Kan banken nekte erstatning fordi du brukte en ukjent enhet?

Hva viser egentlig loggen over hvilken enhet som ble brukt?

Når en betaling godkjennes med BankID, registrerer banken tekniske spor som enhetstype, operativsystem, IP-adresse og om enheten tidligere har vært brukt til å logge inn på kontoen din. Er svaret nei på det siste, fremstår transaksjonen i bankens interne systemer som gjennomført fra en «ukjent enhet» eller en «ny enhet». Dette er ren teknisk informasjon om utstyret som ble brukt til å sende godkjenningen - ikke informasjon om hvem som fysisk trykket godkjenn. En svindler som har fått tak i din BankID vil naturlig nok bruke sin egen telefon, som per definisjon er ukjent for banken, uavhengig av om du selv har vært uforsiktig eller ikke.

Hvorfor er «ukjent enhet» alene ikke nok til å avslå et krav?

Finansavtaleloven § 4-30 pålegger banken en tilbakeføringsplikt ved uautoriserte transaksjoner. For at banken skal kunne avslå denne plikten, må den enten vise at transaksjonen faktisk var godkjent av deg, eller at det foreligger grunnlag for økt egenandel etter § 4-32 fordi du har opptrådt grovt uaktsomt. At transaksjonen kom fra en enhet banken ikke kjenner igjen, sier ingenting om noen av delene isolert sett. Det er fullt mulig å bli utsatt for BankID-svindel uten å ha gjort noe klanderverdig i det hele tatt - for eksempel dersom svindleren har utnyttet en teknisk svakhet i selve løsningen, noe som kan gjøre banken ansvarlig uansett hvilken enhet som ble brukt.

Hva må banken faktisk bevise for å avslå tilbakeføring?

Banken må konkret sannsynliggjøre enten at godkjenningen faktisk ble utført av deg, eller at måten svindleren fikk tilgang til BankID-en din på, skyldes grov uaktsomhet fra din side - for eksempel at du delte koden din, installerte fjernstyringsprogramvare etter oppfordring fra en ukjent person, eller ignorerte tydelige advarsler i appen. Ren enhetsinformasjon dekker ingen av disse to alternativene. Praksis fra Finansklagenemnda har lagt vekt på at banken må legge frem et helhetlig hendelsesforløp, ikke bare enkeltstående tekniske detaljer, for å kunne fri seg fra tilbakeføringsplikten.

Kan en ukjent enhet likevel telle med i en helhetsvurdering?

Ja. Selv om «ukjent enhet» alene ikke er nok, kan det inngå som ett av flere momenter i en helhetsvurdering av saken - for eksempel sammen med at transaksjonen skjedde kort tid etter at du delte informasjon med en oppringer, eller at det var flere transaksjoner på kort tid til en mottaker du aldri har betalt til før. Det er summen av momentene, ikke enhetsinformasjonen isolert, som avgjør om banken kan sannsynliggjøre at du selv har godkjent transaksjonen eller opptrådt grovt uaktsomt.

Hvordan bør du svare hvis banken bruker dette argumentet mot deg?

Be banken skriftlig om å presisere hva den konkret bygger avslaget på, utover selve enhetsinformasjonen. Spør direkte om banken mener transaksjonen var autorisert av deg, eller om den mener du har opptrådt grovt uaktsomt - og be om en begrunnelse for hvilket av de to grunnlagene som gjelder. Dokumenter din egen versjon av hendelsesforløpet så detaljert som mulig, inkludert når du oppdaget tapet og hva du gjorde umiddelbart etterpå. Aksepterer ikke banken din forklaring, har du rett til å bringe saken inn for Finansklagenemnda, som vil vurdere hele bevisbildet - ikke bare hvilken enhet transaksjonen kom fra.

Hvordan dokumenterer du selv at enheten faktisk var din?

Er du uenig i at enheten som er registrert som «ukjent» faktisk er en du ikke kjenner til, kan du selv bidra til å avklare saken. Sjekk om enheten som er oppgitt i loggen samsvarer med en telefon eller nettbrett du faktisk eier, men som du kanskje nylig byttet eller ikke har brukt til BankID før - for eksempel etter en telefonoppgradering. Har du nylig installert BankID-appen på nytt etter en fabrikktilbakestilling, eller byttet mobilabonnement og dermed fått nytt SIM-kort, vil dette naturlig fremstå som en «ny enhet» for banken uten at det betyr at noe er galt. Motsatt, dersom enheten banken viser til er en type telefon eller et operativsystem du aldri har eid, styrker det ditt argument om at det faktisk er en svindler som har logget inn. Be gjerne banken oppgi så mye teknisk detalj som mulig om den registrerte enheten - modell, operativsystem og tidspunkt for første bruk - slik at du selv kan vurdere om den stemmer med noe du kjenner igjen.

Husk også at banken normalt lagrer denne typen enhetsdata i lang tid, slik at du i ettertid kan be om en fullstendig utskrift av loggen dersom saken trekker ut i tid eller ender hos Finansklagenemnda. En slik utskrift bør vise ikke bare at enheten var «ukjent», men også nøyaktig tidspunkt, IP-adresse og eventuelt geografisk plassering knyttet til transaksjonen - opplysninger som kan bidra til å avklare om det faktisk er sannsynlig at du selv sto bak, eller om alt peker mot en tredjeperson.

Kort oppsummert

• En «ukjent enhet» i transaksjonsloggen er teknisk informasjon, ikke bevis for hvem som godkjente betalingen.
• Banken må etter finansavtaleloven § 4-30 sannsynliggjøre at du selv godkjente transaksjonen, eller at du var grovt uaktsom etter § 4-32.
• Enhetsinformasjon kan telle med i en helhetsvurdering, men er ikke tilstrekkelig alene.
• Be banken om en konkret begrunnelse utover selve enhetsdataene.
• Er dere uenige, kan saken bringes inn for Finansklagenemnda uten kostnad for deg.