Tapahtumatiedot
Asiakas joutui petoksen uhriksi. Hän sai 12.06.2022 klo 12.23 seuraavanlaisen viestin:
Uusi maksunsaaja on lisätty tänään, jos tämä ei ollut sinun, käy kiireellisesti osoitteessa: Mobiili-[Pankki].com
Viesti saapui samaan viestiketjuun pankin lähettämien viestien kanssa. Asiakas meni linkistä avautuneille rikollisten luomille, pankin verkkosivuilta näyttäville, sivuille ja käytti pankkitunnustietojaan kirjautuakseen sisään. Pankki lähetti mobiilipankkisovelluksen käyttöönottoon tarvittavan vahvistuskoodin tekstiviestitse asiakkaan matkapuhelinnumeroon 12.6.2022 klo 13.09. Viestin sisältö oli seuraava:
Käytä vahvistuskoodia 4161 ottaaksesi käyttöön [Pankin mobiilisovelluksen]. Huomaathan ettei koodilla voi kirjautua verkkopankkiin. Terveisin [Pankki].
Asiakas syötti vahvistuskoodin sivustolle. Sivustolle syötetyillä tiedoilla ulkopuolinen henkilö otti käyttöön asiakkaan nimissä olleen pankin mobiilisovelluksen omalla laitteellaan. Ulkopuolinen siirsi asiakkaan luotolta tilille yhteensä
6 000 euroa ja vahvisti em. pankin mobiilisovelluksella kuusi oikeudetonta maksua, joista viimeisen klo 13.56. Asiakkaan kortti ja pankkitunnukset suljettiin samana päivänä klo 15.15.
Asiakkaan valitus
Asiakas vaatii menetettyjen varojen palauttamista.
Asiakas kertoo saaneensa pankin nimissä viestin samalta lähettäjältä kuin pankin aiemmat maksun vahvistamiskoodin sisältäneet viestit. Asiakas ei osannut epäillä viestin aitoutta tämän vuoksi. Asiakas kirjautui verkkopankki-tunnuksillaan pankin sivujen näköisille sivuille luullen kirjautuvansa pankkiin. Hän syötti sivustolle myös korttitietonsa. Tämän jälkeen hänen tililtään tehtiin kuusi oikeudetonta siirtoa. Asiakas on saanut vain yhden vahvistusviestin pankilta, joka on saapunut 12.06.2022 klo 13.09. Viesti sisälsi vahvistuskoodin. Asiakas katsoo, että vain yksi oikeudeton maksutapahtuma johtuu hänen virheestään, mutta eivät muut. Hän ihmettelee, miten muut maksutapahtumat on voitu toteuttaa ilman hänen vahvistustaan ja miksi pankki siirsi rahaa pois hänen tililtään, vaikka hän ei vahvistanut muita tapahtumia ja kirjautui heti ulos.
Tietovuodosta sekä pankin asiakkaiden kanssa tapahtuvasta suojaamattomasta tapahtumaviestijärjestelmästä on lukuisia rikoksia, jotka ovat johtaneet siihen, että rikolliset käyttävät hyväkseen huijausta ja tekevät huijauksen asiakkaiden luottamusta hyödyntäen pankkipalvelun kautta.
Asiakkaalle ei annettu ennakkovaroitusta. Pankki on lisäksi vastaavanlaisessa tapauksessa korvannut vahingon toiselle asiakkaalle.
Pankki on vastuullinen, koska pankissa on ollut tietovuoto, jonka seurauksena asiakas on saanut huijausviestin. Hän on tehnyt asiasta rikosilmoituksen ja korttireklamaation.
Pankin vastine
Asiakas on reklamoinut alla olevista kortti- ja tilitapahtumista:
12.6.2022 Korttiosto 2413,97 euroa, klo 13.18
12.6.2022 Korttiosto 3500,00 euroa, klo 13.20
12.6.2022 Korttiosto 1300,00 euroa, klo 13.51
12.6.2022 Korttiosto 1300,00 euroa, klo 13.52
12.6.2022 Korttiosto 1300,00 euroa, klo 13.53
12.6.2022 Korttiosto 160,00 euroa, klo 13.56
12.6.2022 Tilisiirto +1900,00 euroa, klo 13.27
12.6.2022 Tilisiirto +1900,00 euroa, klo 13.28
12.6.2022 Luotolta siirto 4000,00 euroa, klo 13.17
12.6.2022 Luotolta siirto 2000,00 euroa, klo 13.19
Asiakas on kertonut vastaanottaneensa pankin nimissä tekstiviestin uudesta maksunsaajasta. Viestissä on ollut linkki, jonka takaa avautuneelle sivustolle asiakas on luovuttanut pankkitunnuksensa sekä korttitietonsa.
Pankin vastauksen mukaan kaikki reklamoidut tapahtumat on vahvistettu mobiilipankkisovelluksella, joka on ladattu laitteelle iPhone 13. Pankki on lähettänyt sovelluksen käyttöönottoon tarvittavan vahvistuskoodin tekstiviestillä asiakkaan matkapuhelinnumeroon 12.6.2022 klo 13.09. Varoituksesta huolimatta asiakas on syöttänyt vahvistuskoodin linkistä auenneelle kolmannen tahon verkkosivulle.
Asiakas on sulkenut korttinsa ja pankkitunnuksensa 12.06.2022 klo 15.15. Kaikki reklamoidut tapahtumat on tehty 12.06.2022 klo 13.17–13.56 ennen kortin tai pankkitunnusten sulkuilmoitusta.
Tekstiviestin lähettäjän nimen väärentäminen on mahdollista pankista riippumatta. Tästä syystä rikollisten lähettämä kalasteluviesti on tullut samaan viestiketjuun pankin aiemmin lähettämien viestien kanssa. Tätä pankit eivät pysty estämään ilman yhteistyötä tekstiviestejä tarjoavien teleoperaattoreiden kanssa. Teleoperaattorit yhdessä poliisin kanssa pyrkivät löytämään keinoja lähettäjätiedon väärentämisen estämiseksi.
Toisaalta samassa viestiketjussa olevien viestien osalta asiakkaan olisi ollut helppo huomata huijausviestien poikkeuksellisuus pankin aitoihin viesteihin verrattuna. Aidoissa viesteissä ei ole linkkejä internetsivuille ja aidot viestit loppuvat ”Terveisin [Pankki].”
Mobiilisovelluksen käyttöönottoon on tarvittu asiakkaan henkilökohtaiset verkkopankkitunnukset eli verkkopankin käyttäjätunnus, salasana ja järjestelmän satunnaisesti valitsema tunnuslukutaulukon tunnusluku sekä asiakkaalle tekstiviestillä lähetetty vahvistuskoodi. Korttiostoihin on lisäksi tarvittu kortin tiedot.
Pankin verkkopankkitunnukset ovat sekä maksupalvelulain mukaiset maksuvälineet että tunnistuslain mukaiset vahvat sähköiset tunnistusvälineet. Tunnistuslain (laki vahvasta sähköisestä tunnistamisesta ja sähköisistä luottamuspalveluista 27 §) mukaan asiakas on vastuussa tunnistusvälineen oikeudettomasta käytöstä, jos se johtuu hänen huolimattomuudestaan, joka ei ole lievää.
Asiakas on luovuttanut verkkopankkitunnuksensa digitaalisia palveluja koske-vien pankin ehtojen vastaisesti verkkosivulle, jolle hän on päätynyt huijaustekstiviestissä tulleen linkin kautta. Asiakas on mielestään ollut kirjautumassa verkkopankkiin estääkseen uuden maksunsaajan lisäämisen, mutta silti käytti koodia, jota selkeän sanamuotonsa mukaan tarvittiin mobiilisovelluksen käyttöönottoon ja jota viestin mukaan ei voi käyttää verkkopankkiin kirjautumiseen. Näillä perusteilla pankki katsoo, että asiakas on toiminut törkeän huolimattomasti ja vastaa täysimääräisesti hänen verkkopankkitunnuksillaan käyttöönotetulla mobiilipankkisovelluksella hyväksytyistä tapahtumista.
Lisäkirjelmässään pankki kertoo, että sen verkkopankkitunnuksilla tunnistautumisessa esiintyi 2022 kesällä järjestelmähäiriö, josta uutisoitiin laajasti. Nyt käsillä olevassa tapauksessa on otettu käyttöön pankin mobiilisovellus, jonka avulla asiakkaan tunnuksia on käytetty väärin. Pankin mobiilisovelluksen käyttöönotto toisen asiakkaan nimissä ei ole ollut mahdollista em. tunnistautumisen häiriön yhteydessä. Näin ollen kyseinen häiriö ei ole vaikuttanut nyt käsiteltävään tapaukseen.
Pankin mobiilisovelluksella on mahdollista vahvistaa kaikki reklamoidut tapahtumat ilman muita asiakkaalle lähetettäviä vahvistuskoodeja.
Selvitykset
Valitusta koskevan osapuolten kirjelmöinnin lisäksi Pankkilautakunnalle on toimitettu mm. seuraavat asiakirjat:
- Pankin digitaalisten palvelujen ja tunnistusvälineiden yleiset ehdot, voimassa 7.10.2021 alkaen.
- Pankin digitaalisten palveluiden ja rajoitettujen verkkopankkitunnusten yleiset ehdot, voimassa 7.10.2021 alkaen.
- Kuvakaappaus asiakkaan 12.06.2022 klo 12.23 saamasta huijaustekstiviestistä.
- Kuvakaappaus asiakkaan saamasta tavanomaisesta vahvistuskoodiviestistä. (vastaanottopäivämäärä ei ole näkyvissä)
- Tutkinnan päätös, päivätty 30.8.2022.
Ratkaisusuositus
Kysymyksenasettelu
Asiakkaan ja pankin välisen vastuunjaon ratkaisemiseksi Pankkilautakunnan on arvioitava, voidaanko maksuvälineen oikeudettoman käytön katsoa johtuneen siitä, että asiakas on huolimattomuudestaan laiminlyönyt maksupalvelulain 53 § 1 momentin mukaisia velvollisuuksiaan, sekä minkä asteista asiakkaan mahdollinen huolimattomuus on ollut.
Sovellettavat lainkohdat ja sopimusehdot
Maksupalvelulain 53 §:n (Maksuvälineestä huolehtiminen.) 1 momentin mukaan
Maksuvälineen haltijan on käytettävä maksuvälinettä sen myöntämistä ja käyttöä koskevien ehtojen mukaisesti. Erityisesti hänen on kohtuullisin toimenpitein huolehdittava maksuvälineestä ja siihen liittyvistä henkilökohtaisista turvatunnuksista. Maksuvälineen myöntämistä ja käyttöä koskevat ehdot eivät saa olla perusteettomia, kohtuuttomia tai syrjiviä.
Lain 54 §:n (Katoamisilmoitus.) 1 momentin mukaan
Maksuvälineen haltijan on ilman aiheetonta viivytystä ilmoitettava palveluntarjoajalle tai sen nimeämälle muulle taholle havaitsemastaan maksuvälineen katoamisesta, joutumisesta oikeudettomasti toisen haltuun tai oikeudettomasta käytöstä.
Lain 62 §:n (Maksupalvelun käyttäjän vastuu maksuvälineen oikeudettomasta käytöstä.) mukaan
Maksupalvelun käyttäjä, joka on tehnyt maksuvälinettä koskevan sopimuksen palveluntarjoajan kanssa, vastaa kadonneen tai oikeudettomasti toisen haltuun joutuneen maksuvälineen käytöstä tai muusta maksuvälineen oikeudettomasta käytöstä vain, jos oikeudeton käyttö johtuu siitä, että hän tai muu maksuvälineen haltija on:
1) luovuttanut maksuvälineen sen käyttöön oikeudettomalle;
2) huolimattomuudesta laiminlyönyt 53 §:n 1 momentin mukaiset velvollisuutensa; taikka
3) laiminlyönyt ilman aiheetonta viivytystä ilmoittaa palveluntarjoajalle tai sen nimeämälle muulle taholle havaitsemastaan maksuvälineen katoamisesta, joutumisesta oikeudettomasti toisen haltuun tai oikeudettomasta käytöstä.
Maksupalvelun käyttäjän vastuu maksuvälineen oikeudettomasta käytöstä 1 momentin 2 ja 3 kohdassa tarkoitetuissa tapauksissa on enintään 50 euroa. Tätä rajoitusta ei sovelleta, jos maksupalvelun käyttäjä tai muu maksuvälineen haltija on toiminut tahallisesti tai törkeän huolimattomasti.
Maksupalvelun käyttäjä ei vastaa maksuvälineen oikeudettomasta käytöstä:
1) siltä osin kuin maksuvälinettä on käytetty sen jälkeen, kun palveluntarjoajalle tai sen nimeämälle muulle taholle on ilmoitettu maksuvälineen katoamisesta, joutumisesta oikeudettomasti toisen haltuun tai oikeudettomasta käytöstä;
2) jos palveluntarjoaja on laiminlyönyt huolehtia siitä, että maksuvälineen haltijalla on mahdollisuus tehdä milloin tahansa 1 kohdassa tarkoitettu ilmoitus;
3) jos maksunsaaja ei ole maksuvälinettä käytettäessä asianmukaisesti varmistunut maksajan oikeudesta käyttää maksuvälinettä; tai
4) jos palveluntarjoaja ei ole edellyttänyt maksajan vahvaa tunnistamista.
Sen estämättä, mitä 3 momentissa säädetään, maksupalvelun käyttäjä on vastuussa maksuvälineen oikeudettomasta käytöstä, jos hän tai muu maksuvälineen haltija on tahallaan tehnyt väärän ilmoituksen tai toiminut muuten petollisesti.
Maksupalvelulain 85 c §:n (Tunnistaminen) 1 ja 3 momenttien mukaan
Palveluntarjoajan on käytettävä vahvaa tunnistamista, jos maksaja:
1) käyttää maksutiliään tietoverkon välityksellä;
2) käynnistää sähköisen maksutapahtuman;
3) toteuttaa etäkanavan kautta toimen, johon voi liittyä väärinkäytöksen riski.
[…]
Palveluntarjoajan on riittävin turvatoimenpitein huolehdittava vahvassa tunnistamisessa käytettävien henkilökohtaisten turvatunnusten luottamuksellisuuden ja eheyden suojaamisesta.
[…]
Vahvasta sähköisestä tunnistamisesta ja sähköisistä luottamuspalveluista annetun lain 1 §:n 4 momentin mukaan
Lakia ei sovelleta yhteisön sisäiseen tunnistamiseen käytettävien palveluiden tarjontaan. Lakia ei sovelleta myöskään yhteisöön, joka käyttää omaa tunnistusmenetelmäänsä omien asiakkaidensa tunnistamiseen omissa palveluissaan.
Oikeudenkäymiskaaren 24 luvun 3 §:n 2 momentin mukaan
Asiassa, jossa sovinto on sallittu, tuomiota ei saa perustaa seikkaan, johon asianosainen ei ole vaatimuksensa tai vastustamisensa tueksi vedonnut.
FINEn riidanratkaisun käytännesääntöjen 2.2 (Aktiivinen rooli ja väitetaakka) mukaan
[…]
Finanssialan palveluntarjoajat ovat oman alansa asiantuntijaorganisaatioita. Palveluntarjoajan on vastineessaan ja muissa kirjelmissään esitettävä kaikki asian ratkaisemisen kannalta tarpeelliseksi katsomansa seikat. FINEn toimisto tai lautakunnat eivät käsittelyssään ota huomioon mahdollisia muita palveluntarjoajan kantaa tukevia seikkoja, ellei asiakkaan vaatimus ole ilmeisen perusteeton.
Pankin digitaalisten palvelujen ja tunnistusvälineiden yleisten ehtojen (pankkitunnusehdot, voimassa 7.10.2021 alkaen) kohta, joka koskee asiakkaan vastuuta tunnistusvälineiden oikeudettomasta käytöstä maksuvälineenä vastaa maksupalvelulain 62 §:n kuluttajan hyväksi pakottavia säännöksiä.
Pankkitunnusehtojen Tunnistusvälineitä koskevat velvollisuutesi -kohdan Tunnistusvälineiden säilyttäminen -alakohdan mukaan
[…]
· Et saa käyttää verkkopankkitunnuksia verkkopankkiin kirjautumiseen, tunnistautumiseen tai muun pankkiasian hoitamiseen, jos linkki kirjautumissivulle on lähetetty sinulle sähköpostilla tai muulla sähköisellä tavalla.
[…]
Asian arviointi
Sovellettava laki
Selvyyden vuoksi Pankkilautakunta toteaa, että pankin viittaamaa vahvasta sähköisestä tunnistamisesta ja sähköisistä luottamuspalveluista annettua lakia ei sen soveltamissäännöksen mukaan sovelleta yhteisön sisäiseen tunnistamiseen käytettävien palveluiden tarjontaan. Edelleen lautakunta toteaa tässä tapauksessa olevan kyse asiakkaan maksuvälineen oikeudettomasta käytöstä aiheutuneesta vahingosta ja näin ollen asiakkaan ja pankin välinen vastuu vahingosta ratkeaa maksupalvelulain vastuunjakosäännöksiä soveltamalla.
Tapahtumakulku
Pankki on tapauksessa esittänyt selvityksen siitä, mitä tietoja rikollisilla on täytynyt olla, jotta he ovat voineet aktivoida omalle laitteelleen asiakkaan nimissä olevan uuden pankin mobiilisovelluksen, jolla riidanalaiset tapahtumat on vahvistettu. Pankkilautakunnalla ei ole syytä epäillä tämän selvityksen paikkansa pitävyyttä.
Pankkilautakunta katsoo tapauksessa riidattomaksi, että asiakas on saanut pankin nimissä lähetetyn tekstiviestin, jossa olevan linkin kautta avautuneilla rikollisten luomilla pankin verkkosivuilta näyttäneillä valesivuilla asiakas on syöttänyt verkkopankkitunnuksensa ja korttitietonsa luullessaan asioivansa pankin kanssa. Rikolliset ovat näin tietoonsa päätyneillä asiakkaan pankkitunnustiedoilla aloittaneet asiakkaan nimissä olevan uuden pankin mobiilisovelluksen asentamisen omalle iPhone 13 -laitteelleen. Tämän johdosta pankki on lähettänyt 12.6.2022 klo 13.09 asiakkaalle mobiilisovelluksensa aktivoinnin edellyttämän vahvistuskoodin sisältäneen tekstiviestin. Viestin sisältö oli seuraava:
Käytä vahvistuskoodia 4161 ottaaksesi käyttöön [Pankin mobiilisovelluksen]. Huomaathan ettei koodilla voi kirjautua verkkopankkiin. Terveisin [Pankki].
Pankkilautakunta katsoo asiassa esitetty kirjeenvaihto ja viestin muotoilu huomioon ottaen todennäköiseksi, että asiakas on sekoittanut pankiltaan tekstiviestitse saamansa koodin tavanomaiseen verkkopankkiin kirjautumista koskevaan koodiin ja syöttänyt vahvistuskoodin valesivustolle.
Vahvistuskoodin saatuaan rikolliset ovat voineet aktivoida käyttöönsä asiakkaan nimissä olevan pankin mobiilisovelluksen omalle laitteelleen. Nyt kyseessä olevat oikeudettomat maksu- ja tilitapahtumat rikolliset ovat vahvistaneet em. pankin mobiilisovelluksella.
Asiakkaan menettelyn arviointi
Maksupalvelulain 62 §:n 1 momentin 2 kohtaan perustuva asiakkaan vastuu edellyttää maksuvälineen myöntämistä ja käyttöä koskevien sopimusehtojen rikkomista huolimattomuutta osoittavalla tavalla sekä syy-yhteyttä oikeudettoman käytön ja sopimusehtojen rikkomisen välillä.
Soveltuvissa pankkitunnusehdoissa kielletään verkkopankkitunnusten käyttäminen verkkopankkiin kirjautumiseen, tunnistautumiseen tai muun pankkiasian hoitamiseen, jos linkki kirjautumissivulle on lähetetty sähköpostilla tai muulla sähköisellä tavalla. Koska asiakas on käyttänyt verkkopankkitunnuksiaan kirjautumiseen tekstiviestitse saamansa linkin kautta avautuneilla sivuilla, Pankkilautakunta katsoo asiakkaan laiminlyöneen pankkitunnusehtojen mukaisia velvollisuuksiaan.
Nykyään kuitenkin moninaiset toimijat lähetyspalveluista terveydenhuollon palveluihin ja päivittäistavarakaupan toimijoihin - ml. pankin kanssa samaan yhtiöryhmään kuuluvat toimijat - lähettävät asiakkailleen asiointia koskevia ja verkkotunnuksiltaan hyvinkin erilaisia linkkejä sisältäviä tekstiviestejä, mikä on tehnyt tämänkaltaisista yhteydenotoista arkipäiväisiä ja on osaltaan voinut vaikuttanut siihen, ettei huolellinenkaan pankin asiakas osaa kyseenalaista pankin nimissä tulevan tekstiviestin ja viestissä olevan linkin asianmukaisuutta. Lisäksi koska pankkitunnusten käyttö esimerkiksi tunnistautumiseen on arkipäiväistä, ja toisinaan sinne ohjataan sähköisesti saapuneesta linkistä, voi pankin edellä mainitun ehdon noudattaminen poikkeuksetta hankaloittaa asiointia.
Pankkilautakunta kiinnittää tässä tapauksessa huomiota erityisesti siihen, että asiakkaan puhelimessa rikollisten lähettämä tekstiviesti näyttää lähettäjätiedon mukaan tulleen pankilta ja on tullut samaan viestiketjuun pankin lähettämien viestien kanssa. Pankki ei ole tässä tapauksessa varoittanut asiakasta tämänkaltaisista huijauksista eikä asiassa ole muutoinkaan tullut esille seikkoja, joiden vuoksi asiakkaan olisi tullut osata kyseenalaistaa samaan viestiketjuun tulleen viestin aitous. Lautakunta katsoo, ettei asiakkaan voida edellyttää ymmärtäneen myöskään tekstiviestin muotoilun ja sisällön taikka viestissä olleen linkin domainin/verkkotunnuksen perusteella, ettei tekstiviesti ollut pankin lähettämä.
Ottaen huomioon myös sen, että tässä tapauksessa tekstiviestissä olleesta linkistä on avautunut pankin verkkosivuilta näyttävät sivut ja asiakas on verkkosivujen näkymän perusteella edelleen luullut asioivansa pankin kanssa ja on tässä tarkoituksessa käyttänyt pankkitunnuksiaan, Pankkilautakunta katsoo, ettei asiakkaan laiminlyönti pankkitunnusehtojen noudattamisen suhteen osoita edellä mainituilta osin lievää suurempaa huolimattomuutta.
Pankkilautakunta kuitenkin katsoo, että saatuaan pankilta vahvistuskoodin, jolla viestin mukaan otetaan käyttöön pankin mobiilisovellus, sekä varsinkin verkkosivuston kysyessä asiakkaan korttitietoja, asiakkaan olisi tullut ymmärtää kyseenalaistaa saamansa yhteydenoton asianmukaisuus ja tarkoitus. Mikäli asiakas olisi tuossa vaiheessa keskeyttänyt asiointinsa ja esimerkiksi ottanut itse yhteyttä pankkiinsa tiedustellakseen menettelyn asianmukaisuutta, olisi tapauksessa asiakkaan maksuvälineen oikeudettomasta käytöstä aiheutuneelta vahingolta voitu välttyä.
Pankkilautakunta on ratkaisussaan FINE-050512 (ratkaistu 30.11.2022) arvioinut maksuvälineen oikeudetonta käyttöä koskevaa tapausta, jossa pankki on lähettänyt asiakkaalle samansisältöisen mobiilisovelluksen käyttöönottoviestin. Em. tapauksessa lautakunta katsoi huolelliselta pankkitunnustenhaltijalta edellytettäviin perusvaatimuksiin kuuluvan sen, että pankkitunnuksia käyttäessään hän lukee ja huomioi omassa toiminnassaan asiointinsa yhteydessä pankiltaan saamansa viestit. Asiakkaan syötettyä pankin tekstiviestitse lähettämän koodin linkin kautta avautuneille sivuille huomioimatta tekstiviestin sisältöä Pankkilautakunta katsoi asiakkaan menettelyn kokonaisuutena osoittavan hänen vakavaa varomattomuuttaan. Lautakunta kuitenkin kiinnitti erityistä huomiota pankin asiakkaalle lähettämän mobiilisovelluksen aktivointikoodin sisältäneen tekstiviestin suppeaan muotoiluun ja verraten vähäiseen informaatioarvoon ja katsoi ilmeiseksi, että ollessaan käsityksensä mukaisesti kirjautumassa pankin verkkopalveluun asiakas oli sekoittanut pankiltaan tekstiviestitse saamansa koodin tavanomaiseen pankin lähettämään verkkopankkiin kirjautumista koskevaan koodiin. Ottaen huomioon, että asiakkaan pankilta saama tekstiviesti ei ollut pituudeltaan merkittävästi poikennut tavanomaisesta verkkopankkiin kirjautumista koskevasta viestistä ja myös vahvistuskoodi oli ollut samanpituinen kuin verkkopankkiin kirjautuessa, lautakunta piti ymmärrettävänä, ettei asiakkaan huomio ollut rutiininomaisessa kirjautumistilanteessa kiinnittynyt tekstiviestin sanalliseen sisältöön. Pankkilautakunta katsoi asiassa saadun kokonaisselvityksen perusteella, ettei asiakkaan menettely vakavasta varomattomuudestaan huolimatta osoittanut hänen suhtautuvan selvästi piittaamattomasti pankkitunnustensa hallintaan ja käyttöön liittyviin turvallisuusriskeihin ja ettei hänen menettelynsä näin ollen myöskään osoittanut maksupalvelulaissa tarkoitettua törkeää huolimattomuutta.
Nyt ratkaistavana oleva asia kuitenkin poikkeaa edellä mainitusta, sillä tässä tapauksessa on kyse oikeudettomista korttimaksuista, joihin on tarvittu myös kortin tiedot. Pankki ei ole kuitenkaan lautakunnalle antamassaan vastauksessa vedonnut kortin käyttöä koskevaan huolimattomuuteen tai korttiehtojen rikkomiseen. Pankki ei ole myöskään esittänyt asiassa korttiehtojaan. Pankki on perustanut kiistämisensä siihen, että asiakas on luovuttanut pankkitunnuksensa ja vahvistuskoodin pankkitunnusehtojen vastaisesti verkkosivulle, jolle on päätynyt sähköisesti lähetetyn linkin kautta.
Riita-asioissa yleisesti noudatetun väittämistaakan mukaan ne seikat, joihin ratkaisu perustuu, eivät saa poiketa niistä seikoista, joihin asianosaiset ovat vaatimustensa tueksi vedonneet. FINEn riidanratkaisun käytännesääntöjen 2.2 kohdassa on määrätty FINEn toimiston ja lautakuntien noudattamasta taakkasäännöstä. Sen mukaan palveluntarjoajan on esitettävä kaikki asian ratkaisemisen kannalta tarpeelliseksi katsomansa seikat eikä käsittelyssä oteta huomioon mahdollisia muita palveluntarjoajan kantaa tukevia seikkoja, ellei asiakkaan vaatimus ole ilmeisen perusteeton. Edellä mainitun perusteella Pankkilautakunta huomioi asiassa pankkitunnusehtojen rikkomisen, mutta ei mahdollista korttiehtojen rikkomista, johon pankki ei ole lautakunnalle antamassaan vastauksessa vedonnut.
Pankkilautakunta katsoo aiemman ratkaisunsa mukaisesti, ettei asiakkaan menettely kokonaisuutena arvioiden osoita maksupalvelulaissa tarkoitettua törkeää huolimattomuutta. Asiakkaan vastuu maksuvälineen oikeudettomasta käytöstä aiheutuneesta vahingosta rajoittuu näin ollen 50 euroon.
Lopputulos
Pankkilautakunta suosittaa, että pankki ottaa vastattavakseen asiassa aiheutuneen vahingon siltä osin kuin se ylittää 50 euroa.
Pankkilautakunta oli yksimielinen.
PANKKILAUTAKUNTA
Puheenjohtaja Sillanpää
Sihteeri Tykkä
Jäsenet
Ahlroth
Atrila
Piilo
Tervonen