Uppgifter om händelseförloppet
Kundens plånbok och telefon stals i Spanien 19.10.2023 och hans kort och dess pinkod användes framgångsrikt vid sex obehöriga automatuttag kl. 19.06–19.28, vilket resulterade i en sammanlagt 1 986,50 euro stor skada, uttagskostnaderna inberäknade. Kortet spärrades 19.10.2023 kl. 19.37 med anledning av kundens spärranmälan.
Kundens yrkanden hos FINE
Kunden yrkar på att banken ersätter den i ärendet uppkomna skadan 1 986,50 €.
Kunden var på semesterresa i Spanien med sin fru. På torsdag 19.10.2023 gick de till butiken EI Jamon där de köpte några matprodukter med visakort. Det var endast två personer samtidigt med i den Iilla butiken, personen i kassan och en annan kund. Dessa personer såg vart kunden satte sin Iilla reseplånbok; i facket i sin ryggsäck. Klockan var cirka 16.45 (lokal tid) och de var på väg till hotell-rummet.
De gick förbi butiken som säljer skor för damer. Kundens fru sade att hon kunde titta lite på sommarskor. Kunden följde med in i butiken och där fanns cirka 8 personer. Frun kollade skor och kunden hjälpte henne. Kunden minns att han såg två mörkhyade kvinnor i sin sidoblick. Högst troligen fick den ena av dem upp dragkedjan på kundens ryggsäck och rånade honom på hans Iilla reseplånbok, Visakort, ID-kort och telefon.
Kundens fru köpte inte några skor och de gick ut från butiken och mot sitt hotell. I hotellrummet märkte kunden att dragkedjan på ryggsäcken var öppnad och att reseplånboken och telefonen var borta. De ringde omedelbart till spärrnumret för banken och spärrade kundens visakort. Kundens telefon var låst men den sista delen i kundens socialskyddssignum hade kunden som kod för sin telefon och tjuvarna fick upp telefonen med hans personskyddssignum från hans ID-kort. Från telefonen fick de reda på kundens kod för hans bankkort. Han ringde spärrtjänsten omedelbart då de märkte det men tjuvarna hann få ut en del pengar förrän kortet blev spärrat.
Kunden anser inte att han har varit vårdslös med sitt kort och kodnummer. Han har blivit rånad i en skobutik för damer under en eftermiddag på en torsdag. Tjuvarna skulle inte ha haft tillgång till hans pengar på kontot utan dessa tre olika saker: visakort, ID-kort och telefon. Kunden upplever att han blev hänsynslöst rånad då tjuvarna kom över hans visakort, ID-kort och telefon samt då de med sitt expertiskunnande kunde komma över pengar på hans konto. Dessa tjuvar är "experter" på det de gör. De har lärt sig system på hur personer använder olika nummer som hjälper dem att komma ihåg sina personliga koder.
Tjänsteleverantörens bemötande
Kunden uppger att han blivit bestulen på kort och telefon. Av händelseförloppet framgår att kortets PIN-kod förvarats så att tjuvarna hade tillgång till koden. Kunden har i sin ändringsansökan uppgett att han använt sista delen i sitt socialskyddssignum som kod till sin telefon och att hans kodnummer för kortet funnits i telefonen.
Från kortets händelser framgår att kunden gjort inköp med PIN-kod 18.10.2023 kl. 22:14 och därefter med kontaktlöst betalande (utan PIN-kod) 19.10.2023 15:15, 17:37 och 18:43. Ficktjuvarna har första gången använt kortet i automat 19.10.2023 19:05. Tjuvarna har således inte 19.10.2023 kunnat få reda på PIN-koden genom att iaktta kunden, som föregående gång använt sin PIN-kod nästan ett dygn tidigare. Koden har förvarats i strid med de allmänna kortvillkoren, på ett sätt som utomstående haft tillgång till, och detta har lett till missbruket.
Enligt kortvillkoren punkt "Förvaring av Kort och Personlig kod", skall den personliga koden förvaras helst i minnet, och på ett annat ställe än kortet så att en utomstående inte kan få tag på den och inte heller kombinera den med kortet, och kortinnehavaren förbinder sig dessutom att inte skriva upp den personliga koden i en lätt identifierbar form. Kundens kod har funnits lätt identifierbar i hens telefon, vilket även styrks av händelseförloppets tider.
Kundens personliga pin-kod har varit lättillgänglig och identifierbar i kundens telefon och pin-koden till kundens telefon har varit lätt att gissa sig till med hjälp av kundens ID-kort som stals samtidigt med hans telefon och VISA-kort. Kunden har inte bevarat sin personliga pin-kod omsorgsfullt och i enlighet med kortvillkoren, då den utomstående personen har fått reda på koden och kunnat kombinera koden med kundens kort.
Enligt den uppfattning banken har av händelseförloppet samt befintlig tolkningspraxis utgör detta händelseförlopp ett sådant som inte ersätts.
Utredningar
Förutom parternas skrivelser som gäller klagomålet har följande handlingar getts in till nämnden:
- Brottsanmälan till polisen i Spanien
- Korthändelser
- Kortvillkor
Beslutsrekommendation
Frågeställning
För att avgöra ansvarsfördelningen mellan kunden och banken behöver Banknämnden bedöma huruvida den obehöriga användningen av kortet kan anses ha berott på att kunden av vårdslöshet har försummat sina skyldigheter enligt 53 § 1 mom. i betaltjänstlagen och enligt kortvillkoren och huruvida kundens eventuella vårdslöshet har varit grov.
Tillämplig lagstiftning och villkor
I 53 § (Skyldigheter som gäller betalningsinstrument) i betaltjänstlagen föreskrivs följande i 1 mom.:
Innehavaren av ett betalningsinstrument ska använda detta i enlighet med villkoren för beviljande och användning. Innehavaren ska i synnerhet vidta skäliga åtgärder för att skydda betalningsinstrumentet och tillhörande personliga säkerhetsbehörighetsupgifter. Villkoren för beviljande och användning av betalningsinstrumentet får inte vara ogrundade, oskäliga eller diskriminerande.
I lagens 62 § (Betaltjänstanvändares ansvar för obehörig användning av betalningsinstrument) föreskrivs följande:
En betaltjänstanvändare som har ingått avtal om ett betalningsinstrument med en tjänsteleverantör ansvarar för användningen av ett betalningsinstrument som har förlorats eller orättmätigt innehas av någon annan eller för annan obehörig användning av betalningsinstrumentet endast om den obehöriga användningen beror på att betaltjänstanvändaren eller någon annan innehavare av betalningsinstrumentet
1) har överlåtit det till någon som inte är behörig att använda det,
2) av vårdslöshet har försummat sina skyldigheter enligt 53 § 1 mom., eller
3)har försummat att utan ogrundat dröjsmål efter upptäckten underrätta tjänsteleverantören eller någon annan som denne utsett om att betalnings-instrumentet har förlorats, orättmätigt innehas av någon annan eller används obehörigen.
I de fall som avses i 1 mom. 2 och 3 punkten är betaltjänstanvändarens ansvar för obehörig användning av betalningsinstrumentet högst 50 euro. Denna begränsning tillämpas dock inte om betaltjänstanvändaren eller någon annan innehavare av betalningsinstrumentet har handlat avsiktligt eller grovt vårdslöst.
Betaltjänstanvändaren ansvarar inte för obehörig användning av betalningsinstrumentet
1) till den del som betalningsinstrumentet har använts efter att tjänsteleverantören eller någon annan som denne utsett har underrättats om att betalningsinstrumentet förlorats, orättmätigt innehas av någon annan eller används obehörigen,
2) om tjänsteleverantören har försummat att se till att en innehavare av ett betalningsinstrument har möjlighet att när som helst göra anmälan enligt 1 punkten,
3) om betalningsmottagaren vid användningen av betalningsinstrumentet inte vederbörligen har försäkrat sig om betalarens rätt att använda instrumentet, eller
4) om tjänsteleverantören inte har krävt stark kundautentisering av betalaren.
Trots 3 mom. är betaltjänstanvändaren ansvarig för obehörig användning av ett betalningsinstrument, om användaren eller någon annan innehavare av betalningsinstrumentet avsiktligt har lämnat en oriktig anmälan eller annars handlat bedrägligt.
Den punkt i bankens allmänna kortvillkor som gäller kortinnehavarens ansvar för obehörig användning av kortet motsvarar de tvingande bestämmelser till förmån för konsumenter som finns i 62 § i betaltjänstlagen.
I kortvillkoren sägs följande i punkten Förvaring av Kort och Personlig kod samt anmälan om förkommet Kort:
Kortinnehavaren förbinder sig att förvara och hantera Kortet och den därtill hörande Personliga koden omsorgsfullt och så att utomstående inte har möjlighet att få vetskap om dem eller möjlighet att använda dem.
Kortet ska förvaras omsorgsfullt så att det inte skadas, utsätts för ovanligt stor påfrestning eller bryts. Kortinnehavaren ska regelbundet och på ett sätt som omständigheterna förutsätter kontrollera att Kortet är i behåll, särskilt i situa-tioner där risken för att Kortet försvinner är stor.
Den Personliga koden ska förvaras helst i minnet och på ett annat ställe än Kortet så att en utomstående inte kan få tag på den och inte heller kombinera den med kortet.
Kortinnehavaren ska när han eller hon slår in sin Personliga kod skydda tang-entbordet så att utomstående inte kan se tangentkombinationen.
[…]
Kortinnehavaren förbinder sig att inte skriva upp den Personliga koden i en lätt identifierbar form.
[…]
Om Kortet förkommer eller råkar i en utomståendes händer eller om den Personliga koden kommer till en utomståendes kännedom ska banken utan dröjsmål underrättas. […]
Bedömning
Banknämnden anser att det i ärendet är ostridigt vilket händelseförloppet var och att en utomstående person utan att kunden märkte det lyckades tillgripa kundens plånbok och telefon ur hans ryggsäck samt att gärningspersonen med hjälp av den sista delen i kundens personbeteckning, som fanns på kundens ID-kort och som gärningspersonen fick kännedom om, låste upp telefonen och efter det hittade information i telefonen om pinkoden till kundens kort.
I fallet har banken ansett att kunden svarar för den obehöriga användningen av kortet enkom på den grunden att den personliga pin-koden för kundens kort har varit lättillgänglig och identifierbar och kunden har försummat att fullfölja sina med kortvillkoren förenliga skyldigheter som gäller förvaring av pinkoden. Banken har inte hänvisat till att kunden skulle ha försummat sina skyldigheter vad gäller förvaring av kortet, kontroll av att kortet är i behåll eller görande av spärranmälan, och därmed bedömer Banknämnden inte kundens förfarande till dessa delar, utan bara vad beträffar förvaringen av pinkoden.
Enligt kortvillkoren ska den personliga koden förvaras helst i minnet och på ett annat ställe än kortet så att en utomstående inte kan få tag på den och inte heller kombinera den med kortet, och kortinnehavaren förbinder sig att inte skriva upp den personliga koden i en lätt identifierbar form.
Banknämnden konstaterar att det i ärendet inte har fåtts någon utredning om var och i vilken form kunden hade sparat informationen om kortets pinkod i sin telefon. När nämnden emellertid beaktar den utredning som erhållits i ärendet och i synnerhet att det gick bara omkring 20 minuter mellan den sista närbetalningen som kunden själv gjorde och det första obehöriga automatuttaget anser nämnden att pinkoden till kundens kort måste ha funnits i kundens telefon på ett ställe där det var lätt för den som stal telefonen att hitta den, och att pin-koden måste ha haft en form som gjorde att den var lätt att identifiera som kortets pinkod. Före det måste gärningspersonen dock ha lyckats med att låsa upp telefonen, och för det behövde hen upptäcka ID-kortet som fanns i kundens plånbok och dessutom komma underfund med att kunden har använt den sista delen av sin personbeteckning som kod som låste upp telefonen.
Banknämnden anser att kunden av vårdslöshet försummade sina skyldigheter enligt 53 § 1 mom. i betaltjänstlagen och enligt kortvillkoren i och med att han i sin telefon hade sparat pinkoden till sitt kort i en form som var lätt att hitta och identifiera och i och med att han tillsammans med kortet förvarade sin telefon och sitt ID-kort, med hjälp av vilket det var möjligt att komma underfund med den kod som låste upp telefonen. Nämnden anser emellertid att kundens förfarande inte kan jämställas direkt med att han skulle ha förvarat sin pinkod i lätt identifierbar form, till exempel skriven på en papperslapp, i plånboken tillsammans med sitt kort.
När man tar hänsyn till att kundens telefon var låst och att öppnandet av låset förutsatte att plånboken och ID-kortet i den stals och dessutom – särskilt med tanke på tidtabellen i det här fallet – till att telefonen framgångsrikt låstes upp, vilket är att betrakta som mycket osannolikt, anser nämnden att kundens förfarande när det gäller förvaringen av kortets pinkod inte kan anses visa att han ställer sig klart likgiltig till de säkerhetsrisker som hänför sig till innehavet och användningen av kortet. Hans förfarande visar därmed inte på sådan grov vårdslöshet som avses i betaltjänstlagen. Således ska kundens ansvar för den skada som den obehöriga användningen av bankkoderna medfört begränsas till 50 euro.
Slutledningar
Banknämnden rekommenderar att banken åtar sig att svara för den skada som uppkommit i ärendet, till den del den överstiger 50 euro.
Banknämnden var enhällig.
BANKNÄMNDEN
Ordförande Sillanpää
Sekreterare Hidén
Medlemmar:
Atrila
Piilo
Punakivi
Tervonen