§ 3-20. Ansvar ved misbruk av elektronisk signatur

Paragrafen setter et tak på hvor mye den som eier en elektronisk signatur (rettighetshaveren) kan måtte betale når signaturen misbrukes. Tjenesteyteren kan i utgangspunktet kreve erstatning etter vanlige regler. Ansvaret kan likevel aldri gå høyere enn egenandelene i de øvrige leddene. Rettighetshaver er ifølge § 3-16 alltid en fysisk person som har rett til å lage en signatur som kan brukes til å inngå finansavtaler.

Beløpene trappes opp etter hvor uaktsom rettighetshaveren har vært. Som hovedregel er egenandelen inntil 450 kroner. Den faller bort hvis misbruket umulig kunne vært oppdaget i forkant, og rettighetshaveren ikke har opptrådt svikaktig (uredelig). Har rettighetshaveren av grov uaktsomhet ikke fulgt pliktene i § 3-19, første og annet ledd, er taket 12 000 kroner. Ved forsettlig brudd, der rettighetshaveren måtte forstå at det var nærliggende fare for misbruk, svarer rettighetshaveren for det tapet tjenesteyteren kan kreve etter vanlige erstatningsregler.

Fullt fritak gjelder i flere tilfeller. Rettighetshaveren svarer aldri for tap som tjenesteyteren selv eller noen på dennes vegne har forårsaket. Uten svik svarer heller ikke rettighetshaveren for tap som oppstår etter at han eller hun har varslet om misbruk eller fare for misbruk. Det samme gjelder når plikten til å legge til rette for varsling er brutt, når signeringen ikke var sikker nok, eller når tjenesteyteren ikke krevde sterk kundeautentisering (sikker bekreftelse av hvem du er) der det var relevant. Siste fritaksgrunn er at tjenesteyteren etter forholdene er nærmest til å bære risikoen for misbruket.

Egenandelene henger tett sammen med § 3-19. Der pålegges rettighetshaveren å beskytte sikkerhetsinformasjonen og å varsle straks ved misbruk. Varsles det ikke uten ugrunnet opphold, eller innen 13 måneder fra tidspunktet da rettighetshaveren burde ha forstått misbruket, tapes retten til ansvarsbegrensningen. Har tjenesteyteren unnlatt å gi transaksjonsopplysninger, tapes retten først 13 måneder etter at rettighetshaveren ble kjent med misbruket. Varsling forutsetter at noen tar imot den: tilbyderen skal ifølge § 3-17 ta imot varsler til enhver tid, straks stanse videre bruk og bekrefte mottaket skriftlig. Tjenesteyteren skal ifølge § 3-18 ha lett tilgjengelig informasjon om hvordan man varsler.

Lempingsregelen i § 3-21 er en sikkerhetsventil. Egenandelsansvaret kan settes ned når det er rimelig, blant annet ut fra hva slags sikkerhetsinformasjon som ble misbrukt, omstendighetene ved misbruket, og om tjenesteyteren selv var uaktsom eller på annen måte medvirket til tapet. Eksempel: en rettighetshaver har grovt uaktsomt brutt sine plikter, men tjenesteyteren hadde ikke krevd sikker autentisering. Da svarer rettighetshaveren ikke for tapet, med mindre vedkommende har handlet svikaktig.