BankID regnes som et betalingsinstrument etter loven

Hvorfor finnes det ingen egen lov om BankID?

BankID er en teknisk løsning for elektronisk identifikasjon og elektronisk signatur, driftet av bankene i fellesskap gjennom et eget selskap. Det finnes ingen egen «BankID-lov» som regulerer ansvar ved misbruk av løsningen - i stedet vurderes bruken av BankID etter det regelverket som gjelder for den konkrete handlingen BankID brukes til å utføre. Logger du inn i nettbanken med BankID, er det andre regler som gjelder enn når du bruker BankID til å godkjenne en betaling, og andre regler igjen når du bruker BankID til å signere en kredittavtale eller et gjeldsbrev. BankID er med andre ord et verktøy, ikke et eget rettslig regulert produkt med egne ansvarsregler.

Når regnes BankID som et betalingsinstrument i lovens forstand?

Når BankID brukes for å godkjenne en konkret betalingstransaksjon - for eksempel en overføring i nettbanken eller en betaling i en app som er koblet til kontoen din - fungerer det i praksis som en personlig, elektronisk godkjenningsmekanisme for betalingen. Denne funksjonen tilsvarer det finansavtaleloven omtaler som et betalingsinstrument, altså en personlig innretning eller fremgangsmåte som brukeren benytter for å sette i gang en betalingsordre. Reglene om betalingsinstrument finnes i finansavtaleloven kapittel 4, underkapittel IV, som handler om ikke godkjente og feil gjennomførte betalingstransaksjoner, samt misbruk av konto og betalingsinstrument.

Hvilke regler gjelder når BankID misbrukes til å godkjenne en betaling?

Blir BankID misbrukt til å godkjenne en betaling du ikke selv har villet, gjelder de samme to hovedreglene som ved misbruk av et betalingskort: § 4-30 om at banken skal tilbakeføre beløpet og eventuelt rentetap ved en uautorisert transaksjon, og § 4-32 om egenandelen din dersom misbruket skyldes at BankID-en er tapt eller stjålet - normalt 450 kroner, inntil 12 000 kroner ved grov uaktsomhet, og ubegrenset ved forsett. At det er BankID og ikke et fysisk betalingskort som er misbrukt, endrer ikke selve det rettslige rammeverket - konsekvensen er den samme fordi begge fungerer som betalingsinstrumenter i lovens forstand når de brukes til å godkjenne betalinger.

Hvorfor er situasjonen annerledes når BankID brukes til å signere en avtale?

BankID brukes ikke bare til å godkjenne betalinger - løsningen fungerer også som elektronisk signatur ved inngåelse av avtaler, for eksempel gjeldsbrev, leiekontrakter eller kredittavtaler. Når BankID misbrukes til å signere en avtale i ditt navn, er ikke problemet en enkeltstående betalingstransaksjon, men om det i det hele tatt er inngått en gyldig avtale mellom deg og motparten. Da er reglene om betalingsinstrument i kapittel 4 mindre treffende, og det er i stedet spørsmål om avtalens gyldighet og, dersom det gjelder en kredittavtale, kredittyterens plikter etter finansavtaleloven kapittel 5 som blir sentrale.

Hva betyr denne klassifiseringen for deg i praksis?

Praktisk betyr dette at du må vurdere hvilken type handling BankID ble misbrukt til, for å finne riktig regelsett. Er det en betaling fra kontoen din som er godkjent uten din vilje, er § 4-30 og § 4-32 de relevante bestemmelsene, på samme måte som ved kortsvindel. Er det derimot en avtale eller et lån som er inngått i ditt navn, må du heller se på om avtalen i det hele tatt er gyldig, og om kredittyteren har overholdt sine plikter etter kapittel 5. Denne sondringen har direkte betydning for hvilke argumenter som er relevante når du skal ta opp saken med banken.

Hva skjer når BankID brukes bare til innlogging, uten betaling eller signatur?

Bruker du BankID kun til å logge inn i nettbanken, en offentlig tjeneste eller en annen nettside, uten at dette i seg selv setter i gang en betaling eller inngår en avtale, er situasjonen noe annerledes enn de to hovedkategoriene omtalt over. Selve innloggingen er ikke en betalingstransaksjon, og heller ikke en avtaleinngåelse - den gir bare tilgang til å SE informasjon, som kontosaldo eller personopplysninger. Blir BankID misbrukt kun til uautorisert innlogging, uten at det følges av noen konkret betaling eller avtale, er det mer begrenset hvilke direkte økonomiske konsekvenser som normalt oppstår, men det kan likevel være alvorlig fordi uvedkommende da får innsyn i sensitiv informasjon om deg, som igjen kan brukes til å forberede senere svindelforsøk. I praksis er ren uautorisert innlogging derfor ofte bare første steg i en lengre kjede som til slutt ender med en betaling eller en avtale - og det er da de konkrete reglene i enten kapittel 4 eller kapittel 5 kommer inn og avgjør det økonomiske ansvaret.

Kort oppsummert

• BankID er en teknisk løsning uten egen lovregulering - reglene som gjelder avhenger av hva BankID faktisk brukes til.
• Ved godkjenning av betalinger regnes BankID som et betalingsinstrument etter finansavtaleloven kapittel 4, underkapittel IV.
• Misbruk til å godkjenne en betaling reguleres av § 4-30 (tilbakeføring) og § 4-32 (egenandel), på samme måte som ved korttyveri.
• Misbruk til å signere en avtale eller et lån er et annet spørsmål, som heller vurderes etter avtalens gyldighet og kapittel 5.
• Riktig regelsett avhenger av hvilken handling BankID faktisk ble misbrukt til å utføre.