Tapahtumatiedot

Asiakas on vastaanottanut 13.9.2024 klo 10.17 rikollisten Traficomin nimissä lähettämän tekstiviestin, jossa olleen linkin kautta avautuneilla sivuilla hän on käyttänyt pankkitunnuksiaan tunnistautumistarkoituksessa. Seuraavaksi asiakas sai pankin nimissä lähetetyn tekstiviestin, jonka mukaan häneen ollaan yhteydessä, ja soiton henkilöltä, joka esiintyi pankin työntekijänä.

Rikolliset ovat päässeet kirjautumaan asiakkaan verkkopankkiin, tekemään siellä asiakkaan kahdelta tililtä kolme siirtoa (27.500, 4.500 ja 1.400 euroa) kuolinpesän tilille, jonka käyttöoikeus asiakkaalla oli. Lisäksi kuolinpesän tilille on tehty asiakkaan luottokorteilta 2.000 ja 2.250 euron siirrot. Kuolinpesän tililtä on tehty klo 10.46 ja 10.52 ulkopuoliselle kaksi tilisiirtoa yhteisarvoltaan 36.274,84 euroa.

Asiakkaan käytössä olevien tilien välisten siirtojen yhteydessä pankki ei ole edellyttänyt maksajan vahvaa tunnistamista. Tilisiirrot ulkopuoliselle on vahvistettu asiakkaan käytössä olevalla pankin tunnistussovelluksella.

Pankki on lukinnut asiakkaan käyttäjätunnukset turvallisuussyistä 13.9.2025 klo 12.50.

Asiakkaan valitus

Asiakas vaatii, että pankki korvaa asiakkaalle aiheutuneen vahingon kokonaisuudessaan, yhteismäärältään 36.274,84 euroa, 50 euron osuutta vähentämättä. Asiakas ei ole rikkonut pankin sopimusehtoja törkeällä huolimattomuudella ja asiassa aiheutuneen vahingon kokonaismäärään on vaikuttanut se, että pankki on sallinut verkkopankin sisäisten oikeudettomien siirtojen tekemisen ilman vahvaa tunnistamista.

Selvitys tapahtumista

Asiakas sai maksun erääntymistä koskevan kiireellistä reagointia vaatineen tekstiviestin Traficomin nimissä 13.9.2024 klo 10.17. Asiakas seurasi viestissä ollut linkkiä, sillä oli hoitanut kuolinpesänhoitajana mm. Traficomin kanssa kuolinpesän asioita autoa, venettä ja radiolupaa koskien. Tämän vuoksi hän uskoi, että jokin maksu on jäänyt epähuomiossa maksamatta. Mobiilivarmenne ei toiminut, joten asiakas kirjautui pankkitunnuksilla.

Seuraavaksi hän sai "[pankki] Turvalta" tekstiviestin "Olemme sinuun yhteydessä [pankki] Asiakaspalvelusta hetken kuluttua. [X] tulee asioimaan kanssasi." Soittaja väitti olevansa pankin työntekijä ja kertoi, että asiakkaan tililtä on yritetty siirtää 22.000 euroa, mutta pankki on havainnut siirron ja voi estää sen. Asiakas vahvisti puhelun aikana pyydetysti tapahtumia, joiden perustellusti uskoi estävän rahojen siirron rikollisille.

Puhelun aikana asiakkaalle varattiin aika konttorilta 13.9.2024 klo 15.30 pankkitunnusten uusimista varten. Asiakkaan saapuessa ovelle, havaitsi hän konttorin olevan koulutuspäivän vuoksi suljettu ja soitti välittömästi pankkiin. Asiakas teki puhelun jälkeen rikosilmoituksen poliisiasemalla.

Vaatimusten perusteet

1. Ei suostumusta maksutapahtumien toteuttamiselle ja vahvistustapahtumien sisältö

Maksutapahtumia ei olisi ollut, jos rikolliset eivät olisi luoneet maksutapahtumia verkkopankissa ja toiminnallaan erehdyttäneet asiakasta luulemaan, että kysymyksessä on oikeudettoman maksun peruutus. Asiakas ei olisi ilman rikollisten aktiivisia toimia ryhtynyt tilanteessa minkäänlaiseen tahdonilmaisuun maksutapahtumien luomiselle tai niiden vahvistamiselle, eikä millään tavalla ole tosiasiassa osallistunut maksutapahtumien luomiseen verkkopankissa tai ole ollut näiden maksujen luomisesta edes tietoinen. Asiakas on erehdytettynä osallistunut maksutapahtumien vahvistamiseen ja hän on luullut olevansa estämässä laitonta tilisiirtoa. Koska suostumus maksutapahtumiin ei ole ollut tietoinen eikä asiakas ole ymmärtänyt koko toimen oikeudellista merkitystä vahvistaessaan kirjautumisia ja maksuja, ei kysymyksessä voi olla maksupalvelulain 38 §:n 1 momentissa tarkoitettu suostumus. Näin myös vastaavasti Itä-Suomen HO tuomio Nro 462, Dnro S 24/214.

Asiakas ei ole tietoisesti luovuttanut verkkopankkitunnuksiaan niiden käyttöön oikeudettomalle, vaan on perustellusti ajatellut asioineensa pankin kanssa. "[pankki] Turvan" nimissä lähetetyn tekstiviestin muodossa tai sisällössä ei ollut mitään sellaista, josta olisi voinut päätellä sen olleen huijausta. Päinvastoin, tekstiviesti ja sitä seurannut pankin nimissä soitettu puhelu olivat loogista seurausta sille, että asiakas oli antanut pankkitunnukset huijaussivustolle Traficomin nimissä lähetettyä linkkiä seuraamalla.

Pankkilautakunta on ratkaisukäytännössään katsonut pankin vastuulla olevan, että vahvistusviestit ovat sisällöltään ymmärrettäviä ja riittävän yksilöityjä. Tilisiirtoja koskevista vahvistustapahtumista on puuttunut olennaisena maksutietona maksunsaaja ja tilinumero. Vahvistustapahtumien tekstit ovat olleet tietosisällöltään siten niin suppeita, ettei vahvistustapahtumien tarkistaminen ole ollut mahdollista. Suppeasta tietosisällöstä ei myöskään ole ollut havaittavissa, että maksunsaaja on rikollinen, varsinkaan, kun asiakas on ymmärtänyt vahvistavansa tapahtumia nimenomaan estääkseen petollisten maksujen toteutumisen. Vahvistustapahtumien tekstisisältö ei ole ollut eritelty ja riittävä.

Rikolliset ovat hyödyntäneet verkkopankin heikkoutta luultavasti syöttämällä maksunsaajan nimen tilalle välilyönnin. Huolellisesti toimivan pankin verkkopankissa tällaisen järjestelmäheikkouden hyödyntäminen ei pitäisi olla mahdollista.

2. Maksuvälinettä ei ole luovutettu sen käyttöön oikeudettomalle

Pankkilautakunnan ratkaisukäytännössä on vakiintuneesti katsottu, että asiakas ei ole lain 62 §:n 1 momentissa tarkoitetulla tavalla luovuttanut maksuvälinettä tai pankkitunnustietojaan sen käyttöön oikeudettomalle, jos asiakas on asiointinsa ajan ja pankkitunnuksiaan käyttäessään luullut asioivansa pankkinsa kanssa, eikä ole tietoisesti luovuttanut pankkitunnustietojaan niiden käyttöön oikeudettomalle. Asiakas on perustellusti voinut luottaa asioivansa pankin kanssa, eikä siten ole luovuttanut pankkitunnustietojaan kuin maksupalvelulain 62 §:n 1 momentin 1 kohdassa tarkoitetaan.

3. Maksupalvelulain 53 §:n 1 momentin mukaisia velvollisuuksia ei ole laiminlyöty törkeästä huolimattomuudesta eikä tahallisesti

Asiakas ei ole voinut ymmärtää pankin nimissä lähetetyn tekstiviestin muotoilun tai sisällön perusteella, ettei asiallinen tekstiviesti ollut pankin lähettämä ja sitä seurannut puhelu pankista. Hänellä ei ole ollut myöskään muuta syytä epäillä yhteydenoton asianmukaisuutta. Päinvastoin yhteydenotto on ollut loogista Traficomin nimissä lähetetyn tekstiviestin jälkeen.

Pankilla on tapana lähettää asiakkailleen tekstiviestejä. Viestit voivat myös sisältää tiedon tulevasta asiakaspalvelijan soitosta. Toimintatapa on omiaan vaikuttamaan siihen, että pankin asiakas ei ymmärrä kyseenalaistaa tämänkaltaisia pankin nimissä tulleita yhteydenottoja ja joutuu siten alttiiksi rikollisuudelle. Tekstiviestiyhteydenotot ovat nykyään arkipäiväisiä niin pankin, viranomaisten kuin yritystenkin toimesta, joten huolellinenkaan pankin asiakas ei osaa kyseenalaistaa pankin nimissä tulevan tekstiviestin asianmukaisuutta.

Asiakas ei ole ollut tietoinen siitä, että hän on vahvistamassa maksuja eikä ole ollut siten tilanteessa, jossa olisi tullut huolellisesti tarkistaa, että maksu menee oikealle tilille. Hän on ollut vahvistamassa maksun peruuttamista, eikä ole voinut ennakoida tällaista tilannetta. Erehdyttäminen on ollut entistä helpompaa, kun vahvistusviesti ei ole sisältänyt maksunsaajan nimeä eikä tilinumeroa. Asiakkaalle näkynyt tietosisältö on ollut niin puutteellinen, että asiakas ei ole voinut sen perusteella ymmärtää olevansa vahvistamassa tilisiirtoja kolmannen henkilön tilille. Kahden vahvistusviestin teksti usean maksun hyväksymisestä on sisältänyt kahden korttiluoton noston asiakkaan tilille, tilisiirrot asiakkaan omilta tileiltä kuolinpesän tilille sekä maksut kuolinpesän tililtä rikollisen tilille. Näin ollen vahvistusviestien informaatiosisältö on ollut niin puutteellinen, ettei tapahtumia olisi edes voinut tunnistaa korttiluottojen nostamiseksi, siirroiksi kuolinpesän tilille ja vielä maksuiksi rikollisen tilille (Näin myös vastaavasti Itä-Suomen HO tuomio Nro 462, Dnro S 24/214.)

Ennen tapausta asiakas ei ole ollut tietoinen tämänkaltaisista huijauksista, vaikka osallistui pankin järjestämään opastustilaisuuteen pankkiasioiden turvallisesta asioinnista konttorilla toukokuussa 2024. Tilaisuudessa ei varoitettu huijauksesta, jossa otetaan yhteyttä pankin nimissä. Myös tähän tilaisuuteen osallistuminen osoittaa osaltaan asiakkaan huolellista suhtautumista pankkiasioihin.

Asiakas on perustellusti voinut uskoa asioivansa pankin kanssa ja on tässä tarkoituksessa - peruuttaaksensa oikeudettoman maksun ja estääksensä rahojensa menettämisen - käyttänyt pankkitunnuksiaan. Laiminlyönti ei siten kokonaisuutena arvioiden osoita tavallista suurempaa huolimattomuutta. Huolimattomuuden arvioinnissa on otettava huomioon, että tilanne on ollut asiakkaalle odottamaton ja stressaava. Törkeää huolimattomuutta vastaan puhuu sekin seikka, että kyseessä on laaja rikosvyyhti, jossa samaa päätekijää epäillään 20 vastaavasta erehdyttämistoimesta asiakkaan erehdyttämisen lisäksi. Uhrien suuri lukumäärä osoittaa, että toiminta on järjestäytynyttä ja ammattimaista.

4. Pankin huolimattomuus

Kuten pankkilautakunta on ratkaisukäytännössään todennut, pankilla on hyvään pankkitapaan, sopimusoikeudelliseen lojaliteettivelvollisuuteen ja pankin asemaan maksupalveluntarjoajana perustuen velvollisuus rikoksesta aiheutuvien vahinkojen rajoittamiseksi opastaa asiakasta varojen katoamisen estämiseksi tehtävistä toimista ja myös toimia rikoksesta aiheutuvien vahinkojen rajoittamiseksi.

Pankin pitäisi seurata epätavallista maksuliikennettä ja pankin olisi pitänyt estää tilisiirrot varsinkin, kun siirrot ovat lähteneet kuolinpesän tililtä, jossa ei ole ollut maksuliikennettä kevään 2024 jälkeen. Pankilla olisi ollut mahdollisuus pysäyttää ja palauttaa oikeudettomat maksut, jos se olisi toiminut nopeammin ja huolellisemmin, sillä myös maksunsaajan tili on pankissa. Jos pankki olisi toiminut asiassa nopeammin, varojen siirto eteenpäin olisi todennäköisesti voitu estää. Pankki on kuitenkin ollut perjantaina 13.9.2024 koulutustilaisuuden vuoksi kokonaan ja koko päivän suljettuna, minkä vuoksi edes poliisi ei ole saanut pankkiin yhteyttä.

Pankki ohjeisti puhelimitse 13.9.2024 tekemään asiassa rikosilmoituksen ja tulemaan konttorille maanantaina 16.9.2024 sen auetessa. Asiakkaan saapuessa pankkiin sen aukeamisaikaan klo 10 hänelle kerrottiin, että ensin olisi käytävä hakemassa poliisilaitoksella tutkintailmoituskopio, jotta maksupalautuspyyntö voitaisiin tehdä. Asiakas katsoo, että maksupalautuspyyntö olisi tullut tehdä ja maksut pysäyttää jo perjantaina 13.9.2024, kun poliisi on tuloksetta yrittänyt olla yhteydessä pankkiin ja viimeistäänkin lauantaina 14.9.2024, kun poliisi on saanut yhteyden pankin petostiimiin.

Kokonaisarvioinnissa on lisäksi otettava huomioon, että huomattavan suuret oikeudettomat maksut on tehty kuolinpesän tililtä, mutta siitä huolimatta maksuista ei ole tullut lisävahvistusviestiä asiakkaalle tai kuolinpesän osakkaille. Asiakkaalla on valtakirja kuolinpesän tiliin, mutta valtakirjan ehtona on kahden osakkaan tiedonsaantioikeus tilitapahtumiin heidän omissa verkkopalveluissaan. Pankki on toiminut huolimattomasti jättäessään antamatta tiedonsaantioikeudet kahdelle kuolinpesän osakkaalle siten kuin valtakirjassa on edellytetty.

5. Pankki ei ole edellyttänyt maksajan vahvaa tunnistamista tilien sisäisten siirtojen ja korttiluottonostojen osalta

Ainoastaan siirrot kuolinpesän tililtä ulkopuoliselle ovat vaatineet vahvistusta. Sen sijaan korttiluottosiirrot sekä sisäiset siirrot asiakkaan omilta tileiltä kuolinpesän tilille, yhteismäärältään 37.650 euroa, eivät ole edellyttäneet vahvaa tunnistamista. Pankki ei myöskään ole lähettänyt mistään edellä mainitusta siirrosta maksunvahvistamista koskevaa tekstiviestiä.

Pankkilautakunta on 29.1.2026 antamassaan ratkaisussa FINE-72000-J1P9R4 linjannut, että pankin salliessa maksutapahtumia tehtävän ilman maksajan vahvaa tunnistamista, ottaa pankki vastuulleen riskin maksuvälineen oikeudettomasta käytöstä. Asiakas katsoo, että myös nyt kyseessä olevassa asiassa on aiheutuneen vahingon kokonaismäärään vaikuttanut verkkopankin sisäiset siirrot ja se, että pankki on sallinut näiden oikeudettomien siirtojen tekemisen ilman vahvaa tunnistamista. Verkkopankin sisäiset siirrot ovat olleet ulkopuoliselle tehtyjen tilisiirtojen (22.381,92 € + 13.892,92 €) edellytyksenä, sillä kuolinpesän tilin saldo on ollut ennen oikeudettomia siirtoja ainoastaan 518,52 euroa. Ensimmäinen sisäinen siirto asiakkaan tililtä kuolinpesän tilille on tehty jo ennen siirtoja ulkopuoliselle. Kolmas siirto ulkopuoliselle, määrältään 1.750 euroa, on aikakatkaisun vuoksi epäonnistunut, jolloin vahingon kokonaismäärä on jäänyt sisäisten siirtojen kokonaismäärää pienemmäksi. Näin ollen pankin tulee kantaa riski maksuvälineen oikeudettomasta käytöstä kokonaisuudessaan.

Pankin vastine

Pankin selvityksen mukaan -05 loppuiselle asiakkaan käytössä olevalle kuolinpesän tilille on 13.9.2024 siirretty asiakkaan omilta tileiltä yhteensä 33.400,00 euroa. Lisäksi tilille on siirretty yhteensä 4.250,00 euroa asiakkaan luottokortilta. Tililtä on siirretty yhteensä 36.274,84 euroa saajalle Z 13.09.2024 (klo 10:46 22 381,92 euroa klo 10:52 13 892,92 euroa).

Maksujen vahvistamisen yhteydessä pankin mobiilisovelluksessa on näkynyt seuraavat tiedot:
13.9.2024 klo 10.52.39
[pankki].fi - usean maksun hyväksyminen
"Maksu 13892.92 euroa, saaja Z"
13.9.2024 klo 10.46.23
[pankki].fi - usean maksun hyväksyminen
"Maksu 22381.92 euroa, saaja Z"

Maksujen toteuttajalla on siis täytynyt olla tiedossaan asiakkaan pankkitunnusten kaikki osat eli käyttäjätunnus, salasana sekä tunnistusväline. Maksujen vahvistamisen yhteydessä pankin mobiilisovelluksessa on näkynyt maksun summa ja saajan nimi. Tapahtumat on vahvistettu asiakkaan omalla tunnistusvälineellä.

Asian arviointi

Väärinkäytösten ehkäisemiseksi pankki on aktiivisesti varoittanut asiakkaitaan verkkopalvelutunnusten kalastelukampanjoista muun muassa verkkosivujensa tiedotteilla. Pankki korostaa kaikessa viestinnässään sekä sopimuksen tekovaiheessa, että tunnukset ovat henkilökohtaiset, eikä niitä saa luovuttaa kenellekään ei edes perheenjäsenille. Pankki on korostanut sitä, ettei pankki tai poliisi kysy tunnuksia puhelimessa vaan näin toimii ainoastaan rikollinen. Sopimuksen tekemisen yhteydessä asiakkaalle on sopimuksen sekä ehtojen lisäksi annettu Tärkeää tietoa tunnuksista -asiakirja, jossa on annettu yksinkertaiset turvallisuusohjeet tunnusten käyttämisestä. Pankki on varoittanut huijauksista muun muassa julkaisuilla 26.08., 09.08., 04.07., 07.05. ja 26.04.2024. Pankki katsoo, että yleisen tietämyksen ja pankin antamien varoitusten perusteella, asiakkaan tulisi olla tietoinen tunnusten turvallisesta ja huolellisesta käytöstä ja säilyttämisestä.

Tapauksessa tileiltä tehdyt siirrot on vahvistettu asiakkaan tunnistusvälineellä. Maksujen vahvistamisen yhteydessä pankin mobiilisovelluksessa on näkynyt maksun summa ja saajan nimi. Näin ollen asiakas on itse hyväksynyt tileiltään tehdyt siirrot ja antanut näin maksupalvelulain 38 §:n mukaisen suostumuksen maksutapahtumien toteuttamiselle. Tämän vuoksi pankki katsoo, etteivät reklamoidut tapahtumat ole maksupalvelulain mukaisesti oikeudettomia, eikä pankki näin ollen ole vastuussa aiheutuneesta vahingosta. Pankki ei ole asiassa toiminut petollisesti, ja suostumus pankille on annettu lain ja pankin sopimusehtojen mukaisesti, joten pankki on voinut luottaa maksuille annettuun suostumukseen.

Asiakkaan oletus siitä, että vahvistusviestit olisivat koskeneet myös korttiluottosiirtoja tai sisäisiä siirtoja asiakkaan omilta tileiltä on väärä. Siirrot korttiluotolta ja asiakkaan käyttötilien väliset sisäiset siirrot eivät ole vaatineet erillisiä vahvistamisia, mutta ovat olleet mahdollisia koska siirtojen toteuttajalla on ollut tiedossaan asiakkaan pankkitunnukset. Varat ovat kuitenkin olleet asiakkaan hallinnassa ja määräysvallassa kunnes ovat kuolinpesän tililtä siirretty ulkopuoliselle vahvan sähköisen tunnistautumisen avulla.

Kyseiset vahvistusta vaatineet kaksi siirtoa on tehty käyttäen usealle maksulle tarkoitettua palvelua, jossa maksut hyväksytään kerralla eli ns. nippumaksu. Palvelua on mahdollista käyttää myös vain yhden maksun tekemiseen. Vahvistustapahtumissa on kuitenkin lukenut selvästi "Maksu", maksun määrä (22381,92 euroa / 13892,92 euroa) ja "saaja X".

Koskien asiakkaan asiamiehen viittauksia Itä-Suomen HO tuomioon nro 462; pankki on tapauksessa hakenut ja saanut valitusluvan Korkeimpaan oikeuteen eikä kyseinen tuomio ole vielä lainvoimainen.

Koskien pankin mahdollisuutta estää asiakkaan tekemiä maksuja. Maksajan pankki, maksujenvälittäjä ja maksunsaajan pankki ovat maksuketjussa kaikki itsenäisiä maksupalveluntarjoajia. Maksajan pankin rooli ja vaikutusmahdollisuudet päättyvät siihen, kun rahat ovat lähteneet maksajan pankin tililtä asiakkaan antaman suostumuksen perusteella. Tämän jälkeen rahojen palauttamiseksi ei voida tehdä muuta kuin lähettää palautuspyyntö maksun vastaanottajalle. Kukin maksupalveluntarjoaja ketjussa arvioi itsenäisesti, voidaanko maksu palauttaa pyynnön mukaisesti, jos se on edes mahdollista. Laki ei aseta aikarajoja maksunpalautuspyynnön käsittelemiseksi. Lain mukaan maksupalveluntarjoajilla on mahdollisuus, mutta ei velvollisuutta palauttaa maksu, jos se on vielä maksunpalveluntarjoajan hallussa eikä lähetetty ketjussa seuraavalle taikka lopulliselle maksunsaajalle. Palautuspyynnöt käsitellään manuaalisesti ja näin ollen palautuspyyntöjen käsittely tapahtuu yleensä pankin aukioloaikojen puitteissa.

Tässä tapauksessa tilisiirrot on ehditty toteuttaa suostumuksen mukaisesta ja vahinko on aiheutunut kokonaisuudessaan ennen kuin asiakas on ollut yhteydessä sulkupalveluun ja hänen tunnuksensa on suljettu. Maksutoimeksiannot ulkopuoliselle on tehty ja vahvistettu maksupalvelulain mukaisesti. Maksutoimeksianto on sen vahvistamisen jälkeen peruuttamaton ja kaikki maksujärjestelmän osapuolet voivat luottaa siihen, että varat siirtyvät sovitun mukaisesti. Maksun sitovuudesta säädetään maksupalvelulain 81 §:ssä. Jälkikäteisten maksunpalautuspyyntöjen onnistumista ei voida taata missään olosuhteissa, koska palautus ei ole enää maksajan pankin vaikutuspiirissä.

Asiakas on itse hyväksynyt tileiltään tehdyt siirrot vahvasti tunnistautuneena ja antanut näin maksupalvelulain 38 §:n mukaisen suostumuksensa maksutapahtumien toteuttamiselle. Pankki ei ole asiassa toiminut petollisesti, ja suostumus pankille on annettu lain ja pankin sopimusehtojen mukaisesti, joten pankki on voinut luottaa tapahtumille annettuun suostumukseen.

On riidatonta, ettei pankki ole edellyttänyt asiakkaan vahvaa tunnistamista käyttötilien välisten siirtojen tekemiseksi. Siirrot korttiluotoilta ja asiakkaan käyttötilien väliset sisäiset siirrot eivät ole vaatineet erillisiä vahvistamisia, mutta ovat olleet mahdollisia koska siirtojen toteuttajalla on ollut tiedossaan asiakkaan pankkitunnukset. Asiakas on ollut tilin -05 kuolinpesän osakas ja tilin käyttöoikeutettu. Pankin näkemys on, että tilien välillä tehtyjen siirtojen jälkeen varat ovat edelleen olleet asiakkaan hallinnassa ja hän on voinut määrätä varoista. Varsinainen vahinko asiakkaalle on tapahtunut, kun varat on siirretty tililtä -05 ulkopuolisen omistamalle tilille. Asiakas on antanut maksupalveluin 38 §:n mukaisen suostumuksen kahdelle tilisiirroille, joilla varat siirrettiin pois hänen hallinnastaan ulkopuoliselle. Mikäli asiakas ei olisi antanut suostumustaan ulkopuoliselle tehtyyn tilisiirtoon, ei mitään vahinkoa olisi tapahtunut. Syy-yhteyttä omien tilien välisillä siirroilla ei ole varsinaiseen vahinkoon ja näin ollen omien käyttötilien välillä tehdystä siirrosta ei ole aiheutunut asiakkaalle korvattavaa vahinkoa.

Asiakkaalle aiheutunut vahinko ei ole seurausta omien käyttötilien välisestä oikeudettomasta siirrosta, vaan asiakkaan omalla maksupalvelulain 38 §:n mukaisella suostumuksella tehdyistä tilisiirrosta, joka ei maksupalvelulain mukaan ole maksuvälineen oikeudetonta käyttöä, eikä pankki näin ollen ole vastuussa aiheutuneesta vahingosta.

Tapaukseen liittyvät yksityiskohdat ja kokonaisarviointi huomioon ottaen, pankki katsoo toissijaisesti tapauksessa asiakkaan menettelyä kokonaisuutena arvioituna pidettävä sellaisena, että pankki katsoo asiakkaan toimineen maksupalvelulaissa tarkoitetulla tavalla törkeän huolimattomasti.

Selvitykset

Valitusta koskevan osapuolten kirjelmöinnin lisäksi lautakunnalle on toimitettu seuraavat asiakirjat:
- Pankin tunnus- ja digisopimuksen ehdot

Ratkaisusuositus

Kysymyksenasettelu

Asiakkaan ja pankin välisen vastuunjaon ratkaisemiseksi Pankkilautakunnan on ensin ratkaistava, voidaanko asiakkaan katsoa antaneen maksupalvelulain 38 §:ssä tarkoitetun suostumuksensa ko. maksutapahtumille vai onko maksutapahtumia pidettävä oikeudettomina. Mikäli tapauksessa katsotaan olevan kyse maksuvälineen oikeudettomasta käytöstä, on Pankkilautakunnan arvioitava, voidaanko maksuvälineen oikeudettoman käytön katsoa johtuneen siitä, että asiakas on huolimattomuudestaan laiminlyönyt lain 53 §:n 1 momentin sekä pankkitunnusehtojen mukaisia velvollisuuksiaan, sekä minkä asteista asiakkaan mahdollinen huolimattomuus on. Edelleen lautakunnan on arvioitava, vaikuttaako asiakkaan ja pankin välisen vastuunjakoon se, että pankki ei ole edellyttänyt vahvaa tunnistamista verkkopankin sisäisten siirtojen yhteydessä.

Sovellettavat lainkohdat ja sopimusehdot

Maksupalvelulain 8 §:n (Määritelmät.) mukaan

Tässä laissa tarkoitetaan:
[…]
24) vahvalla tunnistamisella maksupalvelun käyttäjän sähköistä tunnistamista, jossa suojataan tunnistamistiedon luottamuksellisuutta ja käytetään menettelyä, joka perustuu vähintään kahteen seuraavista kolmesta toisistaan riippumattomasta vaihtoehdosta:
a) johonkin, mitä vain maksupalvelun käyttäjä tietää;
b) johonkin, mitä vain maksupalvelun käyttäjällä on hallussaan;
c) maksupalvelun käyttäjän yksilöivään ominaisuuteen;
[…]

Maksupalvelulain 38 §:n (Maksajan suostumus maksutapahtuman toteuttamiseen.) 1 momentin mukaan

Maksutapahtuma saadaan toteuttaa vain maksajan suostumuksella. Maksutapahtumaa pidetään oikeudettomana, jollei maksaja ole antanut siihen suostumustaan sovitulla tavalla.

Maksupalvelulain 53 §:n (Maksuvälineestä huolehtiminen.) 1-2 momentin mukaan

Maksuvälineen haltijan on käytettävä maksuvälinettä sen myöntämistä ja käyttöä koskevien ehtojen mukaisesti. Erityisesti hänen on kohtuullisin toimenpitein huolehdittava maksuvälineestä ja siihen liittyvistä henkilökohtaisista turvatunnuksista. Maksuvälineen myöntämistä ja käyttöä koskevat ehdot eivät saa olla perusteettomia, kohtuuttomia tai syrjiviä.
Maksuvälineen haltijan velvollisuus huolehtia maksuvälineestä ja siihen liittyvistä henkilökohtaisista turvatunnuksista alkaa, kun hän vastaanottaa ne.

Lain 54 §:n (Katoamisilmoitus.) 1 momentin mukaan

Maksuvälineen haltijan on ilman aiheetonta viivytystä ilmoitettava palveluntarjoajalle tai sen nimeämälle muulle taholle havaitsemastaan maksuvälineen katoamisesta, joutumisesta oikeudettomasti toisen haltuun tai oikeudettomasta käytöstä.

Lain 62 §:n (Maksupalvelun käyttäjän vastuu maksuvälineen oikeudettomasta käytöstä.) mukaan

Maksupalvelun käyttäjä, joka on tehnyt maksuvälinettä koskevan sopimuksen palveluntarjoajan kanssa, vastaa kadonneen tai oikeudettomasti toisen haltuun joutuneen maksuvälineen käytöstä tai muusta maksuvälineen oikeudettomasta käytöstä vain, jos oikeudeton käyttö johtuu siitä, että hän tai muu maksuvälineen haltija on:
1) luovuttanut maksuvälineen sen käyttöön oikeudettomalle;
2) huolimattomuudesta laiminlyönyt 53 §:n 1 momentin mukaiset velvollisuutensa; taikka
3) laiminlyönyt ilman aiheetonta viivytystä ilmoittaa palveluntarjoajalle tai sen nimeämälle muulle taholle havaitsemastaan maksuvälineen katoamisesta, joutumisesta oikeudettomasti toisen haltuun tai oikeudettomasta käytöstä.
Maksupalvelun käyttäjän vastuu maksuvälineen oikeudettomasta käytöstä 1 momentin 2 ja 3 kohdassa tarkoitetuissa tapauksissa on enintään 50 euroa. Tätä rajoitusta ei sovelleta, jos maksupalvelun käyttäjä tai muu maksuvälineen haltija on toiminut tahallisesti tai törkeän huolimattomasti.
Maksupalvelun käyttäjä ei vastaa maksuvälineen oikeudettomasta käytöstä:
1) siltä osin kuin maksuvälinettä on käytetty sen jälkeen, kun palveluntarjoajalle tai sen nimeämälle muulle taholle on ilmoitettu maksuvälineen katoamisesta, joutumisesta oikeudettomasti toisen haltuun tai oikeudettomasta käytöstä;
2) jos palveluntarjoaja on laiminlyönyt huolehtia siitä, että maksuvälineen haltijalla on mahdollisuus tehdä milloin tahansa 1 kohdassa tarkoitettu ilmoitus;
3) jos maksunsaaja ei ole maksuvälinettä käytettäessä asianmukaisesti varmistunut maksajan oikeudesta käyttää maksuvälinettä; tai
4) jos palveluntarjoaja ei ole edellyttänyt maksajan vahvaa tunnistamista.
Sen estämättä, mitä 3 momentissa säädetään, maksupalvelun käyttäjä on vastuussa maksuvälineen oikeudettomasta käytöstä, jos hän tai muu maksuvälineen haltija on tahallaan tehnyt väärän ilmoituksen tai toiminut muuten petollisesti.

Maksupalvelulain 63 §:n (Palveluntarjoajan vastuu oikeudettomasta maksutapahtumasta.) 1 momentin mukaan 

Jos maksutapahtuma on toteutettu oikeudettomasti eikä 62 §:stä muuta johdu, palveluntarjoajan, jonka asiakkaan varoja on käytetty maksutapahtuman toteuttamiseen, on välittömästi ja viimeistään seuraavana työpäivänä siitä, kun se havaitsi maksutapahtuman tai sille ilmoitettiin maksutapahtumasta, palautettava maksutapahtuman rahamäärä asiakkaalleen tai palautettava tämän maksutili siihen tilaan, jossa se olisi ollut ilman veloitusta.

Maksupalvelulain 85 c §:n (Tunnistaminen) 1 ja 5 momenttien mukaan

Palveluntarjoajan on käytettävä vahvaa tunnistamista, jos maksaja:
1)käyttää maksutiliään tietoverkon välityksellä;
2)käynnistää sähköisen maksutapahtuman;
3)toteuttaa etäkanavan kautta toimen, johon voi liittyä väärinkäytöksen riski.
[…]
Tämän pykälän mukaisesta velvollisuudesta vahvaan tunnistamiseen sekä henkilökohtaisten turvatunnusten luottamuksellisuuden ja eheyden suojaamiseen voidaan poiketa, jos maksupalveludirektiivin 98 artiklan nojalla annetuissa komission teknisissä sääntelystandardeissa niin säädetään.

Pankin tunnus- ja digisopimuksen ehtojen (jäljempänä pankkitunnusehdot) kohta, joka koskee kuluttaja-asiakkaan vastuuta tunnusten oikeudettomasta käytöstä maksuvälineenä, vastaa maksupalvelulain 62 §:n kuluttajan hyväksi pakottavia säännöksiä.

Pankkitunnusehtojen Tunnusten säilyttämistä ja sallitun käytön rajoitukset -kohdan mukaan

Henkilöasiakkaalle luovutetut Tunnukset ovat henkilökohtaiset. Tunnuksia ei saa luovuttaa kenellekään toiselle henkilölle, ei edes samaan perheeseen kuuluvalle, eikä erilliselle sovellukselle tai palvelulle, ellei sovellus tai palvelu ole [pankin] hyväksymä. [Pankin] hyväksymät sovellukset ja palvelut ovat nähtävillä osoitteessa [pankki].fi. Jos asiakas antaa Tunnuksensa kolmannelle, asiakas vastaa kolmannen hänen nimissään tekemistä toimista.
[…]
Tunnuksia tai osaa niistä ei koskaan saa:
- kertoa suullisesti niitä puhelimitse tai muulla tavalla kysyvälle ulkopuoliselle taholle. Soittaessaan [pankin] puhelinpalveluun asiakas näppäilee Tunnukset puhelimeen. Palveluntarjoaja tai muut [pankkiryhmän] yritykset eivät koskaan soita asiakkaalle ja pyydä kertomaan tai näppäilemään Tunnuksia;
- luovuttaa tekstiviestillä, sähköpostilla tai muun sovelluksen kautta tulleen pyynnön perusteella muille kuin [pankin] hyväksymille palveluille ja sovelluksille;
- käyttää kirjautumiseen [pankki]-verkkopalveluihin, jos linkki kirjautumissivulle on lähetetty Asiakkaalle sähköpostilla tai muulla sähköisellä tavalla.
Käyttäjätunnuksen ja salasanan sisältävä kalvo on hävitettävä eikä käyttäjätunnusta tai salasanaa saa kirjoittaa tai tallentaa muistiin helposti tunnistettavaan muotoon. Jos Tunnukset on luovutettu sähköisesti, Asiakkaan tulee itse suojata tunnukset ja varmistua siitä, etteivät näytöllä olevat tiedot näy ulkopuolisille ja että tiedot eivät jää ulkopuolisten saataville.
Tunnuksia on säilytettävä huolellisesti ja erillään toisistaan siten, ettei kenelläkään, ei edes samaan perheeseen kuuluvalla tai niiden käyttöön oikeudettomalla yrityksen työntekijällä ole mahdollisuutta saada niitä tietoonsa. Tunnusten osia ei saa säilyttää samassa säilytyspaikassa kotona, eikä esimerkiksi lompakossa tai käsilaukussa.
Asiakkaan on varmistettava olosuhteiden edellyttämällä tavalla säännöllisesti, että Tunnukset ovat tallessa.
Asiakkaan on [pankki]-verkkopalveluihin kirjautuessaan suojattava laite, esim. tietokone, puhelin tai erillinen näppäimistö, jolla Tunnuksia käytetään siten, ettei kenelläkään ole mahdollisuutta saada Tunnuksia tietoonsa
[…]

Pankin tunnus- ja digisopimusehtojen Ilmoitus Tunnusten katoamisesta tai joutumisesta sivullisen tietoon tai haltuun -kohdan mukaan

Asiakkaan on välittömästi ilmoitettava Palveluntarjoajalle Tunnusten katoamisesta tai niiden joutumisesta käyttöön oikeudettoman tietoon tai haltuun taikka jos asiakas epäilee niiden joutuneen käyttöön oikeudettoman tietoon tai haltuun. Ilmoitus on tehtävä myös siinä tapauksessa, että vain osa Tunnuksista on kadonnut tai joutunut käyttöön oikeudettoman tietoon tai haltuun.
[…]

Asian arviointi

Tapahtumienkulku

Pankkilautakunta katsoo tapauksessa selvitetyksi, että asiakas on käyttänyt pankkitunnuksiaan kirjautumistarkoituksessa rikollisten Traficomin nimissä lähettämässä tekstiviestissä olleen linkin kautta avautuneilla valesivuilla ja tässä yhteydessä rikolliset ovat päässeet kirjautumaan asiakkaan verkkopankkiin omalla laitteellaan. Verkkopankissa rikolliset ovat voineet tehdä saadun selvityksen mukaiset asiakkaan käytössä olevien tilien väliset siirrot sekä luomaan riidanalaiset ulkopuoliselle tehtäviä maksuja koskevat maksutoimeksiannot. Asiakas on valesivuilla asiointinsa jälkeen tullut puhelimessa rikollisten harhaan johtamaksi ja luullessaan asioivansa pankkinsa kanssa hän on harhaanjohdettuna vahvistanut puhelimessaan olleella pankin tunnistusvälineellä rikollisten verkkopankissa luomat yhteensä 36.274,84 euron maksut ulkopuolisille.

Pankkilautakunta on ratkaisukäytännössään vakiintuneesti katsonut, että tapauksissa, joissa rikoksen uhri on huijattuna tullut itse hyväksyneeksi riidanalaiset maksut esimerkiksi omassa puhelimessaan olevalla pankin mobiilisovelluksella ja sovelluksessa on ennen vahvistuksen antamista näkynyt vahvistettavan maksun tiedot, ei pankki ole velvollinen hyvittämään asiassa aiheutunutta vahinkoa asiakkaalle. Näissä tapauksissa on katsottu, että vaikka asiakas on antanut maksujen vahvistukset rikollisten harhaan johtamana, on hän kuitenkin itse antanut maksuille maksupalvelulain 38 §:ssä ja sovellettavissa ehdoissa tarkoitetun suostumuksensa, eivätkä kyseessä olevat maksutapahtumat tällöin ole maksupalvelulaissa tarkoitetulla tavalla oikeudettomia. Tämän vuoksi käsillä ei ole myöskään ollut perusteita pankin vastuulle maksuista asiakkaalle aiheutuneesta vahingosta.

Vaikka tässä tapauksessa pankin mobiilisovelluksen vahvistuspyynnöistä ei ole ilmoitettu maksunsaajan tilinumeroa, on vahvistuspyynnöissä kuitenkin ilmaistu kyseessä olevan maksujen hyväksymisestä sekä ilmoitettu maksun euromäärä sekä saajan nimi. Pankkilautakunta katsookin, ettei asiaa ole syytä arvioida toisin kuin lautakunta on edellä esitetyllä tavalla arvioinut tapauksissa, joissa maksun tiedot ovat näkyneet pankin mobiilisovelluksessa.

Pankkilautakunta katsoo, että asiakas on antanut maksutapahtumille maksupalvelulain 38 §:ssä ja sovellettavissa ehdoissa tarkoitetun suostumuksensa maksutapahtumien toteuttamiseen. Vaikka asiakas on antanut em. vahvistukset maksuille tultuaan rikollisten harhaan johtamaksi, ei tällä ole merkitystä asiakkaan ja pankin välisessä suhteessa. Näin ollen lautakunta katsoo, etteivät kyseessä olevat maksutapahtumat ole maksupalvelulaissa tarkoitetulla tavalla oikeudettomia ja ettei käsillä siten lähtökohtaisesti ole perusteita pankin vastuulle maksuista asiakkaalle aiheutuneesta vahingosta.

Tapauksessa asiakas on vedonnut Itä-Suomen hovioikeuden 13.11.2024 antamaan ratkaisuun. Tältä osin Pankkilautakunta toteaa selvyyden vuoksi, että kyseinen jo vuoden 2022 keväällä Pankkilautakunnassa käsitelty tapaus on tapahtumienkulultaan erilainen nyt käsittelyssä olevaan tapaukseen verrattuna ja lisäksi kyseisessä tapauksessa annettu hovioikeuden ratkaisu on vailla lainvoimaa.

Verkkopankin sisällä tehtyjen oikeudettomien tilisiirtojen tekeminen ilman vahvaa tunnistamista

Maksupalveluja ja vahvaa tunnistamista koskevan sääntely sallii palveluntarjoajien tietyissä poikkeustilanteissa poikkeavan vahvan tunnistamisen vaatimuksesta. Lautakunta on ratkaisukäytännössään vakiintuneesti katsonut, että vaikka sääntely sallii sen, että pankin ei ole pakko edellyttää vahvaa tunnistamista omien tilien välisessä tilisiirrossa, näin toimiessaan pankki ottaa maksupalvelulain 62 §:n 3 momentin 4 kohdan mukaisesti vastuulleen riskin maksuvälineen oikeudettomasta käytöstä.

Pankkilautakunta on ratkaisukäytännössään katsonut pankin vastaavan vahingosta siltä osin kuin vahingon määrään on vaikuttanut ennen ulkopuoliselle menneitä maksuja tehdyt verkkopankin sisäiset siirrot ja se, että pankki on sallinut kyseisten oikeudettomien siirtojen tekemisen ilman maksajan vahvaa tunnistamista.

Nyt käsiteltävässä tapauksessa on riidatonta, että pankki ei ole edellyttänyt asiakkaan vahvaa tunnistamista siinä yhteydessä, kun rikolliset ovat siirtäneet asiakkaan verkkopankissa asiakkaan luottokorteilta yhteensä 4.250 euroa ja asiakkaan kahdelta tililtä yhteensä 33.400 euroa kuolinpesän tilille, jolta on tämän jälkeen tehty yhteisarvoltaan 36.274,84 siirrot ulkopuoliselle.

Vaikka vahinko on realisoitunut asiakkaan annettua maksupalvelulain 38 §:ssä tarkoitetun suostumuksensa ulkopuoliselle tehtyjen maksutapahtumien toteuttamiselle, Pankkilautakunta katsoo, että asiassa aiheutuneen vahingon määrään on vaikuttanut ennen ulkopuolisille tapahtuneita maksuja tehdyt verkkopankin sisäiset siirrot ja se, että pankki on sallinut kyseisten oikeudettomien siirtojen tekemisen ilman vahvaa tunnistamista. Asiassa saadun selvityksen mukaan kuolinpesän tilillä, jolta maksut ulkopuolisella on tehty, oli ennen sille tehtyjä sisäisiä siirtoja ollut 518,52 euroa. Sisäiset siirrot eivät siten ole tältä osin lisänneet vahingon määrää. Näin ollen lautakunta katsoo sisäisten siirtojen vaikuttaneen tapauksessa aiheutuneen vahingon määrään 35.756,32 euroa ja vahingon kuuluvan tältä osin pankin vastuulle.

Pankin menettelystä

Asiakas on vedonnut tapauksessa myös siihen, että pankin pitäisi seurata epätavallista maksuliikennettä ja pankin olisi pitänyt estää riidanalaiset tilisiirrot. Pankkilautakunta katsoo, että vastuun asiassa aiheutuneesta vahingosta jäädessä edellä esitetyin perustein pääasiassa pankin vastuulle ei asiassa ole tarpeen arvioida pankin menettelyä petollisten maksutapahtumien valvonnan ja estämisen suhteen.

Lopputulos

Pankkilautakunta katsoo asiakkaan antaneen ko. ulkopuolisille tehdyille tilisiirroille maksupalvelulain 38 §:ssä tarkoitetun suostumuksensa ja asiakkaan siten lähtökohtaisesti vastaavan tilisiirroista aiheutuneesta vahingosta pankin ja asiakkaan välisessä suhteessa. Edelleen lautakunta kuitenkin katsoo, että vahingon kokonaismäärään on vaikuttanut verkkopankin sisällä tehdyt yhteensä 37.650 euron tilisiirrot kuolinpesän tilille, jolta maksut ulkopuoliselle on tämän jälkeen tehty. Koska pankki on sallinut kyseisten tilisiirtojen tekemisen ilman vahvaa tunnistamista ja siirrot ovat oikeudettomia, vastaa pankki kyseisistä tilisiirroista ja asiassa aiheutuneesta vahingosta siltä osin kuin kyseiset siirrot ovat vahingon kokonaismäärää lisänneet.

Edellä esitettyyn viitaten Pankkilautakunta suosittaa pankkia hyvittämään 35.756,32 euroa tileille, joilta em. oikeudettomat tilisiirrot ilman vahvaa tunnistamista tehtiin.

Ratkaisusuositus syntyi äänin 4–1. Ratkaisusuosituksen antamiseen osallistuivat puheenjohtaja Sillanpää sekä jäsenet Atrila, Punakivi ja Tervonen. Jäsen Ketolan eriävä mielipide on liitteenä.

Pankkilautakunta oli yksimielinen.

PANKKILAUTAKUNTA

Puheenjohtaja Sillanpää
Sihteeri Hidén

Jäsenet:
Atrila
Ketola
Punakivi
Tervonen

Jäsen Ketolan eriävä mielipide:

Olen Pankkilautakunnan enemmistön kanssa eri mieltä ratkaisusuosituksen perusteluista ja lopputuloksesta siltä osin kuin Pankkilautakunnan enemmistö katsoo pankin olevan vastuussa vahingosta niiltä osin kuin verkkopankin sisäiset oikeudettomat siirrot ilman vahvaa tunnistamista ovat lisänneet vahingon kokonaismäärää.

Asian kannalta merkitykselliset lainsäännökset ovat maksupalvelulain 38 § (Maksajan suostumus maksutapahtuman toteuttamiseen), maksupalvelulain 85 c §:n 1 ja 5 momentti (Tunnistaminen), komission delegoidun asetuksen (EU) 2018/389 III luvun 15 artikla (Saman luonnollisen henkilön tai oikeushenkilön hallussa olevien tilien väliset tilisiirrot), maksupalvelulain 62 §:n 3 momentin 4 kohta (Maksupalvelun käyttäjän vastuu maksuvälineen oikeudettomasta käytöstä) sekä maksupalvelulain 63 §:n 1 momentti (Palveluntarjoajan vastuu oikeudettomasta maksutapahtumasta).

Olen samaa mieltä Pankkilautakunnan enemmistön kanssa sen osalta kuin ratkaisusuosituksessa on käsitelty asiakkaan suostumusta rikollisille tehtyjen tilisiirtojen osalta. Kyseessä olevat maksutapahtumat eivät ole maksupalvelulaissa tarkoitetulla tavalla oikeudettomia ja tämän vuoksi tapauksessa ei ole laissa säänneltyjä perusteita pankin vastuulle näistä maksuista asiakkaalle aiheutuneesta vahingosta. Pankkilautakunnan enemmistöstä poiketen katson, että maksupalvelulain 63 §:n mukainen palveluntarjoajan vastuu oikeudettomasta maksutapahtumasta on säädetty maksutapahtumakohtaiseksi eikä maksupalvelulaki tunnista vastuunjakoarvioinnissa kokonaisselvitykseen perustuvaa harkintaa.

Tapauksessa on riidatonta, että pankki ei ole edellyttänyt asiakkaan vahvaa tunnistamista rikollisten tekemien asiakkaan hallussa olevien tiilien välisten tilisiirtojen yhteydessä komission delegoidun asetuksen (EU) 2018/389 III luvun 15 artiklan perusteella. Maksupalvelulain 62 §:n 3 momentin 4 kohdan mukaan maksupalvelun käyttäjä ei vastaa maksuvälineen oikeudettomasta käytöstä, jos palveluntarjoaja ei ole edellyttänyt maksajan vahvaa tunnistamista. Tarkasteltavien verkkopankissa tehtyjen oikeudettomien tilien välisten siirtojen perusteella asiakkaalle ei kuitenkaan ole syntynyt varallisuusvahinkoa, jonka pankki olisi maksupalvelulain 62 §:n 3 momentin 4 kohdan perusteella velvollinen korvaamaan asiakkaalle. Siirrot on tehty sellaisten tilien välillä, joissa asiakas on tilinomistaja tai käyttöoikeudenhaltija ja siirtojen jälkeen varat ovat olleet edelleen kokonaisuudessaan asiakkaan vallinnassa. Vahinkoedellytyksen täyttymiseksi varojen olisi tullut kyseisten oikeudettomien siirtojen jälkeen päätyä kolmannen osapuolen haltuun. Koska vahingon edellytyksenä on ollut asiakkaan suostumuksella myöhemmin tehdyt maksutapahtumat, asiakkaan hallussa olevien tilien väliset oikeudettomat siirrot eivät ole riittävässä syy-yhteydessä aiheutuneeseen vahinkoon, vaan syy-yhteys on katkennut kun asiakas on antanut suostumuksensa maksutapahtumille. Vaikka pankki ottaisi vastuulleen riskin maksuvälineen oikeudettomasta käytöstä jättäessään vaatimatta vahvaa tunnistamista, riski ei verkkopankissa tehdyissä sisäisissä siirroissa voi realisoitua vahingoksi, koska varoja siirretään ainoastaan asiakkaan hallussa olevien tilien välillä. Maksupalvelulain nojalla maksutapahtumia tulee arvioida erillisinä tapahtumina, jolloin on selvää, ettei sisäisistä siirroista aiheudu korvattavaa vahinkoa.

Pankki palveluntarjoajana on nimenomaisesti edellyttänyt vahvaa tunnistamista niiden maksutapahtumien osalta, joilla varat on siirretty kolmannen osapuolen haltuun ja joilla vahinko on realisoitunut. Asiakkaalle aiheutunut vahinko ei siten ole seurausta maksuvälineen oikeudettomasta käytöstä, vaan asiakas on antanut maksupalvelulain 38 §:n mukaisen suostumuksensa maksutapahtumien toteuttamiselle. Asiakkaan maksutapahtumille antamille suostumuksille on annettava sama merkitys riippumatta siitä, siirretäänkö tilillä alun perin olleita varoja tai sinne verkkopankin sisäisen siirron kautta siirrettyjä varoja. Pankkilautakunnan enemmistön näkemyksen mukainen tulkinta asettaisi eriarvoiseen asemaan sellaiset asiakkaat, joiden koko tilivarallisuus on verkkopankissa vain yhdellä tilillä.

Lopputulos

Katson, että vahinko on aiheutunut maksupalvelulain 38 §:n mukaisella asiakkaan suostumuksella tehtyjen maksutapahtumien seurauksena, joita ei ole pidettävä oikeudettomina. Asiakkaan hallussa olevien tilien väliset ilman vahvaa tunnistamista tehdyt oikeudettomat siirrot eivät ole riittävässä syy-yhteydessä asiakkaan myöhemmin vahvistamilla siirroilla hänelle aiheutuneeseen vahinkoon. Pankkilautakunnan enemmistön kannan hyväksyminen merkitsisi sitä, että asiakkaan omalla toiminnalla ei olisi merkitystä vastuunjaon arvioinnissa, eikä tällainen malli olisi rikoksentorjunnan kannalta tarkoituksenmukainen.

Edellä todetuin perustein katson, että pankki ei vastaa kyseisistä tilisiirroista ja asiassa aiheutuneesta vahingosta miltään osin, eikä Pankkilautakunnan tulisi suosittaa pankkia hyvittämään 35.756,32 euroa.