Foto: Towfiqu barbhuiya via Unsplash
Fall där bankkunder blir av med stora belopp genom bedrägeri och sedan tvingas strida med sin bank om ersättning dyker upp titt som tätt i medierna. Aftonbladet har berättat om en kvinna i 66-årsåldern som miste nästan 300 000 kronor när kontot länsades och som nu stämmer sin bank för att få pengarna tillbaka. Den typen av tvister avgörs inte efter magkänsla, utan efter en specifik lag: betaltjänstlagen. Här går vi igenom vad lagen faktiskt säger om obehöriga transaktioner, när banken måste betala och när kunden själv får stå för notan.
Huvudregeln: banken ska återställa kontot
Utgångspunkten i 5 a kap. 1 § betaltjänstlagen (2010:751) är enkel och kundvänlig: har en obehörig transaktion genomförts från kontot ska betaltjänstleverantören, alltså banken, återställa kontot till det skick det hade innan pengarna försvann. Det ska ske omedelbart, senast i slutet av bankdagen efter att banken fått kännedom om transaktionen. Banken får dra ut på tiden bara om det finns skälig anledning att misstänka att transaktionen faktiskt var behörig.
Det är alltså banken som bär bevisbördan för att en transaktion var behörig, eller att kunden agerat på ett sätt som gör att ansvaret ska flyttas över. Den ordningen bygger på EU:s andra betaltjänstdirektiv (PSD2), som betaltjänstlagen genomför i svensk rätt.
Tre nivåer av kundansvar
Huvudregeln har tre undantag, och det är i dessa undantag striderna oftast står. Betaltjänstlagen skiljer på tre grader av vårdslöshet hos kontohavaren.
1. Oskyddad kod: högst 400 kronor
Enligt 5 a kap. 2 § ansvarar kontohavaren för högst 400 kronor om obehöriga transaktioner kunnat genomföras för att kunden inte skyddat sin personliga behörighetsfunktion, till exempel en kod. Det är en ren självrisk, oavsett hur transaktionen gick till.
2. Grov oaktsamhet: högst 12 000 kronor för konsumenter
Har kunden åsidosatt sin skyldighet enligt 5 kap. 6 § betaltjänstlagen att skydda sina koder genom grov oaktsamhet, ansvarar hen enligt 5 a kap. 3 § i utgångspunkt för hela beloppet. Men är kontohavaren konsument sätter lagen ett tak på 12 000 kronor, ett skydd som yrkesmässiga användare inte har.
Konsumenternas Bank- och finansbyrå beskriver grov oaktsamhet som ett beteende som markant avviker från det normala, mer än vanligt slarv eller ett tillfälligt ögonblicks glömska. Att lämna ett kort obevakat på ett bord på en fullsatt restaurang eller strunta i att skydda sin kod på vanligt sätt har i Allmänna reklamationsnämndens (ARN) praxis bedömts som grovt oaktsamt.
3. Särskilt klandervärt beteende: inget tak alls
Har kontohavaren dessutom handlat särskilt klandervärt gäller inget takbelopp. Då ansvarar kunden för hela summan, hur stor den än är, enligt andra stycket i samma paragraf. Lagtexten kräver alltså mer än grov oaktsamhet för att taket på 12 000 kronor ska falla bort, en kvalificerad form av oaktsamhet där kunden agerat med en påtaglig likgiltighet för risken. Enligt Konsumenternas vägledning har det ansetts särskilt klandervärt att till exempel lämna ifrån sig kortet lättillgängligt och obevakat under lång tid, som på en badstrand eller i ett omklädningsrum.
Det vägledande avgörandet: NJA 2022 s. 522
Gränsen mellan grov oaktsamhet och särskilt klandervärt beteende har prövats av Högsta domstolen i det ledande avgörandet NJA 2022 s. 522 (mål T 4623-21). En kund hade blivit uppringd av en bedragare som utgav sig för att arbeta på bankens säkerhetsavdelning och under samtalet lämnat ut både sin BankID-kod och svarskoder från sin bankdosa. Bedragaren använde uppgifterna för att göra obehöriga överföringar från kontot.
Högsta domstolen konstaterade att kunden visat betydande vårdslöshet, men att det inte gick att slå fast att han medvetet lämnat ut koderna till en person han insåg var obehörig eller handlat med insikt om risken. Agerandet bedömdes därför som grovt oaktsamt, men inte särskilt klandervärt. Följden blev att kundens ansvar begränsades till 12 000 kronor, medan banken fick återställa resten av kontot. Domstolen klargjorde samtidigt att den högre ansvarsgraden främst tar sikte på fall där kontohavaren avsiktligt lämnat ut sina koder till någon hen förstod eller borde ha förstått var obehörig.
När ansvaret alltid ligger på banken
Två situationer gör kundens eget agerande irrelevant. Enligt 5 a kap. 5 § ansvarar banken för hela beloppet om den inte krävt stark kundautentisering vid en betalning som enligt lag ska ha det, till exempel tvåstegsverifiering vid en korttransaktion. Och enligt 5 a kap. 4 § upphör kundens ansvar helt från den stund hen anmäler till banken att kortet eller kontot ska spärras, om inte kunden genom svikligt förfarande själv orsakat de obehöriga transaktionerna.
Just därför är snabb spärranmälan den enskilt viktigaste åtgärden för den som misstänker bedrägeri. Enligt 5 a kap. 6 § måste kunden dessutom underrätta banken om obehöriga transaktioner så snart det går, och senast inom tretton månader från det att beloppet belastade kontot, annars faller rätten till ersättning bort helt.
Vad gör du om banken säger nej?
Anser banken att kunden varit grovt oaktsam eller särskilt klandervärd, och därför nekar hel eller delvis ersättning, är det inte sista ordet. Konsumenter kan vända sig till Allmänna reklamationsnämnden, som sedan 2024 tar ut en anmälningsavgift på 150 kronor (avgiften kan återfås från banken om du får rätt) och årligen prövar ett stort antal tvister om just obehöriga transaktioner. Nämndens beslut är inte juridiskt bindande men följs i praktiken av de flesta banker. Går tvisten vidare kan den också prövas av allmän domstol, som i fallet som avgjordes genom NJA 2022 s. 522. Konsumenternas Bank- och finansbyrå ger opartisk vägledning inför en sådan process, och Finansinspektionen utövar tillsyn över att bankerna följer betaltjänstlagens regler.
Bevisbördan för att kunden agerat grovt oaktsamt eller särskilt klandervärt ligger på banken, inte på kontohavaren. Det är värt att komma ihåg innan man accepterar ett nej.