ID-tyveri etter mobiltyveri: Klient slapp krav på nær 200 000 kroner

En klient som ble utsatt for ID-tyveri etter at mobiltelefonen ble stjålet på utenlandsreise, ble fritatt for hele ansvaret for ti omstridte transaksjoner på nær 200 000 kroner. Finansforetaket mente først at klienten selv måtte ha godkjent betalingene, og sekretariatet i Finansklagenemnda ga foretaket medhold. Etter at advokat Pål William Heitmark i Advokatfirmaet Robertsen overtok saken, ble bevisbildet bygget opp på nytt. Saken endte med at finansforetaket frafalt hele kravet, også et subsidiært krav om egenandel på 12 000 kroner.

Kort oppsummert innebar resultatet at klienten ikke ble belastet for noen av de omtvistede transaksjonene. Finansforetakets påstand om at klienten hadde samtykket til betalingene førte ikke frem i den endelige løsningen. Heller ikke anførselen om grov uaktsomhet og krav om 12 000 kroner ble opprettholdt.

Mobilen ble stjålet og kontoen belastet med nær 200 000 kroner

Saken startet med noe mange kan oppleve: Klientens mobiltelefon ble frastjålet under en utenlandsreise. Det som skjedde i dagene etterpå, gjorde situasjonen langt mer alvorlig.

Det ble gjennomført ti korttransaksjoner med en samlet verdi på nær 200 000 kroner. Samtidig ble det sendt inn lånesøknader i klientens navn. Lånene kom ikke til utbetaling, men søknadene var et viktig holdepunkt for at uvedkommende hadde fått omfattende tilgang til klientens digitale identitet og finansielle tjenester.

Klienten bestred at han hadde gjennomført eller samtykket til betalingene.

Finansforetaket var uenig. Det viste blant annet til at telefonen hadde vært låst, og at flere av handlingene var gjennomført ved bruk av BankID, passord, PIN kode eller biometrisk autentisering. Foretakets standpunkt var derfor at transaksjonene måtte være gjennomført av klienten selv eller med hans samtykke.

Finansklagenemndas sekretariat ga først finansforetaket medhold

Saken hadde allerede fått en vanskelig start da Advokatfirmaet Robertsen kom inn. Sekretariatet i Finansklagenemnda hadde vurdert saken og kommet til at finansforetaket med kvalifisert sannsynlighetsovervekt hadde sannsynliggjort at klienten hadde samtykket til transaksjonene.

Konsekvensene kunne blitt betydelige. Klienten risikerte ansvar for nær 200 000 kroner i transaksjoner han nektet for å ha foretatt, i tillegg til renter.

Det sentrale spørsmålet var imidlertid ikke bare om riktig BankID, kode eller autentiseringsmetode hadde vært brukt. Etter finansavtaleloven er bruk av et betalingsinstrument som er registrert hos betalingstjenesteyteren, ikke i seg selv tilstrekkelig til å bevise at kunden har godkjent transaksjonen. Når en forbruker nekter for å ha samtykket, gjelder det dessuten et skjerpet beviskrav.

Advokaten bygget opp hele hendelsesforløpet på nytt

Da advokat Pål William Heitmark overtok saken, ble dokumentasjonen gjennomgått på nytt med særlig vekt på hva de tekniske opplysningene faktisk beviste, og hva de ikke beviste.

Reisedokumentasjon, vitneforklaringer, transaksjonsdata, posisjonsopplysninger og tekniske logger ble sammenholdt i en samlet tidslinje. Målet var å kontrollere om finansforetakets forklaring faktisk lot seg forene med klientens dokumenterte bevegelser.

Gjennomgangen avdekket flere vesentlige avvik.

På et tidspunkt kunne klienten dokumenteres på ett sted samtidig som en betalingstjeneste ble benyttet fra en annen by. Andre transaksjoner ble foretatt etter at klienten hadde forlatt landet og reist hjem til Norge. Disse opplysningene måtte vurderes opp mot finansforetakets teori om at klienten selv hadde gjennomført eller godkjent transaksjonene.

Samtidig ble det utfordret om finansforetaket hadde fremlagt tilstrekkelige tekniske data til faktisk å knytte de enkelte handlingene til klienten.

Riktig BankID eller kode betyr ikke nødvendigvis at kunden har samtykket

Dette skillet ble sentralt i saken. Det er forskjell på å dokumentere at en transaksjon teknisk sett er autentisert, og å dokumentere at det faktisk var kontohaveren som samtykket til den.

Finansavtaleloven § 3-7 fastsetter uttrykkelig at registrert bruk av et betalingsinstrument ikke alene er tilstrekkelig som bevis for kundens godkjennelse. Betalingstjenesteyteren må kunne føre ytterligere bevis dersom kunden bestrider transaksjonen. For en forbruker kreves kvalifisert sannsynlighetsovervekt for å bevise at vedkommende har samtykket.

Dette er særlig viktig i saker om ID-tyveri og digital svindel. En teknisk logg kan dokumentere at bestemte sikkerhetsmekanismer er brukt. Den gir ikke nødvendigvis svaret på hvem som faktisk hadde kontroll over telefonen, BankID løsningen eller den digitale identiteten på det aktuelle tidspunktet.

Derfor kan detaljer som tidspunkt, geografiske data, reisebevegelser, innlogginger, enheter og annen teknisk informasjon få avgjørende betydning.

Finansforetaket frafalt hele kravet

Etter den nye gjennomgangen av bevisene og de rettslige innsigelsene ble saken løst ved forlik.

Resultatet var at klienten ikke skulle belastes for de ti omtvistede transaksjonene på nær 200 000 kroner.

Finansforetaket hadde subsidiært gjort gjeldende at klienten måtte betale en egenandel på 12 000 kroner fordi han skulle ha opptrådt grovt uaktsomt etter tyveriet. Også dette kravet ble frafalt.

Egenandelen på inntil 12 000 kroner følger av finansavtaleloven for bestemte tilfeller hvor en kunde ved grov uaktsomhet har tilsidesatt sine plikter og tapet har skjedd ved bruk av et elektronisk betalingsinstrument. I denne saken endte klienten altså med å bli fritatt også for dette ansvaret.

Partene bar sine egne sakskostnader.

Særskilt kompetanse på ID-tyveri og banktekniske tvister

Saken ble håndtert av advokat Pål William Heitmark. Gjennom arbeid med saker om ID-tyveri, uautoriserte betalingstransaksjoner og tilgrensende problemstillinger har Heitmark opparbeidet seg særskilt kompetanse på tvister hvor juridiske spørsmål må vurderes sammen med banktekniske og digitale bevis.

Slike saker kan være krevende fordi finansforetaket normalt sitter med store deler av den tekniske dokumentasjonen. Det kan være nødvendig å forstå både hva loggene viser, hvilke opplysninger som mangler og hvilken betydning autentisering med BankID, PIN kode, passord eller biometri faktisk skal ha i den juridiske bevisvurderingen.

Denne saken viser også at en negativ vurdering tidlig i prosessen ikke nødvendigvis betyr at saken er tapt. Når bevisene systematiseres annerledes, nye opplysninger sammenholdes og finansforetakets tekniske dokumentasjon prøves kritisk mot lovens beviskrav, kan bildet endre seg vesentlig.

Har du blitt utsatt for ID-tyveri, fått ukjente belastninger på konto eller blitt holdt ansvarlig for transaksjoner du mener du ikke har godkjent, kan Advokatfirmaet Robertsen vurdere både det juridiske og det banktekniske bevisbildet i saken.

6. FAQ

Må jeg betale hvis noen bruker BankID etter at mobilen min er stjålet?

Ikke nødvendigvis. Ansvaret avhenger blant annet av om du faktisk har samtykket til transaksjonen og hvordan du har håndtert betalingsinstrumentet og sikkerhetsinformasjonen. At riktig BankID eller annen autentisering er brukt, beviser ikke alene at du har samtykket.

Kan banken holde meg ansvarlig for hele beløpet ved ID-tyveri?

Det kan skje i enkelte tilfeller, men finansavtaleloven har egne regler om bankens og kundens ansvar. Ved ikke godkjente betalingstransaksjoner er hovedregelen at betalingstjenesteyteren er ansvarlig, med lovbestemte unntak blant annet ved bestemte forsettlige handlinger eller grov uaktsomhet.

Hva betyr kvalifisert sannsynlighetsovervekt?

Det er et strengere beviskrav enn vanlig sannsynlighetsovervekt. Finansavtaleloven krever kvalifisert sannsynlighetsovervekt dersom et finansforetak skal bevise at en forbruker har samtykket til en bestridt betalingstransaksjon.

Kan en sak vinnes selv om Finansklagenemndas sekretariat først har gitt banken medhold?

Ja. Sekretariatets vurdering betyr ikke nødvendigvis at alle videre muligheter er uttømt. Denne saken viser at ny analyse av bevis, tidslinje og tekniske opplysninger kan gi et annet forhandlingsgrunnlag.

‍

‍