Tapahtumatiedot

Tapahtuma-aikaan 16-vuotias asiakas on ollut verkossa myymässä farkkuja, kun hän on joutunut petoksen uhriksi, minkä seurauksena rikolliset ovat päässeet 1.9.2024 klo 14:41 kirjautumaan asiakkaan verkkopankkiin omalla laitteellaan. Verkkopankkiin kirjautuminen on vahvistettu asiakkaan puhelimessa olleella pankin tunnistussovelluksella. Verkkopankissa rikolliset ovat muuttaneet asiakkaan korttiostosten vuorokausikohtaisen turvarajan 300 eurosta 30.000 euroon ja siirtäneet asiakkaan säästämiseen käyttämältä käyttötililtä tililtä asiakkaan käyttötilille 2.000 euroa klo 14:44 ja 1.500 euroa klo 14:47. Asiakkaan debit-kortti oli liitettynä käyttötiliin, jolle em. siirrot tehtiin. Turvarajan muuttamisen ja asiakkaan tilien välillä tehtyjen oikeudettomien siirtojen yhteydessä pankki ei ole edellyttänyt vahvaa tunnistamista.

Asiakkaan korttitietoja käyttäen rikolliset ovat tehneet verkossa kaksi korttimaksua. 2.000 euron korttimaksu on vahvistettu asiakkaan tunnistussovelluksella klo 14.45 ja 1.475 euron korttimaksu klo 14.48. Jälkimmäinen korttimaksu on hylätty, koska korttimonitorointi oli asettanut kortille rajoituksen.

Asiakkaan valitus

Asiakas vaatii ensisijaisesti, että pankki korvaa asiakkaalle aiheutuneen vahingon kokonaisuudessaan (noin 2 000 euroa) sillä perusteella, että pankin turvallisuusjärjestelyt ovat olleet puutteelliset alaikäisen asiakkaan suojaamisessa ja pankki on laiminlyönyt velvollisuutensa edellyttää vahvaa tunnistamista toimenpiteiltä, jotka ovat mahdollistaneet vahingon syntymisen. Toissijaisesti asiakas vaatii pankkia korvaavan vahingon vähintään siltä osin kuin se on aiheutunut omien tilien välisistä siirroista, jotka on tehty ilman vahvaa tunnistamista.

Alaikäinen asiakas joutui huijauksen uhriksi nettikirpputorikaupan yhteydessä. Hän oli myymässä farkkuja ja luuli, että hänen tulee tunnistautua ja antaa debit-korttinsa numero, jotta voi vastaanottaa rahaa. Asiakas on huijarin harhauttamana hyväksynyt huijarin kirjautumisen verkkopankkiinsa pankin tunnistussovelluksellaan. Tämän jälkeen huijari teki seuraavat toimenpiteet yhden verkkopankki-istunnon aikana ilman lisävahvistuksia: (a) siirsi varoja säästötililtä käyttötilille, (b) muutti debit-kortin käyttörajoja ja (c) toteutti korttimaksut. Ilman näitä ilman vahvaa tunnistamista tehtyjä välivaiheita vahinko olisi rajoittunut käyttötilin pieneen saldoon (alle 100 euroa).

Huijaus huomattiin noin 30 minuutin päästä ja pankkiin ilmoitettiin asiasta. Asiakas ei tietenkään itse ole hyväksynyt luottokortilta tehtyä 2.000 euron veloitus. Asiakas ei muista hyväksyneensä muuta kuin pankkiin sisäänkirjautumisen ja 46 euron vastaanottamisen, johon hän käytti pin-koodiaan, ja hyväksyessään toimeksiantoja hänen kännykässään on näkynyt aivan toiset tiedot kuin nämä 2.000 ja 1.500 euron nostot. Tätä hän ei kuitenkaan tietenkään jälkikäteen pysty todistamaan. Ei voi olettaa, että 16-vuotias lapsi voidaan osoittaa käyttäneen törkeää huolimattomuutta asian suhteen tai hyväksyneen 2.000 euron veloituksen, kun häneltä on pyydetty tilitietoja rahan palautukseen.

Asiakas ei koe saaneensa pankilta riittävää selvitystä siitä, mitkä tapahtumista ja miten asiakas on hyväksynyt omalla puhelimellaan ja pin-koodillaan. Asiakas ei osaa alaikäisenä arvioida, miten on mahdollista, että pankin järjestelmiin on teknologisesti mahdollista rikollisten tunkeutua ja maskeerata käyttöliittymää siten, että asiakkaana luulee antavansa hyväksynnän aivan toiselle toimenpiteelle. Asiakas ei koe jatkossa rahojensa olevan turvassa pankissa.

Vanhemmat ovat hakeneet pankkikorttia käyttelytilille (jolla on tyypillisesti rahaa alle 100 euroa) alaikäiselle tyttärelleen, jotta hän voi tehdä pienehköjä ostoja esimerkiksi lähikaupasta. Pankki katsoo, että on aivan ok ja heidän korttiehtojensa mukaista, että alaikäinen asiakas voi muuttaa omilla tunnuksillaan pieniin päivittäisostoksiin hankitun debit-kortin käyttörajan 10 000 euroksi ja korttikohtaiset käyttörajat 30 000 euroksi, tehdä tilisiirrot säästötililtä käyttötilille, ja että huijari pystyi tekemään oheiset toimet yhdessä verkkopankki-istunnossa ilman lisävahvistuksia. Asiakas kyseenalaistaa, onko tämä vastuullista ja säätelyn mukaista pankkitoimintaa, ja onko alaikäisten pankkiasiakkaiden vanhemmille riittävästi tiedotettu verkkopankkisopimusta tehdessä, että tällaiset muutokset ovat mahdollisia.

Pankin toiminnasta:
1. Asiakkaan vanhemmat eivät lapsensa huoltajina näe kortille käyttörajoja eikä heillä siten ole holhoajina ollut mahdollisuutta tarkistaa ja/tai muuttaa verkkopankista alaikäisen käyttelytilille otetun debit-kortin käyttörajoja. He eivät voineet kuvitella, että alaikäisen pankkikortin oletus käyttöraja on 3.000 euroa
2. Pankki ei tehnyt mitään estääkseen rahan siirron tililtä silloin kun se näkyi vasta katevarauksena.
3. Pankki ei selvittänyt asiaa TransferGo yrityksen kanssa ripeästi, jolloin asialle voisi vielä tehdä jotain.
4. Pankin mukaan tilien välisellä siirrolla ei ole ollut vaikutusta vahingon määrään, mutta vahingon määrään tietenkin vaikutti se, että huijari pystyi siirtämään rahoja säästötililtä käyttötilille ilman erillistä vahvistusta. Vanhemmilla ei holhoajina ole ollut edes mahdollisuutta muuttaa asetuksia niin, että tilien väliset siirrot vaatisivat erillisen vahvistuksen (, joka on mahdollista muissa eurooppalaisissa pankeissa).

Sisäinen siirto ilman vahvaa tunnistamista

Koko vahinkotapahtuma on kokonaisuus ja tulisi käsitellä sellaisenaan. Ilman että huijari olisi pystynyt muuttamaan käyttö-/nostorajoja ja tekemään tilisiirtoja ei koko vahinkoa olisi pystynyt tapahtumaan. Ajatus että nämä tapahtumaketjun tapahtumat ovat "itsenäisiä tapahtumia" on absurdi, koska kaikki toimet tähtäsivät vain huijauksen tekemiseen.  Toimenpiteet mitä huijari pystyi tekemään verkkopankissa ilman vahvistusta mahdollistivat huijarin aiheuttaman vahingon tapahtumisen.

Maksupalvelulain 62 §:n 3 momentin 4 kohdan mukaan maksupalvelun käyttäjä ei vastaa maksuvälineen oikeudettomasta käytöstä, jos palveluntarjoaja ei ole edellyttänyt maksajan vahvaa tunnistamista. Tämä säännös on ehdoton: kun pankki sallii maksutapahtumien tekemisen ilman vahvaa tunnistamista, pankki ottaa vastuulleen riskin maksuvälineen oikeudettomasta käytöstä. Pankki vetoaa komission delegoidun asetuksen (EU) 2018/389 III luvun 15 artiklaan, joka sallii poikkeuksen vahvasta tunnistamisesta tietyissä tilanteissa. Sääntelyn sallima poikkeus ei kuitenkaan vapauta pankkia maksupalvelulain 62 §:n 3 momentin 4 kohdan mukaisesta vastuusta. Tämä on nimenomaisesti vahvistettu Pankkilautakunnan ratkaisukäytännössä. Pankin väite siitä, ettei omien tilien välisellä siirrolla ole syy-yhteyttä asiakkaan kärsimään vahinkoon, on suorassa ristiriidassa lautakunnan vakiintuneen ratkaisukäytännön kanssa. Asiakas viittaa ratkaisuihin FINE-075040 ja FINE-65029-Q5Q1V, joihin asiakkaan tapaus on täysin rinnastettavissa. Ilman sisäistä siirtoa vahingon määrä olisi rajoittunut käyttötilin saldoon, joka oli alle 100 euroa. Syy-yhteys on välitön ja kiistaton. Pankki on siten velvollinen vastaamaan näiden oikeudettomien tapahtumien seurannaisvahingosta. Siten koko säästötililtä siirretty ja sittemmin huijattu summa kuuluu pankin vastuulle.

Kortin käyttörajan muuttaminen ilman vahvaa tunnistamista

Debit-kortin käyttörajojen muuttaminen verkkopankissa ilman vahvaa sähköistä tunnistautumista on merkittävä turvallisuuspuute. Maksupalveludirektiivin (PSD2) 97 artiklan 1 kohdan c alakohdan mukaan vahvaa tunnistamista on edellytettävä, kun maksaja "toteuttaa etäkanavan kautta minkä tahansa toimen, joka voi johtaa maksupetokseen tai muunlaisen väärinkäytöksen riskiin". Kortin käyttörajan merkittävä nostaminen verkkopankissa on nimenomaan tällainen toimi, johon sisältyy ilmeinen väärinkäytöksen riski. Käyttörajan nostaminen mahdollisti huijarille suuremmat korttimaksut kuin mitä alkuperäiset rajat olisivat sallineet.

Pankin olisi tullut edellyttää vahvaa tunnistamista käyttörajan muuttamiselle, tai vähintään lähettää siitä erillinen ilmoitus myös huoltajille. Koska pankki ei tätä tehnyt, pankki on osaltaan myötävaikuttanut vahingon syntymiseen ja sen laajuuteen.

Alaikäisen asema ja huolimattomuuden arviointi

Holhoustoimilain (442/1999) mukaan alle 18-vuotias henkilö on vajaavaltainen. Vajaavaltaisen oikeustoimikelpoisuus on rajoitettu, ja hänen taloudellisista asioistaan huolehtivat edunvalvojat eli lähtökohtaisesti huoltajat. Tämä oikeudellinen lähtökohta on otettava huomioon arvioitaessa alaikäisen huolimattomuutta maksupalvelulain 62 §:n soveltamisessa. Lainkohdan mukaisen huolimattomuuden arviointi on hallituksen esityksen (HE 169/2009 vp) mukaan kokonaisarviointia, jossa otetaan huomioon muun ohella vahinkoriskin suuruus ja varotoimenpiteiden toteuttamismahdollisuus. Alaikäisen kohdalla on otettava huomioon hänen ikänsä, kehitystasonsa ja kykynsä arvioida monimutkaisia digitaalisia uhkatilanteita. Alaikäiseltä ei voida kohtuudella edellyttää samaa kykyä tunnistaa ammattimaisesti toteutettuja huijausyrityksiä kuin aikuiselta.

Pankki toteaa vastineessaan, että alaikäinen on itse vastuussa palvelun käyttämisestä ja tunnusten säilyttämisestä, ja että huoltajien vastuulla on tutustua ehtoihin ja arvioida, milloin alaikäinen on valmis saamaan pankkipalveluita käyttöönsä. Tämä argumentti on ongelmallinen useasta syystä. Ensinnäkin pankki ei ole riittävästi informoinut huoltajia siitä, että alaikäinen voi verkkopankissaan ilman lisävahvistuksia muuttaa korttinsa käyttörajoja ja tehdä omien tilien välisiä siirtoja. Nämä ovat nimenomaan sellaisia toimintoja, joista huoltajien olisi pitänyt olla tietoisia voidakseen arvioida palvelun turvallisuusriskit. Toiseksi pankki itsekin toteaa, että jos huoltajat haluavat muuttaa lapsensa kortin käyttörajoja, muutokset on hoidettava soittamalla asiakaspalveluun tai käymällä konttorissa. Tämä osoittaa, että pankki on tunnistanut käyttörajojen muuttamiseen liittyvän riskin, mutta siitä huolimatta sallinut alaikäisen tehdä samat muutokset itsenäisesti verkkopankissa ilman erityisiä suojamekanismeja. Kolmanneksi pankilta voidaan edellyttää erityistä huolellisuutta tarjotessaan palveluja alaikäisille. Hyvän pankkitavan mukaisesti pankin tulisi huolehtia siitä, että alaikäisen tilin turvallisuusmekanismit ovat riittävät suojaamaan alaikäistä hänen ikäänsä ja kehitystasoaan vastaavalla tavalla.

Pankin maksutapahtumien valvontavelvollisuus

Maksupalvelusääntelyn perusteella pankeilla on oltava käytössään maksutapahtumien valvontamekanismit, joiden avulla ne voivat havaita oikeudettomat ja petolliset maksutapahtumat. Tässä tapauksessa yhden verkkopankki-istunnon aikana tehtiin poikkeuksellinen tapahtumaketju alaikäisen tilillä: säästötilin tyhjentäminen, kortin käyttörajojen nostaminen ja välittömästi sen jälkeen useita korttimaksuja. Tällaisen tapahtumaketjun olisi tullut laukaista pankin petostentunnistusjärjestelmässä hälytys, erityisesti kun kyseessä on alaikäisen tili.

Hyvä pankkitapa ja alaikäisen asiakkaan suojelu

Finanssiala ry:n hyvän pankkitavan säännösten mukaan pankin tulee toiminnassaan noudattaa asianmukaista huolellisuutta. Alaikäisten asiakkaiden kohdalla tämä velvoite korostuu. Pankin tulisi varmistaa, että alaikäiselle tarjotut palvelut ovat turvallisia ja tarkoituksenmukaisia hänen ikäänsä nähden. Pankin järjestelmä, jossa alaikäinen voi itsenäisesti muuttaa korttinsa käyttörajoja, tehdä omien tilien välisiä siirtoja ja toteuttaa korttimaksuja kaikki yhden istunnon aikana ilman lisävahvistuksia tai huoltajille lähetettäviä ilmoituksia, ei vastaa hyvän pankkitavan vaatimuksia.

Pankin vastine

Valitettavasti pankki ei jaa asiakkaan näkemystä vastuunjaosta. Laki, sopimusehdot ja vastaavissa tapauksissa noudatettu ratkaisukäytäntö puoltavat sitä, ettei kyse ole ollut oikeudettomasta maksutapahtumasta, josta aiheutuneesta vahingosta pankki vastaisi. Näin siksi, että asiakas on antanut maksutapahtuman veloittamiseen suostumuksensa, vaikkakin vääriksi osoittautuneisiin tietoihin luottaen.

Tapahtumainkulku

Pankin tulkinnan mukaan tapauksessa on kysymys ns. kalasteluhuijauksesta, jossa asiakas luulee tunnistautuvansa "Matkahuollon" palveluun, mutta sen sijaan hyväksyy rikollisen kirjautumisen verkkopankkiinsa, jossa rikollinen tekee asiakkaan omien tilien välisen siirron. Tämän jälkeen asiakas vahvistaa pankin tunnistussovelluksellaan lähtevän korttimaksun. Pankin tunnistussovellus, jolla tapahtumat vahvistettiin, on aktivoitu käyttöön 12.9.2023. Ensimmäinen vahvistuspyyntö:
Haluan kirjautua palveluun
[Pankin verkkopankki]
Kirjautumistunniste:
KLRK
Varmista ennen vahvistamista että sama kirjautumistunniste näkyy tunnistautumisnäkymässä.
Tapahtuma on vahvistettu 1.9.2024 klo 14:41.

Päästyään sisään verkkopankkiin rikolliset ovat katsoneet asiakkaan Visa debit -kortin saldon ja asiakkaan tilit sekä muuttaneet kortin vuorokausikohtaisia turvarajoja suuremmiksi. Ensimmäinen omien tilien välinen siirto oli suuruudeltaan 2.000 euroa ja se toteutettiin 1.9.2024 klo 14:44:49 käyttötililtä -4217 (jonka asiakas on itse nimennyt tilin osakkeiden hoitotiliksi) käyttötilille -1495, johon on liitetty asiakkaan Visa debit -kortti. Toinen tilisiirto oli suuruudeltaan 1.500 euroa ja se toteutettiin 1.9.2024 klo 14:47:56 käyttötililtä -4217 käyttötilille -1495. Omien tilien välisistä siirroista ei lähetetä vahvistusviestiä pankin tunnistussovellukseen eikä edellytetä vahvistusta tunnistussovelluksella. Uhrilla oli käyttötilillään, johon kortti oli sidottu, ennen huijareiden tekemiä omien tilien välisiä siirtoja 276,20 euroa.

Omien tilien välisten siirtojen jälkeen rikolliset tekivät korttitapahtuman, josta lähetettiin pankin tunnistussovellukseen vahvistuspyyntö.
Nets pyytää vahvistusta
Haluatko suorittaa Visa korttimaksun?
Saaja: TRANSFERGO
Summa: 2 000,00 EUR
Kortti: **** **** **** 7478
Aika: 1.9.2024
Tapahtuma on vahvistettu 01.09.2024 klo 14:45.

Tämän jälkeen rikolliset yrittivät tehdä toisen korttitapahtuman, josta lähetettiin pankin tunnistussovellukseen vahvistuspyyntö.
Nets pyytää vahvistusta
Haluatko suorittaa Visa korttimaksun?
Saaja: TRANSFERGO
Summa: 1 475,00 EUR
Kortti: **** **** **** 7478
Aika: 1.9.2024
Tapahtuma on vahvistettu 1.9.2024 klo 14:48, mutta se hylkääntyi, koska kortille oli asetettu rajoitus korttimonitoroinnista.

Omien tilien välinen siirto ei edellytä vahvaa tunnistamista, sillä varat eivät niissä siirry asiakkaan kontrollin ulkopuolelle. Tapahtuma, jossa varat ovat siirtyneet rikolliselle, on toteutettu asiakkaan antaman vahvistuksen perusteella.

Käyttötilissä -4217, josta sisäiset siirrot on tehty, on asiakas tilinomistaja ja vanhemmat ovat käyttöoikeudenhaltijoita. Molemmilla vanhemmilla on tähän katseluoikeudet verkkopankissa. Käyttötilissä -1495, johon raha on siirtynyt, on asiakas tilinomistaja ja vanhemmat käyttöoikeudenhaltijoita. Molemmilla vanhemmilla on tähän katseluoikeudet ja laskujen maksuoikeudet verkkopankissa.

Pankin tietojen mukaan kortilla ei ole ollut 3.000 euron käyttörajaa. Sen sijaan asiakkaan Visa debit -kortin nostoraja automaatilla on ollut 100 euroa. Huijari on muuttanut sen 10.000 euroksi 1.9.2024 klo 14.42 samassa verkkopankki-istunnossa, jossa myös omien tilien väliset siirrot on tehty. Korttiostosten vuorokausikohtainen 300 euron raja on niin ikään huijarin toimesta muutettu 30.000 euroksi samassa verkkopankki-istunnossa. Korttien turvarajoja voi muuttaa mobiili- tai verkkopankissa, jolloin niitä voi muuttaa ainoastaan kortinhaltija, koska vain hänellä on omat pankkitunnukset käytössään.

Sovellettava lainsäädäntö ja sopimusehdot

Maksupalvelulain 38 §:n mukaan maksutapahtuma saadaan toteuttaa vain maksajan suostumuksella. Maksutapahtumaa pidetään oikeudettomana, jollei maksaja ole antanut siihen suostumustaan sovitulla tavalla.

Holhoustoimilain mukaan alle 18-vuotias henkilö on vajaavaltainen. Lapsen oikeustoimikelpoisuus, eli kelpoisuus tehdä itseään sitovia oikeustoimia eli sopimuksia, on rajoitettu. Lapsen taloudellisia ja muita oikeudellisia asioita hoitaa edunvalvoja, joka on lähtökohtaisesti tämän huoltaja.

Pankin ja asiakkaan sopimukseen pankkitunnuksista sovelletaan pankin pankkitunnuksilla käytettävien palvelujen yleisiä sopimusehtoja. Ehtojen lisäksi huoltajat ovat saaneet Pankkitunnusten turvallinen käyttö -liitteen, jossa kerrotaan miten pankkitunnuksia käytetään turvallisesti. Sen lisäksi korttipohjaisissa tapahtumissa sovelletaan pankin yleisiä korttiehtoja, jossa sovitaan kortin käyttämisestä ja käyttöön liittyvästä vastuusta.

Ehtojen mukaan tunnistautumistiedot palvelun edellyttämällä tavalla annettuna vastaavat asiakkaan allekirjoitusta. Kaikki maksut, toimeksiannot, hakemukset, sopimukset sekä muut tahdonilmaisut ja viestit, jotka on tehty käyttäen asiakkaan tunnistautumistietoja sitovat asiakasta tai sitä, jota asiakas edustaa, sen jälkeen, kun tunnistautumistiedot on annettu pankille verkkopankkipalvelun edellyttämällä tavalla.

Vastuu pankkitunnuksilla vahvistetusta maksusta

Kun asiakas antaa pankille maksupalvelulain mukaisen suostumuksensa maksun veloittamiseen, maksu ei ole oikeudeton, vaikka maksu jälkikäteen osoittautuisikin liittyvän verkkorikollisuuteen ja huijaustapaukseen. Pahoiteltava erehtyminen maksun todellisesta luonteesta ei kuitenkaan siirrä vastuuta maksutapahtumasta pankille, kun maksutapahtuma tehdään asiakkaan suostumuksella käyttäen maksupalvelulaissa tarkoitettua vahvaa tunnistamista. Pankin lokitietojen perusteella riidanalainen maksu on vahvistettu asiakkaan pankin tunnistussovelluksella, jossa olennaiset maksutiedot näytetään myös maksun hyväksymisen yhteydessä. Kun asiakas antaa vahvistuspyynnön perusteella pankille suostumuksensa maksun veloittamiseen, maksu ei ole oikeudeton maksupalvelulain 38 §:n mukaan, vaikka jälkikäteen osoittautuisikin, että maksu liittyy tietojenkalasteluun ja verkkorikollisuuteen. Siten pankilla ei ole velvollisuutta korvata asiakkaalle vahinkoa, joka on aiheutunut riidan kohteena olevasta maksusta.

Asiakkaan joutuminen petoksen uhriksi on erittäin valitettavaa. Pankin on kuitenkin kohdeltava kaikkia samassa tilanteessa olevia asiakkaitaan yhdenvertaisesti. Voimassa olevasta lainsäädännöstä johtuu, että tietojenkalastelutapaukset, joissa asiakas itse hyväksyy maksun, eivät kuulu pankin taloudellisen vastuun piiriin.

Tyypillisesti rikolliset ovat vastaavissa Marketplace-kalasteluhuijauksissa ohjanneet asiakkaan valesivustolle. Rikolliset lähettävät uhrilleen linkin ja uhri siirtyy sitä kautta rikollisten sivulle, jossa uhri huijataan antamaan verkkopankkiin kirjautumiseen tarvittavat tiedot. Asiakas siis tyypillisesti syöttää tunnuksensa huijarin tekemälle sivulle, josta tunnukset siirtyvät huijarin käyttöön. Tämän jälkeen asiakas itse hyväksyy kirjautumisen verkkopankkiin. Näin asiakas hyväksyy huijarin pääsyn omaan verkkopankkiinsa. Huijari voi verkkopankin sisällä tehdä itselleen tai toisen rikollisen tilille maksutoimeksiannon, joka aina edellyttää asiakkaan suostumuksen pankin tunnistussovellus -laitteella. Rikolliset huijaavat uhreja antamaan suostumuksen esim. kiireeseen vedoten. Joskus uhrien on vaikea mieltää, että he hyväksyvät maksutoimeksiantoa, kun he olettavat saavansa varoja tililleen. Tämä on myös rikollisilta tyypillistä toimintaa, joissa asiakkaiden mielentilaa käytetään hyväksi.

Maksun vastaanottamista ei erikseen vahvisteta. Maksu myös vastaanotetaan ilman, että asiakas toimittaa pankkitunnuksensa, korttinsa tietoja tai muitakaan tietoja ulkopuoliselle. Tyypillisesti vastaava huijausmuoto perustuu juuri tähän, eli uhri harhautetaan antamaan tiedot huijarin esittämässä dialogissa.

Pankin tunnistussovelluksessa näkyy aina selkeästi, mille asiakas kulloinkin antaa suostumuksensa. Kyse voi olla esim. verkkopankkiin kirjautumisesta tai maksutoimeksiannon hyväksymisestä. Maksutoimeksiantoja hyväksyttäessä summa ja vastaanottaja näytetään aina tunnistussovelluksessa. Kun maksuja vastaanotetaan, ei maksun lähettäjälle tarvitse koskaan lähettää vastaanottajan henkilökohtaisia PIN-koodeja tai pankkitunnuksia.

Huijari oli päässyt asiakkaan verkkopankkiin sen jälkeen, kun asiakas oli hyväksynyt huijarin kirjautumisen verkkopankkiinsa tunnistussovelluksella. Asiakas voi omassa verkkopankissaan tehdä muutoksia korttinsa käyttörajoihin. Tämä on mahdollista ilman vahvaa sähköistä tunnistautumista. Jos huoltajat haluavat muuttaa lapsensa kortin käyttörajoja, muutokset hoidetaan soittamalla asiakaspalveluun tai käymättä konttorissa, jolloin pankki voi myös varmistua siitä, että huoltajien väliset valtuutukset ovat kunnossa.

Mikäli maksun katsottaisiin aiemmin kerrotusta huolimatta olevan oikeudeton, pankki katsoo toissijaisesti asiakkaan vastaavan vahingosta maksupalvelulain 62 §:n perusteella, koska asiakas on kokonaisuutena katsoen toiminut törkeän huolimattomasti antaessaan pankkitunnuksensa ja hyväksyessään verkkopankkikirjautumisia ja maksuja useaan eri otteeseen ja pankki katsoo, että asiakkaan kuvaama vahinko on syntynyt tämän johdosta.

Kortin maksuraja

Asiakas vetoaa kortin turvarajan muuttamisen osalta maksupalveludirektiiviin, joka on implementoitu maksupalvelulain 85c §:ään, jonka mukaan "Palveluntarjoajan on käytettävä vahvaa tunnistamista, jos maksaja: […] 3) toteuttaa etäkanavan kautta toimen, johon voi liittyä väärinkäytöksen riski." Kyseisen pykälän mukaan vahva tunnistaminen ei ole ehdoton ja nimenomainen vaatimus. Sen sijaan palveluntarjoajan on arvioitava, liittyykö toimeen väärinkäytöksen riski. Jotta turvarajaa voidaan muuttaa, tulee asiakkaan vahvasti tunnistautua verkkopankkiinsa. Sen lisäksi maksutapahtuman toteuttaminen on edellyttänyt korttitietojen hallintaa ja vahvaa tunnistamista.

Sisäiset siirrot

Pankkia on pyydetty myös esittämään näkemyksensä siitä, miten ilman vahvaa tunnistamista tehdyt siirrot asiakkaan säästötililtä tämän käyttötilille ovat vaikuttaneet asiassa toteutuneen vahingon määrään.

Omien tilien väliset siirrot huijari teki kahden sellaisen tilin välillä, joissa asiakas yksin oli tilinomistajana. Niinikään käyttöoikeudenhaltijat ovat samat molemmissa tileissä. Molempien tilien osalta tilinomistaja on siis asiakas ja käyttöoikeudenhaltijat asiakkaan vanhemmat.

Pankin näkemyksen mukaan vahinkoa ei ole tapahtunut, kun omien tilien välinen siirto on tehty. Varat ovat edelleen olleet asiakkaan hallussa. Tilien välisellä siirrolla ei ole pankin näkemyksen mukaan ollut vaikutusta vahingon määrään. Lopullinen tilisiirto kolmannen tilille on toteutettu asiakkaan suostumuksella. Kun asiakas on vahvistanut maksun huijarille, hänelle on vahvistus- ja lisävahvistuspyynnössä näytetty summa, joka vahvistuksen myötä siirretään.

Komission delegoidun asetuksen (EU) 2018/389 (koskien teknisiä sääntelystandardeja vahvasta tunnistamista sekä yhteisistä ja turvallisista avoimista viestintästandardeista) mukaan pankilla ei ole velvollisuutta käyttää vahvaa tunnistamista sellaisten tilisiirtojen osalta, jossa maksaja ja maksunsaaja ovat sama.

Pankki ei jaa Pankkilautakunnan näkemystä aiemman ratkaisun FINE-075040 perusteluista siltä osin, kun lautakunta on katsonut pankin vastaavan vahingon siitä määrästä, joka on siirretty verkkopankin sisäisenä siirtona asiakkaan vallinnassa olevien tilien välillä ilman maksajan vahvaa tunnistamista. Lautakunta on todennut kyseisessä ratkaisussaan, että lähtökohtaisesti asiakas vastaa suostumuksellaan tehdystä maksutapahtumasta aiheutuneesta vahingosta asiakkaan ja pankin välisessä suhteessa. Lautakunta on kuitenkin arvioinut kokonaisselvityksen perusteella, että omien tilien välinen siirto on vaikuttanut aiheutuneen vahingon määrään ja että pankki vastaa vahingosta tältä osin. Pankin vastuuseen liittyvät juridiset perustelut jäävät lautakunnan ratkaisussa epäselviksi.

Nyt kysymyksessä olevaan tapaukseen liittyvissä omien tilien välisissä siirroissa ei ole edellytetty vahvaa tunnistautumista komission delegoidun asetuksen (EU) 2018/389 III luvun 15 artiklan perusteella. Maksupalvelulain 62 §:n 3 momentin 4 kohdan mukaan maksupalvelun käyttäjä ei vastaa maksuvälineen oikeudettomasta käytöstä, jos palveluntarjoaja ei ole edellyttänyt maksajan vahvaa tunnistamista. Maksutapahtuma, jossa maksaja ja maksunsaaja ovat olleet sama luonnollinen henkilö, on ollut oikeudeton, mutta maksutapahtumasta ei ole seurannut varallisuusvahinkoa asiakkaalle varojen säilyessä edelleen kokonaisuudessaan asiakkaan vallinnassa. Vahinkoedellytys olisi täyttynyt, jos varat tässä yhteydessä olisivat päätyneet kolmannen osapuolen haltuun. Pankki ei jaa lautakunnan näkemystä siitä, että em. lainkohdan mukaista pankin vastuuta tulkittaisiin niin, että pankki vastaa maksutapahtumasta silloinkin, kun transaktiosta ei ole realisoitunut mitään vahinkoa.

Nyt arvioitavassa tapauksessa omien tilien välisen siirron on oikeudettomasti tehnyt huijari, mutta asiakas ei ole siirron johdosta menettänyt varoja. Omien tilien välinen siirto tapahtuu nimenomaisesti vain asiakkaan vallinnassa olevien tilien, eli sellaisten tilien välillä, joissa asiakas on tilinomistaja tai käyttöoikeudenhaltija. Tämä on peruste sille, että omien tilien väliset siirrot ilman maksajan vahvaa tunnistamista on ylipäätään voitu mahdollistaa sekä sääntelyllisesti että käytännössä.

Jos maksuvälineenä olisi käteinen, tilanne vertautuu siihen, että henkilö siirtää käteistä rahaa taskustaan toiseen taskuunsa. Varat pysyvät ko. henkilön hallinnassa varojen siirtämisestä huolimatta siihen saakka, kunnes hän antaa käteisvarat pois hallustaan ulkopuoliselle henkilölle.

Tapaukseen liittyviä maksutapahtumia tulee arvioida maksupalvelulain 62 §:n nojalla itsenäisinä tapahtumina, ei kokonaisuutena. Vahingon syntymisen välttämätön edellytys on ollut se, että kertaalleen omien tilien välillä siirretyt varat siirretään pois asiakkaan hallussa olevalta tililtä asiakkaan itse tunnistussovelluksellaan antaman suostumuksen perusteella. Tästä syystä pankki katsoo, että pankki ei ole miltään osin vastuussa maksuvälineen oikeudettomasta käytöstä aiheutuneesta vahingosta, koska pankki palveluntarjoajana on nimenomaisesti edellyttänyt vahvaa tunnistautumista sen maksutapahtuman osalta, jolla varat on siirretty asiakkaan tililtä huijarille. Jos huijaus olisi jostain syystä keskeytynyt omien tilien välisen siirron jälkeen, ei mitään vahinkoa olisi myöskään aiheutunut.

Vahingon määrän pieneneminen tai kokonaan toteutumatta jääminen olisi edellyttänyt sitä, että huijari ei olisi lainkaan saanut haltuunsa asiakkaan henkilökohtaisia tunnistetietoja ja että asiakas ei olisi itse vahvistanut huijarin kirjautumista asiakkaan verkkopankkiin tai ainakaan huijarin luomaa maksutapahtumaa. Vahingon välttämättömiä edellytyksiä, conditio sine qua non ja oikeudellisesti relevantteja tapahtumia ovat edellä mainitut toimet eli asiakkaasta itsestään riippuva ja hänen kontrolloitavissaan oleva toiminta.

Asiakas on itse mahdollistanut vahingon syntymiseen luovuttamalla tunnistautumistietonsa huijareille ja hyväksymällä tämän jälkeen vahvistuspyyntöjä pankin tunnistussovelluksessaan. Vastoin Pankkilautakunnan em. aiemmassa ratkaisussaan ottamaa kantaa, pankki katsoo jäävän näyttämättä, mikä merkitys vahvalla tunnistamisella olisi ollut omien tilien välisen siirron toteutumisen ja siten tapauksessa kokonaisuudessaan syntyneen vahingon kannalta. Huijaustilanteessa asiakas on ollut valmis hyväksymään hänelle osoitetut vahvistuspyynnöt, eli kirjautumisen verkkopankkiin ja maksutapahtuman tililtään vieraalle tilille. Vahvan tunnistautumisen käytön suorana seurauksena ei siten voida pitää omien tilien välisen siirron toteutumatta jäämistä eli asiakkaalle aiheutuneen vahingon rajautumista.

Yhteenvetona pankki toteaa, että korvausvelvollisuuden edellytyksenä on vastuuperuste, kyseiseen perusteeseen liittyvä vahinko ja vahingon syy-yhteys korvausvastuuseen johtavaan tekoon, toimintaan tai laiminlyöntiin. Tapauksessa pankin vastuuperuste on maksupalvelulain 62 §:n 3 momentin 4 kohdan mukainen palvelutarjoajan vastuu maksuvälineen oikeudettomasta käytöstä, jos palveluntarjoaja ei ole edellyttänyt maksajan vahvaa tunnistautumista. Kyseiseen perusteeseen liittyvä vahinkoedellytys puuttuu, koska asiakkaalle ei ole aiheutunut mitään varallisuusvahinkoa omien tilien välisen siirron toteuttamisella. Asiakkaan laiminlyönti luovuttaessaan henkilökohtaisia tunnistetietojaan huijareille ja maksun hyväksyminen ovat välttämättömässä syy-yhteydessä aiheutuneeseen vahinkoon, ei omien tilien välinen siirto. Vahingon määrä on ollut riippuvainen siitä, minkä suuruisen maksutapahtuman asiakas on vahvistanut tehtäväksi tililtään ulkopuoliselle taholle.

Maksujen monitorointi

Pankin ja asiakkaan välinen vastuunjako menetetyistä varoista määräytyy maksupalvelulain sekä pankin ja asiakkaan välisessä suhteessa sovellettavien sopimusehtojen perusteella, eikä rahanpesun ja terrorismin rahoittamisen estämisestä annetun lain perusteella. Rahanpesulain pankille asettamat velvoitteet koskevat tilannetta, jossa henkilö on saanut haltuunsa varoja rikoksen kautta ja pyrkii häivyttämään varojen alkuperää pankkijärjestelmää hyödyntäen. Rahanpesulaista ei seuraa pankille reaaliaikaista velvollisuutta estää asiakkaan itse tekemiä maksutapahtumia.

Rahanpesulaki ei velvoita pankkia estämään varsinaista alkurikosta, eli rikosta, josta laittomat varat ovat peräisin ja joka tehdään ennen rahanpesua.  Sen sijaan pankilla on maksupalvelulakiin perustuva velvollisuus toteuttaa asiakkaan antamat maksutoimeksiannot tietyn määräajan puitteissa.

Pankin on rahanpesulain mukaan viipymättä ilmoitettava rahanpesun selvittelykeskukselle epäilyttävästä liiketoimesta. Pankki ei kuitenkaan rahanpesulain mukaisesti saa paljastaa ilmoituksen tekemistä tai selvittelyä sille, johon epäily kohdistuu, eikä muulle henkilölle. Rahanpesulain noudattamisen osalta pankkia valvoo Finanssivalvonta.

Hyvä pankkitapa

Finanssialan julkaiseman Hyvä pankkitapa -ohjeen mukaan pankkien tulee ottaa liiketoiminnassaan huomioon asiakkaan etu. Pankki ei saa kieltäytyä asiakassuhteesta asiakasta syrjivällä perusteella. Pankki antaa tietoja asiakkaalle tarjottavista vaihtoehtoisista palveluista, joista asiakas voi valita haluamansa palvelut. Hyvään pankkitapaan kuuluu, että pankki tuntee asiakkaansa ja hänen taloudellisen tilansa asiakassuhteen edellyttämässä laajuudessa. Hyvä pankkitapa ei edellytä tiettyjä asiakaskohtaisia suojamekanismeja tai ilmoitusvelvollisuuksia.

Pankki tarjoaa alaikäisille pankkipalveluita. Huoltajat edustavat alaikäistä ja arvioivat koska voivat tehdä alaikäisen puolesta sopimuksen. Huoltajat ovat voineet tutustua kyseiseen palveluun ja sen ominaisuuksiin ennen sopimuksen tekoa. Alaikäiset voivat huoltajiensa suostumuksella saada pankkitunnukset käyttöönsä. Huoltajat arvioivat kuitenkin, milloin alaikäinen on valmis saamaan pankkitunnukset käyttöönsä. Kun huoltajat ovat yhteydessä puhelimitse saadakseen pankkitunnukset lapselleen, pankki pyrkii korostamaan heille turvallisuuteen liittyviä seikkoja. Samalla pankki pyrkii kertomaan, että verkkopankkisopimus on tehty alaikäisen nimiin ja alaikäinen on itse vastuussa palvelun käyttämisestä ja tunnusten säilyttämisestä. Pankki pyrkii varmistamaan huoltajilta, että alaikäinen on kykeneväinen käyttämään pankkitunnuksia. On kuitenkin huoltajien vastuulla tutustua ehtoihin sekä arvioida milloin alaikäinen on valmis saamaan eri pankkipalveluita käyttöönsä.

Pankki katsoo toimineensa hyvän pankkitavan ja sääntelyn mukaisesti. Asiakkaille on annettu mahdollisuus tutustua ehtoihin ennen palvelun avaamista ja sopimuksen tekemistä. Ehdot on myös toimitettu huoltajille sekä postitse alaikäiselle sopimuksen allekirjoituksen jälkeen. Pankin verkkosivuilta löytyy kattavasti tietoa pankkipalveluiden tarjoamisesta alaikäiselle sekä pankkitunnusten turvallisesta käytöstä.

Selvitykset

Valitus koskevan osapuolten kirjelmöinnin lisäksi lautakunnalle on toimitettu seuraavat asiakirjat:
- Pankkitunnuksilla käytettävien palvelujen yleiset ehdot
- Pankkitunnusten turvallinen käyttö -asiakirja

Ratkaisusuositus

Kysymyksenasettelu

Asiakkaan ja pankin välisen vastuunjaon ratkaisemiseksi Pankkilautakunnan on ensin ratkaistava, voidaanko asiakkaan katsoa antaneen maksupalvelulain 38 §:ssä tarkoitetun suostumuksensa ko. korttimaksulle vai onko maksutapahtumaa pidettävä oikeudettomana. Mikäli tapauksessa katsotaan olevan kyse maksuvälineen oikeudettomasta käytöstä, on lautakunnan arvioitava, voidaanko maksuvälineen oikeudettoman käytön katsoa johtuneen siitä, että asiakas on huolimattomuudestaan laiminlyönyt lain 53 § 1 momentin sekä kortti- ja pankkitunnusehtojen mukaisia velvollisuuksiaan, sekä minkä asteista asiakkaan mahdollinen huolimattomuus on. Edelleen lautakunnan on arvioitava, vaikuttaako asiakkaan ja pankin välisen vastuunjakoon se, että pankki ei ole edellyttänyt vahvaa tunnistamista asiakkaan omien tilien välisen tilisiirron ja asiakkaan kortin turvarajan muutoksen yhteydessä.

Sovellettavat lainkohdat ja sopimusehdot

Maksupalvelulain 8 §:n (Määritelmät) mukaan

Tässä laissa tarkoitetaan:
[…]
21)yksilöivällä tunnisteella palveluntarjoajan maksupalvelun käyttäjälle määrittämää kirjain-, numero- tai merkkiyhdistelmää, joka maksupalvelun käyttäjän on esitettävä, jotta toinen maksutapahtumaan liittyvä maksupalvelun käyttäjä tai tämän maksutili voidaan yksilöidä;
[…]

Maksupalvelulain 38 §:n (Maksajan suostumus maksutapahtuman toteuttamiseen) 1 momentin mukaan

Maksutapahtuma saadaan toteuttaa vain maksajan suostumuksella. Maksutapahtumaa pidetään oikeudettomana, jollei maksaja ole antanut siihen suostumustaan sovitulla tavalla.

Maksupalvelulain 44 §:n (Yksilöivän tunnisteen käyttö.) mukaan

Palveluntarjoaja saa toteuttaa maksutapahtuman yksilöivän tunnisteen perusteella, vaikka maksupalvelun käyttäjä olisi antanut sen lisäksi muitakin tietoja maksutapahtuman toteuttamiseksi.

Maksupalvelulain 53 §:n 1 momentin mukaan

Maksuvälineen haltijan on käytettävä maksuvälinettä sen myöntämistä ja käyttöä koskevien ehtojen mukaisesti. Erityisesti hänen on kohtuullisin toimenpitein huolehdittava maksuvälineestä ja siihen liittyvistä henkilökohtaisista turvatunnuksista. Maksuvälineen myöntämistä ja käyttöä koskevat ehdot eivät saa olla perusteettomia, kohtuuttomia tai syrjiviä.

Lain 54 §:n 1 momentin mukaan

Maksuvälineen haltijan on ilman aiheetonta viivytystä ilmoitettava palveluntarjoajalle tai sen nimeämälle muulle taholle havaitsemastaan maksuvälineen katoamisesta, joutumisesta oikeudettomasti toisen haltuun tai oikeudettomasta käytöstä.

Lain 62 §:n mukaan

Maksupalvelun käyttäjä, joka on tehnyt maksuvälinettä koskevan sopimuksen palveluntarjoajan kanssa, vastaa kadonneen tai oikeudettomasti toisen haltuun joutuneen maksuvälineen käytöstä tai muusta maksuvälineen oikeudettomasta käytöstä vain, jos oikeudeton käyttö johtuu siitä, että hän tai muu maksuvälineen haltija on:
1) luovuttanut maksuvälineen sen käyttöön oikeudettomalle;
2) huolimattomuudesta laiminlyönyt 53 §:n 1 momentin mukaiset velvollisuutensa; taikka
3) laiminlyönyt ilman aiheetonta viivytystä ilmoittaa palveluntarjoajalle tai sen nimeämälle muulle taholle havaitsemastaan maksuvälineen katoamisesta, joutumisesta oikeudettomasti toisen haltuun tai oikeudettomasta käytöstä.
Maksupalvelun käyttäjän vastuu maksuvälineen oikeudettomasta käytöstä 1 momentin 2 ja 3 kohdassa tarkoitetuissa tapauksissa on enintään 50 euroa. Tätä rajoitusta ei sovelleta, jos maksupalvelun käyttäjä tai muu maksuvälineen haltija on toiminut tahallisesti tai törkeän huolimattomasti.
Maksupalvelun käyttäjä ei vastaa maksuvälineen oikeudettomasta käytöstä:
1) siltä osin kuin maksuvälinettä on käytetty sen jälkeen, kun palveluntarjoajalle tai sen nimeämälle muulle taholle on ilmoitettu maksuvälineen katoamisesta, joutumisesta oikeudettomasti toisen haltuun tai oikeudettomasta käytöstä;
2) jos palveluntarjoaja on laiminlyönyt huolehtia siitä, että maksuvälineen haltijalla on mahdollisuus tehdä milloin tahansa 1 kohdassa tarkoitettu ilmoitus;
3) jos maksunsaaja ei ole maksuvälinettä käytettäessä asianmukaisesti varmistunut maksajan oikeudesta käyttää maksuvälinettä; tai
4) jos palveluntarjoaja ei ole edellyttänyt maksajan vahvaa tunnistamista.
Sen estämättä, mitä 3 momentissa säädetään, maksupalvelun käyttäjä on vastuussa maksuvälineen oikeudettomasta käytöstä, jos hän tai muu maksuvälineen haltija on tahallaan tehnyt väärän ilmoituksen tai toiminut muuten petollisesti.

Lain 63 §:n (Palveluntarjoajan vastuu oikeudettomasta maksutapahtumasta.) 1 momentin mukaan

Jos maksutapahtuma on toteutettu oikeudettomasti eikä 62 §:stä muuta johdu, palveluntarjoajan, jonka asiakkaan varoja on käytetty maksutapahtuman toteuttamiseen, on välittömästi ja viimeistään seuraavana työpäivänä siitä, kun se havaitsi maksutapahtuman tai sille ilmoitettiin maksutapahtumasta, palautettava maksutapahtuman rahamäärä asiakkaalleen tai palautettava tämän maksutili siihen tilaan, jossa se olisi ollut ilman veloitusta.

Maksupalvelulain 85 c §:n (Tunnistaminen) 1 ja 5 momenttien mukaan

Palveluntarjoajan on käytettävä vahvaa tunnistamista, jos maksaja:
1) käyttää maksutiliään tietoverkon välityksellä;
2) käynnistää sähköisen maksutapahtuman;
3) toteuttaa etäkanavan kautta toimen, johon voi liittyä väärinkäytöksen riski.
[…]
Tämän pykälän mukaisesta velvollisuudesta vahvaan tunnistamiseen sekä henkilökohtaisten turvatunnusten luottamuksellisuuden ja eheyden suojaamiseen voidaan poiketa, jos maksupalveludirektiivin 98 artiklan nojalla annetuissa komission teknisissä sääntelystandardeissa niin säädetään.

Pankkitunnusehtojen Tunnistautumistietojen käyttäminen -kohdan mukaan

Tunnistautumistietoja saa käyttää vain se pankkitunnuksilla käytettäviä palveluja koskevan sopimuksen tehnyt asiakas, jolle pankki on antanut tunnistautumistiedot.
Tunnistautumistietojen käyttöä koskevat ohjeet pankki ilmoittaa pankkitunnusten turvallista käyttöä koskevissa ohjeissaan.

Pankkitunnusehtojen Tunnistautuminen Verkkopankkipalveluun -kohdan mukaan

Verkkopankkipalvelujen käyttämiseksi asiakas tunnistautuu ilmoittamalla pankille Verkkopankkipalveluun kirjautuessaan tunnistautumistietonsa. Asiakkaan kirjauduttua Verkkopankkipalveluun asiakas ei saa antaa avattua palveluyhteyttä muun tahon käytettäväksi.
Tunnistautumistiedot palvelun edellyttämällä tavalla annettuna vastaavat asiakkaan allekirjoitusta. Kaikki maksut, toimeksiannot, hakemukset, sopimukset sekä muut tahdonilmaisut ja viestit, jotka on tehty käyttäen asiakkaan tunnistautumistietoja sitovat asiakasta tai sitä, jota asiakas edustaa, sen jälkeen, kun tunnistautumistiedot on annettu pankille Verkkopankkipalvelun edellyttämällä tavalla.

Pankkitunnusehtojen Yleistä tunnistautumistietojen säilyttämisestä ja asiakkaan vastuusta -kohdan mukaan

Kuluttaja-asiakkaan tunnistautumistiedot ovat henkilökohtaiset, eikä niitä saa osittainkaan luovuttaa sivullisen tietoon tai haltuun. Kuluttaja-asiakas ei saa antaa valtuutusta tunnistautumistietojen käyttämiseen.
[…]
Asiakas sitoutuu säilyttämään tunnistautumistiedot huolellisesti ja varmistamaan säännöllisesti, että tunnistautumistiedot ovat tallessa. Asiakkaan tulee huolehtia, etteivät tunnistautumistiedot joudu osittainkaan sivullisen tietoon tai haltuun. Asiakas sitoutuu säilyttämään käyttäjätunnuksesta, tunnistautumislaitteesta, [pankin tunnistussovellus] -sovelluksesta, salasanasta, PIN-koodista tai muista pankin hyväksymistä tunnistautumistavoista koostuvat tunnistautumistiedot erillään toisistaan. Tunnistautumistietoja ei saa kopioida, tallentaa tai toisintaa muutoin kuin pankin järjestelmään tai pankin hyväksymällä tavalla.
Mikäli tunnistautumistiedot ovat kadonneet tai asiakkaalla on syytä epäillä, että ne ovat joutuneet tai saattaneet joutua osittainkin sivullisen tietoon tai haltuun, asiakas on velvollinen välittömästi ilmoittamaan tästä pankille palvelujen asiattoman käytön estämiseksi. […]

Euromaksualueella välitettävien euromaksujen yleiset ehtojen Maksutoimeksiannon antaminen -kohdan mukaan

[…]
Tilisiirto välitetään maksunsaajalle yksinomaan IBANin perusteella, vaikka maksaja olisi antanut lisäksi muita tietoja maksutapahtuman toteuttamiseksi.
[…]

Asian arviointi

Pankin asiassa antamien selvitysten mukaan rikollisten kirjautuminen asiakkaan verkkopankkiin 1.9.2024 klo 14:41 sekä ko. 2.000 euron korttimaksu klo 14:45 on vahvistettu asiakkaan omalla pankin tunnistussovelluksella, joka on otettu käyttöön 12.9.2023. Pankin tunnistussovelluksessa on ennen em. maksun vahvistuksen antamista näkynyt asianmukaisesti ”Nets pyytää vahvistusta Haluatko suorittaa Visa korttimaksun?” sekä maksun tiedot mukaan lukien maksun euromäärä ja maksunsaaja. Pankkilautakunnalla ei ole syytä epäillä pankin esittämän pankin järjestelmätietoihin perustuvan selvityksen paikkansa pitävyyttä ja lautakunta katsoo näin ollen asiakkaan itse antaneen em. vahvistukset pankin tunnistussovelluksellaan.

Pankkilautakunta on ratkaisukäytännössään vakiintuneesti katsonut, että tapauksissa, joissa rikoksen uhri on huijattuna tullut itse hyväksyneeksi riidanalaiset maksut esimerkiksi omassa puhelimessaan olevalla pankin mobiilisovelluksella ja sovelluksessa on ennen vahvistuksen antamista näkynyt vahvistettavan maksun tiedot, ei pankkia ole suositettu hyvittämään asiassa aiheutunutta vahinkoa asiakkaalle. Näissä tapauksissa on katsottu, että vaikka asiakas on antanut maksujen vahvistukset rikollisten harhaan johtamana, on hän kuitenkin itse antanut maksuille maksupalvelulain 38 §:ssä ja sovellettavissa ehdoissa tarkoitetun suostumuksensa, eivätkä kyseessä olevat maksutapahtumat tällöin ole maksupalvelulaissa tarkoitetulla tavalla oikeudettomia. Tämän vuoksi käsillä ei ole myöskään ollut perusteita pankin vastuulle maksuista asiakkaalle aiheutuneesta vahingosta.

Vaikka asiakas on antanut em. vahvistuksen korttimaksulle tultuaan rikollisten harhaan johtamaksi, tällä ei ole merkitystä asiakkaan ja pankin välisessä suhteessa. Pankkilautakunta katsoo, että asiakas on antanut maksutapahtumalle maksupalvelulain 38 §:ssä tarkoitetun suostumuksensa maksutapahtuman toteuttamiseen ja korttiehtojen mukaisen suostumuksensa pankille maksutapahtuman veloittamiselle tililtään. Näin ollen lautakunta katsoo, ettei kyseessä oleva maksutapahtuma ole maksupalvelulaissa tarkoitetulla tavalla oikeudeton ja ettei käsillä siten ole perusteita pankin vastuulle tilisiirrosta asiakkaalle aiheutuneesta vahingosta.

Verkkopankin sisällä tehtyjen oikeudettomien tilisiirtojen tekeminen ilman vahvaa tunnistamista

Maksupalvelulain 8 §:ssä määritetään, mitä laissa tarkoitetaan vahvalla tunnistamisella, jota lain 85 c § edellyttää palveluntarjoajan käyttävän, jos maksaja käyttää maksutiliään tietoverkon välityksellä tai toteuttaa etäkanavan kautta toimen, johon voi liittyä väärinkäytöksen riski. Edelleen lain 62 §:n 3 momentin 4 kohdan mukaan maksupalvelun käyttäjä ei vastaa maksuvälineen oikeudettomasta käytöstä, jos palveluntarjoaja ei ole edellyttänyt maksajan vahvaa tunnistamista.

Vahvan tunnistamisen on täytettävä tarkemmat vaatimukset, joista säädetään maksupalveludirektiivin (EU) 2015/2366 98 artiklan nojalla annetuissa komission teknisissä sääntelystandardeissa (RTS). Komission delegoidun asetuksen (EU) 2018/389 III luvussa luetellaan asiakkaan vahvaa tunnistamista koskevan periaatteen poikkeukset.

Em. asetuksen III luvun 15 artiklan, joka koskee saman luonnollisen henkilön hallussa olevien tilien välisiä tilisiirtoja, mukaan on sallittavaa, että maksupalveluntarjoajat eivät sovella asiakkaan vahvaa tunnistamista, kun maksaja käynnistää tilisiirron, jossa maksaja ja maksunsaaja ovat sama luonnollinen henkilö tai oikeushenkilö ja molempia maksutilejä ylläpitää sama tiliä ylläpitävä maksupalveluntarjoaja.

Asiassa on riidatonta, että pankki ei ole edellyttänyt asiakkaan vahvaa tunnistamista siinä yhteydessä, kun rikolliset ovat tehneet asiakkaan verkkopankissa 2.000 ja 1.500 euron siirrot asiakkaan säästämiseen käyttämältä käyttötililtä asiakkaan käyttötilille, johon asiakkaan debit-kortti oli liitetty.

Pankkilautakunta toteaa maksupalveluja ja vahvaa tunnistamista koskevan sääntelyn sallivan palveluntarjoajien tietyissä poikkeustilanteissa poikkeavan vahvan tunnistamisen vaatimuksesta ja tässä tapauksessa lautakunta katsoo, että pankki on voinut sallia verkkopankin sisäisten siirtojen tapahtuvan ilman vahvaa tunnistamista.

Vaikka sääntely tietyissä poikkeustilanteissa sallii sen, ettei maksupalveluntarjoajan ole edellytettävä maksujen yhteydessä maksajan vahvaa tunnistamista, ei maksupalvelun käyttäjä maksupalvelulain 62 §:n 3 momentin 4 kohdan mukaan kuitenkaan vastaa maksuvälineensä oikeudettomasta käytöstä, jos maksupalveluntarjoaja ei ole maksuvälineen oikeudettoman käytön yhteydessä edellyttänyt maksajan vahvaa tunnistamista. Näin ollen salliessaan maksutapahtumia tehtävän ilman maksajan vahvaa tunnistamista ottaa pankki vastuulleen riskin maksuvälineen oikeudettomasta käytöstä.

Tässä tapauksessa asiakkaan verkkopankin sisällä tehdyt tilisiirrot asiakkaan tilien välillä ovat rikollisten oikeudettomasti tekemiä ja koska pankki on sallinut tilisiirtojen tekemisen ilman maksajan vahvaa tunnistamista, vastaa pankki näistä tilisiirrosta.

Pankkilautakunta toteaa, että asiassa aiheutunut 2.000 euron vahinko on tässä tapauksessa realisoitunut, kun asiakas on edellä esitetyn tavoin antanut maksupalvelulain 38 §:ssä tarkoitetun suostumuksensa 2.000 euron korttimaksun toteuttamiselle, minkä johdosta asiakas lähtökohtaisesti vastaa maksusta aiheutuneesta vahingosta asiakkaan ja pankin välisessä suhteessa.

Tapauksessa saadun kokonaisselvityksen perusteella Pankkilautakunta kuitenkin katsoo, että asiassa aiheutuneen vahingon määrään on vaikuttanut ennen em. korttimaksua verkkopankissa tehty samansuuruinen 2.000 euron sisäinen siirto tilille, jolta vahingon aiheuttanut korttimaksu on tehty, ja se, että pankki on sallinut kyseisen oikeudettoman siirron tekemisen ilman vahvaa tunnistamista. Koska pankki on sallinut sisäisen siirron tekemisen ilman vahvaa tunnistamista ja siirto on oikeudeton, vastaa pankki asiassa aiheutuneesta vahingosta siltä osin kuin ko. siirto on asiassa aiheutuneen vahingon määrään vaikuttanut.

Ko. korttimaksu on tehty asiakkaan käyttötililtä, jolla oli pankin antaman selvityksen mukaan 276,20 euroa ennen edellä mainittua 2.000 euron sisäistä siirtoa. Ilman oikeudetonta ja pankin vastuulla olevaa sisäistä tilisiirtoa asiakkaan käyttötililtä olisi voitu tehdä vain 276,20 euron korttimaksu. Näin ollen pankki vastaa asiassa aiheutuneesta vahingosta 276,20 euroa ylittävin osin.

Kortin turvarajan muuttaminen ilman vahvaa tunnistamista

Koska pankki edellä esitetyin perustein vastaa asiassa aiheutuneesta vahingosta 276,20 euroa ylittävin osin ja asiakkaan kortin alkuperäinen korttiostosten vuorokausikohtaisen 300 euron turvaraja ei olisi estänyt asiakkaan vastuulle jäävän vahingon aiheuttamista, ei Pankkilautakunnan ole asiassa tarpeen arvioida, onko pankki laiminlyönyt maksupalvelulain 85 c §:n mukaisia velvollisuuksiaan salliessaan kortin turvarajoja muutettavan ilman vahvaa sähköistä tunnistamista, ja vaikuttaisiko pankin mahdollinen laiminlyönti turvarajan muuttamisen yhteydessä asiakkaan ja pankin välisen vastuunjakoon.

Selvyyden vuoksi Pankkilautakunta kuitenkin toteaa katsovansa, että kortin turvarajan muutos on sellainen maksupalvelulain 85 c §:n 1 momentin 3 kohdassa tarkoitettu etäkanavan kautta toteutettu toimi, johon voi liittyä väärinkäytöksen riski, ja jonka kohdalla pankin olisi tullut edellyttää asiakkaan vahvaa tunnistamista.  

Lopputulos

Pankkilautakunta katsoo asiakkaan antaneen ko. 2.000 euron korttimaksulle maksupalvelulain 38 §:ssä tarkoitetun suostumuksensa ja asiakkaan siten lähtökohtaisesti vastaavan korttimaksusta aiheutuneesta vahingosta pankin ja asiakkaan välisessä suhteessa. Edelleen lautakunta kuitenkin katsoo, että vahingon kokonaismäärään on vaikuttanut asiakkaan verkkopankin sisällä ennen em. korttimaksua tehty 2.000 euron suuruinen tilisiirto asiakkaan toiselta käyttötililtä asiakkaan käyttötilille, johon hänen korttinsa oli liitetty. Koska pankki on sallinut kyseisen tilisiirron tekemisen ilman vahvaa tunnistamista ja siirto on oikeudeton, vastaa pankki kyseisestä tilisiirrosta ja asiassa aiheutuneesta vahingosta siltä osin kuin kyseinen siirto on vahingon kokonaismäärää lisännyt.

Edellä esitettyyn viitaten Pankkilautakunta suosittaa pankkia hyvittämään 1.723,8 euroa - joka vastaa asiassa aiheutuneen vahingon määrää vähennettynä asiakkaan käyttötilillä ennen em. sisäistä siirtoa olleilla 276,20 euron varoilla - tilille, jolta em. oikeudeton tilisiirto ilman vahvaa tunnistamista tehtiin.

Ratkaisusuositus syntyi äänin 4–1. Ratkaisusuosituksen antamiseen osallistuivat puheenjohtaja Sillanpää sekä jäsenet Atrila, Punakivi ja Tervonen. Jäsen Piilon eriävä mielipide on liitteenä.

PANKKILAUTAKUNTA

Puheenjohtaja Sillanpää
Sihteeri Hidén

Jäsenet:
Atrila
Piilo
Punakivi
Tervonen

Jäsen Piilon eriävä mielipide:

Olen enemmistön kanssa samaa mieltä siitä, että asiakas on antanut 2.000 euron korttimaksulle maksupalvelulain 38 §:ssä tarkoitetun suostumuksensa. Katson kuitenkin enemmistön mielipiteestä poiketen, että asiakkaan omien tilien välillä ilman vahvaa tunnistamista tehty siirto ei ole lisännyt vahingon määrää. Varat ovat tämän vahvistamattoman siirron jälkeen olleet edelleen asiakakan tilillä ja hänen hallinnassaan. Vahinko on syntynyt vasta, kun 2000 euron suuruinen korttimaksu on tehty.

Olen enemmistön kanssa samaa mieltä siitä, että turvarajan muuttaminen on sellainen maksupalvelulain 85 c §:n 1 momentin 3-kohdassa tarkoitettu etäkanavan kautta tehty toimi, johon sisältyy väärinkäytön riskin. Tästä syystä pankin olisi tullut edellyttää maksupalvelulain mukaista vahvaa tunnistamista turvarajan muuttamisen yhteydessä.  Koska pankki on sallinut asiakkaan kortin turvarajan muuttamisen 300 eurosta 30.000 euroon ilman maksupalvelulain 85 c §:n mukaista vahvaa tunnistamista, suosittelen pankkia korvaamaan 1.700 euroa eli vahingon määrän alkuperäisen turvarajan 300 euroa ylittävältä osalta.