Er det grov uaktsomhet å oppgi BankID-kode på telefon?

Hva regnes som grov uaktsomhet ved bruk av BankID?

Grov uaktsomhet er en juridisk standard som ligger mellom vanlig uaktsomhet (en forglemmelse eller feilvurdering hvem som helst kan gjøre) og forsett (at du visste hva du gjorde). Etter finansavtaleloven § 4-32 får graden av skyld direkte betydning for hvor mye av tapet du selv må bære når BankID misbrukes til å godkjenne en betaling. Ved vanlig uaktsomhet er egenandelen din begrenset til 450 kroner. Ved grov uaktsomhet kan banken kreve at du dekker inntil 12 000 kroner av tapet selv. Å lese opp engangskoden fra BankID-appen eller kodebrikken til en person du ikke kan bekrefte identiteten til, regnes i de aller fleste tilfeller som nettopp grov uaktsomhet, fordi hele poenget med koden er at den aldri skal deles med noen - heller ikke med noen som utgir seg for å ringe fra banken selv.

Hvorfor er engangskoden aldri ment å deles med andre?

BankID er bygget slik at engangskoden bekrefter at det er nettopp du, med din telefon eller kodebrikke, som godkjenner en bestemt handling - for eksempel en innlogging eller en betaling. Koden er personlig og engangsbrukbar. Ekte bankansatte trenger aldri å motta koden din over telefon for å hjelpe deg, fordi de allerede har egne systemer for å bekrefte identitet uten den. Når en oppringer ber deg lese opp koden «for å stoppe et forsøk på svindel» eller «for å verifisere kontoen din», er dette et typisk kjennetegn på svindel, ikke en ekte sikkerhetsrutine. Denne kunnskapen er en del av grunnlaget for hvorfor domstoler og Finansklagenemnda ofte konkluderer med grov uaktsomhet når koden likevel deles.

Hvilke momenter vektlegges i den konkrete vurderingen?

Ingen sak er identisk, og vurderingen av om noe er grov uaktsomhet skal alltid være konkret. Momenter som trekker i retning av grov uaktsomhet er blant annet at oppringeren skapte tidspress, at du ble bedt om å oppgi koden flere ganger i samme samtale, at du ikke undersøkte hva koden faktisk skulle godkjenne før du leste den opp, og at det fantes tydelige advarsler i BankID-appen om hva handlingen gjaldt. Momenter som kan trekke i motsatt retning er at svindelen var svært sofistikert, at oppringeren hadde riktig informasjon om deg fra tidligere datalekkasjer, eller at du var i en sårbar livssituasjon som gjorde deg mer utsatt for press. Banken har ikke fritt skjønn til å konkludere med grov uaktsomhet - den må kunne begrunne vurderingen konkret.

Kan ansvaret bli ubegrenset hvis du forsto at noe var galt?

Finansavtaleloven § 4-32 skiller mellom grov uaktsomhet og forsett. Forsett betyr at du forsto - eller måtte forstå - at du satte i gang eller godkjente noe du ikke skulle, og likevel valgte å gjennomføre det. I så fall faller den øvre grensen på 12 000 kroner bort, og du kan i prinsippet bli ansvarlig for hele tapet. Dette er en høyere terskel enn grov uaktsomhet og forutsetter mer enn at du var naiv eller stresset i øyeblikket. I de fleste BankID-svindelsaker vurderes handlingen som grov uaktsomhet, ikke forsett, fordi offeret som regel er lurt til å tro at handlingen er lovlig og nødvendig, ikke bevisst medvirker til et tap.

Hva bør du gjøre hvis du allerede har oppgitt koden?

Reager umiddelbart. Kontakt banken din for å sperre BankID og eventuelle konti eller kort som er koblet til den, og be om skriftlig bekreftelse på når sperringen ble registrert. Gå gjennom kontoutskriftene dine for uvanlige transaksjoner og reklamer skriftlig til banken så snart du oppdager tap - reklamasjonsfristen etter § 4-30 er 13 måneder, men jo raskere du varsler, desto sterkere står du i vurderingen av egen skyld. Vurder å anmelde forholdet til politiet; det er ikke et lovkrav for å få saken behandlet, men det dokumenterer hendelsesforløpet. Er du uenig i bankens vurdering av at du har opptrådt grovt uaktsomt, kan du klage saken inn for Finansklagenemnda, som behandler denne typen tvister uten kostnad for deg som forbruker.

Hvordan ser en typisk sak ut i praksis?

Tenk deg at du mottar en telefon fra noen som presenterer seg som sikkerhetsansvarlig i banken din, og som forklarer at det akkurat nå pågår et forsøk på å tømme kontoen din. For å «stoppe» forsøket ber personen deg lese opp koden som kommer opp i BankID-appen. Du er redd for å miste penger, og leser opp koden uten å tenke over at det nettopp er denne handlingen som gir svindleren tilgang. I etterkant vil banken typisk se på om du fikk noen reell mulighet til å stanse opp og tenke deg om, om historien inneholdt logiske brister du burde ha reagert på, og om du har vært utsatt for lignende henvendelser tidligere uten å varsle banken. Sammenlignes saken med en situasjon der du i stedet blir textet av noen som ber om koden midt i en hektisk arbeidsdag, uten forvarsel og med et troverdig norsk telefonnummer, kan utfallet av den konkrete vurderingen bli forskjellig selv om selve handlingen - å lese opp koden - er identisk. Det er nettopp denne typen konkrete omstendigheter Finansklagenemnda legger vekt på når egenandelen skal fastsettes.

Kort oppsummert

• Å lese opp BankID-koden til noen du ikke kan bekrefte identiteten til, regnes normalt som grov uaktsomhet etter finansavtaleloven § 4-32.
• Grov uaktsomhet kan gi en egenandel på inntil 12 000 kroner, mot 450 kroner ved vanlig uaktsomhet.
• Forsett - at du forsto hva du gjorde - kan gjøre ansvaret ditt ubegrenset.
• Vurderingen skal alltid være konkret, og banken må begrunne hvorfor den mener du var grovt uaktsom.
• Sperr BankID umiddelbart, varsle banken skriftlig, og bruk Finansklagenemnda hvis du er uenig i bankens konklusjon.