Tapahtumatiedot
Asiakkaan tapahtuma-aikainen poikaystävä X on 25.11.2022 hakenut asiakkaan puhelimessa ollutta pankin mobiilisovellusta käyttäen asiakkaan nimissä pankilta opintolainaa. Luoton myöntämisen 28.11.2022 jälkeen X on em. pankin mobiilisovellusta käyttäen tehnyt asiakkaan tilille luotonnostoja 29.11.2022 ja 1.1.2023 ja siirtänyt nostetut varat sieltä eteenpäin. Asiakas on sulkenut verkkopankkitunnukset sekä käytössä olleen pankin mobiilisovelluksen 8.7.2023.
Asiakkaan valitus
Asiakkaalle on tehty rikos ja hänen nimellään on otettu opintolainaa, josta pankki on sanonut asiakkaan olevan vastuussa. Asiakkaan ex-poikaystävä oli ottanut salaa asiakkaan puhelimen ja kirjautunut asiakkaan pankin mobiilisovellukseen ja lähettänyt opintolainahakemuksen yöllä, kun asiakas oli nukkumassa. Hän oli sitten nostanut lainat asiakkaan tilille ja ottanut rahat sieltä.
Asiakas ei ole missään vaiheessa antanut puhelintaan luvalla ex-poikaystävälleen eikä hänellä ole koskaan ollut asiakkaan lupaa käyttää tämän pankkia tai puhelinta. Asiakas on säilyttänyt kaikkia henkilötietojaan tosi hyvässä paikassa. Tapahtumat hän pääsi vahvistamaan, kun varasti asiakkaan pankkitunnukset ja kaikki asiakkaan henkilötiedot. Tämä asia on tiedossa jo rikosilmoituksessa, ja kuulusteluissa rikoksen tekijä on myöntänyt varastaneensa asiakkaan pankkitunnuksia ja käyttämään asiakkaan pankin mobiilisovellusta ilman lupaa ja syyllistyneensä identiteettivarkaukseen ja petokseen. Tekijä on itse kuulusteluissa sanonut, että hän oli ladannut pankin mobiilisovelluksen omaan puhelimeen ja käyttänyt sitä tapahtumien vahvistamiseen.
Asiakas ei ymmärrä, miksi tämä on hänen vastuullaan, ja haluaa, että laina siirtyy pois hänen nimeltään välittömästi. Ex oli myös ottanut muita lainoja ja ne kaikki ovat menneet pois asiakkaan vastuulta, koska asiakas ei ole itse tehnyt niitä ja on tapahtunut rikos.
Pankin vastauksessa ei lue missään kohdassa, että asiakas olisi itse antanut/luovuttanut pankkitunnuksia / pankin mobiilisovelluksen salasanaa hänelle. Puhelimen pääsykoodi on eri asia kuin pankkitunnukset / pankin mobiilisovellus.
Pankin vastine
Asiakas on reklamoinut 5.937,65 euron opintolainaa.
Opintolainahakemus on täytetty 25.11.2022 ja hakemus on vahvistettu pankin mobiilisovelluksella. Opintolaina on myönnetty ja avattu 28.11.2022. Lainalta on tehty nostot asiakkaan verkkopankissa pankin mobiilisovelluksella vahvistaen asiakkaan tilille 29.11.2022 klo 7.17 2.570 euroa ja 1.1.2023 klo 3.250 euroa. Asiakas on sulkenut verkkopankkitunnukset sekä käytössä olleen pankin mobiilisovelluksen vasta 8.7.2023.
Eli kaikki tapahtumat on vahvistettu pankin mobiilisovelluksella. Sovellus, jolla tapahtumat on tehty ja vahvistettu, on ladattu laitteelle iPhone 12.7.2022 klo 16.09. Laitteen käyttämä puhelinnumero oli asiakkaan puhelinnumero, joten pankin järjestelmätietojen mukaan tapahtumat on toteutettu asiakkaan laitteella.
Näin ollen asiakas on laiminlyönyt velvollisuutensa ilman aiheetonta viivytystä ilmoittaa palveluntarjoajalle tai sen nimeämälle muulle taholle havaitsemastaan maksuvälineen katoamisesta, joutumisesta oikeudettomasti toisen haltuun tai oikeudettomasta käytöstä maksupalvelulain 62 §:ssä tarkoitetulla tavalla.
Laina on haettu pankin mobiilisovellusta käyttäen. Lainan hakijalla on täytynyt olla hallussa asiakkaan henkilökohtaisilla verkkopankkitunnuksilla ladattu pankin mobiilisovellus sekä mobiilisovelluksen pääsykoodi. Asiakas on kertonut rikosilmoituksessa seuraavaa "[asiakkaan] mukaan mies siirteli välillä [asiakkaan] pankissa rahoja ja vetosi tuleviin syöpäleikkauksiin. [Epäilty] oli pyytänyt myös välillä [asiakkaan] puhelinta lainaan vedoten oman puhelimensa saldon loppuneen ja käyvän alhaalla puhumassa." Näin ollen asiakkaan pankin mobiilisovellus on ollut miehen käytössä myös niin, että asiakas on ollut tietoinen käytöstä.
Lainaa ei ole voinut hakea tai tilisiirtoja tehdä ilman, että tapahtumat vahvistetaan pankin mobiilisovelluksella. Tähän tarvitaan mobiilisovelluksen salasana tai biometrisen tunnisteen käyttöä. Lisäksi pankin mobiilisovellusta ei voi käyttää ilman salasanaa tai biometristä tunnistetta. Asiakas on vastannut puhelimen pääsykoodia koskevaan kysymykseen seuraavalla tavalla: "Joo hän tiesi minun puhelimen pääsykoodia, koska on aina pyytänyt soittamaan minun puhelimelta (hän on aina väittänyt että sillä ei ole tarpeeksi saldoa )". Rikosilmoituksessa asiakas toteaa "[Asiakkaan] mukaan mies siirteli välillä rahaa [asiakkaan] pankissa rahoja..." Vaikka asiakas ei olisikaan luovuttanut tunnuksia tekijälle, hän on kuitenkin tullut tietoiseksi siitä, että tunnukset ovat joutuneet toisen haltuun, koska on itse tiennyt miehen kyenneen tekemään tilisiirtoja.
Näin ollen pankki tulkitsee omiin järjestelmätietoihinsa ja asiakkaan rikosilmoituksessa kertomaan perustuen, että asiakas on luovuttanut miehelle myös pankin mobiilisovelluksen salasanan. Toinen mahdollisuus on, että mies on tallentanut omat biometriset tiedot asiakkaan laitteeseen, koska mies tiesi laitteen salasanan.
Pankin Digitaalisten palveluiden yleiset ehtojen pankin mobiilisovelluksen tunnistamisen biometrisiä tunnisteita koskevan kohdassa todetaan:
Varmista ennen [pankin mobiilisovelluksen] tunnistautumisominaisuuden käyttöönottoa, ettei laitteessa ole tallennettuna muiden käyttäjien biometrisiä tunnisteita.
Ehtojen tunnistusvälineiden säilyttämistä koskevan kohdan mukaan:
Verkkopankkitunnukset ja laitteeseen ladattu [pankin mobiilisovelluksen] tunnistaminen ovat henkilökohtaisia. Niitä ei saa osittainkaan luovuttaa tai antaa tiedoksi sivulliselle henkilölle, vaikka kyseessä olisi perheenjäsen, eikä erilliselle sovellukselle tai palvelulle.
Asiakas on ollut tietoinen, että pankin mobiilisovellus on ollut ex-poikaystävän käytössä useasti. Asiakas on ollut myös tietoinen, että hän on tehnyt erilaisia siirtoja asiakkaan tililtä, mutta ei kuitenkaan ole kertonut tapahtumista sen enempää.
Näin ollen asiakas on toiminut maksupalvelulaissa tarkoitetulla tavalla törkeän huolimattomasti antaessaan ex-kumppanilleen kaikki tiedot pankin mobiilisovelluksen käyttämiseksi, joka mahdollistaa verkkopankin toiminnot. Näin ollen asiakas vastaa pankin mobiilisovelluksella hyväksytyistä tapahtumista täysimääräisesti.
Pankki katsoo asiakkaan toimineen törkeän huolimattomasti luovuttaessaan pankin mobiilisovelluksensa kolmannen haltuun sekä laiminlyödessään ilmoitusvelvollisuutensa maksupalvelulain 62§:n mukaisesti ja toimineen näin ollen digitaalisten ehtojen vastaisesti.
Selvitykset
Valitusta koskevan osapuolten kirjelmöinnin lisäksi lautakunnalle on toimitettu seuraavat asiakirjat:
- Tutkintailmoitus (Ilmoitusaika 14.4.2023)
- Pankin Digitaalisten palveluiden yleiset ehdot
Ratkaisusuositus
Kysymyksenasettelu
Asiakkaan ja pankin välisen vastuunjaon ratkaisemiseksi Pankkilautakunnan on ratkaistava, voidaanko asiakkaan katsoa luovuttaneen maksuvälineensä sen käyttöön oikeudettomalle maksupalvelulain 62 §:ssä 1 momentin 1 kohdassa tarkoitetulla tavalla tai voidaanko pankkitunnusten oikeudettoman käytön katsoa johtuneen siitä, että asiakas on huolimattomuudestaan laiminlyönyt lain 53 § 1 momentin ja pankkitunnusehtojen mukaisia velvollisuuksiaan, sekä minkä asteista asiakkaan mahdollinen huolimattomuus on.
Sovellettavat lainkohdat ja sopimusehdot
Maksupalvelulain 53 §:n (Maksuvälineestä huolehtiminen.) 1-2 momentin mukaan
Maksuvälineen haltijan on käytettävä maksuvälinettä sen myöntämistä ja käyttöä koskevien ehtojen mukaisesti. Erityisesti hänen on kohtuullisin toimenpitein huolehdittava maksuvälineestä ja siihen liittyvistä henkilökohtaisista turvatunnuksista. Maksuvälineen myöntämistä ja käyttöä koskevat ehdot eivät saa olla perusteettomia, kohtuuttomia tai syrjiviä.
Maksuvälineen haltijan velvollisuus huolehtia maksuvälineestä ja siihen liittyvistä henkilökohtaisista turvatunnuksista alkaa, kun hän vastaanottaa ne.
Lain 54 §:n (Katoamisilmoitus.) 1 momentin mukaan
Maksuvälineen haltijan on ilman aiheetonta viivytystä ilmoitettava palveluntarjoajalle tai sen nimeämälle muulle taholle havaitsemastaan maksuvälineen katoamisesta, joutumisesta oikeudettomasti toisen haltuun tai oikeudettomasta käytöstä.
Lain 62 §:n (Maksupalvelun käyttäjän vastuu maksuvälineen oikeudettomasta käytöstä.) mukaan
Maksupalvelun käyttäjä, joka on tehnyt maksuvälinettä koskevan sopimuksen palveluntarjoajan kanssa, vastaa kadonneen tai oikeudettomasti toisen haltuun joutuneen maksuvälineen käytöstä tai muusta maksuvälineen oikeudettomasta käytöstä vain, jos oikeudeton käyttö johtuu siitä, että hän tai muu maksuvälineen haltija on:
1) luovuttanut maksuvälineen sen käyttöön oikeudettomalle;
2) huolimattomuudesta laiminlyönyt 53 §:n 1 momentin mukaiset velvollisuutensa; taikka
3) laiminlyönyt ilman aiheetonta viivytystä ilmoittaa palveluntarjoajalle tai sen nimeämälle muulle taholle havaitsemastaan maksuvälineen katoamisesta, joutumisesta oikeudettomasti toisen haltuun tai oikeudettomasta käytöstä.
Maksupalvelun käyttäjän vastuu maksuvälineen oikeudettomasta käytöstä 1 momentin 2 ja 3 kohdassa tarkoitetuissa tapauksissa on enintään 50 euroa. Tätä rajoitusta ei sovelleta, jos maksupalvelun käyttäjä tai muu maksuvälineen haltija on toiminut tahallisesti tai törkeän huolimattomasti.
Maksupalvelun käyttäjä ei vastaa maksuvälineen oikeudettomasta käytöstä:
1) siltä osin kuin maksuvälinettä on käytetty sen jälkeen, kun palveluntarjoajalle tai sen nimeämälle muulle taholle on ilmoitettu maksuvälineen katoamisesta, joutumisesta oikeudettomasti toisen haltuun tai oikeudettomasta käytöstä;
2) jos palveluntarjoaja on laiminlyönyt huolehtia siitä, että maksuvälineen haltijalla on mahdollisuus tehdä milloin tahansa 1 kohdassa tarkoitettu ilmoitus;
3) jos maksunsaaja ei ole maksuvälinettä käytettäessä asianmukaisesti varmistunut maksajan oikeudesta käyttää maksuvälinettä; tai
4) jos palveluntarjoaja ei ole edellyttänyt maksajan vahvaa tunnistamista.
Sen estämättä, mitä 3 momentissa säädetään, maksupalvelun käyttäjä on vastuussa maksuvälineen oikeudettomasta käytöstä, jos hän tai muu maksuvälineen haltija on tahallaan tehnyt väärän ilmoituksen tai toiminut muuten petollisesti.
Maksupalvelulain 63 §:n (Palveluntarjoajan vastuu oikeudettomasta maksutapahtumasta.) 1 momentin mukaan
Jos maksutapahtuma on toteutettu oikeudettomasti eikä 62 §:stä muuta johdu, palveluntarjoajan, jonka asiakkaan varoja on käytetty maksutapahtuman toteuttamiseen, on välittömästi ja viimeistään seuraavana työpäivänä siitä, kun se havaitsi maksutapahtuman tai sille ilmoitettiin maksutapahtumasta, palautettava maksutapahtuman rahamäärä asiakkaalleen tai palautettava tämän maksutili siihen tilaan, jossa se olisi ollut ilman veloitusta.
Pankin digitaalisten palvelujen ja tunnistusvälineiden yleisten ehtojen (Pankkitunnusehdot) kohta, joka koskee asiakkaan vastuuta tunnistusvälineiden oikeudettomasta käytöstä maksuvälineenä vastaa maksupalvelulain 62 §:n kuluttajan hyväksi pakottavia säännöksiä.
Pankkitunnusehtojen Määritelmät -kohdan mukaan
Pankin tunnistusvälineitä ovat
· verkkopankkitunnukset, jotka koostuvat antamastamme käyttäjätunnuksesta, valitsemastasi henkilökohtaisesta salasanasta sekä tunnusluvusta, joka ilmenee tunnuslukutaulukosta.
· [Pankin mobiilisovelluksen] tunnistaminen, joka koostuu mobiililaitteeseen ladatusta sovelluksesta, valitsemastasi henkilökohtaisesta tunnusluvusta ja/tai biometrisestä tunnisteesta kuten sormenjäljestä tai kasvonpiirteistä. [Pankin mobiilisovelluksen] tunnistamisen voit ottaa käyttöösi [Pankin mobiilisovelluksessa].
Pankkitunnusehtojen pankin mobiilisovelluksen tunnistamisen biometrisiä tunnisteita koskevan kohdan mukaan:
[…]
Varmista ennen [pankin mobiilisovelluksen] tunnistautumisominaisuuden käyttöönottoa, ettei laitteessa ole tallennettuna muiden käyttäjien biometrisiä tunnisteita.
Pankkitunnusehtojen Tunnistusvälineitä koskevat velvollisuutesi -kohdan Tunnistusvälineiden säilyttäminen -alakohdan mukaan
Verkkopankkitunnukset ja laitteeseen ladattu [pankin mobiilisovelluksen] tunnistaminen ovat henkilökohtaisia. Niitä ei saa osittainkaan luovuttaa tai antaa tiedoksi sivulliselle henkilölle, vaikka kyseessä olisi perheenjäsen, eikä erilliselle sovellukselle tai palvelulle.
Tällä sopimuksella sitoudut säilyttämään tunnistusvälineitä huolellisesti ja varmistamaan säännöllisesti, että ne ovat tallessa. Et saa kirjoittaa verkkopankin tai [pankin mobiilisovelluksen] tunnuslukuasi muistiin helposti tunnistettavaan muotoon. Sitoudut myös säilyttämään verkkopankin käyttäjätunnuksen, mahdollisesti muistiin merkitsemäsi salasanan ja tunnusluvut sisältävät tulosteet erillään toisistaan siten, ettei kukaan voi yhdistää niitä toisiinsa.
Verkkopankkitunnusten eri osia ei siis saa säilyttää samassa paikassa, kuten käsilaukussa, lompakossa tai kotona samassa säilytyspaikassa.
Huomioi erityisesti seuraavat asiat:
· Et saa missään tilanteessa kertoa verkkopankkitunnuksia tai tekstiviestillä lähettämäämme vahvistuskoodia suullisesti sinulle tulleessa puhelussa, sähköpostissa tai muussa viestissä niitä kysyvälle.
· Et saa käyttää verkkopankkitunnuksia verkkopankkiin kirjautumiseen, tunnistautumiseen tai muun pankkiasian hoitamiseen, jos linkki kirjautumissivulle on lähetetty sinulle sähköpostilla tai muulla sähköisellä tavalla.
Tarkista olosuhteiden vaatimalla tavalla säännöllisesti, että verkkopankkitunnusten osat tai [pankin mobiilisovelluksen] sisältävä laitteesi ovat tallessa.
Muiden ihmisten läsnäollessa suojaa käyttämäsi laite kädelläsi tai kehollasi, kun kirjaudut verkkopankkiin. Näin sivulliset eivät pääse näkemään, kun näppäilet verkkopankkitunnuksen tai [pankin mobiilisovelluksen] tunnusluvun.
Et saa kirjautua verkkopankkiin tai hyväksyä tunnistusvälineilläsi maksuja, jos olet luovuttanut laitteesi etäyhteydellä toisen hallintaan. Et saa käyttää verkkopankkitunnuksia laitteella, jossa on havaittu tai epäillään olevan haittaohjelma.
Sinulla on kuitenkin oikeus tunnistautua tunnistusvälineillämme maksupalvelulain mukaisiin ulkopuolisen palveluntarjoajan maksutoimeksiantopalveluihin tai tilitietopalveluihin.
Pankkitunnusehtojen Katoamisilmoituksen tekeminen -kohdan mukaan
Palveluiden asiattoman käytön estämiseksi sinun pitää ilmoittaa meille välittömästi, jos tunnistusvälineet tai niiden osa (verkkopankin salasana, tunnuslukutaulukko, [pankin mobiilisovelluksen] sisältävä laite tai [pankin mobiilisovelluksen] tunnusluku) on kadonnut tai on syytä epäillä sivullisen saattaneen saada ne haltuunsa tai tietoonsa.
Tee katoamisilmoitus ensisijaisesti 24 tuntia vuorokaudessa avoinna olevaan sulkupalveluun: […]
Asian arviointi
Pankin asiassa antamien selvitysten mukaan ko. opintolainahakemus on täytetty ja vahvistettu pankin mobiilisovelluksella 25.11.2022 ja 28.11.2022 myönnetyltä lainalta on tehty nostot asiakkaan verkkopankissa pankin mobiilisovelluksella vahvistaen asiakkaan tilille 29.11.2022 (2.570 euroa) ja 1.1.2023 (3.250 euroa). Sovellus, jolla tapahtumat on tehty ja vahvistettu, on asiakkaan iPhone-laitteella, jolle sovellus on ladattu 12.7.2022 klo 16.09. Pankkilautakunnalla ei ole syytä epäillä pankin esittämän pankin järjestelmätietoihin perustuvan selvityksen paikkansa pitävyyttä ja myös tutkintailmoitukseen kuulusteluista kirjattujen tietojen mukaan tekijä on käyttänyt asiakkaan puhelimen pankkisovellusta. Näin ollen lautakunta myös katsoo, ettei em. tapahtumia ole vahvistettu sovelluksella, jonka tekijä olisi ladannut omalle laitteelleen asiakkaan pankkitunnuksia käyttäen.
Pankkilautakunta katsoo asiassa saadun kokonaisselvityksen ja erityisesti tutkintailmoitukseen kirjatun perusteella, että ko. tapahtumien aikaan asiakkaan tuolloisella poikaystävällä on ollut pääsy asiakkaan puhelimelle ja puhelimessa olleeseen pankin mobiilisovellukseen. Edelleen lautakunta katsoo, että asiakas on ollut tästä tietoinen ja asiakkaan on täytynyt jossain aiemmassa yhteydessä luovuttaa sekä puhelimensa sisäänpääsykoodi että pankin mobiilisovelluksen koodi poikaystävälleen.
Pankkilautakunta katsoo, että asiakkaan luovutettua tällä tavoin pankin mobiilisovelluksen ja sen käytön edellyttämät koodit poikaystävänsä käyttöön puhelimen ollessa myös myöhemmässä vaiheessa ja kyseisiä tapahtumia vahvistettaessa poikaystävän käytettävissä on asiakkaan katsottava luovuttaneen sekä vahvan sähköisen tunnistamisen välineenä että maksuvälineenä käytettävän pankin mobiilisovelluksensa sen käyttöön oikeudettomalle maksupalvelulain 62 §:n 1 momentin 1 kohdassa tarkoitetulla tavalla. Näin ollen asiakas vastaa asiakkaan ja pankin välisessä suhteessa poikaystävänsä pankin mobiilisovelluksella tekemistä toimista, vaikka tämä olisikin tehnyt niitä vastoin heidän välillään sovittua ja rikollisin tarkoituksin.
Lopputulos
Edellä esitettyyn viitaten Pankkilautakunta ei suosita asiassa hyvitystä.
Pankkilautakunta oli yksimielinen.
PANKKILAUTAKUNTA
Puheenjohtaja Sillanpää
Sihteeri Hidén
Jäsenet:
Atrila
Piilo
Punakivi
Tervonen