Tapahtumatiedot

Asiakas oli saanut pankin nimissä lähetetyn sähköpostin, jossa häntä oli pyydetty päivittämään asiakastietonsa. Asiakas oli syöttänyt henkilötietonsa ja tilinumeronsa sähköpostissa olleen linkin kautta avautuneelle huijaussivustolle. Huijari oli tämän jälkeen soittanut asiakkaalle pankin nimissä ja kertonut, että hänen pankkitililtään yritettiin tehdä tilisiirtoa ja varat tuli siirtää turvatilille.

Asiakas oli puhelimessa antanut huijarille maksukorttinsa tiedot ja verkkopankkinsa käyttäjätunnuksen sekä vahvistanut huijarin kirjautumisen verkkopankkiinsa. Huijari oli siirtänyt asiakkaan toiminimen tililtä 8.000 euroa ja asiakkaan käyttöoikeustililtä, joka oli asiakkaan pojan tili, 13.800 euroa asiakkaan käyttötilille, mille siirroille pankki ei ollut edellyttänyt vahvaa tunnistamista. Asiakkaan käyttötililtä oli tämän jälkeen tehty ulkopuoliselle 20.000 euron tilisiirto, jonka asiakas oli huijarin puhelun aikana vahvistanut pankin tunnistussovelluksella. Tilitapahtumat oli tehty 27.1.2025 klo 19:15 - 19:22. Asiakas oli yhteydessä pankin sulkupalveluun samana päivänä klo 19:58.

Kun pankki sai tiedon huijauksesta, se teki maksun palautuspyynnön. Rahoja saatiin palautettua 84,69 euroa.

Asiakkaan valitus

Asiakas vaatii, että pankki korvaa hänelle 19.916 euroa.

Pankin työntekijäksi esittäytynyt huijari oli soittanut asiakkaalle ja kertonut, että hänen tililtään yritettiin tehdä maksua ja rahat tuli siirtää turvaan. Huijari oli esiintynyt uskottavasti ja hän oli luonut kiireen tunteen, joten asiakas oli toiminut huijarin ohjeiden mukaan. Kysymys ei ollut tahallisesta tai huolimattomasta toiminnasta, vaan ammattimaisesta huijauksesta.

Pankin vastine

Pankki kiistää asiakkaan vaatimuksen.

Asiakas oli itse antanut maksupalvelulain 38 §:n mukaisen suostumuksen vahingon aiheuttaneeseen tilisiirtoon. Asiakkaan menettely osoitti myös kokonaisuutena maksupalvelulaissa tarkoitettua törkeää huolimattomuutta.

Sillä, että huijari oli voinut tehdä asiakkaan omien tilien tai käyttöoikeustilien välisiä tilisiirtoja ilman vahvaa tunnistamista tunnistussovelluksella ei ollut vaikutusta vahingon syntymiseen tai huijauksen lopputulokseen, sillä varat olivat omien tilien välisten tilisiirtojenkin jälkeen pysyneet asiakkaan omassa hallinnassa. Asiakkaan käyttötilin saldo oli ollut 207,09 euroa, joten hänen olisi tullut ymmärtää huijaushetkellä, että hänen käyttötilillään ei ollut 20.000 euroa vastaavia varoja, joita olisi voitu siirtää eteenpäin.  Kun asiakas oli vahvistanut vahingon syntymiseen johtaneen 20.000 euron tilisiirron omalta käyttötililtään huijarin ohjeiden mukaan, hänelle oli tullut vahvistushetkellä näkyviin tunnistussovellukseen, mistä tapahtumasta oli kyse ja miltä tililtä varat olivat lähdössä.

Näin ollen omien tilien välinen tilisiirto ei ollut aiheuttanut asiakkaalle vahinkoa.

Näissä olosuhteissa olisi kohtuutonta katsoa pankin olevan korvausvelvollinen yksinomaan siitä syystä, että omien tilien väliset tilisiirrot eivät edellyttäneet vahvaa tunnistamista, kun asiakas oli ennen tätä maksupalvelulain ja verkkopankin ehtojen vastaisesti luovuttanut tunnuksensa huijarille. Asiakas oli myös itse hyväksynyt varojen siirron oman käyttötilin ulkopuolelle.

Selvitykset

- Pankin toimittamat lokitiedot 15.10.2025
- Pankin henkilöasiakkaan pankkitunnuksilla käytettävien palveluiden yleiset ehdot 8.6.2025

Ratkaisusuositus

Kysymyksenasettelu

Pankkilautakunnan arvioitavana on, voidaanko asiakkaan katsoa antaneen maksupalvelulain 38 §:ssä tarkoitetun suostumuksensa maksutapahtumalle vai onko maksutapahtumaa pidettävä oikeudettomana. Lautakunnan arvioitavana on myös, vaikuttaako asiakkaan ja pankin välisen vastuunjakoon se, että pankki ei ole edellyttänyt vahvaa tunnistamista verkkopankin sisäisten tilisiirtojen yhteydessä.

Sovellettavat lainkohdat ja sopimusehdot

Maksupalvelulain 38 §:n 1 momentin mukaan maksutapahtuma saadaan toteuttaa vain maksajan suostumuksella. Maksutapahtumaa pidetään oikeudettomana, jollei maksaja ole antanut siihen suostumustaan sovitulla tavalla.

Lain 62 §:n mukaan maksupalvelun käyttäjä, joka on tehnyt maksuvälinettä koskevan sopimuksen palveluntarjoajan kanssa, vastaa kadonneen tai oikeudettomasti toisen haltuun joutuneen maksuvälineen käytöstä tai muusta maksuvälineen oikeudettomasta käytöstä vain, jos oikeudeton käyttö johtuu siitä, että hän tai muu maksuvälineen haltija on:
1) luovuttanut maksuvälineen sen käyttöön oikeudettomalle;
2) huolimattomuudesta laiminlyönyt 53 §:n 1 momentin mukaiset velvollisuutensa; taikka
3) laiminlyönyt ilman aiheetonta viivytystä ilmoittaa palveluntarjoajalle tai sen nimeämälle muulle taholle havaitsemastaan maksuvälineen katoamisesta, joutumisesta oikeudettomasti toisen haltuun tai oikeudettomasta käytöstä.

Maksupalvelun käyttäjän vastuu maksuvälineen oikeudettomasta käytöstä 1 momentin 2 ja 3 kohdassa tarkoitetuissa tapauksissa on enintään 50 euroa. Tätä rajoitusta ei sovelleta, jos maksupalvelun käyttäjä tai muu maksuvälineen haltija on toiminut tahallisesti tai törkeän huolimattomasti.

Maksupalvelun käyttäjä ei vastaa maksuvälineen oikeudettomasta käytöstä:
1) siltä osin kuin maksuvälinettä on käytetty sen jälkeen, kun palveluntarjoajalle tai sen nimeämälle muulle taholle on ilmoitettu maksuvälineen katoamisesta, joutumisesta oikeudettomasti toisen haltuun tai oikeudettomasta käytöstä;
2) jos palveluntarjoaja on laiminlyönyt huolehtia siitä, että maksuvälineen haltijalla on mahdollisuus tehdä milloin tahansa 1 kohdassa tarkoitettu ilmoitus;
3) jos maksunsaaja ei ole maksuvälinettä käytettäessä asianmukaisesti varmistunut maksajan oikeudesta käyttää maksuvälinettä; tai
4) jos palveluntarjoaja ei ole edellyttänyt maksajan vahvaa tunnistamista.

Sen estämättä, mitä 3 momentissa säädetään, maksupalvelun käyttäjä on vastuussa maksuvälineen oikeudettomasta käytöstä, jos hän tai muu maksuvälineen haltija on tahallaan tehnyt väärän ilmoituksen tai toiminut muuten petollisesti.

Maksupalvelulain 85 c §:n 1 momentin mukaan palveluntarjoajan on käytettävä vahvaa tunnistamista, jos maksaja:
1) käyttää maksutiliään tietoverkon välityksellä;
2) käynnistää sähköisen maksutapahtuman;
3) toteuttaa etäkanavan kautta toimen, johon voi liittyä väärinkäytöksen riski.

Säännöksen 5 momentin mukaan pykälän mukaisesta velvollisuudesta vahvaan tunnistamiseen sekä henkilökohtaisten turvatunnusten luottamuksellisuuden ja eheyden suojaamiseen voidaan poiketa, jos maksupalveludirektiivin 98 artiklan nojalla annetuissa komission teknisissä sääntelystandardeissa niin säädetään.

Komission delegoidun asetuksen (EU) 2018/389 (PSD2 RTS), joka koskee maksupalveludirektiivin (PSD2) teknisiä sääntelystandardeja, 15 artiklan (Saman luonnollisen henkilön tai oikeushenkilön hallussa olevien tilien väliset tilisiirrot) mukaan edellä 2 artiklassa säädettyjen vaatimusten täyttyessä on sallittava, että maksupalveluntarjoajat eivät sovella asiakkaan vahvaa tunnistamista, kun maksaja käynnistää tilisiirron, jossa maksaja ja maksunsaaja ovat sama luonnollinen henkilö tai oikeushenkilö ja molempia maksutilejä ylläpitää sama tiliä ylläpitävä maksupalveluntarjoaja.

Maksupalvelulain lain 62 §:n 3 momentin 4 kohdan mukaan maksupalvelun käyttäjä ei vastaa maksuvälineen oikeudettomasta käytöstä, jos palveluntarjoaja ei ole edellyttänyt maksajan vahvaa tunnistamista.

Asian arviointi

Tapahtumienkulku

Asiassa on selvitetty, että asiakas on saanut pankin nimissä lähetetyn sähköpostiviestin, jossa olevan linkin kautta avautuneille rikollisten luomille valesivuille asiakas on syöttänyt henkilö- ja tilitietojaan, koska hän oli luullut asioivansa pankin kanssa. Huijari on tämän jälkeen puhelimitse saanut asiakkaan uskomaan, että hänen tililtään ollaan tekemässä tilisiirtoa ja sen estämiseksi varat tulee siirtää turvaan. Varojen siirtämiseksi turvatilille asiakas on antanut puhelimessa huijarille maksukorttinsa tiedot sekä verkkopankkinsa käyttäjätunnuksen ja vahvistanut huijarin kirjautumisen verkkopankkiin tunnistussovelluksellaan. Huijari on tehnyt sisäisiä asiakkaan omien tilien ja käyttöoikeustilin välisiä tilisiirtoja ilman vahvaa tunnistamista, minkä jälkeen asiakas on vahvistanut tunnistussovelluksellaan 20.000 euron siirron ulkopuoliselle oltuaan siinä käsityksessä, että varat siirretään turvatilille.

Suostumus maksutapahtuman toteuttamiseksi

Pankkilautakunnan ratkaisukäytännössä on vakiintuneesti katsottu, että tapauksissa, joissa rikoksen uhri on huijattuna tullut itse hyväksyneeksi riidanalaiset maksut esimerkiksi omassa puhelimessaan olevalla pankin mobiilisovelluksella ja sovelluksessa on ennen vahvistuksen antamista näkynyt vahvistettavan maksun tiedot, asiakas on antanut maksuille maksupalvelulain 38 §:ssä ja sovellettavissa ehdoissa tarkoitetun suostumuksensa eikä kyseessä olevat maksutapahtumat tällöin ole maksupalvelulaissa tarkoitetulla tavalla oikeudettomia. Tämän vuoksi mainitun kaltaisissa tapauksissa ei ole katsottu olleen perusteita pankin vastuulle siitä vahingosta, joka maksuista on asiakkaalle aiheutunut.

Nyt käsiteltävässä asiassa asiakas on itse vahvistanut verkkopankissaan 20.000 tilisiirron käyttötililtään ulkopuoliselle, koska hän oli siinä käsityksessä, että varat siirretään turvatilille. Pankin selvityksen mukaan maksua vahvistettaessa asiakas oli nähnyt, mistä tapahtumasta ja miltä tililtä varat olivat lähdössä. Sillä, että asiakas on hyväksynyt maksun tultuaan rikollisten har­haan johtamaksi, ei ole merkitystä asiakkaan ja pankin välisen vastuun arvioinnissa. Näin ollen kysymyksessä oleva maksutapahtuma ei ole maksupalvelulaissa tarkoitetulla tavalla oikeudeton eikä pankki lähtökohtaisesti ole vastuussa asiakkaalle aiheutuneesta vahingosta.

Verkkopankin sisällä tehdyt oikeudettomat tilisiirrot ilman vahvaa tunnistamista

Maksupalveluja ja vahvaa tunnistamista koskevan sääntely sallii palveluntarjoajien tietyissä poikkeustilanteissa poikkeavan vahvan tunnistamisen vaatimuksesta. Lautakunta on ratkaisukäytännössään vakiintuneesti katsonut, että vaikka sääntely sallii sen, että pankin ei ole pakko edellyttää vahvaa tunnistamista omien tilien välisessä tilisiirrossa, näin toimiessaan ottaa pankki vastuulleen riskin maksuvälineen oikeudettomasta käytöstä.

Pankkilautakunta on ratkaisukäytännössään katsonut pankin vastaavan vahingosta siltä osin kuin vahingon määrään on vaikuttanut ennen ulkopuoliselle menneitä maksuja tehdyt verkkopankin sisäiset siirrot ja se, että pankki on sallinut kyseisten oikeudettomien siirtojen tekemisen ilman maksajan vahvaa tunnistamista.

Käsiteltävässä tapauksessa on riidatonta, että huijarit ovat tehneet asiakkaan omien tilien väliset siirrot ilman vahvaa tunnistamista. Kyseiset siirrot asiakkaan ovat rikollisten oikeudettomasti tekemiä ja koska pankki on sallinut siirtojen tekemisen ilman vahvaa tunnistamista, vastaa pankki näistä siirrosta. Rikolliset ovat tehneet asiakkaan tilien välisiä sisäisiä oikeudettomia siirtoja 8.500 euroa, 13.000 euroa ja 800 euroa. Yhteensä 13.800 euron siirrot on tehty asiakkaan tilille asiakkaan pojan tililtä, jolle asiakkaalle oli käyttöoikeus. Pankin mukaan asiakkaan käyttötilillä, josta 20.000 euron tilisiirto ulkopuolelle on tehty, oli päivää ennen huijaushetkeä ollut 207,90 euroa.

Vaikka vahinko on realisoitunut asiakkaan annettua maksupalvelulain 38 §:ssä tarkoitetun suostumuksensa maksutapahtumien toteuttamiselle, Pankkilautakunta katsoo, että asiassa aiheutuneen vahingon määrään on vaikuttanut ennen ulkopuolelle tapahtunutta maksua tehdyt verkkopankin sisäiset siirrot ja se, että pankki on sallinut kyseisen oikeudettoman siirron tekemisen ilman vahvaa tunnistamista. Asiakkaan sillä tilillä, josta siirto ulkopuolelle on tehty, on ennen sisäisiä siirtoja ollut 207,90 euroa. Sisäiset siirrot eivät siten ole tältä osin lisänneet vahingon määrää. Pankki on myös saanut palautettua ulkopuolelle tehdystä tilisiirrosta 84,69 euroa. Näin ollen sisäiset siirrot ovat vaikuttaneet vahingon määrään 19.707,41 euroa.

Lopputulos

Pankkilautakunta katsoo asiakkaan antaneen ulkopuoliselle tehdylle tilisiirroille maksupalvelulain 38 §:ssä tarkoitetun suostumuksensa ja asiakkaan siten vastaavan tilisiirroista aiheutuneesta vahingosta pankin ja asiakkaan välisessä suhteessa. Vahingon kokonaismäärään on kuitenkin vaikuttanut verkkopankin sisällä tehdyt tilisiirrot asiakkaan käyttötilille. Koska pankki on sallinut kyseisten tilisiirtojen tekemisen ilman vahvaa tunnistamista ja siirrot ovat oikeudettomia, vastaa pankki kyseisistä tilisiirroista ja asiassa aiheutuneesta vahingosta siltä osin kuin kyseiset siirrot ovat vahingon kokonaismäärää lisänneet.

Pankkilautakunta suosittaa pankkia hyvittämään 19.707,41 euroa tileille, jolta oikeudettomat tilisiirrot on tehty ilman vahvaa tunnistamista.

Ratkaisusuositus syntyi äänin 4–1. Ratkaisusuosituksen antamiseen osallistuivat puheenjohtaja Sillanpää sekä jäsenet Atrila, Punakivi ja Tervonen. Jäsen Piilon eriävä mielipide on liitteenä.

PANKKILAUTAKUNTA

Puheenjohtaja Sillanpää
Sihteeri Heikinsalmi

Jäsenet:
Atrila
Piilo
Punakivi
Tervonen

Jäsen Piilon eriävä mielipide:

Olen eri mieltä Pankkilautakunnan enemmistön ratkaisusuosituksen perusteluista ja lopputuloksesta.

Asian kannalta merkitykselliset lainsäännökset ovat maksupalvelulain 38 § (Maksajan suostumus maksutapahtuman toteuttamiseen), maksupalvelulain 85 c §:n 1 ja 5 momentti (Tunnistaminen), komission delegoidun asetuksen (EU) 2018/389 III luvun 15 artikla (Saman luonnollisen henkilön tai oikeushenkilön hallussa olevien tilien väliset tilisiirrot), maksupalvelulain 62 §:n 3 momentin 4 kohta (Maksupalvelun käyttäjän vastuu maksuvälineen oikeudettomasta käytöstä) sekä maksupalvelulain 63 §:n 1 momentti (Palveluntarjoajan vastuu oikeudettomasta maksutapahtumasta).

Tapauksessa on riidatonta, että pankki ei ole edellyttänyt asiakkaan vahvaa tunnistamista rikollisen tekemään asiakkaan omien tilien sekä käyttöoikeustilien välisen siirron tekemiseen. Omien tilien välillä tehdyn siirron yhteismäärältään 8.000 euroa jälkeen varat ovat edelleen olleet asiakkaan omalla tilillä ja hän on voinut määrätä varoista. Varsinainen vahinko asiakkaalle on tapahtunut, kun asiakkaan tililtä on tehty tilisiirto ulkopuoliselle. Asiakas on antanut maksupalvelulain mukaisen suostumuksensa maksulle, jolla varat siirrettiin pois hänen hallinnastaan ulkopuoliselle. Mikäli asiakas ei olisi antanut suostumustaan maksulle, ei vahinkoa olisi syntynyt. Syy-yhteyttä omien tilien välisellä siirrolla ei ole varsinaiseen vahinkoon ja näin ollen omien tilien välillä tehdystä siirrosta ei ole aiheutunut asiakkaalle korvattavaa vahinkoa.

Asiakkaalle aiheutunut vahinko ei ole seurausta omien tilien välisestä

oikeudettomasta siirrosta, vaan asiakaan omalla maksupalvelulain mukaisella suostumuksella tehdystä tilisiirrosta, joka ei maksupalvelulain mukaan ole maksuvälineen oikeudetonta käyttöä. Käyttöoikeustileiltä ilman vahvaa tunnistamista tehdyt tilisiirrot yhteismäärältään 13.800 euron ovat aiheuttaneet vahinkoa tilien omistajille ja näiltä osin katson pankin olevan vastuussa vahingosta.

Edellä todetuin perustein katson, että pankki ei vastaa asiassa aiheutuneesta vahingosta niiltä osin, kun kysymyksessä oli asiakkaan omien tilien välisestä siirrosta. Suositan pankkia korvaamaan asiakkaan käyttöoikeustileiltä tehdyt siirrot yhteismäärältään 13.800 euroa.