Tapahtumatiedot

Asiakas on saanut 24.8.2025 rikollisten pankin nimissä tekemän puhelun ja tullut huijatuksi. Rikolliset ovat päässeet kirjautumaan asiakkaan verkkopankkiin, jossa he ovat tehneet klo 15.10 asiakkaan korttiluotolta 1.999,00 euron siirron asiakkaan käyttötilille. Kyseisen siirron kohdalla pankki ei ole edellyttänyt maksajan vahvaa tunnistamista. Tämän jälkeen rikolliset ovat luoneet verkkopankissa maksutoimeksiannon, minkä johdosta pankki on lähettänyt asiakkaalle maksunvahvistamista koskevan tekstiviestin klo 18.23:
"Olet maksamassa palvelussamme 3 298,30 EUR tilille DE25 xxxx xxxx xxxx xxxx xx. Vahvista maksu avainlukulistan ####. avainluvulla. [pankki]"
Kyseinen maksu on tämän jälkeen vahvistettu asiakkaan verkkopankissa em. tekstiviestissä mainitulla avainluvulla.

Asiakkaan valitus

Asiakas vaatii pankkia korvaamaan 3.300 euroa.

Asiakas oli ulkona kotitalon sisäpihalla, kun puhelin soi noin klo 14.00-16.00. Asiakas aina tarkistaa soittajan, mutta nyt hän ei nähnyt soittajaa, koska hänellä ei ollut silmälaseja puhelimen soidessa. Miesääni huusi, että nyt viedään sinun rahat ja hän on tässä apuna. Asiakas meni sokkiin ja siitä virottuaan meni sisälle. Asiakas ei muista tarkalleen mitä tapahtui, mutta hän meni verkkopankkiin ja järkyttyi nähdessään tilin olevan tyhjä. Asiakas soitti heti pankkiin ja poliisille. Seuraavana aamuna hän meni pankkiin.

Kokemus on ollut traumaattinen. Asiakas on 84-vuotias ja sydänsairauslääkkeillä. Asiakkaalle luottopuoli on vieras, koska hän ei voi käyttää velkamaksua oman tilanteensa vuoksi. Asiakas on yksin ja eläkkeen turvin asuva, ja hänelle on mahdottomuus maksaa huijattu summa.

Asiakasta avustaa B, johon asiakas on tutustunut vapaaehtoistoiminnan kautta ja joka on toiminut asiakkaan ATK-tukena useiden vuosien ajan. B on ajoittain muistuttanut asiakasta verkkohuijareista sekä puhelimitse tapahtuvasta tietojen kalastelusta. Aiemmin asiakas on ollut valppaana ja osannut katkaista tällaiset yhteydenotot, mutta tällä kertaa huijarit onnistuivat huijaamaan hänet ansaan.

Asiakas otti B:hen yhteyttä pyytääkseen apua asian selvittämiseen vasta tammikuussa 2026, koska verkkohuijauksen uhriksi joutuminen on ihmiselle hyvin nöyryyttävä ja häpeällinen kokemus. B:n tutkittua A:n iPhonen sekä uuden ja vanhan iPadin he saivat kokonaiskuvan tilanteesta. Keskustelun perusteella ilmeni, että huijauksen kohteeksi joutuessaan asiakas oli käyttänyt verkkopankkiin kirjautumiseen vanhaa iPadia, joka toimitettiin poliisille teknilliseen rikoslaboratorioon tutkittavaksi 29.1.2026.

Vaikuttaa siltä, että huijarit olivat valmistelleet huijausta pitkään: he olivat käsitelleet asiakkaan tablettia siten, että hyökkäyksen tapahtuessa he pystyivät tekemään tilisiirtoja ja vahvistamaan ne etänä tabletin avulla.

Pankin vastine

Asiakkaan poliisille kertoman mukaan hän on saanut 24.8.2025 puhelun tuntemattomasta numerosta. Soittaja kertoi, että joku on viemässä asiakkaan rahoja. Asiakas on kertonut luovuttaneensa puhelussa pankkitunnuksensa. Hetken kuluttua hän huomasi, että tili oli tyhjä ja 3.330 euroa kadonnut.

Asiakkaan tililtä on klo 15.12 tehty 3.298,30 euron siirto tilille DExxxxxx xxxx xxxx xxxx xx, saaja X. Maksu on vahvistettu avainlukulistalla ja asiakkaan puhelimeen tekstiviestillä lähetetyllä lisävahvistusluvulla:
"Olet maksamassa palvelussamme 3 298,30 EUR tilille DE25 xxxx xxxx xxxx xxxx xx. Vahvista maksu avainlukulistan ####. avainluvulla. [pankki]"

Ennen kyseistä siirtoa asiakkaan korttiluotolta on klo 15.10 siirretty 1999,00 euroa asiakkaan käyttötilille. Siirto on tehty käyttäen asiakkaan pankkitunnuksia, mutta itse korttiluoton siirto käyttötilille ei ole vaatinut SCA:ta. Pankki katsoo, että luoton siirron jälkeen varat ovat edelleen olleet asiakkaan hallinnassa, omalla käyttötilillään.

Pankin toimet asiakkaiden varoittamiseksi

Väärinkäytösten ehkäisemiseksi pankki on aktiivisesti varoittanut asiakkaitaan verkkopalvelutunnusten kalastelukampanjoista muun muassa verkkosivujensa tiedotteilla 5.8., 11.7., 21.3., 31.1.2025, 20.12.2024 ja 19.12.2024. Pankki on ohjeistanut asiakkaitaan olemaan luovuttamatta verkkopankkitunnuksia, mikäli tunnuksia kysytään sähköpostilla tai puhelimitse sekä lisäksi ohjeistettu, ettei verkkopankkiin saa kirjautua sähköpostitse tai tekstiviestillä tulleen linkin kautta. Lisäksi pankki on ohjeistanut lukemaan aina huolella vahvistuspyynnöt. Pankin ohjeistuksen mukaan mitään sellaista tapahtumaa, jota ei tunnista tehneensä, ei tule vahvistaa.

Sääntely ja sopimusehdot

Pankki viittaa maksupalvelulain 38 §:n 1 momenttiin, 53 §:n 1 momenttiin ja 62 §:än sekä pankin tunnus- ja digisopimuksen ehtoihin.

Pankin näkemys

Pankin näkemyksen mukaan asiakas on antanut maksupalveluin 38 §:n mukaisen suostumuksen tilisiirrolle, jolla varat siirrettiin pois hänen hallinnastaan ulkopuoliselle eikä pankki ole asiassa korvausvelvollinen.

Pankki ei ole asiassa toiminut petollisesti, ja suostumus pankille on annettu lain ja pankin sopimusehtojen mukaisesti, joten pankki on voinut luottaa tapahtumalle annettuun suostumukseen.

Asiakas on myöntänyt itse luovuttaneensa ulkomaiseen maksuun tarvittavat tiedot ulkopuoliselle. Pankki katsoo ensisijaisesti, että asiakas on antanut maksuille maksupalvelulain mukaisen suostumuksen eikä kysymys ole siten oikeudettomasta maksutapahtumasta. Toissijaisesti, tapaukseen liittyvät yksityiskohdat ja kokonaisarviointi huomioon ottaen, pankki katsoo asiakkaan toimineen maksupalvelulaissa tarkoitetulla tavalla törkeän huolimattomasti.

Tämän vuoksi pankki katsoo, ettei se ole vastuussa aiheutuneesta vahingosta miltään osin.

Siirto korttiluotolta

Pankkilautakunta pyysi pankkia esittämään näkemyksensä myös siitä, "miten ilman vahvaa tunnistamista tehty oikeudeton 1 999,00 euron siirto asiakkaan korttiluotolta käyttötilille on vaikuttanut asiassa aiheutuneen vahingon määrään." Pankki katsoo, että varat ovat olleet Asiakkaan hallinnassa sekä määräysvallassa siihen asti, kunnes myöhemmälle 3.298,30 euron tilisiirrolle on annettu maksupalvelulain mukaisesti suostumus varojen siirtämiselle ulkopuoliselle. Mikäli asiakas ei olisi antanut suostumustaan ulkopuoliselle tehtyyn tilisiirtoon, ei mitään vahinkoa olisi tapahtunut. Pankki katsoo, että asiakkaalle on aiheutunut tapauksessa vahinkoa vasta kun hän on maksupalvelulain mukaisesti hyväksynyt varojen siirrot ulkopuoliselle eikä siirto korttiluotolta käyttötilille ole suorassa syy-yhteydessä vahinkoon.

Selvitykset

Valitus koskevan osapuolten kirjelmöinnin lisäksi lautakunnalle on toimitettu seuraavat asiakirjat:
- Pankin tunnus- ja digisopimuksen ehdot

Ratkaisusuositus

Kysymyksenasettelu

Asiakkaan ja pankin välisen vastuunjaon ratkaisemiseksi Pankkilautakunnan on ensin ratkaistava, voidaanko asiakkaan katsoa antaneen maksupalvelulain 38 §:ssä tarkoitetun suostumuksensa ko. tilisiirrolle vai onko tilisiirtoa pidettävä oikeudettomana. Mikäli tapauksessa katsotaan olevan kyse maksuvälineen oikeudettomasta käytöstä, on lautakunnan arvioitava, voidaanko asiakkaan katsoa luovuttaneen maksuvälineensä sen käyttöön oikeudettomalle maksupalvelulain 62 §:n 1 momentin 1 kohdassa tarkoitetulla tavalla tai voidaanko pankkitunnusten oikeudettoman käytön katsoa johtuneen siitä, että asiakas on huolimattomuudestaan laiminlyönyt lain 53 § 1 momentin ja pankkitunnusehtojen mukaisia velvollisuuksiaan, sekä minkä asteista asiakkaan mahdollinen huolimattomuus on. Edelleen lautakunnan on arvioitava, vaikuttaako asiakkaan ja pankin välisen vastuunjakoon se, että pankki ei ole edellyttänyt vahvaa tunnistamista verkkopankin sisäisen siirron yhteydessä.

Sovellettavat lainkohdat ja sopimusehdot

Maksupalvelulain 8 §:n (Määritelmät.) mukaan
Tässä laissa tarkoitetaan:
[…]
24) vahvalla tunnistamisella maksupalvelun käyttäjän sähköistä tunnistamista, jossa suojataan tunnistamistiedon luottamuksellisuutta ja käytetään menettelyä, joka perustuu vähintään kahteen seuraavista kolmesta toisistaan riippumattomasta vaihtoehdosta:
a) johonkin, mitä vain maksupalvelun käyttäjä tietää;
b) johonkin, mitä vain maksupalvelun käyttäjällä on hallussaan;
c) maksupalvelun käyttäjän yksilöivään ominaisuuteen;
[…]

Maksupalvelulain 38 §:n 1 momentin mukaan
Maksutapahtuma saadaan toteuttaa vain maksajan suostumuksella. Maksutapahtumaa pidetään oikeudettomana, jollei maksaja ole antanut siihen suostumustaan sovitulla tavalla.

Maksupalvelulain 53 §:n 1 momentin mukaan
Maksuvälineen haltijan on käytettävä maksuvälinettä sen myöntämistä ja käyttöä koskevien ehtojen mukaisesti. Erityisesti hänen on kohtuullisin toimenpitein huolehdittava maksuvälineestä ja siihen liittyvistä henkilökohtaisista turvatunnuksista. Maksuvälineen myöntämistä ja käyttöä koskevat ehdot eivät saa olla perusteettomia, kohtuuttomia tai syrjiviä.

Lain 54 §:n 1 momentin mukaan
Maksuvälineen haltijan on ilman aiheetonta viivytystä ilmoitettava palveluntarjoajalle tai sen nimeämälle muulle taholle havaitsemastaan maksuvälineen katoamisesta, joutumisesta oikeudettomasti toisen haltuun tai oikeudettomasta käytöstä.

Lain 62 §:n mukaan
Maksupalvelun käyttäjä, joka on tehnyt maksuvälinettä koskevan sopimuksen palveluntarjoajan kanssa, vastaa kadonneen tai oikeudettomasti toisen haltuun joutuneen maksuvälineen käytöstä tai muusta maksuvälineen oikeudettomasta käytöstä vain, jos oikeudeton käyttö johtuu siitä, että hän tai muu maksuvälineen haltija on:
1) luovuttanut maksuvälineen sen käyttöön oikeudettomalle;
2) huolimattomuudesta laiminlyönyt 53 §:n 1 momentin mukaiset velvollisuutensa; taikka
3) laiminlyönyt ilman aiheetonta viivytystä ilmoittaa palveluntarjoajalle tai sen nimeämälle muulle taholle havaitsemastaan maksuvälineen katoamisesta, joutumisesta oikeudettomasti toisen haltuun tai oikeudettomasta käytöstä.
Maksupalvelun käyttäjän vastuu maksuvälineen oikeudettomasta käytöstä 1 momentin 2 ja 3 kohdassa tarkoitetuissa tapauksissa on enintään 50 euroa. Tätä rajoitusta ei sovelleta, jos maksupalvelun käyttäjä tai muu maksuvälineen haltija on toiminut tahallisesti tai törkeän huolimattomasti.
Maksupalvelun käyttäjä ei vastaa maksuvälineen oikeudettomasta käytöstä:
1) siltä osin kuin maksuvälinettä on käytetty sen jälkeen, kun palveluntarjoajalle tai sen nimeämälle muulle taholle on ilmoitettu maksuvälineen katoamisesta, joutumisesta oikeudettomasti toisen haltuun tai oikeudettomasta käytöstä;
2) jos palveluntarjoaja on laiminlyönyt huolehtia siitä, että maksuvälineen haltijalla on mahdollisuus tehdä milloin tahansa 1 kohdassa tarkoitettu ilmoitus;
3) jos maksunsaaja ei ole maksuvälinettä käytettäessä asianmukaisesti varmistunut maksajan oikeudesta käyttää maksuvälinettä; tai
4) jos palveluntarjoaja ei ole edellyttänyt maksajan vahvaa tunnistamista.
Sen estämättä, mitä 3 momentissa säädetään, maksupalvelun käyttäjä on vastuussa maksuvälineen oikeudettomasta käytöstä, jos hän tai muu maksuvälineen haltija on tahallaan tehnyt väärän ilmoituksen tai toiminut muuten petollisesti.

Maksupalvelulain 63 §:n 1 momentin mukaan 
Jos maksutapahtuma on toteutettu oikeudettomasti eikä 62 §:stä muuta johdu, palveluntarjoajan, jonka asiakkaan varoja on käytetty maksutapahtuman toteuttamiseen, on välittömästi ja viimeistään seuraavana työpäivänä siitä, kun se havaitsi maksutapahtuman tai sille ilmoitettiin maksutapahtumasta, palautettava maksutapahtuman rahamäärä asiakkaalleen tai palautettava tämän maksutili siihen tilaan, jossa se olisi ollut ilman veloitusta.

Lain 72 §:n 1 ja 3 momentin mukaan
Jos maksupalvelun käyttäjä kiistää antaneensa suostumuksensa maksutapahtuman toteuttamiseen, hänen palveluntarjoajansa on osoitettava, että suostumus on annettu sovitulla tavalla. Jos maksupalvelun käyttäjä väittää, että maksutapahtumaa ei ole toteutettu asianmukaisesti, palveluntarjoajan on osoitettava, että maksutapahtuma on kirjattu ja merkitty tileille oikein ja ettei maksutapahtuman käsittelyyn ole vaikuttanut tekninen vika tai muu häiriö.
[…]
Se seikka, että palveluntarjoaja voi näyttää, että suostumus maksutapahtuman toteuttamiseen on annettu maksuvälineellä, ei välttämättä yksin riitä osoittamaan, että maksuvälineen haltija on antanut suostumuksensa maksutapahtuman toteuttamiseen, toiminut petollisesti taikka laiminlyönyt tahallisesti tai törkeän huolimattomasti 53 ja 54 §:ssä säädettyjä velvollisuuksiaan.

Maksupalvelulain 85 c §:n (Tunnistaminen) 1 ja 5 momenttien mukaan
Palveluntarjoajan on käytettävä vahvaa tunnistamista, jos maksaja:
1)käyttää maksutiliään tietoverkon välityksellä;
2)käynnistää sähköisen maksutapahtuman;
3)toteuttaa etäkanavan kautta toimen, johon voi liittyä väärinkäytöksen riski.
[…]
Tämän pykälän mukaisesta velvollisuudesta vahvaan tunnistamiseen sekä henkilökohtaisten turvatunnusten luottamuksellisuuden ja eheyden suojaamiseen voidaan poiketa, jos maksupalveludirektiivin 98 artiklan nojalla annetuissa komission teknisissä sääntelystandardeissa niin säädetään.

Pankin tunnus- ja digisopimuksen ehtojen (Pankkitunnusehdot) kohta, joka koskee kuluttaja-asiakkaan vastuuta tunnusten oikeudettomasta käytöstä maksuvälineenä, vastaa maksupalvelulain 62 §:n kuluttajan hyväksi pakottavia säännöksiä.

Pankkitunnusehtojen Tunnusten säilyttämistä ja sallitun käytön rajoitukset -kohdan mukaan
Sinulle luovutettu tunnus on henkilökohtainen. Tunnusta tai osaakaan siitä ei saa luovuttaa kenellekään toiselle henkilölle, ei edes samaan perheeseen kuuluvalle, eikä erilliselle sovellukselle tai palvelulle, ellei sovellus tai palvelu ole [pankin] hyväksymä. [Pankin] hyväksymät sovellukset ja palvelut ovat nähtävillä osoitteessa [pankki].fi. Jos annat tunnuksen kolmannelle, vastaat kolmannen nimissäsi tekemistä toimista.
Tunnuksilla ei saa tunnistautua palveluihin, joita tarjoaa tai jossa määräysvaltaa käyttää kansainvälisten pakotteiden kohteena oleva taho. Tunnuksia ei saa myöskään käyttää lain tai hyvän tavan vastaisiin tarkoituksiin taikka muuten [pankin] julkaisemien yhteiskuntavastuuvaatimusten vastaisella tavalla.
Tunnusta tai osaa niistä et koskaan saa:
- kertoa suullisesti puhelimitse tai muulla tavalla kysyvälle ulkopuoliselle taholle. Soittaessasi [pankin] puhelinpalveluun näppäilet tunnuksen omaan puhelimeesi, samoin näppäilet tunnuksen puhelimeesi, jos haluat varmentaa sinulle tulevan puhelun olevan [pankin] soittama;
- luovuttaa tekstiviestillä, sähköpostilla tai muun sovelluksen kautta tulleen pyynnön perusteella muille kuin [pankin] hyväksymille palveluille ja sovelluksille.;
- antaa sähköpostiviestillä tai muulla digitaalisella viestillä tulleen pyynnön perusteella etkä kirjautua [pankin] digitaalisiin palveluihin sähköpostilla tai muutoin digitaalisesti lähetetyn linkin kautta.
- Käyttäjätunnuksen ja salasanan sisältävä kalvo tai muu, jolla tunnuksen osat on luovutettu, on hävitettävä eikä käyttäjätunnusta tai salasanaa saa kirjoittaa tai tallentaa muistiin helposti tunnistettavaan muotoon. Jos Tunnukset on luovutettu sähköisesti, sinun tulee itse suojata tunnukset ja varmistua siitä, etteivät näytöllä olevat tiedot näy ulkopuolisille ja, että tiedot eivät jää ulkopuolisten saatavilla.
Sinun tulee säilyttää tunnustasi ja sen osia huolellisesti ja erillään toisistaan siten, ettei kenelläkään ulkopuolella, ei edes samaan perheeseen kuuluvalla tai niiden käyttöön oikeudettomalla yrityksen työntekijällä ole mahdollisuutta saada niitä tietoonsa. Tunnuksen osia ei saa säilyttää samassa säilytyspaikassa kotona, eikä esimerkiksi lompakossa tai käsilaukussa.
Sinun on varmistettava olosuhteiden edellyttämällä tavalla säännöllisesti, että Tunnus ja sen osat ovat tallessa.
Sinun tulee kirjautuessasi [pankin] digitaalisiin palveluihin suojata laite, esim. tietokone, puhelin tai erillinen näppäimistö, jolla tunnusta käytetään siten, ettei kenelläkään ole mahdollisuutta saada tunnusta tai sen osia tietoonsa.
[pankin] digitaalisia palveluita ei saa käyttää tietokoneella tai muulla laitteella, jossa on havaittu tai epäillään olevan haittaohjelma. Et saa myöskään luovuttaa tietokoneesi tai muun laitteesi etäkäyttöä ulkopuolisille, kun käytät laitteella tunnustasi tai sen osia.

Pankkitunnusehtojen Sinun tulee ilmoittaa tunnuksen katoamisesta tai joutumisesta sivullisen tietoon tai haltuun -kohdan mukaan
Sinun on välittömästi ilmoitettava [pankille] tunnuksen tai sen osan katoamisesta tai joutumisesta käyttöön oikeudettoman tietoon tai haltuun taikka, jos epäilet niiden joutuneen käyttöön oikeudettoman tietoon tai haltuun. Ilmoitus on tehtävä myös siinä tapauksessa, että vain osa Tunnuksista on kadonnut tai joutunut käyttöön oikeudettoman tietoon tai haltuun.
Voit tehdä ilmoituksen puhelimitse [pankin] osoitteessa [pankki].fi ilmoitettuun sulkupalvelun puhelinnumeroon (24h/7vrk). [Pankin] asiakaspalvelun aukioloaikana ilmoituksen voi tehdä myös puhelimitse [pankin] ilmoittamaan puhelinnumeroon tai asioimalla henkilökohtaisesti [pankin] toimipaikoissa.
Pankin hyväksymien muiden tunnistusvälineiden ja varmanteiden osalta ilmoitus katoamisesta tehdään tunnistusvälineen tai varmenteen käyttöehtojen mukaisesti.

Pankkitunnusehtojen Tunnusten käyttäminen -kohdan [Pankin] digitaalisten palveluiden käyttö -alakohdan mukaan
Tunnistaudut esimerkiksi [pankin] digitaaliseen palveluun näppäilemällä käyttäjätunnuksen ja salasanan ja tarvittaessa vahvistusvälineen luvun. Eri asiointikanavat voivat sisällöltään ja toiminnoiltaan erota toisistaan tunnistusmenetelmän osalta eli eri kanavissa sinulta vaadittavat tiedot voivat vaihdella.
[…]
Kirjaudut [pankki].fi-palveluun kirjoittamalla osoitteen [pankki].fi selaimen osoiteriville. Ennen kirjautumista [pankki].fi-palveluun olet velvollinen tarkistamaan, että [pankki].fi-verkkosivusto on suojattu SSL-suojauksella.
SSL-suojauksessa selaimen osoiterivin lukkosymbolin vieressä tulee lukea, että varmenne on myönnetty [pankki] Ryhmään kuuluvalle yhtiölle (esim. […]. SSL-suojaus näkyy lisäksi eri selaimissa esimerkiksi osoitepalkin vihreänä värinä.
Sinä et saa antaa [pankin] digitaalisten palveluiden käyttöä Kolmannelle osapuolelle esim. henkilölle, sovellukselle tai palvelulle. Sallittua ei ole käyttää esim. sellaisia palveluja, jotka ottavat hallintaansa asiakkaan istunnon [pankin] digitaalisissa palveluissa. Edellä sanottu ei rajoita oikeuttasi käyttää maksupalvelulain mukaisia toimiluvan saaneita maksutoimeksiantopalveluja tai rekisteröityjä tilitietopalveluja.

Pankkitunnusehtojen Maksutoimeksiannot -kohdan mukaan
Voit antaa pankille maksutoimeksiantoja [pankin] digitaalisissa palveluissa. […]
Maksut välitetään Euromaksualueella välitettävien euromaksujen tai Lähtevien ja saapuvien valuuttamaksujen yleisten ehtojen (Maksujen välityksen yleiset ehdot) mukaisesti. [Pankki] voi määritellä palvelun kautta välitettäville maksuille ylä- tai alarajan.
[Pankin] digitaalisiin palveluihin kirjautumisen jälkeen annat suostumuksesi maksutoimeksiannon toteuttamiseen hyväksymällä toimeksiannon. Tämä koskee myös Verkkomaksu-painiketta.
[…]

Asian arviointi

Tapahtumienkulku

Pankkilautakunta katsoo tapauksessa selvitetyksi, että rikolliset ovat soittaneet asiakkaalle 24.8.2025 pankin nimissä ja ovat asiakkaalta puhelimessa saamillaan pankkitunnustiedoilla päässeet kirjautumaan asiakkaan verkkopankkiin. Verkkopankissa rikolliset ovat tehneet klo 15.10 asiakkaan korttiluotolta 1.999,00 euron siirron asiakkaan käyttötilille. Kyseisen siirron kohdalla pankki ei ole edellyttänyt maksajan vahvaa tunnistamista. Tämän jälkeen rikolliset ovat luoneet verkkopankissa maksutoimeksiannon, minkä johdosta pankki on lähettänyt asiakkaalle maksunvahvistamista koskevan tekstiviestin klo 18.23. Pankkilautakunta katsoo asiassa saadun selvityksen perusteella, että asiakas on antanut myös em. tekstiviestissä mainitun järjestysluvun mukaisen avainluvun suullisesti puhelimessa pankin työntekijänä esiintyneelle rikolliselle, minkä jälkeen rikolliset ovat voineet vahvistaa ko. maksun asiakkaan verkkopankissa.

Asiakkaan suostumus maksutapahtuman toteuttamiselle

Vaikka asiakkaan vastaanottamassa pankin lähettämässä tekstiviestissä on näkynyt ko. maksun tiedot, ei asiakas kuitenkaan itse ole syöttänyt viestissä mainittua avainlukua verkkopankissaan vaan on kertonut avainluvun puhelimessa pankin työntekijäksi esiintyneelle henkilölle. Ko. tilisiirtoa koskevan maksutoimeksiannon ovat luoneet ja vahvistuksen sille antaneet edellä katsotuin tavoin asiakkaan verkkopankkiin omalla laitteellaan päässeet rikolliset, ja näin ollen Pankkilautakunta katsoo, ettei asiakas ole itse vahvistanut ko. tilisiirtoa eikä siten ole myöskään antanut maksupalvelulain 38 §:ssä tai pankkitunnusehdoissa tarkoitettua suostumustaan maksutoimeksiannon toteuttamiselle. Näin ollen tilisiirtoa on pidettävä maksupalvelulaissa tarkoitetulla tavalla oikeudettomana.

Pankkitunnusten ja maksuvälineen luovuttaminen

Pankkilautakunta toteaa, että maksupalvelulain säätämiseen johtaneen hallituksen esityksen (HE 169/2009 vp) mukaan lain 62 §:n 1 momentin 1) kohdan mukaisella maksuvälineen luovuttamisella sen käyttöön oikeudettomalle tarkoitetaan maksuvälineen vapaaehtoista ja tietoista luovutusta toiselle.

Tässä tapauksessa asiakas on pankkitunnuksiaan kertoessaan luullut asioivansa pankkinsa kanssa ja näin ollen Pankkilautakunta katsoo, että asiakas ei ole tietoisesti luovuttanut pankkitunnustietojaan niiden käyttöön oikeudettomalle, ja ettei tapauksessa siten ole kyse maksupalvelulaissa tai pankkitunnusehdoissa tarkoitetusta tunnusten luovuttamisesta.

Näin ollen Pankkilautakunnan arvioitavaksi jää, vastaako asiakas pankkitunnustensa oikeudettomasta käytöstä maksupalvelulain 62 §:n 1 momentin 2) kohdan perusteella, ts. lautakunnan on arvioitava, johtuuko pankkitunnusten oikeudeton käyttö siitä, että asiakas on huolimattomuudestaan laiminlyönyt lain 53 §:n 1 momentin ja pankkitunnusehtojen mukaisia velvollisuuksiaan, ja minkä asteista asiakkaan mahdollinen huolimattomuus on.

Asiakkaan menettelyn arviointi

Pankkitunnusehtojen mukaan tunnus on henkilökohtainen eikä tunnusta tai osaakaan siitä saa luovuttaa kenellekään toiselle henkilölle, ei edes samaan perheeseen kuuluvalle. Tunnusta tai osaa niistä ei saa koskaan kertoa suullisesti puhelimitse tai muulla tavalla kysyvälle ulkopuoliselle taholle. Ehtojen mukaan asiakkaan soittaessa pankin puhelinpalveluun hän näppäilee tunnuksen omaan puhelimeensa, samoin hän näppäilee tunnuksen puhelimeensa, jos haluaa varmentaa hänelle tulevan puhelun olevan pankin soittama.

Pankkilautakunta toteaa pankkitunnusehtojen yksiselitteisesti kieltävän tunnusten antamisen tai kertomisen suullisesti puhelimessa kenellekään, myöskään pankille. Edelleen lautakunta katsoo yleiseen tietämykseen tapahtuma-aikana jo kuuluneen, ettei henkilökohtaisiksi tarkoitettuja pankkitunnuksia tulisi koskaan luovuttaa tai suullisesti kertoa kenellekään, ei myöskään esimerkiksi pankin työntekijänä tai poliisina esiintyvälle taholle.

Pankkilautakunta katsookin asiakkaan huolimattomuudestaan ja vakavaa varomattomuutta osoittavalla tavalla laiminlyöneen maksupalvelulain 53 § 1 momentin ja pankkitunnusehtojen mukaisia velvollisuuksiaan kertoessaan puhelimessa pankkitunnustietojaan pankin työntekijänä esiintyneelle henkilölle.

Edelleen Pankkilautakunta katsoo, että saatuaan pankiltaan maksun vahvistamista koskevan tekstiviestin, jossa on näkynyt vahvistettavan maksun tiedot, asiakkaan olisi tullut ymmärtää olla kertomatta tekstiviestissä mainittua järjestysnumeroa vastaavaa avainlukua avainlukulistaltaan. Ottaen huomioon, että asiakkaan pankilta saama tekstiviesti on ollut tavanomainen pankin lähettämä maksun vahvistamista koskeva viesti, joka alkaa maksamista koskevin sanoin ” Olet maksamassa palvelussamme…” ja jossa on näkynyt vahvistettavan maksun tiedot, lautakunta katsoo, että vaikka puhelimessa olisi suullisesti esitetty kyseistä avainlukua edellytettävän johonkin muuhun toimenpiteeseen, asiakkaan olisi viimeistään tuossa vaiheessa tullut ymmärtää keskeyttää asiointinsa ja jättää pyydetty avainluku kertomatta soittajalle. Mikäli asiakas olisi viimeistään tuossa vaiheessa esimerkiksi itse soittamalla ottanut yhteyttä pankkiinsa tiedustellakseen menettelyn asianmukaisuutta, olisi tapauksessa asiakkaan pankkitunnusten oikeudettomasta käytöstä aiheutuneelta vahingolta voitu välttyä.

Asiakkaan kerrottua puhelimessa muiden pankkitunnustietojen lisäksi kyseisen tilisiirron vahvistamista varten pyydetyn avainluvun asiaa kyseenalaistamatta Pankkilautakunta katsoo asiakkaan menettelyn kokonaisuutena osoittavan hänen erittäin vakavaa varomattomuuttaan. Asiassa saadun kokonaisselvityksen perusteella ja ottaen huomioon sen, että asiakkaan pankilta saamassa tavanomaisessa maksun vahvistamista koskevassa tekstiviestissä selvästi ilmaistaan asiakkaan olevan maksamassa ja kerrotaan vahvistettavan maksujen tiedot, lautakunta katsoo asiakkaan menettelyn kokonaisuutena osoittavan maksupalvelulaissa tarkoitettua törkeää huolimattomuutta. Näin ollen asiakas lähtökohtaisesti vastaa tilisiirrosta aiheutuneesta vahingosta pankin ja asiakkaan välisessä suhteessa.

Verkkopankin sisällä tehdyn oikeudettoman maksun tekeminen ilman vahvaa tunnistamista

Maksupalvelulain 8 §:ssä määritetään, mitä laissa tarkoitetaan vahvalla tunnistamisella, jota lain 85 c § edellyttää palveluntarjoajan käyttävän, jos maksaja käyttää maksutiliään tietoverkon välityksellä. Edelleen lain 62 §:n 3 momentin 4 kohdan mukaan maksupalvelun käyttäjä ei vastaa maksuvälineen oikeudettomasta käytöstä, jos palveluntarjoaja ei ole edellyttänyt maksajan vahvaa tunnistamista.

Vahvan tunnistamisen on täytettävä tarkemmat vaatimukset, joista säädetään maksupalveludirektiivin (EU) 2015/2366 98 artiklan nojalla annetuissa komission teknisissä sääntelystandardeissa (RTS). Komission delegoidun asetuksen (EU) 2018/389 III luvussa luetellaan asiakkaan vahvaa tunnistamista koskevan periaatteen poikkeukset.

Em. asetuksen III luvun 15 artiklan, joka koskee saman luonnollisen henkilön hallussa olevien tilien välisiä tilisiirtoja, mukaan on sallittavaa, että maksupalveluntarjoajat eivät sovella asiakkaan vahvaa tunnistamista, kun maksaja käynnistää tilisiirron, jossa maksaja ja maksunsaaja ovat sama luonnollinen henkilö tai oikeushenkilö ja molempia maksutilejä ylläpitää sama tiliä ylläpitävä maksupalveluntarjoaja.

Asiassa on riidatonta, että pankki ei ole edellyttänyt asiakkaan vahvaa tunnistamista siinä yhteydessä, kun rikolliset ovat tehneet asiakkaan verkkopankissa asiakkaan korttiluotolta 1.999,00 euron siirron asiakkaan käyttötilille.

Pankkilautakunta toteaa maksupalveluja ja vahvaa tunnistamista koske-van sääntelyn sallivan palveluntarjoajien tietyissä poikkeustilanteissa poikkeavan vahvan tunnistamisen vaatimuksesta ja tässä tapauksessa lautakunta katsoo, että pankki on voinut sallia verkkopankin sisäisen siirron tapahtuvan ilman vahvaa tunnistamista.

Vaikka sääntely tietyissä poikkeustilanteissa sallii sen, ettei maksupalveluntarjoajan ole edellytettävä maksujen yhteydessä maksajan vahvaa tunnistamista, ei maksupalvelun käyttäjä maksupalvelulain 62 §:n 3 momentin 4 kohdan mukaan kuitenkaan vastaa maksuvälineensä oikeudettomasta käytöstä, jos maksupalveluntarjoaja ei ole maksuvälineen oikeudettoman käytön yhteydessä edellyttänyt maksajan vahvaa tunnistamista. Näin ollen salliessaan maksutapahtumia tehtävän ilman maksajan vahvaa tunnistamista ottaa pankki vastuulleen riskin maksuvälineen oikeudettomasta käytöstä.

Tässä tapauksessa verkkopankin sisällä tehty 1.999,00 euron siirto on rikollisten oikeudettomasti tekemä ja koska pankki on sallinut tilisiirron tekemisen ilman maksajan vahvaa tunnistamista, vastaa pankki tästä tilisiirrosta.

Pankkilautakunta toteaa, että tässä tapauksessa aiheutunut 3 298,30 euron vahinko on realisoitunut, kun rikolliset ovat asiakkaalta puhelimessa saamillaan tiedoilla päässeet kirjautumaan asiakkaan verkkopankkiin ja siellä vahvistamaan ko. maksun ulkomaille. Edellä esitetyin perusteluin lautakunta katsoo asiakkaan menetelleen törkeän huolimattomasti, minkä johdosta asiakas lähtökohtaisesti vastaa maksusta aiheutuneesta vahingosta asiakkaan ja pankin välisessä suhteessa.

Tapauksessa saadun kokonaisselvityksen perusteella Pankkilautakunta kuitenkin katsoo, että asiassa aiheutuneen vahingon määrään on vaikuttanut ennen 3 298,30 euron maksua verkkopankissa tehty sisäinen siirto ja se, että pankki on sallinut kyseisen oikeudettoman siirron tekemisen ilman vahvaa tunnistamista. Koska pankki on sallinut sisäisen tilisiirron tekemisen ilman vahvaa tunnistamista ja siirto on oikeudeton, vastaa pankki asiassa aiheutuneesta vahingosta siltä osin kuin ko. 1.999,00 euron siirto on asiassa aiheutuneen vahingon määrään vaikuttanut. Pankki ei ole vedonnut siihen, että asiakkaan tilille, jolta oikeudeton 3 298,30 euron maksu ulkomaille on tehty, olisi jäänyt varoja ulkopuoliselle tehdyn maksun jälkeen. Näin ollen Pankkilautakunta katsoo sisäisen siirron vaikuttaneen asiassa aiheutuneen vahinkoon täydestä määrästään ja vahingon kuuluvan tämän 1.999,00 euron tilisiirron määrän osalta pankin vastuulle.

Lopputulos

Pankkilautakunta katsoo, ettei asiakas ole antanut ko. tilisiirrolle maksupalvelulaissa tarkoitettua suostumustaan ja että kyse on siten pankkitunnusten oikeudettomasta käytöstä maksuvälineenä. Lautakunta katsoo oikeudettoman käytön johtuneen siitä, että asiakas on törkeästä huolimattomuudestaan laiminlyönyt maksupalvelulain 53 §:n 1 momentin mukaisia velvollisuuksiaan ja asiakkaan siten vastaavan oikeudettomasta käytöstä aiheutuneesta vahingosta lähtökohtaisesti täysimääräisesti.

Edelleen lautakunta kuitenkin katsoo, että vahingon kokonaismäärään on vaikuttanut verkkopankin sisällä ennen em. maksua tehty siirto asiakkaan korttiluotolta. Koska pankki on sallinut tämän siirron tekemisen ilman vahvaa tunnistamista ja siirto on oikeudeton, vastaa pankki kyseisestä tilisiirrosta ja asiassa aiheutuneesta vahingosta siltä osin kuin kyseinen siirto on vahingon kokonaismäärää lisännyt.

Edellä esitettyyn viitaten Pankkilautakunta suosittaa pankkia hyvittämään 1.999,00 euroa tilille, jolta em. oikeudeton tilisiirto ilman vahvaa tunnistamista tehtiin.

Ratkaisusuositus syntyi äänin 4–1. Ratkaisusuosituksen antamiseen osallistuivat puheenjohtaja Sillanpää sekä jäsenet Atrila, Punakivi ja Tervonen. Jäsen Ketolan eriävä mielipide on liitteenä.

PANKKILAUTAKUNTA

Puheenjohtaja Sillanpää
Sihteeri Hidén

Jäsenet: Atrila, Ketola, Punakivi, Tervonen

Jäsen Ketolan eriävä mielipide:

Olen Pankkilautakunnan enemmistön kanssa eri mieltä ratkaisusuosituksen perusteluista ja lopputuloksesta siltä osin kuin Pankkilautakunnan enemmistö katsoo pankin olevan vastuussa vahingosta siltä osin kuin verkkopankin sisäinen oikeudeton siirto ilman vahvaa tunnistamista on lisännyt vahingon kokonaismäärää.

Asian kannalta merkitykselliset lainsäännökset ovat maksupalvelulain 53 §:n 1 momentti (Maksuvälineestä huolehtiminen), maksupalvelulain 85 c §:n 1 ja 5 momentti (Tunnistaminen), komission delegoidun asetuksen (EU) 2018/389 III luvun 15 artikla (Saman luonnollisen henkilön tai oikeushenkilön hallussa olevien tilien väliset tilisiirrot), maksupalvelulain 62 § (Maksupalvelun käyttäjän vastuu maksuvälineen oikeudettomasta käytöstä) sekä maksupalvelulain 63 §:n 1 momentti (Palveluntarjoajan vastuu oikeudettomasta maksutapahtumasta).

Tapauksessa on riidatonta, että pankki ei ole edellyttänyt asiakkaan vahvaa tunnistamista rikollisten tekemän asiakkaan hallussa olevien tiilien välisen tilisiirron yhteydessä komission delegoidun asetuksen (EU) 2018/389 III luvun 15 artiklan perusteella. Maksupalvelulain 62 §:n 3 momentin 4 kohdan mukaan maksupalvelun käyttäjä ei vastaa maksuvälineen oikeudettomasta käytöstä, jos palveluntarjoaja ei ole edellyttänyt maksajan vahvaa tunnistamista. Tarkasteltavan verkkopankissa tehdyn oikeudettoman tilien välisen siirron perusteella asiakkaalle ei kuitenkaan ole syntynyt varallisuusvahinkoa, jonka pankki olisi maksupalvelulain 62 §:n 3 momentin 4 kohdan perusteella velvollinen korvaamaan asiakkaalle. Siirto on tehty sellaisten tilien välillä, joissa asiakas on tilinomistaja ja siirron jälkeen varat ovat olleet edelleen kokonaisuudessaan asiakkaan vallinnassa. Vahinkoedellytyksen täyttymiseksi varojen olisi tullut kyseisen oikeudettoman siirron jälkeen päätyä kolmannen osapuolen haltuun. Koska vahingon edellytyksenä on ollut se, että asiakas on kertonut maksun vahvistamisen edellyttämän avainluvun pankin työntekijänä esiintyneelle henkilölle, eli toiminut maksupalvelulain tarkoittamalla tavalla törkeän huolimattomasti, asiakkaan hallussa olevien tilien välinen oikeudeton siirto ei ole riittävässä syy-yhteydessä aiheutuneeseen vahinkoon, vaan syy-yhteys on katkennut kun asiakas on kertonut avainluvun pankin työntekijänä esiintyneelle henkilölle ja mahdollistanut oikeudettoman maksutapahtuman. Vaikka pankki ottaisi vastuulleen riskin maksuvälineen oikeudettomasta käytöstä jättäessään vaatimatta vahvaa tunnistamista, riski ei verkkopankissa tehdyssä sisäisessä siirrossa voi realisoitua vahingoksi, koska varoja siirretään ainoastaan asiakkaan hallussa olevien tilien välillä. Maksupalvelulain nojalla maksutapahtumia tulee arvioida erillisinä tapahtumina, jolloin on selvää, ettei sisäisestä siirrosta aiheudu korvattavaa vahinkoa.

Pankki palveluntarjoajana on nimenomaisesti edellyttänyt vahvaa tunnistamista sen maksutapahtuman osalta, jolla varat on siirretty kolmannen osapuolen haltuun ja jolla vahinko on realisoitunut. Asiakkaan toiminnalle on annettava sama merkitys riippumatta siitä, siirretäänkö tilillä alun perin olleita varoja tai sinne verkkopankin sisäisen siirron kautta siirrettyjä varoja. Pankkilautakunnan enemmistön näkemyksen mukainen tulkinta asettaisi eriarvoiseen asemaan sellaiset asiakkaat, joiden koko tilivarallisuus on verkkopankissa vain yhdellä tilillä.

Lopputulos

Katson, että vahinko on aiheutunut asiakkaan maksupalvelulain mukaisen törkeän huolimattoman menettelyn seurauksena. Asiakkaan hallussa olevien tilien välinen ilman vahvaa tunnistamista tehty oikeudeton siirto ei ole riittävässä syy-yhteydessä oikeudettomasta tilisiirrosta aiheutuneeseen vahinkoon, jonka asiakas on omalla toiminnallaan mahdollistanut. Pankkilautakunnan enemmistön kannan hyväksyminen merkitsisi sitä, että asiakkaan omalla toiminnalla ei olisi merkitystä vastuunjaon arvioinnissa, eikä tällainen malli olisi rikoksentorjunnan kannalta tarkoituksenmukainen.

Edellä todetuin perustein katson, että pankki ei vastaa kyseisestä tilisiirrosta ja asiassa aiheutuneesta vahingosta miltään osin, eikä Pankkilautakunnan tulisi suosittaa pankkia hyvittämään 1 999 euroa.