Dekker banken tap fra kortsvindel selv om PIN-koden ble brukt?

Hvorfor er korrekt PIN-kode ikke bevis for at du godkjente kjøpet?

En PIN-kode (den firesifrede koden som bekrefter en korttransaksjon i butikk eller minibank) beviser bare at noen tastet riktig kode - ikke hvem som tastet den. Svindlere skaffer seg PIN-koder på flere måter: ved å filme tastaturet i en minibank eller i en butikk, ved å lure kortholderen til å oppgi koden per telefon i et falskt "bank ringer deg"-oppslag, eller ved å true seg til koden i et ran. Andre ganger har kortholderen selv, i god tro, tastet PIN-koden inn på en manipulert terminal svindleren har plassert. Ingen av disse situasjonene innebærer at kortholderen har godkjent transaksjonen i lovens forstand. Finansavtaleloven § 4-30 skiller mellom hvem som fysisk utførte handlingen og hvem som rettmessig eide betalingsinstrumentet (kortet eller kortopplysningene som brukes til å betale). Er transaksjonen ikke godkjent av kortholderen selv, er den uautorisert - uavhengig av om PIN-koden var riktig. En bank som avviser en reklamasjon utelukkende fordi PIN-koden stemte, bygger derfor avslaget på et for tynt grunnlag.

Hva regnes som en uautorisert transaksjon etter finansavtaleloven?

En transaksjon er uautorisert når kortholderen ikke har samtykket til den, verken direkte eller indirekte. Det gjelder kjøp gjort av tyver etter tap eller tyveri av kortet, kjøp gjort etter phishing (svindelforsøk der noen lurer til seg kortopplysninger eller engangskoder via falske meldinger eller nettsider som ligner banken sine), og kjøp gjort av noen som har presset kortholderen til å oppgi PIN-koden under trussel. Det gjelder derimot ikke kjøp kortholderen selv har utført og senere angrer på, eller kjøp gjort av familiemedlemmer kortholderen frivillig har gitt kortet og koden til uten forbehold - da har kortholderen i realiteten godkjent bruken på forhånd, selv om det senere oppstår uenighet om beløpet. Skillet mellom disse to kategoriene avgjør om § 4-30 kommer til anvendelse. I praksis er det derfor viktig å beskrive nøyaktig hvordan kortopplysningene kom på avveie når saken meldes til banken.

Når kan banken likevel la deg sitte igjen med hele tapet?

Banken kan holde kortholderen ansvarlig for hele beløpet dersom kortholderen har opptrådt forsettlig (bevisst medvirket til svindelen) eller under særlig skjerpende omstendigheter. Vanlig uaktsomhet - som å bruke samme PIN-kode på flere kort, eller å ikke oppdage svindelen umiddelbart - fører normalt bare til den ordinære egenandelen etter § 4-32, ikke fullt ansvar. Grensen mellom vanlig og grov uaktsomhet vurderes konkret: å skrive PIN-koden på selve kortet, eller å oppgi koden til en som ringer og utgir seg for banken, trekker i retning av grov uaktsomhet og et utvidet, men fortsatt begrenset, ansvar på inntil 12 000 kroner. Et fullt ansvar utover dette forutsetter i praksis at kortholderen selv har vært innblandet i svindelen, ikke bare vært uheldig eller naiv.

Hvordan foregår tilbakeføringen i praksis?

Kortholderen må melde fra til banken uten ugrunnet opphold etter å ha oppdaget svindelen, og sperre kortet umiddelbart. Banken plikter deretter å vurdere saken og tilbakeføre beløpet dersom vilkårene i § 4-30 er oppfylt, normalt innen fire uker etter at reklamasjonen er mottatt. Aksepterer ikke banken kortholderens versjon av hendelsesforløpet, må banken sannsynliggjøre at transaksjonen faktisk ble autorisert eller at kortholderen har opptrådt grovt uaktsomt - det er ikke nok for banken å vise til at riktig PIN-kode ble brukt. Er kortholderen uenig i bankens avgjørelse, kan saken bringes videre til Finansklagenemnda Bank, som behandler slike tvister uten kostnad for forbrukeren. Nemndas uttalelser er rådgivende, men følges i praksis av de fleste banker, og gir kortholderen en langt raskere og rimeligere vei til en vurdering enn å gå direkte til domstolene.

Hvilken dokumentasjon styrker saken din når PIN-koden er brukt?

Selv om banken har hovedansvaret for å sannsynliggjøre at en transaksjon var godkjent, styrker det saken betraktelig om kortholderen selv kan vise til konkrete omstendigheter rundt hvordan PIN-koden kan ha kommet på avveie. Har kortholderen mottatt mistenkelige meldinger eller telefonsamtaler i tiden før svindelen, bør disse tas vare på som dokumentasjon. Politianmeldelse er ikke et formelt vilkår for tilbakeføring etter § 4-30, men mange banker ber likevel om et anmeldelsesnummer som del av saksbehandlingen, særlig ved større beløp. Kortholderen bør også notere nøyaktig når kortet ble sperret, siden dette tidspunktet ofte er avgjørende for hvilke transaksjoner som faller innenfor bankens ansvar og hvilke som eventuelt skjedde etter at kortholderen selv burde ha oppdaget forholdet.

Spiller det noen rolle om PIN-koden ble brukt fysisk eller ved kontaktløs betaling?

Fysisk PIN-bruk i en betalingsterminal og kontaktløs betaling er to ulike tekniske situasjoner som kan gi ulike spor i saken. Ved fysisk PIN-bruk må svindleren ha hatt både kortet og koden samtidig, noe som ofte peker mot ran, avlytting av tastatur eller at kortholderen er lurt til å oppgi koden direkte. Ved kontaktløs betaling under en viss beløpsgrense kreves normalt ingen PIN-kode i det hele tatt, og kortet trenger bare å komme i nærheten av en terminal - noe som gjør denne betalingsformen mer sårbar for rask, gjentatt utnyttelse dersom et tapt kort ikke sperres umiddelbart. Uansett betalingsmåte gjelder samme utgangspunkt: en transaksjon kortholderen ikke har godkjent, er uautorisert etter § 4-30, og skal som hovedregel tilbakeføres av banken uavhengig av hvilken teknisk løsning som ble brukt til å gjennomføre kjøpet.

Kort oppsummert

• Korrekt PIN-kode alene beviser ikke at kortholderen godkjente kjøpet.
• Finansavtaleloven § 4-30 pålegger banken å tilbakeføre uautoriserte transaksjoner som hovedregel.
• Banken kan kreve egenandel etter § 4-32, og et utvidet ansvar ved grov uaktsomhet.
• Fullt ansvar for hele beløpet forutsetter forsett eller svært klanderverdig opptreden fra kortholderen.
• Meld svindel til banken umiddelbart, sperr kortet og ta vare på dokumentasjon som styrker saken din.