Uautoriserte transaksjoner — egenandelen og ansvaret

Blir kortet eller nettbanken din misbrukt, er utgangspunktet i loven at betalingstjenesteyteren bærer tapet. Finansavtaleloven § 4-30 første ledd sier det slik: «Betalingstjenesteyteren er ansvarlig overfor kunden for tap som skyldes en ikke godkjent betalingstransaksjon […] med mindre noe annet følger av reglene i annet til femte ledd.» Ditt eget ansvar er unntaket, ikke hovedregelen.

Det er ett poeng i dette regelverket som snus på hodet i nesten alle råd du finner på nett, og som er verdt å ta med seg før du leser videre: vil banken holde deg ansvarlig for mer enn egenandelen, er det banken som må bringe saken videre. Ikke du. Gjør banken ikke det innen fristen, skal beløpet tilbakeføres.

Ansvarstrappen — fire trinn

Situasjon	Ditt ansvar	Hjemmel
Kortet er tapt, stjålet eller uberettiget tilegnet	Inntil 450 kroner	§ 4-30 annet ledd
Grov uaktsomhet, elektronisk betalingsinstrument	Inntil 12 000 kroner	§ 4-30 tredje ledd
Forsettlig mislighold av pliktene dine	Hele tapet, uten tak	§ 4-30 fjerde ledd
Etter varsling, manglende varslingsmulighet, eller uten sterk kundeautentisering	Ingenting	§ 4-30 femte ledd

Egenandelen på 450 kroner

Skyldes tapet at et betalingsinstrument er tapt, stjålet eller uberettiget tilegnet, svarer du med inntil 450 kroner. Men egenandelen bortfaller hvis du «ikke kunne ha oppdaget tapet, tyveriet eller den uberettigede tilegnelsen på forhånd, og heller ikke har opptrådt svikaktig», jf. § 4-30 annet ledd annet punktum. Det er langt fra en teoretisk unntaksregel: ved kopiering av kortdata, ved phishing der kortet aldri forlot lommeboka, og ved misbruk du umulig kunne oppdage før beløpet var trukket, er det nettopp denne setningen som gjelder.

De 12 000 kronene

Har du ved grov uaktsomhet unnlatt å oppfylle pliktene dine etter § 4-23 første ledd eller § 4-24 første ledd, svarer du i utgangspunktet for hele tapet — men loven setter et tak når det er brukt et elektronisk betalingsinstrument: «Har betalingstransaksjonen skjedd ved bruk av et elektronisk betalingsinstrument, svarer kunden likevel bare med inntil 12 000 kroner», jf. § 4-30 tredje ledd.

Når hele tapet er ditt

Bare ved forsett. Du svarer for hele tapet «dersom tapet skyldes at kunden forsettlig har misligholdt sine plikter slik at kunden måtte forstå at misligholdet kunne innebære en nærliggende fare for at betalingsinstrumentet kunne bli misbrukt», jf. § 4-30 fjerde ledd. Grensen mellom forsett og grov uaktsomhet er ikke akademisk — den er forskjellen mellom 12 000 kroner og alt. Høyesterett har trukket den opp i HR-2022-1752-A, som gjaldt den tilsvarende bestemmelsen i den gamle finansavtaleloven.

Når du ikke svarer for noe

Du svarer ikke i det hele tatt — med mindre du har opptrådt svikaktig — når tapet oppstår etter at du har varslet, når tjenesteyteren har misligholdt plikten til å tilrettelegge for varsling, eller når betalerens betalingstjenesteyter ikke har krevd sterk kundeautentisering, jf. § 4-30 femte ledd. Det siste punktet er verdt å merke seg særskilt: manglet det tofaktorbekreftelse på transaksjonen, faller ansvaret ditt bort uansett hvor uheldig du har vært.

Hva trappen betyr i kroner

En lommebok blir stjålet på et utested. Før kortet sperres, er det tatt ut og handlet for til sammen 38 000 kroner. Hvor mye av dette som blir kundens tap, avhenger utelukkende av hvilket trinn saken lander på:

Vurdering	Kunden betaler	Banken bærer
Vanlig tyveri, kunden varslet så snart hun oppdaget det	450 kroner	37 550 kroner
Kunden kunne ikke ha oppdaget tyveriet på forhånd	0 kroner	38 000 kroner
Grov uaktsomhet — koden lå sammen med kortet	12 000 kroner	26 000 kroner
Forsettlig pliktbrudd	38 000 kroner	0 kroner
Sterk kundeautentisering ble ikke krevd	0 kroner	38 000 kroner

Avstanden mellom radene er hele saken, og det er banken som må bevise at du hører hjemme lenger ned enn på den første. Klarer den ikke det med kvalifisert sannsynlighetsovervekt, er det den øverste raden som gjelder.

Fristene dine

Du skal varsle uten ugrunnet opphold etter at du ble oppmerksom på tap, tyveri, uberettiget bruk eller uberettiget kontotilgang, jf. § 4-24 første ledd. Den absolutte fristen er 13 måneder fra belastningstidspunktet, jf. annet ledd — og den gjelder ikke hvis tjenesteyteren ikke har gitt deg de lovpålagte opplysningene om transaksjonen.

Tretten måneder er lang tid, og det er med vilje. Regelen finnes fordi små beløp som trekkes månedlig, ofte oppdages først når noen leser kontoutskriften nøye. Blir du møtt med at kortselskapets egen frist er kortere, er det ikke lovens frist du får referert.

Tilbakeføring senest neste virkedag

Dette er bestemmelsen folk flest ikke vet at de har. Bestrider du ansvaret, skal tjenesteyteren «straks, og senest innen utgangen av den påfølgende virkedagen, tilbakeføre beløpet og erstatte rentetap fra belastningstidspunktet», jf. § 4-32 første ledd. Egenandelen etter § 4-30 annet ledd er unntatt fra tilbakeføringsplikten — resten skal tilbake mens saken undersøkes.

Unntaket er snevert: har tjenesteyteren rimelige grunner til mistanke om svik, kan den la være å tilbakeføre. Men da må den innen fire uker fra skriftlig innsigelse enten anlegge søksmål eller bringe saken inn for et godkjent klageorgan, jf. § 4-32 annet ledd. Får du senere medhold i at det ikke forelå rimelig mistanke om svik, løper forsinkelsesrenter fra den dagen beløpet skulle vært tilbakebetalt.

Initiativet ligger hos banken

Her er kjernen, og her tar de fleste veiledninger feil. Banken kan ikke på egen hånd bestemme at du er ansvarlig for mer enn egenandelen etter § 4-30 annet ledd. Vil den holde deg ansvarlig utover det, har den to valg: tilbakeføre beløpet, eller selv bringe saken inn for Finansklagenemnda eller domstolene innen fire uker.

Forbrukertilsynet har sagt dette til alle banker i et eget orienteringsbrev, og formuleringen er så kategorisk som tilsynsspråk blir: «Ordninger som legger opp til at det er forbrukeren som må ta initiativ til prosess for Finansklagenemnda når banken ikke har tilbakeført og forbrukeren har reklamert rettidig, vil alltid være i strid med finansavtaleloven.»

Tre andre former for praksis er også omtalt som lovstridige i samme brev:

• Midlertidig tilbakeføring med forbehold om ensidig gjenbelastning. Da er «tilbakeføringen ikke er reell, og dermed ikke i samsvar med loven».
• Avvisning bare fordi chip og PIN er brukt. Banken kan ikke avvise en kortreklamasjon med den begrunnelsen alene når kunden har bestridt ansvaret.
• Avvisning under henvisning til kortselskapenes frister. Forbrukertilsynet omtaler det som lovstridig at «kundens reklamasjon avslås under henvisning til at NETS / Visa, Mastercard eller lignende tredjepartsaktører ikke behandler reklamasjoner som er foretatt for mer enn 115-120 dager siden». Bankenes egen reklamasjonsrett overfor tredjeparter «fritar ikke banken for tilbakeføringsplikten i kundeforholdet til en forbruker».

Forbrukertilsynet fører direkte tilsyn med finansavtaleloven overfor forbrukere fra 1. januar 2023 og kan ilegge overtredelsesgebyr ved lovbrudd. Møter du en av praksisene over, er det altså ikke bare din egen sak — det er informasjon tilsynet har bruk for.

Bevisbyrden er ikke din

Det er tjenesteyteren som har bevisbyrden for at transaksjonen ble autentisert, korrekt registrert og bokført og ikke berørt av teknisk svikt, jf. § 3-7 første ledd. Og — dette er avgjørende — registrert bruk av instrumentet er ikke i seg selv tilstrekkelig bevis for at transaksjonen var godkjent, eller for at du har opptrådt svikaktig, forsettlig eller grovt uaktsomt. Tjenesteyteren «skal legge frem dokumentasjon», jf. tredje ledd.

Beviskravet er dessuten strengere enn ellers: det kreves kvalifisert sannsynlighetsovervekt for å bevise at en forbruker har samtykket til transaksjonen eller svikaktig eller forsettlig har brutt sine plikter, jf. § 3-7 fjerde ledd. At noen har brukt riktig PIN, er med andre ord et argument banken må bygge videre på — det er ikke i seg selv et bevis.

Ansvaret kan lempes

Selv der du i utgangspunktet svarer, kan ansvaret settes ned. Etter § 4-31 skal det legges vekt på arten av sikkerhetsinformasjonen, omstendighetene da instrumentet ble tapt, og eventuell manglende aktsomhet på tjenesteyterens side. Ansvaret kan også lempes hvis brukerstedet «forsto eller burde forstå at bruken av betalingsinstrumentet var urettmessig». Lemping er utelukket ved svik og ved forsettlig pliktbrudd.

Dette er ikke det samme som kortreklamasjon

To helt ulike situasjoner kalles ofte det samme i dagligtale. Reglene over gjelder misbruk — noen andre har brukt kortet eller kontoen din. Har du derimot betalt for en vare som aldri kom, eller for en tjeneste med mangler, er det et krav mot selgeren, som under gitte vilkår også kan rettes mot kredittyteren etter finansavtaleloven § 2-7. Det vernet henger sammen med at det er ytt kreditt, og er beskrevet i artikkelen om kredittkortets kjøpsvern.

Slik gjør du det

1. Sperr kortet og varsle uten ugrunnet opphold. Dette er den ene fristen som faktisk hviler på deg. Tap som oppstår etter varselet, svarer du ikke for.
2. Bestrid ansvaret skriftlig. Bruk ordet «bestrider», oppgi hvilke transaksjoner det gjelder med dato og beløp, og be om tilbakeføring etter finansavtaleloven § 4-32 første ledd. Den skriftlige innsigelsen er også startpunktet for fireukersfristen.
3. Anmeld forholdet hvis det er snakk om tyveri eller bedrageri, og ta vare på anmeldelsesnummeret. Praktiske steg står i artikkelen om hva du gjør når du er blitt svindlet.
4. Følg med på om beløpet kommer tilbake senest utgangen av påfølgende virkedag. Gjør det ikke det, be skriftlig om bankens begrunnelse, og be den bekrefte om saken er brakt inn for et godkjent klageorgan.
5. Holder banken tilbake beløpet uten å ta saken videre innen fire uker, er det beløpet du skal ha tilbakeført. Skriv det rett ut i neste henvendelse, og vis til Forbrukertilsynets orientering til bankene.

Hvordan selve misbruket foregår, og hva du gjør for å redusere sjansen for at det skjer igjen, står i artikkelen om kortsvindel og misbruk av kort. Er det BankID som er brukt, er mekanikken en annen og gjennomgått i artikkelen om BankID-svindel.

Det viktigste å ta med seg er likevel rollefordelingen. Du varsler og bestrider. Deretter er ballen hos banken — og loven gir den to muligheter, ikke tre.