Tapahtumatiedot
Asiakas on saanut 21.1.2026 rikollisten pankin nimissä tekemän puhelun, minkä seurauksena rikolliset ovat päässeet kirjautumaan asiakkaan verkkopankkiin asiakkaan pankkitunnuksia käyttäen. Verkkopankissa on tehty asiakkaan korttiluotolta asiakkaan käyttötilille klo 16.32 1.900 euron siirto, jonka yhteydessä pankki ei ole edellyttänyt maksajan vahvaa tunnistamista. Tämän jälkeen asiakkaan tilin vuorokausittaista maksurajaa on muutettu ja muutos on vahvistettu pankin asiakkaalle klo 16.40 lähettämässä tekstiviestissä olleella koodilla. Klo 16.44-18.03 välisenä aikana asiakkaan käyttötilille on tullut ulkopuoliselta 3.812,43 euron siirto ja asiakkaan käyttötililtä on tehty neljä oikeudetonta maksua ulkopuoliselle yhteisarvoltaan 8.602,70 euroa. Maksut ulkopuoliselle on vahvistettu pankin asiakkaalle lähettämissä tekstiviesteissä olleilla koodeilla.
Pankki on väärinkäyttöepäilyn vuoksi sulkenut asiakkaan pankkitunnukset 22.1.2026 kello 08.22.
Asiakkaan valitus
Asiakas vaatii tilien palauttamista ennalleen.
Asiakas joutui turvatilihuijauksen uhriksi. Soittaja kertoi asiakkaan tilille murtaudutun. Asiakas ei ollut kotonaan ja oli väsynyt. Soitto tuli huonoon aikaan ja asiakas hätääntyi asiasta. Asiakas ei muista yksityiskohtia puhelusta. Tarkoitus oli estää tilille murtautuminen ja palauttaa viedyt rahat.
Pankin vastine
Asiakas reklamoi oikeudettomia tilisiirtoja ja luotolta tehtyä siirtoa. Asiakkaan tilille tulleiden ja sieltä lähteneiden varojen jälkeen reklamoitavaa on yhteensä 4.790,27 euroa.
Reklamoidut tapahtumat on tehty verkkopankissa. Tapahtumien tekemiseen on tarvittu henkilökohtaiset verkkopankkitunnukset eli verkkopankin käyttäjätunnus, salasana sekä tunnuslukutaulukko. Lisäksi reklamoitujen tapahtumien vahvistamiseen on tarvittu tekstiviestitse lähetetyt vahvistuskoodit. Pankki on lähettänyt alla olevat tekstiviestit 21.1.2026 asiakkaan puhelinnumeroon:
Klo 16:43:
Olet tekemässä 2948,02 euron maksua
Vahvistuskoodisi on 6914. Terveisin [Pankki]
Klo 16:49:
Olet tekemässä 1799,00 euron maksua [pankin] tililtäsi. Vahvistuskoodisi on 4955. Terveisin [Pankki]
Klo 17:59:
Olet tekemässä 2455,68 euron maksua [pankin] tililtäsi. Vahvistuskoodisi on 8785. Terveisin [Pankki]
Klo 18:03
Olet tekemässä 1400,00 euron maksua [pankin] tililtäsi. Vahvistuskoodisi on 9635. Terveisin [Pankki]
Ennen reklamoituja tapahtumia verkkopankissa on muutettu asiakkaan tilin vuorokausittaista maksurajaa. Muutokseen pankki on lähettänyt asiakkaalle tekstiviestin klo 16.40:
”Olet muuttamassa tilisi maksurajaa 30000 euroon. Vahvista muutos koodilla 2691. Terveisin [pankki]”
Pankki käyttää puhelinoperaattorin tarjoamaa palvelua, jonka kautta lähettää tekstiviestit. Taustajärjestelmän mukaan viestit on lähetetty onnistuneesti asiakkaan omaan puhelinnumeroon. Tekstiviesteissä, joilla lisävahvistuksiin vaadittavat koodit on lähetetty asiakkaan puhelinnumeroon, on asianmukaisesti ja selkeästi kerrottu maksun suuruus sekä se, että koodia käytetään maksun hyväksymiseen. Tekstiviesteissä olevia vahvistuskoodeja on tarvittu tapahtumien vahvistamiseen, ja tapahtumat on vahvistettu asiakkaan henkilökohtaisilla verkkopankkitunnuksilla. Tekstiviestillä saadut vahvistuskoodit on siis täytynyt palauttaa laitteeseen, jolla maksua on vahvistettu. Asiakas ei ole kertonut pankin mobiilisovelluksensa sisältävän oman laitteensa kadonneen tai päätyneen ulkopuolisen käyttöön missään vaiheessa. Asiakas ei ole myöskään kertonut verkkopankkitunnustensa kadonneen missään vaiheessa, eikä hän ole myöskään kertonut antaneensa etäyhteyttä omalle laitteellensa.
Asiakkaan on täytynyt tällöin itse hyväksyä maksut tai luovuttaa koodit maksut tehneen henkilön haltuun. Reklamoidut tilisiirrot on tehty 21.1.2026 kello 16:44-18:03 välisenä aikana. Asiakkaan pankkitunnukset on suljettu pankin toimesta 22.1.2026 kello 8:22. Reklamoidut tapahtumat on siis tehty ennen pankkitunnusten sulkemista.
Luotolta tehty siirto on tehty verkkopankissa 21.1.2026 kello 16:32. Verkkopankkiin kirjautumiseen on tarvittu asiakkaan henkilökohtaiset verkkopankkitunnukset eli käyttäjätunnus, salasana ja taulukon koodi. Tämän jälkeen verkkopankissa on saanut siirrettyä luotolta haluttu summa pankkitilille. Siirrosta ei ole lähtenyt asiakkaalle erillistä vahvistuskoodia tekstiviestitse, vaan se on toteutettu ilman vahvaa tunnistamista. Tämä poikkeus perustuu PSD2-sääntelyn nojalla annettuun komission delegoituun asetukseen (EU) 2018/389.
Pankki katsoo, että tämä siirto ei ole vaikuttanut asiassa aiheutuneen vahingon määrään, koska siirron jälkeen varat ovat edelleen olleet asiakkaan itsensä hallussa, eikä vahinkoa näin ollen ole syntynyt. Myöhemmin toteutettu siirto, jolla vahinko on syntynyt, toteutettiin käyttäen vahvaa tunnistamista.
Pankkilautakunta on ratkaisukäytännössään vakiintuneesti katsonut, että tapauksissa, joissa rikoksen uhri on huijattuna tullut itse hyväksyneeksi riidanalaiset maksut esimerkiksi omassa puhelimessaan olevalla pankin mobiilisovelluksella ja sovelluksessa on ennen vahvistuksen antamista näkynyt vahvistettavan maksun tiedot, ei pankkia ole suositettu hyvittämään asiassa aiheutunutta vahinkoa asiakkaalle. Näissä tapauksissa on katsottu, että vaikka asiakas on antanut maksujen vahvistukset rikollisten harhaan johtamana, on hän kuitenkin itse antanut maksuille maksupalvelulain 38 §:ssä ja sovellettavissa ehdoissa tarkoitetun suostumuksensa, eivätkä kyseessä olevat maksutapahtumat tällöin ole maksupalvelulaissa tarkoitetulla tavalla oikeudettomia. Tämän vuoksi käsillä ei ole myöskään ollut perusteita pankin vastuulle maksuista asiakkaalle aiheutuneesta vahingosta.
Pankin digitaalisia palveluja koskevien yleisten ehtojen mukaan verkkopankkitunnukset ja laitteeseen ladattu pankin mobiilisovelluksen tunnistaminen ovat henkilökohtaisia. Niitä ei saa osittainkaan luovuttaa tai antaa tiedoksi sivulliselle henkilölle. Ehdoissa painotetaan, ettei missään tilanteessa saa kertoa verkkopankkitunnuksia tai tekstiviestillä lähettämäämme vahvistuskoodia suullisesti asiakkaalle tulleessa puhelussa, sähköpostissa tai muussa viestissä niitä kysyvälle.
Pankki on lisäksi useaan otteeseen varoittanut asiakkaitaan erilaisista tietojenkalasteluista ja huijauksista. Pankki katsoo, että yleisen tietämyksen ja pankin antamien varoitusten perusteella asiakkaan tulisi olla tietoinen tunnusten turvallisesta ja huolellisesta käytöstä ja säilyttämisestä. Pankkitunnusten osien luovuttaminen niitä kysyvälle soittajalle osoittaa jo lähtökohtaisesti vakavaa huolimattomuutta pankkitunnusten haltijan toiminnassa.
Pankki katsoo asiakkaan toimineen törkeän huolimattomasti, kun hän antoi puhelun aikana henkilökohtaisten verkkopankkitunnustensa osia ja tekstiviestillä saamansa vahvistuskoodit, ja näin ollen vahvisti reklamoidut maksut itse, vaikka hän ei ollut maksamassa tai ostamassa mitään. Asiakas on luovuttanut verkkopankkitunnuksensa pankin ehtojen ja turvallisuusohjeiden vastaisesti sivulliselle ja pankki katsoo, että asiakas on toiminut maksupalvelulaissa tarkoitettua törkeää huolimattomuutta osoittavalla tavalla, ja asiakas vastaa täysimääräisesti aiheutuneesta vahingosta.
Selvitykset
Valitusta koskevan osapuolten kirjelmöinnin lisäksi lautakunnalle on toimitettu seuraavat asiakirjat:
- Pankin digitaalisten palveluiden yleiset ehdot
- Rikosilmoitus
Ratkaisusuositus
Kysymyksenasettelu
Asiakkaan ja pankin välisen vastuunjaon ratkaisemiseksi Pankkilautakunnan on ensin ratkaistava, voidaanko asiakkaan katsoa antaneen maksupalvelulain 38 §:ssä tarkoitetun suostumuksensa ko. maksutapahtumille vai onko maksutapahtumia pidettävä oikeudettomina. Mikäli tapauksessa katsotaan olevan kyse maksuvälineen oikeudettomasta käytöstä, on Pankkilautakunnan arvioitava, voidaanko maksuvälineen oikeudettoman käytön katsoa johtuneen siitä, että asiakas on huolimattomuudestaan laiminlyönyt lain 53 §:n 1 momentin sekä pankkitunnusehtojen mukaisia velvollisuuksiaan, sekä minkä asteista asiakkaan mahdollinen huolimattomuus on. Edelleen lautakunnan on arvioitava, vaikuttaako asiakkaan ja pankin välisen vastuunjakoon se, että pankki ei ole edellyttänyt vahvaa tunnistamista verkkopankin sisäisen siirron yhteydessä.
Sovellettavat lainkohdat ja sopimusehdot
Maksupalvelulain 8 §:n (Määritelmät.) mukaan
Tässä laissa tarkoitetaan:
[…]
24) vahvalla tunnistamisella maksupalvelun käyttäjän sähköistä tunnistamista, jossa suojataan tunnistamistiedon luottamuksellisuutta ja käytetään menettelyä, joka perustuu vähintään kahteen seuraavista kolmesta toisistaan riippumattomasta vaihtoehdosta:
a) johonkin, mitä vain maksupalvelun käyttäjä tietää;
b) johonkin, mitä vain maksupalvelun käyttäjällä on hallussaan;
c) maksupalvelun käyttäjän yksilöivään ominaisuuteen;
[…]
Maksupalvelulain 38 §:n (Maksajan suostumus maksutapahtuman toteuttamiseen.) 1 momentin mukaan
Maksutapahtuma saadaan toteuttaa vain maksajan suostumuksella. Maksutapahtumaa pidetään oikeudettomana, jollei maksaja ole antanut siihen suostumustaan sovitulla tavalla.
Maksupalvelulain 53 §:n (Maksuvälineestä huolehtiminen.) 1-2 momentin mukaan
Maksuvälineen haltijan on käytettävä maksuvälinettä sen myöntämistä ja käyttöä koskevien ehtojen mukaisesti. Erityisesti hänen on kohtuullisin toimenpitein huolehdittava maksuvälineestä ja siihen liittyvistä henkilökohtaisista turvatunnuksista. Maksuvälineen myöntämistä ja käyttöä koskevat ehdot eivät saa olla perusteettomia, kohtuuttomia tai syrjiviä.
Maksuvälineen haltijan velvollisuus huolehtia maksuvälineestä ja siihen liittyvistä henkilökohtaisista turvatunnuksista alkaa, kun hän vastaanottaa ne.
Lain 54 §:n (Katoamisilmoitus.) 1 momentin mukaan
Maksuvälineen haltijan on ilman aiheetonta viivytystä ilmoitettava palveluntarjoajalle tai sen nimeämälle muulle taholle havaitsemastaan maksuvälineen katoamisesta, joutumisesta oikeudettomasti toisen haltuun tai oikeudettomasta käytöstä.
Lain 62 §:n (Maksupalvelun käyttäjän vastuu maksuvälineen oikeudettomasta käytöstä.) mukaan
Maksupalvelun käyttäjä, joka on tehnyt maksuvälinettä koskevan sopimuksen palveluntarjoajan kanssa, vastaa kadonneen tai oikeudettomasti toisen haltuun joutuneen maksuvälineen käytöstä tai muusta maksuvälineen oikeudettomasta käytöstä vain, jos oikeudeton käyttö johtuu siitä, että hän tai muu maksuvälineen haltija on:
1) luovuttanut maksuvälineen sen käyttöön oikeudettomalle;
2) huolimattomuudesta laiminlyönyt 53 §:n 1 momentin mukaiset velvollisuutensa; taikka
3) laiminlyönyt ilman aiheetonta viivytystä ilmoittaa palveluntarjoajalle tai sen nimeämälle muulle taholle havaitsemastaan maksuvälineen katoamisesta, joutumisesta oikeudettomasti toisen haltuun tai oikeudettomasta käytöstä.
Maksupalvelun käyttäjän vastuu maksuvälineen oikeudettomasta käytöstä 1 momentin 2 ja 3 kohdassa tarkoitetuissa tapauksissa on enintään 50 euroa. Tätä rajoitusta ei sovelleta, jos maksupalvelun käyttäjä tai muu maksuvälineen haltija on toiminut tahallisesti tai törkeän huolimattomasti.
Maksupalvelun käyttäjä ei vastaa maksuvälineen oikeudettomasta käytöstä:
1) siltä osin kuin maksuvälinettä on käytetty sen jälkeen, kun palveluntarjoajalle tai sen nimeämälle muulle taholle on ilmoitettu maksuvälineen katoamisesta, joutumisesta oikeudettomasti toisen haltuun tai oikeudettomasta käytöstä;
2) jos palveluntarjoaja on laiminlyönyt huolehtia siitä, että maksuvälineen haltijalla on mahdollisuus tehdä milloin tahansa 1 kohdassa tarkoitettu ilmoitus;
3) jos maksunsaaja ei ole maksuvälinettä käytettäessä asianmukaisesti varmistunut maksajan oikeudesta käyttää maksuvälinettä; tai
4) jos palveluntarjoaja ei ole edellyttänyt maksajan vahvaa tunnistamista.
Sen estämättä, mitä 3 momentissa säädetään, maksupalvelun käyttäjä on vastuussa maksuvälineen oikeudettomasta käytöstä, jos hän tai muu maksuvälineen haltija on tahallaan tehnyt väärän ilmoituksen tai toiminut muuten petollisesti.
Maksupalvelulain 63 §:n (Palveluntarjoajan vastuu oikeudettomasta maksutapahtumasta.) 1 momentin mukaan
Jos maksutapahtuma on toteutettu oikeudettomasti eikä 62 §:stä muuta johdu, palveluntarjoajan, jonka asiakkaan varoja on käytetty maksutapahtuman toteuttamiseen, on välittömästi ja viimeistään seuraavana työpäivänä siitä, kun se havaitsi maksutapahtuman tai sille ilmoitettiin maksutapahtumasta, palautettava maksutapahtuman rahamäärä asiakkaalleen tai palautettava tämän maksutili siihen tilaan, jossa se olisi ollut ilman veloitusta.
Maksupalvelulain 85 c §:n (Tunnistaminen) 1 ja 5 momenttien mukaan
Palveluntarjoajan on käytettävä vahvaa tunnistamista, jos maksaja:
1)käyttää maksutiliään tietoverkon välityksellä;
2)käynnistää sähköisen maksutapahtuman;
3)toteuttaa etäkanavan kautta toimen, johon voi liittyä väärinkäytöksen riski.
[…]
Tämän pykälän mukaisesta velvollisuudesta vahvaan tunnistamiseen sekä henkilökohtaisten turvatunnusten luottamuksellisuuden ja eheyden suojaamiseen voidaan poiketa, jos maksupalveludirektiivin 98 artiklan nojalla annetuissa komission teknisissä sääntelystandardeissa niin säädetään.
Pankin digitaalisten palvelujen ja tunnistusvälineiden yleisten ehtojen (Pankkitunnusehdot) kohta, joka koskee asiakkaan vastuuta tunnistusvälineiden oikeudettomasta käytöstä maksuvälineenä vastaa maksupalvelulain 62 §:n kuluttajan hyväksi pakottavia säännöksiä.
Pankkitunnusehtojen Määritelmät -kohdan mukaan
Pankin tunnistusvälineitä ovat
· verkkopankkitunnukset, jotka koostuvat antamastamme käyttäjätunnuksesta, valitsemastasi henkilökohtaisesta salasanasta sekä tunnusluvusta, joka ilmenee tunnuslukutaulukosta.
· [Pankin mobiilisovelluksen] tunnistaminen, joka koostuu mobiililaitteeseen ladatusta sovelluksesta, valitsemastasi henkilökohtaisesta tunnusluvusta ja/tai biometrisestä tunnisteesta kuten sormenjäljestä tai kasvonpiirteistä. [Pankin mobiilisovelluksen] tunnistamisen voit ottaa käyttöösi [Pankin mobiilisovelluksessa].
Pankkitunnusehtojen Tunnistusvälineitä koskevat velvollisuutesi -kohdan Tunnistusvälineiden säilyttäminen -alakohdan mukaan
Verkkopankkitunnukset ja laitteeseen ladattu [pankin mobiilisovelluksen] tunnistaminen ovat henkilökohtaisia. Niitä ei saa osittainkaan luovuttaa tai antaa tiedoksi sivulliselle henkilölle, vaikka kyseessä olisi perheenjäsen, eikä erilliselle sovellukselle tai palvelulle.
Tällä sopimuksella sitoudut säilyttämään tunnistusvälineitä huolellisesti ja varmistamaan säännöllisesti, että ne ovat tallessa. Et saa kirjoittaa verkkopankin tai [pankin mobiilisovelluksen] tunnuslukuasi muistiin helposti tunnistettavaan muotoon. Sitoudut myös säilyttämään verkkopankin käyttäjätunnuksen, mahdollisesti muistiin merkitsemäsi salasanan ja tunnusluvut sisältävät tulosteet erillään toisistaan siten, ettei kukaan voi yhdistää niitä toisiinsa.
Verkkopankkitunnusten eri osia ei siis saa säilyttää samassa paikassa, kuten käsilaukussa, lompakossa tai kotona samassa säilytyspaikassa.
Huomioi erityisesti seuraavat asiat:
· Et saa missään tilanteessa kertoa verkkopankkitunnuksia tai tekstiviestillä lähettämäämme vahvistuskoodia suullisesti sinulle tulleessa puhelussa, sähköpostissa tai muussa viestissä niitä kysyvälle.
· Et saa käyttää verkkopankkitunnuksia verkkopankkiin kirjautumiseen, tunnistautumiseen tai muun pankkiasian hoitamiseen, jos linkki kirjautumissivulle on lähetetty sinulle sähköpostilla tai muulla sähköisellä tavalla.
Tarkista olosuhteiden vaatimalla tavalla säännöllisesti, että verkkopankkitunnusten osat tai [pankin mobiilisovelluksen] sisältävä laitteesi ovat tallessa.
Muiden ihmisten läsnäollessa suojaa käyttämäsi laite kädelläsi tai kehollasi, kun kirjaudut verkkopankkiin. Näin sivulliset eivät pääse näkemään, kun näppäilet verkkopankkitunnuksen tai [pankin mobiilisovelluksen] tunnusluvun.
Et saa kirjautua verkkopankkiin tai hyväksyä tunnistusvälineilläsi maksuja, jos olet luovuttanut laitteesi etäyhteydellä toisen hallintaan. Et saa käyttää verkkopankkitunnuksia laitteella, jossa on havaittu tai epäillään olevan haittaohjelma.
Sinulla on kuitenkin oikeus tunnistautua tunnistusvälineillämme maksupalvelulain mukaisiin ulkopuolisen palveluntarjoajan maksutoimeksiantopalveluihin tai tilitietopalveluihin.
Pankkitunnusehtojen Katoamisilmoituksen tekeminen -kohdan mukaan
Palveluiden asiattoman käytön estämiseksi sinun pitää ilmoittaa meille välittömästi, jos tunnistusvälineet tai niiden osa (verkkopankin salasana, tunnuslukutaulukko, [pankin mobiilisovelluksen] sisältävä laite tai [pankin mobiilisovelluksen] tunnusluku) on kadonnut tai on syytä epäillä sivullisen saattaneen saada ne haltuunsa tai tietoonsa.
Tee katoamisilmoitus ensisijaisesti 24 tuntia vuorokaudessa avoinna olevaan sulkupalveluun: […]
Asian arviointi
Tapahtumienkulku
Pankkilautakunta katsoo tapauksessa selvitetyksi, että rikolliset ovat soittaneet asiakkaalle 21.1.2026 pankin nimissä ja ovat asiakkaalta puhelimessa saamillaan pankkitunnustiedoilla päässeet kirjautumaan asiakkaan verkkopankkiin. Verkkopankissa rikolliset ovat tehneet klo 16.32 asiakkaan korttiluotolta 1.900,00 euron siirron asiakkaan käyttötilille. Kyseisen siirron kohdalla pankki ei ole edellyttänyt maksajan vahvaa tunnistamista. Tämän jälkeen rikolliset ovat muuttaneet asiakkaan tilin vuorokausikohtaista turvarajaa, mikä on tullut vahvistaa pankin asiakkaalle tekstiviestitse klo 16.40 lähettämällä koodilla. Pankkilautakunta katsoo, että asiakas on antanut myös kyseisen koodin suullisesti puhelimessa pankin työntekijänä esiintyneelle rikolliselle. Tämän jälkeen rikolliset ovat luoneet verkkopankissa riidanalaisia tilisiirtoja koskevat maksutoimeksiannot, minkä johdosta pankki on lähettänyt asiakkaalle maksujen vahvistamista koskevat tekstiviestit klo 16.43-18.03 välisenä aikana. Lautakunta katsoo asiassa saadun selvityksen perusteella, että asiakas on antanut myös em. tekstiviesteissä mainitut vahvistuskoodit suullisesti puhelimessa pankin työntekijänä esiintyneelle rikolliselle, minkä jälkeen rikolliset ovat voineet vahvistaa kyseiset maksut asiakkaan verkkopankissa.
Asiakkaan suostumus maksutapahtumien toteuttamiselle
Vaikka asiakkaan vastaanottamissa pankin lähettämissä tekstiviesteissä on näkynyt kulloisenkin maksun tietoja, ei asiakas kuitenkaan itse ole syöttänyt viesteissä mainittuja vahvistuskoodeja verkkopankissaan vaan on kertonut koodit puhelimessa pankin työntekijäksi esiintyneelle henkilölle. Ko. tilisiirtoja koskevat maksutoimeksiannot ovat luoneet ja vahvistukset niille antaneet edellä katsotuin tavoin asiakkaan verkkopankkiin omalla laitteellaan päässeet rikolliset, ja näin ollen Pankkilautakunta katsoo, ettei asiakas ole itse vahvistanut ko. tilisiirtoja eikä siten ole myöskään antanut maksupalvelulain 38 §:ssä tai pankkitunnusehdoissa tarkoitettua suostumustaan maksutoimeksiantojen toteuttamiselle. Näin ollen tilisiirtoja on pidettävä maksupalvelulaissa tarkoitetulla tavalla oikeudettomana.
Pankkitunnusten ja maksuvälineen luovuttaminen
Pankkilautakunta toteaa, että maksupalvelulain säätämiseen johtaneen hallituksen esityksen (HE 169/2009 vp) mukaan lain 62 §:n 1 momentin 1) kohdan mukaisella maksuvälineen luovuttamisella sen käyttöön oikeudettomalle tarkoitetaan maksuvälineen vapaaehtoista ja tietoista luovutusta toiselle.
Tässä tapauksessa asiakas on pankkitunnuksiaan kertoessaan luullut asioivansa pankkinsa kanssa ja näin ollen Pankkilautakunta katsoo, että asiakas ei ole tietoisesti luovuttanut pankkitunnustietojaan niiden käyttöön oikeudettomalle, ja ettei tapauksessa siten ole kyse maksupalvelulaissa tai pankkitunnusehdoissa tarkoitetusta tunnusten luovuttamisesta.
Näin ollen Pankkilautakunnan arvioitavaksi jää, vastaako asiakas pankkitunnustensa oikeudettomasta käytöstä maksupalvelulain 62 §:n 1 momentin 2) kohdan perusteella, ts. lautakunnan on arvioitava, johtuuko pankkitunnusten oikeudeton käyttö siitä, että asiakas on huolimattomuudestaan laiminlyönyt lain 53 §:n 1 momentin ja pankkitunnusehtojen mukaisia velvollisuuksiaan, ja minkä asteista asiakkaan mahdollinen huolimattomuus on.
Asiakkaan menettelyn arviointi
Pankkitunnusehtojen mukaan pankkitunnukset ovat henkilökohtaisia eikä niitä saa osittainkaan luovuttaa tai antaa tiedoksi sivulliselle henkilölle, vaikka kyseessä olisi perheenjäsen. Ehtojen mukaan verkkopankkitunnuksia tai pankin tekstiviestillä lähettämää vahvistuskoodia ei saa missään tilanteessa kertoa suullisesti asiakkaalle tulleessa puhelussa, sähköpostissa tai muussa viestissä niitä kysyvälle.
Pankkilautakunta toteaa pankkitunnusehtojen yksiselitteisesti kieltävän tunnusten kertomisen suullisesti kenellekään tunnustenhaltijalle tulleessa puhelussa. Edelleen lautakunta katsoo yleiseen tietämykseen tapahtuma-aikana jo kuuluneen, ettei henkilökohtaisiksi tarkoitettuja pankkitunnuksia tulisi koskaan luovuttaa tai suullisesti kertoa kenellekään, ei myöskään esimerkiksi pankin työntekijänä tai poliisina esiintyvälle taholle.
Pankkilautakunta katsookin asiakkaan huolimattomuudestaan ja vakavaa varomattomuutta osoittavalla tavalla laiminlyöneen maksupalvelulain 53 § 1 momentin ja pankkitunnusehtojen mukaisia velvollisuuksiaan kertoessaan puhelimessa pankkitunnustietojaan pankin työntekijänä esiintyneelle henkilölle.
Edelleen Pankkilautakunta katsoo, että saatuaan pankiltaan ensin tilinsä maksurajan muutosta koskevan tekstiviestin ja tämän jälkeen maksun vahvistamista koskevan tekstiviestin, asiakkaan olisi tullut ymmärtää olla kertomatta tekstiviesteissä mainittuja koodeja hänelle soittaneelle henkilölle. Ottaen huomioon, että asiakkaan pankilta saamassa maksurajan muutosta koskevassa tekstiviestissä kerrotaan selvästi, mitä viestissä olleella koodilla vahvistetaan, ja asiakkaan saama maksua koskeva tekstiviesti on ollut tavanomainen pankin lähettämä maksun vahvistamista koskeva viesti, joka alkaa maksamista koskevin sanoin ”Olet tekemässä 2948,02 euron maksua [pankin] tililtäsi..”, lautakunta katsoo, että vaikka puhelimessa olisi suullisesti esitetty viesteissä olleita koodeja edellytettävän johonkin muuhun toimenpiteeseen, asiakkaan olisi viimeistään maksun vahvistamista koskevan viestin saatuaan tullut ymmärtää keskeyttää asiointinsa ja jättää pyydetty koodi kertomatta soittajalle. Mikäli asiakas olisi viimeistään tuossa vaiheessa esimerkiksi itse soittamalla ottanut yhteyttä pankkiinsa tiedustellakseen menettelyn asianmukaisuutta, olisi tapauksessa asiakkaan pankkitunnusten oikeudettomasta käytöstä aiheutuneelta vahingolta voitu välttyä.
Asiakkaan kerrottua puhelimessa muiden pankkitunnustietojen lisäksi kyseisten tilisiirtojen vahvistamista varten pyydetyt koodit asiaa kyseenalaistamatta Pankkilautakunta katsoo asiakkaan menettelyn kokonaisuutena osoittavan hänen erittäin vakavaa varomattomuuttaan. Asiassa saadun kokonaisselvityksen perusteella ja ottaen huomioon sen, että asiakkaan pankilta saamissa tavanomaisissa maksun vahvistamista koskevissa tekstiviesteissä selvästi ilmaistaan asiakkaan olevan tekemässä maksua ja maksun määrä, lautakunta katsoo asiakkaan menettelyn kokonaisuutena osoittavan maksupalvelulaissa tarkoitettua törkeää huolimattomuutta. Näin ollen asiakas lähtökohtaisesti vastaa tilisiirroista aiheutuneesta vahingosta pankin ja asiakkaan välisessä suhteessa.
Verkkopankin sisällä tehdyn oikeudettoman maksun tekeminen ilman vahvaa tunnistamista
Maksupalvelulain 8 §:ssä määritetään, mitä laissa tarkoitetaan vahvalla tunnistamisella, jota lain 85 c § edellyttää palveluntarjoajan käyttävän, jos maksaja käyttää maksutiliään tietoverkon välityksellä. Edelleen lain 62 §:n 3 momentin 4 kohdan mukaan maksupalvelun käyttäjä ei vastaa maksuvälineen oikeudettomasta käytöstä, jos palveluntarjoaja ei ole edellyttänyt maksajan vahvaa tunnistamista.
Vahvan tunnistamisen on täytettävä tarkemmat vaatimukset, joista säädetään maksupalveludirektiivin (EU) 2015/2366 98 artiklan nojalla annetuissa komission teknisissä sääntelystandardeissa (RTS). Komission delegoidun asetuksen (EU) 2018/389 III luvussa luetellaan asiakkaan vahvaa tunnistamista koskevan periaatteen poikkeukset.
Em. asetuksen III luvun 15 artiklan, joka koskee saman luonnollisen henkilön hallussa olevien tilien välisiä tilisiirtoja, mukaan on sallittavaa, että maksupalveluntarjoajat eivät sovella asiakkaan vahvaa tunnistamista, kun maksaja käynnistää tilisiirron, jossa maksaja ja maksunsaaja ovat sama luonnollinen henkilö tai oikeushenkilö ja molempia maksutilejä ylläpitää sama tiliä ylläpitävä maksupalveluntarjoaja.
Asiassa on riidatonta, että pankki ei ole edellyttänyt asiakkaan vahvaa tunnistamista siinä yhteydessä, kun rikolliset ovat tehneet asiakkaan verkkopankissa asiakkaan korttiluotolta 1.900,00 euron siirron asiakkaan käyttötilille.
Pankkilautakunta toteaa maksupalveluja ja vahvaa tunnistamista koske-van sääntelyn sallivan palveluntarjoajien tietyissä poikkeustilanteissa poikkeavan vahvan tunnistamisen vaatimuksesta ja tässä tapauksessa lautakunta katsoo, että pankki on voinut sallia verkkopankin sisäisen siirron tapahtuvan ilman vahvaa tunnistamista.
Vaikka sääntely tietyissä poikkeustilanteissa sallii sen, ettei maksupalveluntarjoajan ole edellytettävä maksujen yhteydessä maksajan vahvaa tunnistamista, ei maksupalvelun käyttäjä maksupalvelulain 62 §:n 3 momentin 4 kohdan mukaan kuitenkaan vastaa maksuvälineensä oikeudettomasta käytöstä, jos maksupalveluntarjoaja ei ole maksuvälineen oikeudettoman käytön yhteydessä edellyttänyt maksajan vahvaa tunnistamista. Näin ollen salliessaan maksutapahtumia tehtävän ilman maksajan vahvaa tunnistamista ottaa pankki vastuulleen riskin maksuvälineen oikeudettomasta käytöstä.
Tässä tapauksessa verkkopankin sisällä tehty 1.900,00 euron siirto on rikollisten oikeudettomasti tekemä ja koska pankki on sallinut tilisiirron tekemisen ilman maksajan vahvaa tunnistamista, vastaa pankki tästä tilisiirrosta.
Pankkilautakunta toteaa, että tässä tapauksessa aiheutunut vahinko on realisoitunut, kun rikolliset ovat asiakkaalta puhelimessa saamillaan tiedoilla päässeet kirjautumaan asiakkaan verkkopankkiin ja siellä vahvistamaan maksuja ulkopuolisille. Edellä esitetyin perusteluin lautakunta katsoo asiakkaan menetelleen törkeän huolimattomasti, minkä johdosta asiakas lähtökohtaisesti vastaa maksusta aiheutuneesta vahingosta asiakkaan ja pankin välisessä suhteessa.
Tapauksessa saadun kokonaisselvityksen perusteella Pankkilautakunta kuitenkin katsoo, että asiassa aiheutuneen vahingon määrään on vaikuttanut ennen ulkopuolisille tehtyjä maksuja verkkopankissa tehty sisäinen siirto ja se, että pankki on sallinut kyseisen oikeudettoman siirron tekemisen ilman vahvaa tunnistamista. Koska pankki on sallinut sisäisen tilisiirron tekemisen ilman vahvaa tunnistamista ja siirto on oikeudeton, vastaa pankki asiassa aiheutuneesta vahingosta siltä osin kuin ko. 1.900,00 euron siirto on asiassa aiheutuneen vahingon määrään vaikuttanut. Pankki ei ole vedonnut siihen, että asiakkaan tilille, jolta oikeudettomat maksut ulkopuolisille on tehty, olisi jäänyt varoja ulkopuolisille tehtyjen maksujen jälkeen. Näin ollen Pankkilautakunta katsoo sisäisen siirron vaikuttaneen asiassa aiheutuneen vahinkoon täydestä määrästään ja vahingon kuuluvan tämän 1.900,00 euron tilisiirron määrän osalta pankin vastuulle.
Lopputulos
Pankkilautakunta katsoo, ettei asiakas ole antanut ko. tilisiirroille maksupalvelulaissa tarkoitettua suostumustaan ja että kyse on siten pankkitunnusten oikeudettomasta käytöstä maksuvälineenä. Lautakunta katsoo oikeudettoman käytön johtuneen siitä, että asiakas on törkeästä huolimattomuudestaan laiminlyönyt maksupalvelulain 53 §:n 1 momentin mukaisia velvollisuuksiaan ja asiakkaan siten vastaavan oikeudettomasta käytöstä aiheutuneesta vahingosta lähtökohtaisesti täysimääräisesti.
Edelleen lautakunta kuitenkin katsoo, että vahingon kokonaismäärään on vaikuttanut verkkopankin sisällä ennen em. maksuja tehty siirto asiakkaan korttiluotolta. Koska pankki on sallinut tämän siirron tekemisen ilman vahvaa tunnistamista ja siirto on oikeudeton, vastaa pankki kyseisestä tilisiirrosta ja asiassa aiheutuneesta vahingosta siltä osin kuin kyseinen siirto on vahingon kokonaismäärää lisännyt.
Edellä esitettyyn viitaten Pankkilautakunta suosittaa pankkia hyvittämään 1.900,00 euroa tilille, jolta em. oikeudeton tilisiirto ilman vahvaa tunnistamista tehtiin.
Ratkaisusuositus syntyi äänin 4–1. Ratkaisusuosituksen antamiseen osallistuivat puheenjohtaja Sillanpää sekä jäsenet Atrila, Punakivi ja Tervonen. Jäsen Piilon eriävä mielipide on liitteenä.
PANKKILAUTAKUNTA
Puheenjohtaja Sillanpää
Sihteeri Hidén
Jäsenet:
Atrila
Piilo
Punakivi
Tervonen
Jäsen Piilon eriävä mielipide:
Olen eri mieltä Pankkilautakunnan enemmistön ratkaisusuosituksen perusteluista ja lopputuloksesta.
Asian kannalta merkitykselliset lainsäännökset ovat maksupalvelulain 38 § (Maksajan suostumus maksutapahtuman toteuttamiseen), maksupalvelulain 85 c §:n 1 ja 5 momentti (Tunnistaminen), komission delegoidun asetuksen (EU) 2018/389 III luvun 15 artikla (Saman luonnollisen henkilön tai oikeushenkilön hallussa olevien tilien väliset tilisiirrot), maksupalvelulain 62 §:n 3 momentin 4 kohta (Maksupalvelun käyttäjän vastuu maksuvälineen oikeudettomasta käytöstä) sekä maksupalvelulain 63 §:n 1 momentti (Palveluntarjoajan vastuu oikeudettomasta maksutapahtumasta).
Tapauksessa on riidatonta, että pankki ei ole edellyttänyt asiakkaan vahvaa tunnistamista rikollisen tekemän asiakkaan siirtoon asiakkaan korttiluotolta. Kysymyksessä on ollut ns. sisäinen siirto eli korttiluotto sekä tili, jolla siirto tehtiin ovat olleet asiakkaan omistuksessa. Korttiluotolta tehdyn siirron jälkeen varat ovat edelleen olleet asiakkaan omalla tilillä ja hän on voinut määrätä varoista. Varsinainen vahinko asiakkaalle on tapahtunut, kun varat on siirretty ulkopuolisen omistamalle tilille. Nyt puheena olevassa tapauksessa asiakas on antanut maksupalveluin 38 §:n mukaisen suostumuksen tilisiirrolle, jolla varat siirrettiin pois hänen hallinnastaan ulkopuoliselle. Mikäli asiakas ei olisi antanut suostumustaan ulkopuoliselle tehtyyn tilisiirtoon, ei vahinkoa olisi tapahtunut. Syy-yhteyttä korttiluotolta tehdyllä siirrolla ei ole varsinaiseen oikeudettoman käytön määrään. Ainoa lisävahinko, joka asiakkaalle tästä on voinut syntyä on luoton siirrosta mahdollisesti aiheutuneet kulut.
Asiakkaalle aiheutunut vahinko oikeudettomasta käytöstä ei ole seurausta omien tilien välisestä oikeudettomasta siirrosta, vaan asiakaan omalla maksupalvelulain 38 §:n mukaisella suostumuksella tehdystä tilisiirrosta, joka ei maksupalvelulain mukaan ole maksuvälineen oikeudetonta käyttöä.
Lopputulos
Katson, että vahinko on aiheutunut maksupalvelulain 38 §:n mukaisella asiakkaan suostumuksella tehdyn maksutapahtuman seurauksena, joita ei ole pidettävä maksupalvelulain mukaan oikeudettomina. Asiakkaan korttiluotolta ilman vahvaa tunnistamista tehty oikeudeton siirto ei ole syy-yhteydessä asiakkaan myöhemmin vahvistamalla siirrolla hänelle aiheutuneeseen vahinkoon.
Edellä todetuin perustein katson, että pankki ei vastaa kyseisistä siirroista ja asiassa aiheutuneesta vahingosta, eikä Pankkilautakunnan tulisi suosittaa pankkia hyvittämään 1.900,00 euroa tilille, joilta oikeudeton tilisiirto ilman vahvaa tunnistamista tehtiin.