsakssamanhengen prova og at kravet ikkje var prekludert, men reduserte skadebota med
¾ ut frå medverknad. Mindretalet meinte banken ikkje hadde brote avtala eller elles vore
aktlaus og ville frifinne på dette grunnlaget.
(17) Danske Bank har anka dommen til Høgsterett. Anken er retta mot lagmannsrettens
rettsbruk og provdøminga. Edison International har anka avleidd. Den avleidde anken er
retta mot lagmannsrettens provdøming og rettsbruk.
(18) For Høgsterett har Finans Norge erklært partshjelp til fordel for Danske Bank.
(19) Saka står i den same stillinga som for lagmannsretten.
HR-2024-990-A, (sak nr. 23-101291SIV-HRET)

4
Partanes syn
(20) Den ankande parten, og ankemotpart i den avleidde anken, – Danske Bank – har i korte
trekk gjort gjeldande:
(21) Ansvarsgrunnlag manglar. Edison må sjølv bera risikoen for tapet. Alle transaksjonane var
autoriserte. Betalingsinstruksjonane på e-post frå den daglege leiaren var både
tilstrekkelege samtykke og sjølvstendige avtaler om betalingsoppdrag. I tillegg medverka
selskapets finansdirektør til alle betalingane.
(22) Det fanst ingen avtale mellom Edison Norge og Danske Bank om at betalingstransaksjonar
skulle godkjennast av to autoriserte personar ved manuelle instruksjonar. Rettsleg kunne
den daglege leiaren uansett overstyre dette med einesignaturen sin. Faktisk vart alle
transaksjonane godkjende også av finansdirektøren gjennom aktiviteten hans overfor
banken. Edison Norge autoriserte difor alle transaksjonane og er med det sjølv ansvarleg
for tapet.
(23) Avtaler for nettbankløysinga er utan relevans. Den daglege leiaren var legitimert aleine til
å opptre for selskapet overfor banken, jf. aksjelova §§ 6-30 til 6-32 og prokuralova § 1.
Moglege interne grenser, som ikkje også var kommuniserte til banken, er utan relevans for
kunderelasjonen mellom Edison Norge og Danske Bank. Banken var i aktsam god tru, og
disposisjonane er gyldige.
(24) Danske Bank eller tilsette i banken har ikkje handla på ein måte som kan føre til ansvar
etter den ålmenne ulovfesta aktløyseregelen eller arbeidsgjevaransvaret etter skadebotlova
§ 2-1. Det gjeld ingen lovbestemte plikter for Danske Bank til å forhindre slik svindel som
Edison Norge vart utsett for. Banken har heller ikkje brote andre normer som gjev
selskapet skadebotrettsleg vern mot autoriserte betalingar. Kvitvaskingsreglane er ikkje
relevante i aktløysevurderinga sidan dei ikkje er eigna til å gje private partar
skadebotrettsleg vern. Reglane er uansett ikkje brotne. Moglege brot på Danske Banks
interne rutinar knytt til svindelkontroll, gjev ikkje Edison krav på skadebot så lenge
rutinane samsvarar med eller er strengare enn dei lovreglane og andre normer som gjeld.
(25) Det følgjer av punkt 23 og 24 i dei generelle avtalevilkåra at finansavtalelova 1999 § 35 er
fråvike. Uansett omfattar korkje § 35 eller avtala punkt 23 svindelen. Paragraf 35 fyrste
ledd gjeld tap som oppstår når ein tredjepart misbrukar kundens konto eller
betalingsinstrument. Det er ikkje tilfellet i saka her sidan det var Edison Norge sjølv som
disponerte.
(26) Vidare ligg det ikkje føre årsakssamanheng mellom dei påståtte skadevaldande
unnlatingane og det økonomiske tapet. Det er ikkje gjort sannsynleg at tapet ville ha vore
unngått dersom banken hadde stilt ytterlegare spørsmål om betalingane. Endeleg har
Edison under alle omstende tapt det moglege kravet på grunn av for sein reklamasjon
og/eller passivitet.
(27) Uansett gjev Edison Norge sine eigne handlingar grunnlag for heilt eller delvis bortfall av
skadebota, jf. skadebotlova § 5-1.
HR-2024-990-A, (sak nr. 23-101291SIV-HRET)

5
(28) Danske Bank har sett fram slik påstand:
«I hovedanken:
1. Danske Bank NUF, filial av Danske Bank A/S, frifinnes.
2. Danske Bank NUF, filial av Danske Bank A/S, tilkjennes
saksomkostninger for tingretten, lagmannsretten og Høyesterett.
I den avledede anken:
1. Danske Bank NUF, filial av Danske Bank A/S, frifinnes.
2. Danske Bank NUF, filial av Danske Bank A/S, tilkjennes
saksomkostninger for tingretten, lagmannsretten og Høyesterett.»
(29) Partshjelparen – Finans Norge – har i korte trekk gjort gjeldande:
(30) Partshjelparen har fullt ut slutta seg til ankegrunnane til den ankande parten og har sett
fram samanfallande påstand. Hjelparen har ut over dette særleg framheva:
(31) Skadebotreglane i finansavtalelova 1999 må ha stor vekt ved fastlegginga av
ansvarsnorma. Det er lite rom for eit aktløyseansvar ut over det ansvaret bankane har etter
dei lovfesta reglane. Dei lovfesta skadebotreglane i finansavtalelova 1999 inkorporerer
fullharmoniserte EØS-rettslege reglar. Desse skil grunnleggjande mellom bankens ansvar
for gjennomføring av betalingsoppdrag som er godkjente av kunden og oppdrag som ikkje
er det. Finansavtalelova 1999 § 43 andre ledd viser at kunden sjølv han ansvar for eigne
feil ved gjennomføring av autoriserte transaksjonar, og at banken berre har ansvar for
korrekt gjennomføring av det autoriserte betalingsoppdraget i samsvar med
kontonummeret som kunden har oppgjeve. Banken vil i eit tilfelle som i saka her heller
ikkje etter dei noverande eller komande skadebotreglane i EØS-regelverket om
betalingsoppdrag, vera skadebotansvarleg.
(32) Rettskjeldene viser ikkje at bankane skal ha overvakingssystem mot svindel overfor
næringsdrivande kundar ved manuelt autoriserte transaksjonar. Enn mindre at bankane skal
drive manuell intervensjon overfor kunden og stille kontrollspørsmål. Det er ingen plikt til
å overprøve om kundens avgjerd om å betale er fri for sosial manipulasjon frå
utanforståande.
(33) Bransjepraksis krev ikkje svindelovervaking eller manuell kontroll av autoriserte
betalingar. Det er sentralt at arbeidet til bankane med å redusere svindel ved
betalingstransaksjonar må vegast opp mot omsynet til eit tids- og kostnadseffektivt
betalingssystem. Det er eventuelt ei oppgåve for lovgjevarane å flytte risikoen for å
etterprøve om betalingsavgjerda frå kunden byggjer på rette føresetnader, over på bankane.
(34) Finans Norge har sett fram slik påstand:
«1. Danske Bank NUF, filial av Danske Bank A/S, frifinnes.
2. Finans Norge tilkjennes sakskostnader for Høyesterett.»
HR-2024-990-A, (sak nr. 23-101291SIV-HRET)

6
(35) Ankemotparten, og ankande part i den avleidde anken, – Edison International S.p.A. – har i
korte trekk gjort gjeldande:
(36) Prinsipalt er Danske Bank ansvarleg på objektivt grunnlag fordi tilsette i banken utførte
uautoriserte overføringar til svindlarane, i strid med krava til autorisering i finansavtalelova
1999 §§ 24 og 35, bankens standardvilkår punkta 4, 5 og 23, og avtala mellom partane om
dobbel autorisasjon for overføringar frå kontoen til Edison Norge.
(37) Trass i at finansavtalelova 1999 § 2 seier noko anna, er § 35 fyrste ledd ufråvikeleg. Dette
er fordi § 35 gjennomfører direktiv 2015/2366/EU artikkel 60 i norsk rett. Det er ein feil
ved gjennomføringa at § 2 gjer § 35 deklaratorisk. Enten må § 2 og/eller § 35, i tråd med
presumsjonsprinsippet, tolkast slik at § 35 er preseptorisk, eller så må EØS-retten gå
framom.
(38) Ein betalingstransaksjon er ikkje autorisert dersom kunden ikkje har samtykt til han.
Finansavtalelova 1999 § 35 viser til § 24, som i tredje ledd bestemmer at samtykke til
betalingstransaksjonar må gjevast i den forma og på den måten som er avtalt mellom
betalaren og banken. Finansavtalelova 1999 § 15 andre ledd bestemmer at før det blir
inngått rammeavtale mellom kunden og banken, skal det mellom anna opplysast om form
og prosedyre for å gje samtykke til å gjennomføre ein betalingstransaksjon. Desse
opplysningane er uttømande. Paragraf § 24 tredje ledd må forståast i tråd med dette. Etter
rammeavtala vedlegg F var det berre tre namngjevne personar som «jointly» kunne bruke
den aktuelle kontoen. Den daglege leiaren kunne altså ikkje aleine bruke kontoen slik det
vart gjort. Alle dei 13 betalingstransaksjonane var med dette uautoriserte.
(39) Uansett handla Danske Bank, eller tilsette i banken, aktlaust. Det gjeld eit strengt
profesjonsansvar for banken. Det er ei rekkje regelsett som skal hindre svindel som i saka
her. Danske Bank hadde mangelfulle rutinar mot bedrageri. Banken braut plikta til å
forvisse seg om at transaksjonane ikkje var ein del av ein svindel. Tilsette i Danske Bank
burde ha oppdaga og reagert på dei mistenkjelege omstenda ved overføringane. Banken
hadde aktlaust deaktivert den automatiske svindelkontrollen. I tillegg braut banken reglane
i kvitvaskingslova, noko som også er eit sjølvstendig ansvarsgrunnlag sidan bedrageria
ville ha blitt avverja utan desse brota. Også interne retningsliner vart brotne.
(40) I lys av bankens forhold kan ikkje Edison Norges moglege eiga aktløyse føre til reduksjon
av bankens skadebotansvar. Selskapet kan ikkje identifiserast med dei tilsette for desse
betalingstransaksjonane, då dei ved å handle i strid med vedtektsfesta kompetanse, interne
rutinar og selskapets interesser gjekk langt ut over det Edison Norge med rimelegheit
kunne forvente.
(41) Det er årsakssamanheng mellom dei ansvarsutløysande omstenda og det økonomiske tapet
til Edison Norge. Skadebotkravet er ikkje prekludert eller på anna vis bortfalle. Edison
Norge gjorde kravet gjeldande overfor Danske Bank så snart det var grunn til det.
HR-2024-990-A, (sak nr. 23-101291SIV-HRET)

7
(42) Edison International S.p.A. har sett fram slik påstand:
«1. Danske Bank NUFs anke forkastes.
2. Danske Bank NUF dømmes til å betale et beløp fastsatt etter rettens
skjønn i erstatning til Edison International S.p.A. med tillegg av
lovens forsinkelsesrente fra 19. april 2020.
3. Danske Bank NUF dømmes til å betale sakskostnader for Oslo
tingrett, Borgarting lagmannsrett og Høyesterett til Edison
International S.p.A.»
Mitt syn
Ansvar for uautoriserte betalingar?
(43) Dei tre grunnvilkåra for skadebot er ansvarsgrunnlag, økonomisk tap og årsakssamanheng
mellom desse. I saka her har Edison tvillaust lidd eit tap på opp mot 130 millionar kroner.
(44) Edison har prinsipalt gjort gjeldande at betalingstransaksjonane var uautoriserte og med det
utløyste ansvar etter finansavtalelova 1999 § 35 fyrste ledd, som hadde slik ordlyd på
bedrageritidspunktet:
«Institusjonen er ansvarlig for tap som skyldes uautoriserte betalingstransaksjoner,
med mindre noe annet følger av paragrafen her. En betalingstransaksjon er uautorisert
dersom kunden ikke har gitt samtykke til transaksjonen, jf. § 24.»
(45) Avslutningsvis i § 35 fyrste ledd andre punktum er det vist til § 24, som lyder:
«(1) Kunden kan bruke konto og betalingsinstrument til innskudd, uttak og andre
betalingstransaksjoner i samsvar med rammeavtalen.
(2) En betalingstransaksjon anses bare som autorisert dersom betaleren har gitt
samtykke til transaksjonen. Samtykket kan gis før betalingstransaksjonen
gjennomføres, eller, dersom det er avtalt mellom betaleren og dennes institusjon, etter
gjennomføringen.
(3) Samtykke til å gjennomføre en betalingstransaksjon eller gjentatte
betalingstransaksjoner gis i den form og på den måte som er avtalt mellom betaleren
og dennes institusjon.
(4) Samtykket kan tilbakekalles, men ikke senere enn tidspunktene angitt i § 28.
Et samtykke til å gjennomføre gjentatte betalingstransaksjoner kan tilbakekalles slik at
fremtidige transaksjoner anses som uautoriserte, jf. også § 26 femte ledd.»
(46) Finansavtalelova 1999 § 35 kom inn i lova i 2009 som følgje av implementeringa av det
fyrste betalingstenestedirektivet – direktiv 2007/64/EF. Det andre
betalingstenestedirektivet – direktiv 2015/2366/EU – byggjer vidare på det fyrste
direktivet, og tar på den same måten sikte på å leggje til rette for eit einsarta rettsleg
rammeverk for betalingstenester i EØS-området. Norske reglar som gjennomfører dei
offentlegrettslege føresegnene i det andre direktivet, og dei privatrettslege føresegnene om
HR-2024-990-A, (sak nr. 23-101291SIV-HRET)

8
bruk av tredjepartsaktørars tenester, tok til å gjelde 1. april 2019. Finansavtalelova
1999 gjaldt fram til finansavtalelova 2020 tok til å gjelde i 2023.
(47) Påstandsgrunnlaget om ansvar etter finansavtalelova 1999 § 35 føreset at rammeavtala
mellom Edison Norge og Danske Bank vedlegg F – «Account Mandate and Business
Online – Corporate Customers» – uttømande regulerte kven som kunne disponere over
kontoen. Eg kan ikkje sjå at dette er tilfellet.
(48) Finansavtalelova 1999 § 15 andre ledd bokstav b nr. 3 bestemmer at før kunden blir
bunden av ei rammeavtale, skal banken gje kunden opplysningar om «form og prosedyre
for å gi og tilbakekalle samtykke til å gjennomføre en betalingstransaksjon, jf. § 24 tredje
ledd». Etter mitt syn kan ein av dette ikkje utleie at rammeavtala er uttømande. Ein kan
heller ikkje frå finansavtalelova 1999 § 24 tredje ledd utleie at disposisjonsretten skal vera
uttømande regulert i rammeavtala, sidan denne føresegna berre viser til «den form og på
den måte som er avtalt» mellom partane. Tvert om inneheld finansavtalelova
1999 § 23 reglar om «enkeltstående betalingstransaksjoner som ikke omfattes av en
rammeavtale» – noko som klart nok føreset at rammeavtala ikkje må vera uttømande.
(49) Konkret og lest i samanheng er vedlegg F til rammeavtala mellom Edison Norge og
Danske Bank ei fråsegnsfullmakt som legitimerer bestemde personar til å betale
elektronisk gjennom «Business Online». Vedlegg F ekskluderer ikkje andre
fullmaktsgrunnlag, og avgrensar ikkje den generelle fullmakta til A som dagleg leiar.
(50) Ein må difor falle attende på dei ålmenne representasjonsreglane. Etter aksjelova § 6-30 er
det styret som representerer selskapet utetter og har signaturretten. Styret kan delegere
signaturretten etter § 6-31 fyrste ledd, mellom anna til den daglege leiaren i selskapet.
Vedtektene til Edison Norge 18. november 2014 § 6 seier at selskapets firma «tegnes av
styreleder alene eller [av] daglig leder alene».
(51) Den daglege leiaren A hadde fullmakt til å instruere om dei 13 betalingane. Det rokkar
ikkje ved dette at selskapet ved enkelte tidlegare betalingar eventuelt ikkje hadde nytta
denne einekompetansen. Det er ikkje godtgjort at partane hadde ei avtale som kravde
dobbel godkjenning når A bad om betalingar utanfor nettbank.
(52) For enkeltståande betalingstransaksjonar, der det ikkje er avtalt formkrav til samtykket på
førehand, må utgangspunktet vera at den disposisjonen som ber om transaksjonen også
inneheld det samtykket som krevst, jf. Børge Grøttjord og Karl Rosén: Finansavtaleloven
med kommentarer, 2014 side 150.
(53) Konklusjonen blir etter dette at alle dei 13 betalingane til kontoane i Hong Kong var
autoriserte av Edison Norge. Eg treng då ikkje ta stilling til om uttrykket «uautoriserte» i
finansavtalelova 1999 § 35 fyrste ledd omfattar personelle manglar hjå kontohavaren eller
om regelen berre gjeld transaksjonar som er gjorde av tredjepersonar. Eg treng heller ikkje
ta stilling til om § 35 kunne fråvikast. Endeleg treng eg ikkje ta stilling til om ansvar kan
tuftast på den delen av rammeavtala mellom partane som regulerte uautoriserte
transaksjonar – eller om finansdirektør Cs kontakt med banken ved gjennomføringa av
transaksjonane i september og oktober 2019 kan likestillast med formell autorisasjon.
Konklusjonen fører uansett til at reglane om objektivt ansvar for uautorisert betaling ikkje
kjem i bruk.
HR-2024-990-A, (sak nr. 23-101291SIV-HRET)

9
(54) Edisons prinsipale påstandsgrunnlag for skadebotansvar kan etter dette ikkje føre fram.
Ansvar på grunnlag av aktløyse?
Ansvarsreglane i eller utanfor kontrakt?
(55) Edison har subsidiært gjort gjeldande at Danske Bank er ansvarleg sjølv om betalingane
var autoriserte, fordi banken er ansvarleg på grunn av aktløyse.
(56) Ein skil gjerne mellom skadebot i og utanfor kontraktsforhold. Det er likevel ikkje eit
skarpt skilje. Reglane om skadebot i og utanfor kontrakt er i stor grad samanfallande og
overlappande. Også den metodiske tilnærminga er i stor grad felles.
(57) Aktløyseregelen er den grunnleggjande skadebotregelen både i og utanfor kontrakt.
Spørsmålet er om Danske Bank eller tilsette i banken burde ha handla annleis, det vil seia
om banken hadde ei plikt til å overvake transaksjonane og å treffe tiltak dersom det var
noko som kunne tyde på svindel, sjølv om det var på det reine at betalinga skjedde etter
instruks frå den daglege leiaren i Edison Norge.
(58) Det er tale om eit reint formuestap. Samstundes er den påståtte skadevaldande handlinga ei
unnlating som ikkje er knytt til ein risiko som banken har skapt. Om ein tek utgangspunkt i
aktløysevurderinga utanfor kontrakt, kan skadebotansvar då berre vera aktuelt dersom det
ligg føre eit brot på ei etablert handlenorm.
(59) Avtala om betalingsformidling og føremålet med henne står difor, uavhengig av
innfallsvinkel, sentralt i aktløysevurderinga.
Brot på plikter i avtala?
(60) Ut over påstandsgrunnlaget knytt til dobbel autorisasjon som eg har drøfta over, har Edison
ikkje gjort gjeldande at Danske Bank elles har brote dei skriftlege avtaleføresegnene.
(61) Eg nemner likevel at rammeavtala/kontoavtala del C – «Generelle vilkår for innskudd og
betalingstjenester – næringsforhold» – inneheld føresegner om oppretting av konto og
legitimasjon, kontoinformasjon og kontroll, bruk av kontoen for betalingstransaksjonar,
mottak av betalingsordrar, overføringstid for betalingstransaksjonar, avvising av
betalingsordrar, bankens ansvar for utføring av betalingsordrar, feil frå kontohavaren ved
utføring av betalingsordrar og ansvar ved uautoriserte betalingstransaksjonar.
(62) Det står korkje i rammeavtala/kontoavtala del C eller elles i avtala at Danske Bank har
plikt til å kontrollere betalingsavgjerdene til kunden for å førebyggje intern eller ekstern
svindel. Ein delkonklusjon er difor at banken ikkje har brote noka eksplisitt kontraktsfesta
plikt.
(63) Den ulovfesta lojalitetsplikta i kontraktsforhold kjem eg attende til.
HR-2024-990-A, (sak nr. 23-101291SIV-HRET)

10
Brot på plikter i lov, forskrift eller direktiv?
(64) Spørsmålet er etter dette om lov, forskrift eller direktiv stiller krav til bankar om vern mot
svindel ved autoriserte betalingar.
(65) Finansavtalelova 1999 § 40 føreset at banken skal gjennomføre transaksjonar som er sette i
verk av kunden, men lova har ikkje føresegner om plikt til overvaking av transaksjonar.
Tvert om bestemmer § 43 fyrste ledd at banken er ansvarsfri dersom kunden har skrive feil
kontonummer. Banken er også ansvarsfri sjølv om kunden har skrive rett namn på
mottakaren, men feil kontonummer, jf. § 43 andre ledd. Visse modifikasjonar følgjer av
§ 43 a, men denne føresegna omfattar berre nettbaserte betalingstenester. Finansavtalelova
1999 inneheld inga plikt til overvaking og kontroll av betalingstransaksjonar med sikte på
å avdekke svindel knytt til betalingsavgjerdene til kunden. Reguleringa i lova viser etter
mitt syn, tvert om, eit utgangspunkt om at kunden har ansvaret for eigne feil.
(66) Eg finn støtte for dette i Ot.prp. nr. 94 (2008–2009), som var dei norske førearbeida til
gjennomføringa av direktiv 2007/64/EF i norsk rett. På side 157–158 i proposisjonen skriv
departementet at direktivet byggjer på at kunden sjølv må dekkje tapet ved eigne feil.
Vidare skriv departementet at ein ikkje kan ha løysingar i nasjonal rett som inneber at tap
som etter eit fullharmoniseringsdirektiv skal liggje på kunden, regelfast blir velta over på
bankane slik at det undergrev løysinga i direktivet.
(67) Edison har peikt på forskrift om system for betalingstenester
15. februar 2019 nr. 152 § 2 andre ledd. Men heller ikkje denne føresegna stiller krav om at
ein bank skal ha eit datasystem eller konkrete rutinar for å hindre intern eller ekstern
svindel hjå ein kunde ved autoriserte transaksjonar. Forskrifta § 2 gjennomfører direktiv
2015/2366/EU artikkel 95 om Management of operational and security risks. Denne er
retta mot payment services, jf. artikkel 95 nr. 1. Etter artikkel 95 nr. 3 kan European
Banking Authority – EBA – utarbeide guidelines. I dei retningslinene som er lagt fram i
saka og som gjeld frå juni 2020, står det ikkje noko om svindelovervaking der kunden sjølv
har stått for overføringa.
(68) Edison har derimot peikt på retningsliner heimla i artikkel 96 om Incident reporting.
Desse retningslinene gjeld rapportering – og gjev ikkje grunnlag for ei skadebotrettsleg
handleplikt.
(69) Eg kan etter dette ikkje sjå at ein frå forskrift om system for betalingstenester § 2 eller
direktiv 2015/2366/EU kan utleie ei plikt for bankar til å utvikle generelle system eller
rutinar for å hindre eller redusere risikoen for økonomisk uheiderleg framferd i ei
verksemd eller svindel initiert av ein aktør utanfor verksemda. Eg skyt inn at partane er
samde om at Commission Delegated Regulation 2018/389, som supplerer direktiv
2015/2366/EU artikkel 97 om Authentication, har reglar om transaksjonsovervaking.
Men desse gjeld berre ved sterk kundeautensitering og kjem ikkje i bruk der betalinga er
gjort etter betalingsinstruksjonar på e-post, som i saka her.
(70) Eg viser derimot til at EBA i rapport EBA/REP/2022/14 side 81 identifiserer sosial
manipulering som eit område «where further improvements … are needed». På den same
staden kjem EBA med nokre forslag til kva som kan gjerast for å redusere risikoen for slik
manipulering. Ut frå dette finn eg det klart at EBA, korkje i 2019 eller 2022, kan ha meint
at bankar hadde plikt til å utvikle system og prosedyrar for å hindre eller redusere risikoen
HR-2024-990-A, (sak nr. 23-101291SIV-HRET)

11
for økonomiske mislege handlingar både internt hjå kunden og svindel utanfrå, ved
autoriserte betalingar.
(71) Eg viser også til at EU-kommisjonen i juni 2023 la fram eit forslag til ny forordning om
betalingstenester, COM (2023) 367, jf. COD 2023/0210. Her heiter det i fortalen
avsnitt 79:
«Consumers should be adequately protected in the context of certain fraudulent
payment transactions that they have authorised without knowing these transactions
were fraudulent. The number of ‘social engineering’ cases where consumers are
misled into authorising a payment transaction to a fraudster has significantly increased
in recent years. ‘Spoofing’ cases where fraudsters pretend to be employees of a
customer's payment service provider and misuse the payment service provider's name,
mail address or telephone number to gain the customers’ trust and trick them into
carrying-out some actions, are unfortunately becoming more widespread in the Union.
Those new types of ‘spoofing’ fraud are blurring the difference that existed in
Directive (EU) 2015/2366 between authorised and unauthorised transactions. Means
through which the consent may be assumed to be granted are also becoming more
complex to identify, as fraudsters can take control of the whole consent and
authentication process including of the strong customer authentication completion.
The conditions under which the customer authorised a transaction by giving his or her
permission to it should be taken into due consideration, including by courts, to qualify
a transaction as being authorised or unauthorised. A transaction may indeed have been
authorised in circumstances where such authorisation was granted on manipulated
premises affecting the integrity of the permission. It is therefore no longer possible, as
was the case in Directive (EU) 2015/2366, to limit refunds to unauthorised
transactions only. It would however be disproportionate and financially very costly to
payment services providers to open every fraudulent transaction, authorised or
unauthorised, to a systematic refund right. It might also cause moral hazard and a
reduction in the customer’s vigilance.»
(72) Her er bedrageri av forbrukarar ved «social engineering» omtalt som eit aukande problem.
Stendig meir sofistikerte svindelmetodar viskar ut skiljet mellom autoriserte og
uautoriserte transaksjonar – noko som gjer at reguleringa i direktiv 2015/2366/EU ikkje
lenger er tilstrekkeleg. Forslaget som blir sett fram til ny skadebotregel i
artikkel 59 nr. 1, er likevel avgrensa til forbrukarar – og tilfella der svindlarane gjev seg ut
for å vera tilsette i banken. Lovforslaget ville altså ikkje treft i saka her.
(73) Forslaget liknar noko på dagens regulering i finansavtalelova § 3-49 tredje ledd. Denne
føresegna bestemmer at banken på nærare vilkår er ansvarleg for tapet til kunden dersom
nokon utan avtale gjev seg ut for å vera eller representere banken. Men det er altså ikkje
tilfellet i vår sak.
(74) Eg legg til at dersom ein kunne ha utleidd rettskrav om system eller rutinar mot svindel ved
autoriserte transaksjonar frå direktiv 2015/2366/EU, ville ein nok ha sett spor av dette i
lovgjeving eller praksis frå EU-land. Slike spor er ikkje påviste.
(75) Oppsummert kan eg ikkje sjå at det i lov, forskrift eller direktiv på skadetidspunktet var
stilt opp krav for bankar om systematiske tiltak mot risikoen for bedrageri ved autoriserte
betalingar.
HR-2024-990-A, (sak nr. 23-101291SIV-HRET)

12
Særleg om kvitvaskingsreglane
(76) Dersom ein handlingsregel på eit livsområde skal ha relevans i aktløysevurderinga, må han
i utgangspunktet sikte på å verne den interessa som skaden har ramma. Regelen må tolkast
for å finne interessene han tek sikte på å verne. Brot på reglar som berre er meint å vareta
offentlege interesser, vil normalt ikkje vera skadebotutløysande.
(77) Føremålet med kvitvaskingsreglane følgjer av kvitvaskingslova § 1 fyrste ledd, nemleg å
førebyggje og avdekke kvitvasking og terrorfinansiering. Kvitvasking er handlingar som er
skildra i straffelova §§ 332 og 337, det vil seia heleri og kvitvasking. Ingen av delane er
tilfellet i saka her. Tiltaka i lova skal verne det finansielle og økonomiske systemet og
samfunnet som heilskap, jf. kvitvaskingslova § 1 andre ledd. Føremålet med lova er ikkje å
førebyggje eller avdekke andre straffbare handlingar, til dømes bedrageri eller annan
økonomisk kriminalitet. Det sentrale med kvitvaskingslova er at den rapporteringspliktige
skal gjennomføre kundetiltak og løpande oppfølging på grunnlag av ei vurdering av
risikoen for kvitvasking og terrorfinansiering, jf. kvitvaskingslova § 9 fyrste ledd. Etter
§ 25 skal banken undersøkje forhold som kan indikere at midlar er knytte til nettopp
kvitvasking eller terrorfinansiering. Dette er ikkje ei plikt til å undersøkje og rapportere
annan mogleg kriminalitet, til dømes bedrageri. Etter § 26 skal banken rapportere til
Økokrim dersom det etter nærare undersøkingar er omstende som gjev grunnlag for
mistanke om kvitvasking eller terrorfinansiering.
(78) Etter kvitvaskingslova § 27 fyrste ledd kan ein mistenkjeleg transaksjon ikkje
gjennomførast før Økokrim er varsla. Banken har plikt til ikkje å avsløre undersøkingar,
oversending av opplysningar til Økokrim eller etterforsking etter kvitvaskingslova, overfor
kunden, jf. § 28 fyrste ledd.
(79) Ein bankkunde som er blitt utsett for bedrageri, vil etter mitt syn ikkje kunne tufte eit
skadebotkrav aleine på grunnlag av brot på kvitvaskingsreglane. Eg utelukkar med dette
ikkje at grove brot på kvitvaskingsreglane kan vera relevante i ei aktløysevurdering i
kombinasjon med andre lov- eller normbrot, men det er ikkje tilfellet i saka her.
Bransjepraksis og interne rutinar
(80) Ut over dei konkrete pliktene som følgjer av avtaleverket, må plikta til god yting og
aktsemda til ein bank vurderast ut frå kva som er standarden i bransjen. Det sentrale her er
bankens plikt til å vareta kundens interesser ved betalingstransaksjonane på ein forsvarleg
måte. Banken har ei lojalitetsplikt overfor kunden, og ei omsorgsplikt innanfor rammene
av oppdraget. Etter omstenda kan kunden også ha rettkomne forventningar om å bli gjort
merksam på forhold som ikkje ligg i kjernen av oppdraget, til dømes der banken på ein
eller annan måte har fått positiv kunnskap om irregulære forhold. Ein mogleg praksis i
bransjen vil difor vera relevant i vurderinga av om Danske Bank eller tilsette der har vore
aktlause.
(81) Eg legg til grunn at alle bankar har system og rutinar som rettar seg mot uautoriserte
betalingstransaksjonar i nettbankløysingar. Tap som oppstår ved manglar i eit slikt system,
er bankane ansvarlege for etter finansavtalelova 1999 § 35 – i dag finansavtalelova § 4-30.
HR-2024-990-A, (sak nr. 23-101291SIV-HRET)

13
(82) Eg legg vidare til grunn at bankar, for å motverke at autoriserte transaksjonar blir gjorde av
eller under påverknad frå uheiderlege medarbeidarar i verksemda eller utanforståande, i
større eller mindre grad også har rutinar som rettar seg mot slike transaksjonar. Men nokon
normerande bransjepraksis – eller kva for «sikkerheitsnivå» denne i så fall ligg på – er
ikkje påvist. Når det ikkje finst slik bransjepraksis, må bankane i utgangspunktet gjera
dette på den måten dei sjølv finn tenleg. Dette inkluderer oppbygging av system og
utarbeiding og etterleving av interne retningsliner. Eit godt svindelkontrollsystem vil gje
eit konkurransefortrinn.
(83) Når det ikkje finst ei bransjenorm, kan moglege brot på Danske Banks interne rutinar for
kontroll med autoriserte betalingstransaksjonar ikkje gje grunnlag for skadebotansvar. Det
må i alle fall vera klart når rutinane ikkje er gjort kjende for kundane, slik tilfellet er i saka
her. Når Edison Norge frå november 2015 og utover ved ein feil var unntatt frå bankens
fraud engine, er dette i seg sjølv ikkje ansvarsutløysande.
(84) Edisons subsidiære påstandsgrunnlag for skadebotansvar kan etter dette ikkje føre fram.
Konklusjon og sakskostnader
(85) Anken har ført fram. Den avleidde anken har ikkje ført fram. Sidan det ikkje ligg føre
ansvarsgrunnlag, finn eg ikkje grunn til å drøfte årsakssamanheng, medverknaden frå den
skadelidne eller rettstap ut frå manglande reklamasjon eller passivitet.
(86) Danske Bank har vunne saka. Etter hovudregelen i tvistelova § 20-2 fyrste ledd skal
Edison dekkje Danske Bank og partshjelparen Finans Norge sine sakskostnader for
Høgsterett. Eg ser ikkje grunn til å gjera unntak etter § 20-2 tredje ledd.
(87) Danske Bank har kravd 2 749 398 kroner for Høgsterett medan Finans Norge har kravd
1 014 020 kroner. Beløpa er i all hovudsak advokatsalær – samla 680 timar til i snitt
4 725 kroner – pluss meirverdiavgift for Danske Banks del. I tillegg kjem ankegebyr med
42 141 kroner. Edison har ikkje hatt innvendingar mot storleiken på krava.
(88) Ankesaka var omfattande. Tingingane i Høgsterett tok fire rettsdagar. Eg meiner krava må
godtakast, jf. tvistelova §§ 20-5 og 20-6.
(89) For sakskostnadsansvaret for tingretten og lagmannsretten skal Høgsterett leggje resultatet
sitt til grunn, jf. tvistelova § 20-9 andre ledd. Heller ikkje her ser eg grunn til å fråvike
hovudregelen i tvistelova § 20-2 fyrste ledd.
(90) Danske Bank har kravd 8 455 317 kroner for handsaminga i tingretten. Av dette er
6 524 144 kroner advokatsalær og 213 100 kroner honorar til sakkunnig vitne, eksklusive
meirverdiavgift. Banken har vidare kravd 5 935 356 kroner for handsaminga i
lagmannsretten. Av dette er 3 332 980 kroner advokatsalær og 1 404 350 kroner honorar til
sakkunnige vitne, eksklusive meirverdiavgift. I tillegg kjem ankegebyr for lagmannsretten
med 58 704 kroner.
(91) Saka var breitt lagt opp i tingretten og lagmannsretten. Eg meiner krava må godtakast for
begge instansane, jf. tvistelova § 20-5.
HR-2024-990-A, (sak nr. 23-101291SIV-HRET)

14
(92) Eg røystar for slik
D O M :
1. Danske Bank blir frifunnen.
2. Den avleidde anken blir vraka.
3. I sakskostnader for tingretten, lagmannsretten og Høgsterett betalar
Edison International S.p.A. til Danske Bank
17 240 916 – syttenmillionartohundreogførtitusennihundreogseksten – kroner
innan 2 – to – veker frå dommen er forkynt.
4. I sakskostnader for Høgsterett betalar Edison International S.p.A. til
Finans Norge 1 014 020 – einmillionfjortentusenogtjue – kroner
innan 2 – to – veker frå dommen er forkynt.
(93) Dommer Stenvik: Jeg er i hovedsak og i resultatet enig med
førstvoterende.
(94) Dommer Thyness: Likeså.
(95) Dommer Arntzen: Likeså.
(96) Dommer Falkanger: Likeså.
(97) Etter røystinga sa Høgsterett slik
D O M :
1. Danske Bank blir frifunnen.
2. Den avleidde anken blir vraka.
3. I sakskostnader for tingretten, lagmannsretten og Høgsterett betalar
Edison International S.p.A. til Danske Bank
17 240 916 – syttenmillionartohundreogførtitusennihundreogseksten – kroner
innan 2 – to – veker frå dommen er forkynt.
4. I sakskostnader for Høgsterett betalar Edison International S.p.A. til
Finans Norge 1 014 020 – einmillionfjortentusenogtjue – kroner
innan 2 – to – veker frå dommen er forkynt.
HR-2024-990-A, (sak nr. 23-101291SIV-HRET)