Betaler du egenandel når kortet aldri har vært borte fra deg?

Gjelder egenandelen i § 4-32 når kortet aldri har forlatt lommen din?

Finansavtaleloven § 4-32 regulerer etter sin ordlyd kundens egenandel ved uautorisert bruk av et «tapt eller stjålet» betalingsinstrument. Har kortet aldri vært fysisk borte — det har ligget i lommeboken hele tiden, men kortdataene er likevel blitt kopiert og brukt av andre, for eksempel gjennom skimming (avlesning og kopiering av magnetstripe- eller chipdata) — er det ikke fullt ut avklart i kildene lagt til grunn her nøyaktig hvordan denne situasjonen skal plasseres opp mot bestemmelsens ordlyd. Det er derfor knyttet usikkerhet til om den faste egenandelsskalaen på 450 kroner/12 000 kroner kommer direkte til anvendelse på samme måte som ved et fysisk tap eller tyveri.

Det som uansett gjelder klart, er den generelle tilbakeføringsplikten i finansavtaleloven § 4-30: banken skal tilbakeføre beløpet ved en uautorisert betalingstransaksjon, altså en transaksjon kunden ikke selv har godkjent, med mindre kunden erkjenner ansvar eller saken bringes til Finansklagenemnda. Denne plikten gjelder uavhengig av om årsaken til den uautoriserte bruken er tap, tyveri eller kloning av kortdata.

Hva er egentlig forskjellen på tap/tyveri og skimming eller kloning av kortdata?

Ved tap eller tyveri mister kunden den fysiske kontrollen over selve kortet — svindleren har kortet i hånden, eller kortet er forsvunnet fra kundens besittelse. Ved skimming eller kloning har svindleren i stedet kopiert kortopplysningene, for eksempel via en manipulert kortterminal, en falsk minibank-front, eller lekkede data fra en nettbutikk, uten at kunden noensinne har mistet kontrollen over det fysiske kortet. Kunden har med andre ord ikke gjort noe galt med selve oppbevaringen av kortet i disse tilfellene — kortet har vært der det skulle være hele tiden.

Denne forskjellen har betydning fordi mye av vurderingen av grov uaktsomhet etter § 4-32 knytter seg nettopp til hvordan kunden har håndtert og oppbevart det fysiske kortet og tilhørende PIN-kode. Har kortet aldri vært utenfor kundens kontroll, er det vanskeligere for banken å peke på en konkret handling eller unnlatelse fra kundens side som skulle utgjøre grov uaktsomhet, siden selve grunnlaget for påstanden — at kunden mistet kontroll over kortet på en klanderverdig måte — ikke er til stede.

Hvem må bevise at kortet faktisk ble klonet, og ikke stjålet en kort periode?

Det er banken som normalt må sannsynliggjøre grunnlaget for å holde kunden ansvarlig for tapet, ettersom det er banken som ønsker å plassere ansvar for tapet hos kunden fremfor å tilbakeføre det fullt ut. Hevder kunden at kortet aldri har vært borte, og at transaksjonene derfor må skyldes kloning av kortdata et sted kunden ikke kunne kontrollere, bør kunden kunne forklare hvor kortet har vært til enhver tid rundt de aktuelle transaksjonstidspunktene. Har kunden en sammenhengende og troverdig forklaring på at kortet var i egen besittelse hele tiden, styrker det argumentet om at den uautoriserte bruken skyldes forhold utenfor kundens kontroll.

Banken kan på sin side ha egne tekniske spor — for eksempel opplysninger om hvor og hvordan transaksjonene ble initiert — som kan bidra til å avklare om det er sannsynlig at kortet fysisk ble brukt et sted kunden ikke befant seg, noe som ville støtte en forklaring om kloning fremfor fysisk bruk av det ekte kortet. Er transaksjonene gjort i et annet land samtidig som kunden kan dokumentere å ha vært i Norge, for eksempel gjennom arbeidssted, reisebevis eller andre tidsstemplede spor, styrker dette sammen med bankens egne data bildet av at kortet ble klonet fremfor fysisk brukt av kunden selv.

Kan banken likevel kreve egenandel ved uforklarte transaksjoner på kortet?

Banken kan i utgangspunktet vurdere om det foreligger grunnlag for en egenandel også i disse tilfellene, men uten et tap eller tyveri av selve kortet mangler mye av det faktiske grunnlaget som normalt begrunner en høyere egenandel etter § 4-32 — nemlig at kunden har håndtert eller oppbevart kortet uforsvarlig. Er det ingen holdepunkter for at kunden har bidratt til at kortdataene ble kompromittert, for eksempel ved å bruke kortet i en åpenbart useriøs eller manipulert betalingsterminal til tross for tydelige advarselstegn, bør utgangspunktet være at banken tilbakefører beløpet fullt ut etter § 4-30.

Hva bør du gjøre hvis du oppdager ukjente transaksjoner uten å ha mistet kortet?

Oppdages ukjente transaksjoner uten at kortet noen gang har vært borte, bør kunden sperre kortet umiddelbart, varsle banken og be om at kortet erstattes med et nytt kortnummer. Politianmeldelse bør sendes, og kunden bør skriftlig dokumentere at kortet har vært i egen besittelse hele tiden — for eksempel ved å beskrive hvor og hvordan det har vært oppbevart. Denne dokumentasjonen er sentral dersom banken likevel skulle kreve en egenandel, og saken må bringes videre til Finansklagenemnda Bank for en nærmere vurdering.

Kort oppsummert

• Har kortet aldri vært tapt eller stjålet, er det usikkert om den faste egenandelsskalaen i § 4-32 kommer direkte til anvendelse på samme måte som ved fysisk tap.
• Tilbakeføringsplikten i § 4-30 gjelder uansett ved uautoriserte transaksjoner.
• Skimming/kloning skiller seg fra tap og tyveri ved at kunden aldri har mistet fysisk kontroll over kortet.
• Banken har bevisbyrden for grunnlaget for å holde kunden ansvarlig.
• Sperr kortet, politianmeld forholdet, og be banken om et nytt kortnummer.