Hvem bærer tapet når bedriftens nettbank blir misbrukt?

Loven gjelder også for bedrifter som bankkunder

Mange tror at reglene om tap ved kortmisbruk og BankID-svindel bare gjelder privatpersoner. Slik er det ikke helt. Finansavtaleloven bruker begrepet kunde, og en kunde kan være en fysisk eller juridisk person. Forbruker er bare en fysisk person som handler hovedsakelig utenfor næringsvirksomhet. Et aksjeselskap er aldri forbruker. Det samme gjelder en enkeltpersonforetaker som bruker kontoen til driften.

Når kunden ikke er forbruker, gjelder lovens kapittel 3 til 6 for tjenester som krever tillatelse etter finansforetaksloven. Banker har slik tillatelse, så betalingstjenestene i bedriftens nettbank omfattes. Det står i finansavtaleloven § 1-2.

Hva banken og bedriften kan avtale

Forskjellen fra privatkunder ligger i finansavtaleloven § 1-9. Overfor forbrukere kan loven ikke fravikes til skade for kunden. Overfor en bedrift viker loven for det som er avtalt, og for etablert praksis mellom partene.

Fra dette er det en liste med unntak. Noen regler kan ikke fravikes til skade for kunden, heller ikke i bedriftsavtaler. To av dem har stor betydning ved misbruk:

• En betalingstransaksjon regnes som godkjent bare når betaleren har samtykket (§ 4-2). Banken kan altså ikke avtale seg bort fra kravet om samtykke.
• Kundens plikt til å varsle uten ugrunnet opphold (§ 4-24) gjelder, men fristen på 13 måneder kan avtales annerledes.

Ansvarsreglene i § 4-30 og tilbakeføringsreglene i § 4-32 står ikke på listen over regler som er sikret. Det betyr at banken og bedriften kan ha avtalt en annen fordeling av tapet, for eksempel at bedriften bærer mer. Har banken skrevet noe slikt i bedriftsavtalen eller vilkårene, må den vurderes. Om det er gyldig, kan også bero på avtaleloven § 36 om urimelige avtaler.

Lovens utgangspunkt når avtalen ikke sier noe annet

Finansavtaleloven § 4-30 bygger på at banken svarer for tap ved en transaksjon kunden ikke har godkjent. Så kommer unntakene:

• Hvis tapet skyldes at et betalingsinstrument er tapt, stjålet eller uberettiget tilegnet, svarer kunden med en egenandel på inntil 450 kroner. Egenandelen faller bort hvis kunden ikke kunne ha oppdaget tapet på forhånd, og ikke har handlet svikaktig.
• Har kunden vært grovt uaktsom i strid med pliktene til å beskytte sikkerhetsinformasjonen og varsle, svarer kunden for hele tapet. Gjelder det et elektronisk betalingsinstrument, er ansvaret likevel begrenset til 12 000 kroner.
• Har kunden misligholdt pliktene med forsett, svarer kunden for hele tapet.
• Kunden svarer ikke for tap som oppstår etter at banken er varslet, og heller ikke hvis banken ikke har sørget for at man kan varsle, eller ikke har krevd sterk kundeautentisering.

Sterk kundeautentisering betyr at kunden må bekrefte med minst to uavhengige elementer, for eksempel noe man vet og noe man har.

Når kunden bestrider ansvaret, skal banken etter § 4-32 tilbakeføre beløpet innen utgangen av neste virkedag, forutsatt at kunden varslet i tide. Banken kan unnlate det hvis den har rimelig grunn til å mistenke svik og straks tar saken til retten eller et klageorgan. Også denne regelen kan avtales annerledes i en bedriftsavtale.

Slik går bedriften frem etter et misbruk

Rekkefølgen har betydning:

1. Ring bankens sperretelefon med en gang, og få bekreftet varselet slik at du kan dokumentere det. Banken skal gi en bekreftelse som kan dokumenteres i minst 18 måneder, jf. § 4-23.
2. Bestrid transaksjonene skriftlig og krev beløpet tilbakeført. Husk fristen i § 4-24: uten ugrunnet opphold og senest 13 måneder etter belastningen, med mindre avtalen sier noe annet.
3. Be om bankens avtale, vilkår og loggene over innloggingen og betalingene.
4. Anmeld forholdet til politiet. Bedrageri er straffbart etter straffeloven § 371, og en anmeldelse er ofte nødvendig for forsikring og for bankens videre arbeid.
5. Sjekk om bedriften har kriminalitetsforsikring eller en annen forsikring som dekker tap ved svindel.

Blir banken og bedriften uenige, kan saken til et klageorgan banken er tilsluttet, hvis avtalen eller vilkårene viser til ett, eller til domstolene. Les også hva som skal til for grov uaktsomhet ved BankID-svindel.

Kort oppsummert

• Finansavtaleloven gjelder også når bedriftens nettbank er misbrukt, fordi banken har tillatelse etter finansforetaksloven.
• Overfor bedrifter viker loven for avtalen, så bedriftens tap avhenger av hva som er avtalt med banken.
• Kravet om samtykke og plikten til å varsle uten ugrunnet opphold kan ikke avtales bort til skade for bedriften.
• Uten avtale om noe annet bærer banken tapet, men bedriften kan få egenandel eller større ansvar ved grov uaktsomhet eller forsett.
• Varsle banken med en gang, bestrid skriftlig, be om avtalen og anmeld saken.