Tapahtumatiedot

Asiakkaan pankkitunnuksilla ja pankin asiakkaalle 11.9.2025 kello 10.41 lähettämässä tekstiviestissä olleella koodilla on aktivoitu pankin tunnistussovellus uudelle laitteelle. Kyseistä tunnistussovellusta käyttäen asiakkaan korttitiedoilla käyttöön otetulla Google Wallet -mobiililompakolla on tehty oikeudettomia korttiostoja 11.9.2025 kello 12.53–12.9.2025 kello 12.34 välisenä aikana yhteensä 17 700,73 euron edestä. Korttiostojen lisäksi asiakkaan tilille on tapahtuma-aikana saapunut rahaa asiakkaalle entuudestaan tuntemattomilta henkilöiltä.

Asiakkaan kortti ja pankkitunnukset on suljettu 12.9.2025 klo 13.14.

Asiakkaan valitus

Asiakas vaatii pankkia korvaamaan hänelle 17 700,73 euroa laillisine viivästyskorkoineen 12.9.2025 lukien.

Asiakas on havainnut 12.9.2025, että hänen tililleen on tullut 11.9.–12.9.2025 välisenä aikana yhteensä 11 550 euroa tilisiirtoina Bittisiirrolta ja Bondora AS:ltä ilman, että asiakas on tiennyt, mistä tai miten rahat ovat hänen tililleen päätyneet. Asiakas on sulkenut korttinsa ja pankkitunnuksensa 12.9.2025 kello 13.14. Hän on reklamoinut pankille 11.–12.9.2025 tililtä tehdyistä veloituksista, joiden yhteismäärä on 17 700,73 euroa. Päätöksessään pankki on katsonut, että reklamoidut tapahtumat jäävät asiakkaan vastuulle. Pankin päätöksen mukaan asiakkaan pankkitunnuksilla on otettu käyttöön uusi pankin mobiili- ja tunnistussovellus. Lisäksi asiakkaan maksukortti on yhdistetty Google Wallet -palveluun, jonka kautta reklamoidut tapahtumat on tehty.

Asiakas kiistää ottaneensa mobiili- tai tunnistussovellusta käyttöön uudella laitteella. Hän kiistää myös yhdistäneensä maksukorttiaan Google Wallet -palveluun. Asiakkaalla ei ole käsitystä siitä, miten hänen pankkitunnuksensa olisivat päätyneet ulkopuoliselle taholle, koska hän ei ole saanut kalasteluviestejä tai -puheluita eikä luovuttanut tunnuksia millekään sivustolle tai kenellekään henkilölle. Asiakas kertoo, ettei hän ole myöskään saanut pankin päätöksessä mainittuja tekstiviestejä puhelimeensa eikä siten ole voinut luovuttaa niissä mainittuja koodeja kenellekään tai syöttää niitä mihinkään. Asiakas on ilmoittanut tilinsä oikeudettomasta käytöstä pankille sen havaittuaan. Hän ei ole antanut suostumustaan reklamoiduille maksutapahtumille, joten maksutapahtumat ovat oikeudettomia ja pankki on velvollinen korvaamaan ne hänelle.

Asiakas katsoo, että pankki on velvollinen korvaamaan reklamoidut maksut myös siinä tapauksessa, ettei se ole edellyttänyt vahvaa tunnistamista Google Wallet -palvelun käyttöönotossa. Pankin vastauksen perusteella mobiililompakon käyttöönotto ei ole edellyttänyt vahvaa tunnistamista. Maksupalvelulain 85 c §:n mukaan palveluntarjoajan on käytettävä vahvaa tunnistamista, jos maksaja käyttää maksutiliään tietoverkon välityksellä tai toteuttaa etäkanavan kautta toimen, johon voi liittyä väärinkäytöksen riski. Maksupalvelulain 62 §:n 3 momentin 4 kohdan mukaan maksupalvelun käyttäjä ei vastaa maksuvälineen oikeudettomasta käytöstä, jos palveluntarjoaja ei ole edellyttänyt maksajan vahvaa tunnistamista. Asiakas viittaa asiassa myös FINEn Pankkilautakunnan ratkaisukäytäntöön, jossa on katsottu, ettei riittävää ole ollut se, että verkkopankkiin tunnistautunut ulkopuolinen taho on voinut liittää kortin mobiililompakkoon ilman erillistä vahvaa tunnistamista.

Pankin vastine

Pankki kiistää asiakkaan vaatimuksen ja katsoo, että vastuu riidanalaisista maksutapahtumista kuuluu asiakkaalle.

Pankin selvityksen mukaan asiakkaan pankkitunnuksilla on otettu käyttöön uusi mobiililaitekohtainen mobiiliavain, minkä jälkeen asiakkaan maksukortti on liitetty Google Wallet -mobiililompakkoon. Reklamoidut maksut on tehty kyseisen mobiililompakon kautta. Mobiiliavaimen käyttöönotto on edellyttänyt asiakkaalle tekstiviestillä toimitetun vahvistuskoodin käyttöä. Asiakas on sulkenut korttinsa ja pankkitunnuksensa 12.9.2025 klo 13.14. Reklamoidut tapahtumat on tehty ennen sulkua 11.9.2025 klo 12.53 – 12.9.2025 klo 12.34 välisenä aikana.

Pankin selvityksen mukaan pankki on lähettänyt asiakkaalle seuraavansisältöisen tekstiviestin 11.9.2025 klo 0.48:
”Tunnuksillasi ollaan ottamassa käyttöön uutta Mobiiliavainta puhelimessa nimeltä Oma. Turvallisuussyistä käyttöönotto on estetty 4 tunnin ajan. Tämän jälkeen sinulla on 24 h aikaa ottaa Mobiiliavain käyttöön. Jos et ole itse ottamassa Mobiiliavainta käyttöön, ota yhteyttä [pankin nimi] Sulkupalveluun, sillä tietosi ovat vaarassa. [pankin nimi]”

11.9.2025 klo 10.41 asiakkaan puhelinnumeroon on lähetetty seuraava viesti: ”LUE HUOLELLA! Tunnuksillasi ollaan ottamassa käyttöön [pankin nimi] -mobiilia ja Mobiiliavainta puhelimessa, jonka nimeksi olet antanut oma. VARO HUIJAUKSIA! Älä anna koodia kenellekään tai millekään verkkosivulle. Jos toimit ohjeen vastaisesti, rikollinen voi saada käyttöönsä pankkitunnuksesi ja tehdä maksuja pankkitileiltäsi sekä asioida nimissäsi kaikissa tunnistautumista vaativissa digipalveluissa. Jos epäilet huijausta, ilmoita asiasta heti [pankin nimi] Sulkupalveluun. Väärinkäytösten estämiseksi jatka vain, jos olet itse ladannut sovelluskaupastasi. [pankin nimi] -mobiilin ja olet ottamassa uutta Mobiiliavainta käyttöön. Vahvista käyttöönotto puhelimessasi koodilla XXXXX vain [pankin nimi] -mobiilissa. [pankin nimi]”.

Asiakas on ilmoittanut, ettei hän ole luovuttanut pankkitunnuksiaan ulkopuoliselle, saanut kalasteluviestejä tai -puheluita taikka syöttänyt tunnuksiaan tai vahvistuskoodejaan mihinkään palveluun. Asiakas on myös kiistänyt ottaneensa mobiiliavainta käyttöön uudella laitteella tai liittäneensä korttiaan Google Wallet -palveluun. Pankin mukaan asiakkaan esittämä selvitys ei kuitenkaan selitä, miten mobiiliavaimen käyttöönotto on voitu toteuttaa eikä sitä, miten pankkitunnukset ja käyttöönottoon tarvittu vahvistuskoodi ovat päätyneet ulkopuolisen tietoon. Lisäksi pankki on kiinnittänyt huomiota siihen, että asiakkaan tilille on ennen riidanalaisia veloituksia siirtynyt yhteensä 11 550 euroa ulkopuolisten lainapalveluiden kautta, eikä asiakas ole ilmoittanut olevansa tietoinen näiden varojen alkuperästä. Pankin näkemyksen mukaan tapahtumien kulku jää tältä osin olennaisilta osiltaan epäselväksi.

Pankin selvityksen perusteella ulkopuolinen on saanut käyttöönsä asiakkaan käyttäjätunnuksen, salasanan, avainluvun sekä mobiiliavaimen käyttöönottoon tarvittaneen vahvistuskoodin. Näiden tietojen avulla ulkopuolinen on voinut aktivoida mobiiliavaimen, käyttää vahvaa tunnistamista, liittää asiakkaan maksukortin mobiililompakkoon ja toteuttaa riidanalaiset maksutapahtumat. Pankki on lisäksi todennut, että asiakkaalle on ennen mobiiliavaimen käyttöönottoa lähetetty viestejä, joissa on ilmoitettu käyttöönoton olevan käynnissä, varoitettu huijauksista sekä ohjeistettu käyttämään vahvistuskoodia vain tilanteessa, jossa asiakas itse ottaa mobiiliavaimen käyttöön.

Asiakas on vedonnut siihen, että pankin olisi tullut edellyttää erillistä vahvaa tunnistamista Google Wallet -mobiililompakon käyttöönoton yhteydessä. Pankki on katsonut, ettei tällä seikalla ole asiassa ratkaisevaa merkitystä. Pankin mukaan ulkopuolinen oli jo ennen mobiililompakon käyttöönottoa saanut haltuunsa asiakkaan pankkitunnukset sekä vahvan tunnistamisvälineen eli mobiiliavaimen. Näin ollen ulkopuolinen olisi voinut suorittaa myös mahdollisesti vaaditun lisävahvistuksen samalla hallussaan olleella vahvan tunnistamisen välineellä. Pankin näkemyksen mukaan erillinen vahva tunnistaminen ei siten olisi estänyt tapahtumien toteutumista eikä muuttanut niiden kulkua.

Pankki viittaa maksupalvelulain 53 §:ään, jonka mukaan maksuvälineen haltijan on huolehdittava maksuvälineestä ja siihen liittyvistä henkilökohtaisista tunnistetiedoista. Lisäksi pankki viittaa maksupalvelulain 62 §:ään, jonka mukaan maksupalvelun käyttäjä vastaa maksuvälineen oikeudettomasta käytöstä muun muassa silloin, jos maksuväline on joutunut oikeudettomasti toisen haltuun käyttäjän huolimattomuuden seurauksena. Pankin näkemyksen mukaan tapahtumat osoittavat, että asiakkaan pankkitunnukset ja vahvistustiedot ovat päätyneet ulkopuoliselle tavalla, joka on mahdollistanut mobiiliavaimen käyttöönoton ja maksujen tekemisen. Pankki katsoo tapahtumien kulun edellyttävän asiakkaan aktiivista myötävaikutusta tai vähintään vakavaa varomattomuutta pankkitunnusten haltijana. Kokonaisuutena arvioiden pankki katsoo asiakkaan menettelyn osoittavan maksupalvelulaissa tarkoitettua törkeää huolimattomuutta.

Edellä esitetyillä perusteilla pankki katsoo, että tapahtumien kulku jää asiakkaan antaman selvityksen perusteella olennaisilta osin epäselväksi, ulkopuolinen on saanut käyttöönsä asiakkaan pankkitunnukset ja vahvan tunnistamisvälineen, eikä mobiililompakon käyttöönottoa koskevalla mahdollisella erillisellä vahvalla tunnistamisella olisi ollut vaikutusta tapahtumien toteutumiseen. Näin ollen pankki katsoo, että vastuu oikeudettomista maksutapahtumista jää maksupalvelulain mukaisesti asiakkaalle eikä pankki ole velvollinen korvaamaan asiakkaan vaatimuksia.

Selvitykset

Valitusta koskevan osapuolten kirjelmöinnin lisäksi lautakunnalle on toimitettu seuraavat asiakirjat:

• Tiliotteita asiakkaan tileistä
• Pankin 21.11.2025 antama korttireklamaatiopäätös
• Tutkintailmoitukset (ilmoitusaika 25.11.2026 ja 2.1.2026)
• Poliisilta tullut sähköpostiviesti 9.7.2026.

Ratkaisusuositus

Kysymyksenasettelu

Asiakkaan ja pankin välisen vastuunjaon ratkaisemiseksi Pankkilautakunnan on arvioitava, voidaanko maksuvälineen oikeudettoman käytön katsoa johtuneen siitä, että asiakas on huolimattomuudestaan laiminlyönyt maksupalvelulain 53 §:n 1 momentin sekä pankkitunnusehtojen mukaisia velvollisuuksiaan, sekä minkä asteista asiakkaan mahdollinen huolimattomuus on ollut. Tämän lisäksi lautakunnan on arvioitava, onko pankin tullut edellyttää vahvaa tunnistamista asiakkaan maksukortin liittämisen yhteydessä uuteen digitaaliseen lompakkopalveluun ja mitä merkitystä mahdollisella vahvan tunnistamisen puuttumisella on osapuolten välisen vastuunjaon kannalta.

Sovellettavat lainkohdat ja sopimusehdot

Maksupalvelulain 8 §:n (Määritelmät.) mukaan
Tässä laissa tarkoitetaan:
[…]
24) vahvalla tunnistamisella maksupalvelun käyttäjän sähköistä tunnistamista, jossa suojataan tunnistamistiedon luottamuksellisuutta ja käytetään menettelyä, joka perustuu vähintään kahteen seuraavista kolmesta toisistaan riippumattomasta vaihtoehdosta:
a) johonkin, mitä vain maksupalvelun käyttäjä tietää;
b) johonkin, mitä vain maksupalvelun käyttäjällä on hallussaan;
c) maksupalvelun käyttäjän yksilöivään ominaisuuteen;
[…]

Maksupalvelulain 53 §:n (Maksuvälineestä huolehtiminen.) 1–2 momentin mukaan
Maksuvälineen haltijan on käytettävä maksuvälinettä sen myöntämistä ja käyttöä koskevien ehtojen mukaisesti. Erityisesti hänen on kohtuullisin toimenpitein huolehdittava maksuvälineestä ja siihen liittyvistä henkilökohtaisista turvatunnuksista. Maksuvälineen myöntämistä ja käyttöä koskevat ehdot eivät saa olla perusteettomia, kohtuuttomia tai syrjiviä.
Maksuvälineen haltijan velvollisuus huolehtia maksuvälineestä ja siihen liittyvistä henkilökohtaisista turvatunnuksista alkaa, kun hän vastaanottaa ne.

Maksupalvelulain 54 §:n (Katoamisilmoitus.) 1 momentin mukaan
Maksuvälineen haltijan on ilman aiheetonta viivytystä ilmoitettava palveluntarjoajalle tai sen nimeämälle muulle taholle havaitsemastaan maksuvälineen katoamisesta, joutumisesta oikeudettomasti toisen haltuun tai oikeudettomasta käytöstä.

Maksupalvelulain 62 §:n (Maksupalvelun käyttäjän vastuu maksuvälineen oikeudettomasta käytöstä.) mukaan
Maksupalvelun käyttäjä, joka on tehnyt maksuvälinettä koskevan sopimuksen palveluntarjoajan kanssa, vastaa kadonneen tai oikeudettomasti toisen haltuun joutuneen maksuvälineen käytöstä tai muusta maksuvälineen oikeudettomasta käytöstä vain, jos oikeudeton käyttö johtuu siitä, että hän tai muu maksuvälineen haltija on:
1) luovuttanut maksuvälineen sen käyttöön oikeudettomalle;
2) huolimattomuudesta laiminlyönyt 53 §:n 1 momentin mukaiset velvollisuutensa; taikka
3) laiminlyönyt ilman aiheetonta viivytystä ilmoittaa palveluntarjoajalle tai sen nimeämälle muulle taholle havaitsemastaan maksuvälineen katoamisesta, joutumisesta oikeudettomasti toisen haltuun tai oikeudettomasta käytöstä.
Maksupalvelun käyttäjän vastuu maksuvälineen oikeudettomasta käytöstä 1 momentin 2 ja 3 kohdassa tarkoitetuissa tapauksissa on enintään 50 euroa. Tätä rajoitusta ei sovelleta, jos maksupalvelun käyttäjä tai muu maksuvälineen haltija on toiminut tahallisesti tai törkeän huolimattomasti.
Maksupalvelun käyttäjä ei vastaa maksuvälineen oikeudettomasta käytöstä:
1) siltä osin kuin maksuvälinettä on käytetty sen jälkeen, kun palveluntarjoajalle tai sen nimeämälle muulle taholle on ilmoitettu maksuvälineen katoamisesta, joutumisesta oikeudettomasti toisen haltuun tai oikeudettomasta käytöstä;
2) jos palveluntarjoaja on laiminlyönyt huolehtia siitä, että maksuvälineen haltijalla on mahdollisuus tehdä milloin tahansa 1 kohdassa tarkoitettu ilmoitus;
3) jos maksunsaaja ei ole maksuvälinettä käytettäessä asianmukaisesti varmistunut maksajan oikeudesta käyttää maksuvälinettä; tai
4) jos palveluntarjoaja ei ole edellyttänyt maksajan vahvaa tunnistamista.
Sen estämättä, mitä 3 momentissa säädetään, maksupalvelun käyttäjä on vastuussa maksuvälineen oikeudettomasta käytöstä, jos hän tai muu maksuvälineen haltija on tahallaan tehnyt väärän ilmoituksen tai toiminut muuten petollisesti.

Maksupalvelulain 63 §:n (Palveluntarjoajan vastuu oikeudettomasta maksutapahtumasta.) 1 momentin mukaan 
Jos maksutapahtuma on toteutettu oikeudettomasti eikä 62 §:stä muuta johdu, palveluntarjoajan, jonka asiakkaan varoja on käytetty maksutapahtuman toteuttamiseen, on välittömästi ja viimeistään seuraavana työpäivänä siitä, kun se havaitsi maksutapahtuman tai sille ilmoitettiin maksutapahtumasta, palautettava maksutapahtuman rahamäärä asiakkaalleen tai palautettava tämän maksutili siihen tilaan, jossa se olisi ollut ilman veloitusta.

Maksupalvelulain 85 c §:n (Tunnistaminen) mukaan
Palveluntarjoajan on käytettävä vahvaa tunnistamista, jos maksaja:
1) käyttää maksutiliään tietoverkon välityksellä;
2) käynnistää sähköisen maksutapahtuman;
3) toteuttaa etäkanavan kautta toimen, johon voi liittyä väärinkäytöksen riski.
Jos maksaja käynnistää sähköisen maksutapahtuman etäviestimellä, palveluntarjoajan on käytettävä vahvaa tunnistamista, johon yhdistetään maksutapahtuman määrä ja maksunsaaja maksupalveluista sisämarkkinoilla, direktiivien 2002/65, EY, 2009/110/EY ja 2013/36/EU ja asetuksen (EU) N:o 1093/2010 muuttamisesta sekä direktiivin 2007/64/EY kumoamisesta annetun Euroopan parlamentin ja neuvoston direktiivin (EU) 2015/2366, jäljempänä maksupalveludirektiivi, 97 artiklan 2 kohdassa tarkoitetulla tavalla.
Palveluntarjoajan on riittävin turvatoimenpitein huolehdittava vahvassa tunnistamisessa käytettävien henkilökohtaisten turvatunnusten luottamuksellisuuden ja eheyden suojaamisesta.
Edellä 1 ja 2 momentissa tarkoitetun vahvan tunnistamisen sekä 3 momentissa tarkoitettujen turvatoimenpiteiden on täytettävä tarkemmat vaatimukset, joista säädetään maksupalveludirektiivin 98 artiklan nojalla annetuissa komission teknisissä sääntelystandardeissa.
Tämän pykälän mukaisesta velvollisuudesta vahvaan tunnistamiseen sekä henkilökohtaisten turvatunnusten luottamuksellisuuden ja eheyden suojaamiseen voidaan poiketa, jos maksupalveludirektiivin 98 artiklan nojalla annetuissa komission teknisissä sääntelystandardeissa niin säädetään.

Komission delegoidun asetuksen (EU) 2018/389 24 artiklan
Yhdistäminen maksupalvelunkäyttäjään mukaan
1. Maksupalveluntarjoajien on varmistettava, että henkilökohtaiset turvatunnukset, tunnistamislaitteet ja -ohjelmistot yhdistetään suojatulla tavalla ainoastaan maksupalvelunkäyttäjään.
2. Sovellettaessa 1 kohtaa maksupalveluntarjoajien on varmistettava, että kaikki seuraavat vaatimukset täyttyvät:
a) maksupalvelunkäyttäjän henkilöllisyyden yhdistäminen henkilökohtaisiin turvatunnuksiin, tunnistamislaitteisiin ja -ohjelmistoihin toteutetaan maksupalveluntarjoajan vastuulla suojatuissa ympäristöissä, jotka käsittävät ainakin maksupalveluntarjoajan toimitilat, sen tarjoaman internetympäristön tai muut vastaavat sen käyttämät suojatut verkkosivustot ja sen pankkiautomaattipalvelut, ottaen huomioon riskit, jotka liittyvät yhdistämisprosessin aikana käytettäviin laitteisiin ja peruskomponentteihin, jotka eivät ole maksupalveluntarjoajan vastuulla;
b) maksupalvelunkäyttäjän henkilöllisyyden yhdistäminen henkilökohtaisiin turvatunnuksiin ja tunnistamislaitteisiin ja -ohjelmistoihin etäkanavan välityksellä suoritetaan käyttämällä asiakkaan vahvaa tunnistamista.

Asian arviointi

Pankkilautakunta toteaa vastuun pankkitunnusten huolellisesta säilyttämisestä ja käyttämisestä olevan maksupalvelulain ja tunnistuslain mukaan tunnusten haltijalla. Tämä on luonnollista ottaen huomioon sen, että viime kädessä ainoastaan tunnusten haltija voi vaikuttaa siihen, miten ja missä olosuhteissa hän tunnuksiaan säilyttää ja käyttää.

Tilanteissa, joissa maksuvälinettä on käytetty oikeudetta, on maksuvälineen haltijan ja maksuvälineen myöntäjän välisen vastuunjaon kannalta pääsääntöisesti ratkaisevaa se, kuinka huolellisesti maksuvälineen haltijan voidaan katsoa menetelleen maksuvälineensä suhteen. Jotta maksuvälineen haltijan huolellisuutta voitaisiin arvioida, on saatava selvitystä siitä, missä olosuhteissa ja millä tavoin hän on maksuvälinettään säilyttänyt ja käyttänyt ja miten se on päätynyt ulkopuolisen haltuun/tietoon/käyttöön. Parhaat mahdollisuudet selvityksen antamiseen on lähtökohtaisesti maksuvälineen haltijalla ja hänen vaatiessa maksuvälineen myöntäjää ottamaan vastuun maksuvälineen oikeudettomasta käytöstä, voidaan maksuvälineen haltijan edellyttää antavan oman selvityksensä tapahtumista ja omasta menettelystään. Tietoa tapahtumienkulun yksityiskohdista ei aina ole mahdollista saada eikä myös maksuvälineen haltijalta voida edellyttää, mutta hänen voidaan aina edellyttää antavan selvityksen tapahtumista ja omasta menettelystään.

Tässä tapauksessa pankki on esittänyt teknisen selvityksen tapahtumista sekä siitä, mitä tietoja tekijällä on täytynyt olla, jotta hän on voinut aktivoida 11.9. kello 10.41 omalla OMA-laitteellaan asiakkaan nimissä olevan uuden pankin mobiilisovelluksen. Riidanalaiset tapahtumat on vahvistettu kyseisellä mobiilisovelluksella 11.9. kello 12.53–12.9. kello 12.34 välisenä aikana. Pankkilautakunnalla ei ole syytä epäillä pankin järjestelmätietoihin perustuvan selvityksen paikkansapitävyyttä.

Asiakas on asiamiehensä välityksellä todennut, ettei hänellä ole käsitystä siitä, miten hänen pankkitunnuksensa ovat päätyneet ulkopuoliselle taholle, koska hän ei ole saanut kalasteluviestejä tai -puheluita eikä luovuttanut tunnuksia millekään sivustolle tai kenellekään henkilölle. Hän kiistää myös saaneensa pankin lähettämiä tekstiviestejä eikä siten ole voinut luovuttaa niissä mainittuja koodeja mihinkään. Hän ei ole myöskään itse ottanut käyttöönsä uutta pankin tunnistussovellusta tai liittänyt korttiaan Google Walletiin.

Pankkilautakunta katsoo tapahtumien kulun jäävän asiassa esitetyn selvityksen ja erityisesti asiakkaan asiassa kertoman perusteella olennaisilta osin epäselväksi. Pankkilautakunnan ei ole saadun selvityksen perusteella mahdollista luotettavasti arvioida, mitä tapauksessa on todennäköisimmin tapahtunut ja miten oikeudettomien maksutapahtumien toteuttamisen edellyttämät pankkitunnus- ja aktivointikooditiedot ovat voineet päätyä asiakkaalta tekijän tietoon, saati sitä, mikä on asiakkaan mahdollisesti huolimattoman menettelyn myötävaikutus tapahtumien kulkuun.

Asiakas on vedonnut myös siihen, että vahingon määrään on vaikuttanut se, että pankki on sallinut asiakkaan maksukortin liittämisen mobiililompakkoon ilman vahvaa tunnistamista.

FINEn Pankkilautakunta on ratkaisussaan FINE-70568 katsonut, että maksukortin liittäminen Google Pay -palveluun on maksupalvelulain 85 c §:n 1 momentin 3 kohdassa tarkoitettu etäkanavan kautta toteutettava toimi, johon liittyy väärinkäytöksen riski ja jonka yhteydessä palveluntarjoajan on käytettävä vahvaa tunnistamista. Lautakunta on kyseisessä ratkaisussa todennut, että pankki oli laiminlyönyt maksupalvelulain 85 c §:n mukaiset velvollisuutensa, kun se oli sallinut palvelun käyttöönoton ilman vahvaa tunnistamista.

Tässä tapauksessa pankki on sallinut digitaalisen mobiililompakon käyttöönoton ja asiakkaan maksukortin liittämisen siihen ilman erillistä vahvaa tunnistamista. Pankki on katsonut, että koska rikollisella on ollut hallussaan asiakkaan pankkitunnukset sekä tunnistussovellus, ei vahvan tunnistamisen vaatimuksella ole tapauksessa ollut merkitystä.

Edellä mainittuun Pankkilautakunnan ratkaisukäytäntöön viitaten lautakunta katsoo, että maksukortin liittäminen mobiililompakkoon on maksupalvelulain 85 c §:n 1 momentin 3 kohdassa tarkoitettu etäkanavan kautta toteutettava toimi, johon liittyy väärinkäytöksen riski. Pankin olisi siten tullut edellyttää asiakkaan vahvaa tunnistamista mobiililompakon käyttöönoton yhteydessä. Se, että mobiili- tai verkkopankkiin kirjaudutaan vahvaa tunnistamista käyttäen, ei poista pankin velvollisuutta käyttää vahvaa tunnistamista uuden korttipohjaisen maksutavan käyttöönotossa.

Lautakunta katsoo kuitenkin, ettei pankin laiminlyönnillä ole tässä yksittäistapauksessa syy-yhteyttä aiheutuneeseen vahinkoon. Asiassa saadun selvityksen perusteella rikolliset olisivat joka tapauksessa voineet vahvistaa mobiililompakon käyttöönoton hallussaan olleella asiakkaan pankin tunnistussovelluksella. Näin ollen vahvaa tunnistamista koskevan velvollisuuden laiminlyönti ei ole vaikuttanut vahingon syntymiseen tai sen määrään. Tämän vuoksi pankin laiminlyönti ei tässä tapauksessa anna aihetta arvioida pankin korvausvastuuta toisin.

Lopputulos

Ohjesääntönsä mukaan Pankkilautakunta voi erityisestä syystä päättää, ettei se anna ratkaisusuositusta sen käsiteltäväksi saatetusta asiasta. Lautakunta katsoo, että tässä tapauksessa esitetyn selvityksen perusteella tapahtumien kulku jää olennaisilta osin epäselväksi eikä Pankkilautakunta näin ollen pysty käytettävissään olevin keinoin luotettavasti ratkaisemaan asiakkaan ja pankin välisen vastuunjaon kannalta ratkaisevaa kysymystä siitä, onko asiakkaan pankkitunnusten oikeudeton käyttö johtunut asiakkaan huolimattomuudesta ja onko asiakkaan mahdollinen huolimattomuus törkeää.

Keskeisen tapahtumainkulun jäädessä tällä tavoin epäselväksi Pankkilautakunta päättää, ettei se anna ratkaisusuositusta tässä tapauksessa.

PANKKILAUTAKUNTA

Puheenjohtaja Sillanpää
Esittelijä Haapsaari

Jäsenet:
Atrila
Ketola
Punakivi
Tervonen