Fikk aldri varsel om ny BankID-innlogging — er det bankens feil?

Har banken plikt til å varsle om ny innlogging med BankID?

De fleste banker har egne sikkerhetsrutiner som sender en SMS, e-post eller push-varsel når BankID tas i bruk på en enhet som ikke har vært brukt før, eller når det logges inn fra en ny geografisk lokasjon. Disse rutinene er ikke identiske fra bank til bank, og de er i utgangspunktet en del av bankens eget sikkerhetsopplegg, ikke en ubetinget lovfestet plikt med et fast, forhåndsbestemt innhold. Det som derimot følger av finansavtaleloven § 4-30, er at banken skal tilbakeføre beløpet og eventuelt rentetap dersom en betalingstransaksjon er gjennomført uten at du har godkjent den - uavhengig av om banken hadde et varslingssystem eller ikke. Varslingsrutinen er altså et virkemiddel banken bruker for å oppdage misbruk raskt, ikke selve grunnlaget for ansvaret.

Hva beviser fraværet av et varsel egentlig?

At du ikke fikk noe varsel, beviser i seg selv verken at banken har gjort en feil, eller at transaksjonen var uautorisert. Det kan skyldes flere ting: at banken ikke har et slikt varslingssystem for akkurat den typen innlogging som ble brukt, at varselet ble sendt men aldri nådde deg (for eksempel fordi telefonnummeret var utdatert), eller at svindleren har manipulert systemet slik at varselet ikke ble utløst. Det siste alternativet er det mest alvorlige, fordi det kan tyde på en svakhet i bankens egen løsning - noe som taler for at banken, ikke du, bør bære ansvaret for tapet etter § 4-30. Poenget er at fraværet av varsel er et moment som skal vektlegges sammen med resten av bevisbildet, ikke et selvstendig bevis alene.

Hvem har bevisbyrden når en betaling er uautorisert?

Etter finansavtaleloven § 4-30 er hovedregelen at banken skal tilbakeføre tapet med mindre den kan vise at transaksjonen var korrekt autentisert, registrert og bokført, og ikke rammet av teknisk svikt eller annen feil. Det betyr at det normalt er banken - ikke du som kunde - som må sannsynliggjøre at systemet fungerte som det skulle. Dersom du kan dokumentere at du forventet et varsel basert på tidligere erfaring med banken, og at det ikke kom, bør du be banken skriftlig redegjøre for hvorfor. Svarer banken ikke tilfredsstillende, styrker det argumentet om at noe sviktet på deres side.

Hvilken forskjell er det på tilbakeføring og egenandel her?

Selve tilbakeføringsplikten i § 4-30 er hovedregelen. Om banken derimot mener at du selv har opptrådt grovt uaktsomt - for eksempel ved å dele koden din med noen - kommer egenandelsreglene i § 4-32 inn i bildet, og du kan da bli sittende med et beløp på opptil 12 000 kroner av tapet. Manglende varsel om ny innlogging er ikke i seg selv relevant for egenandelsvurderingen, som handler om din egen opptreden, ikke om bankens varslingsrutiner. De to vurderingene - om transaksjonen i utgangspunktet skal tilbakeføres, og om du eventuelt skal bære en egenandel - er derfor separate spørsmål som ofte blandes sammen i praksis.

Hva bør du dokumentere hvis varselet uteble?

Skriv ned tidspunktet du oppdaget den uautoriserte transaksjonen, og sjekk om banken har logger som viser når og hvor innloggingen faktisk skjedde. Be banken om en skriftlig oversikt over hvilke varslingsrutiner som gjelder for kontoen din, og om disse faktisk ble utløst i dette tilfellet. Reklamer skriftlig så raskt som mulig - fristen etter § 4-30 er 13 måneder fra transaksjonen, men banken skal også behandle henvendelsen innen kort tid etter at du har varslet. Får du ikke medhold, kan saken bringes inn for Finansklagenemnda, som er vant til å vurdere nettopp denne typen bevisspørsmål om varsling og autentisering.

Hvilke spor kan avsløre om varslingssystemet faktisk sviktet?

Vil du undersøke om det var en teknisk svikt som gjorde at varselet uteble, kan du be banken om loggdata som viser om et varsel faktisk ble generert og sendt, selv om du aldri mottok det. Er svaret at et varsel ble sendt til et telefonnummer eller en e-postadresse som ikke lenger var i bruk, ligger ansvaret for at kontaktinformasjonen var utdatert normalt nærmere deg selv, siden det er ditt ansvar å holde slike opplysninger oppdatert i banken. Er svaret derimot at systemet aldri genererte noe varsel for akkurat den typen innlogging eller transaksjon som ble misbrukt, peker det i retning av en svakhet i selve varslingsrutinen, ikke i din håndtering av kontaktinformasjon. En tredje mulighet er at svindleren har manipulert selve innloggingsprosessen slik at den fremstår som en vanlig, gjenkjent enhet for banken, og dermed ikke utløser noe nytt-enhet-varsel i det hele tatt - dette er den mest alvorlige varianten, fordi den kan tyde på en teknisk svakhet som gjør at banken bør bære et større ansvar for tapet etter § 4-30.

Kort oppsummert

• Manglende varsel om ny BankID-innlogging er ikke automatisk bevis for at banken har gjort en feil.
• Banken skal etter finansavtaleloven § 4-30 tilbakeføre tap ved uautoriserte transaksjoner, uavhengig av varslingsrutiner.
• Det er som hovedregel banken som må sannsynliggjøre at transaksjonen ble korrekt autentisert.
• Egenandelsspørsmålet etter § 4-32 er et eget vurderingstema, atskilt fra spørsmålet om varsel.
• Dokumenter tidspunkt og be banken redegjøre skriftlig for hvorfor varselet eventuelt uteble.