En kvinna gjorde 2022 en anmälan till Allmänna reklamationsnämnden, ARN, på grund av att hon blivit lurad att genomföra en betalning. Kvinnan berättade att hon i april 2022 fått ett sms som såg ut att komma från banken. Meddelandet låg i samma tråd som tidigare meddelanden från banken. Hon kände inte till att bedragare kunde skicka meddelanden på detta sätt genom så kallad ”spoofing”.
Hon uppmanades att skapa ett nytt bank-id på grund av att någon kommit över hennes bank-id, någonting som gjorde henne stressad och rädd.
Kvinnan ringde det angivna numret och skapade ett nytt bank-id genom instruktioner från personen i telefon. Hon loggade in genom bank-id och laddade ner ett fjärrstyrningsprogram så att personen i telefon kunde kontrollera hennes dator.
Genom bedrägeriet genomfördes två transaktioner. 119 656 kronor från kvinnans personkonto och 171 190 kronor från hennes företags plusgirokonto.
Kvinnan menade att de obehöriga transaktionerna genomförts med hjälp av det stulna bank-id som utfärdats i hennes namn genom ett avtal som hon i egenskap av konsument hade med banken. Hon menade att banken därför borde ersätta de stulna pengarna.
Banken motsatte sig kvinnans begäran.
Inledningsvis anförde banken att plusgirokonton endast erbjuds företag och inte konsumenter. Transaktionen på 171 190 kronor rörde därför inte ett konsumentförhållande och skulle avvisas.
Vad gäller den andra transaktionen konstaterade banken att den genomförts genom att kvinnan signerat med bank-id. När en ny nedladdning av ett bank-id görs kommer det upp ett varningsmeddelande på skärmen. I meddelandet står det att man aldrig ska ladda ner ett bank-id på uppmaning av banken eller någon annan person, oavsett orsak.
Banken menade att kvinnan, genom att ignorera varningsmeddelandet, agerat oaktsamt och därför inte hade rätt till ersättning från banken enligt betaltjänstlagen. Hennes agerande hade dessutom varit särskilt klandervärt.
ARN konstaterar att i lagen om betaltjänster finns det regler om obehöriga transaktioner. Som huvudregel ska banken återställa kontot till den ställning det skulle varit i om den obehöriga transaktionen inte ägt rum.
Kontohavaren ansvarar dock för obehöriga transaktioner om den genomförts på grund av att kontohavaren inte skyddat sin personliga behörighetsfunktion. Det ansvaret är dock begränsat till 400 kronor om kontohavaren inte agerat grovt oaktsamt eller särskilt klandervärt.
Är kontohavaren en konsument ansvarar denne för transaktionen upp till 12 000 kronor om transaktionen möjliggjorts på grund av grov oaktsamhet. Om personens handlande är särskilt klandervärt ansvarar kontohavaren för hela förlusten oavsett hur stor den är.
För att en person ska ha agerat grovt oaktsamt krävs ett ”markant avsteg från den aktsamhet som rimligen kan krävas”. Personen ska ha varit obetänksam i sådan grad att han eller hon inte är ursäktad.
En person ska anses ha agerat särskilt klandervärt först vid kvalificerade former av grov oaktsamhet. Det krävs i princip att konsumenten varit likgiltig för risken för obehöriga transaktioner. Högsta domstolen har nämnt tre fall där en person ska anses ha agerat särskilt klandervärt. Den första situationen är när en person agerat bedrägligt, den andra när en person med avsikt lämnat personlig information till en obehörig person och den tredje när en person faktiskt insett att det fanns risk för en obehörig transaktion.
ARN konstaterar att transaktionen från plusgirot inte är en konsumenttvist. Nämnden prövar därför inte ärendet i den delen.
Att det meddelande som kvinnan fått hamnade i samma tråd som tidigare meddelanden från banken talar för att kvinnan inte förstod att det var fråga om ett bedrägeri. Det framstår inte heller som sannolikt att det från kvinnans perspektiv var orimligt att ladda ner ett fjärrstyrningsprogram, eftersom hon trodde att någon kommit över hennes bank-id.
Kvinnan fick vid BankID-signeringen visserligen ett varningsmeddelande, men ingenting i utredningen talar mer direkt för att kvinna faktiskt tog del av informationen.
Mot bakgrund av detta bedömer ARN att det inte finns tillräcklig bevisning för att kvinnan agerat särskilt klandervärt. Hon bedöms dock ha agerat med grov aktsamhet genom att inte ta del av varningsmeddelandet, som var tydligt och kortfattat.
Kvinnans ansvar är därför begränsat till 12 000 kronor. Banken rekommenderas att ersätta resten av den förlust som de obehöriga transaktionerna orsakat kvinnan.
Två ledamöter var skiljaktiga och ansåg att det i allmänhet inte kan krävas att konsumenter tar del av ett varningsmeddelande från bank-id oaktat konsumentens upplevelse i form av stress eller press. I situationer som är okända och stressade agerar konsumenter ofta enligt andras uppmaningar.
Det kan därför, enligt de skiljaktiga ledamöterna, inte ställas för höga krav på konsumentens agerande vid stressade situationer.