Prosessbyrdeproblemet

Forholdet mellom bankens tilbakeføringsplikt og kundens skyldansvar ved betalingssvindel

 

 

Av doktoranden VEBJØRN WOLD1

Når en bankkunde sin eID misbrukes til å flytte penger ut av kundens konto, har banken normalt en plikt til å tilbakeføre beløpet til kunden. Plikten følger av betalingstjenestedirektivene og er gjennomført i både Norge og Sverige. Dersom banken mener kunden skal bære tapet på grunn av høy grad av skyld, oppstår det et spørsmål om kunden har krav på en slik tilbakeføring likevel, eller om banken kan nekte tilbakeføring med grunnlag i at det tross alt er kunden som skal bære det endelige ansvaret for transaksjonen. Hvorvidt en slik, potensielt midlertidig, tilbakeføring finner sted, avgjør hvem som må initiere prosess om det omtvistede beløpet. Spørsmålet har derfor praktisk så vel som prinsipiell betydning. Norsk og svensk rett virker å bygge på ulike forståelser av direktivets regel.

 

1 Innledning
Stadig flere skandinaviske bankkunder har opplevd å bli utsatt for betalingssvindel. Svindelen muliggjøres ofte ved at svindler får kontroll over kundens elektroniske betalingsinstrument og nødvendige koder eller passord. En kjent fremgangsmåte er for eksempel å lure kunden til å oppgi BankID-informasjon under påskudd av at den er tiltrengt for å stanse et pågående angrep mot kundens nettbank, for så å tappe kontoen. Et annet tilfelle kan være at en person i gjeldsproblemer får logget seg inn i et familiemedlems nettbank og foretatt betalinger derfra. I rettspraksis ser man alt fra superprofesjonell storskalasvindel, til desperat utnyttelse i nære relasjoner.
    Når en betaling har blitt godkjent gjennom kundens betalingsinstrument uten kundens samtykke, som i tilfellene over, har vi å gjøre med en ikke godkjent betalingstransaksjon,2 (etter den svenske lovterminologien en obehörig transaktion).3 For slike transaksjoner legger EUs revi-

 

1 Stipendiat, Institutt for privatrett, Universitetet i Oslo. Bidraget bygger til en viss grad på en mer utførlig redegjørelse — hovedsakelig med utgangspunkt i norsk rett i Wold, Vebjørn, Prosessbyrden ved betalingssvindel i Kjørven, Wærstad, Astrup Hjort (red.) Bruk og misbruk av elektronisk identifikasjon, Karnov (utkommer 2023). 2 Dette til forskjell fra saker der kunden blir lurt til å autorisere transaksjonen selv, se for eksempel ARN 2019-08258, hvor Allmänna reklamationsnämden mener at samtykke foreligger i et slikt tilfelle. Den norske finansklagenemda har i FinKN 2022-490 uttalt at et samtykke til betaling forutsetter at kunden forsto at det var en betaling man samtykket til. Disse forskjellene kan skyldes forskjeller i den tekniske funksjonaliteten for norsk og svensk BankID, like mye som ulike syn på det underliggende rettsspørsmål. 3 Finansavtaleloven § 4-2, jf. § 4-30, Lag om betaltjänster 5 kap. 3 §, jf. 5 a kap. 1 §, Direktiv 2015/2366 (PSD II) artikkel 64 nr. 1, jf. nr. 2 annet avsnitt, jf. artikkel 73.

derte betalingstjenestedirektiv (PSD II) føringer for nasjonale regler om tapsfordeling mellom kunden og kundens bank.4 Utgangspunktet er at banken plikter å betale tilbake ”den icke auktoriserade betalningstransaktionens belopp” til kunden, jf. PSD II artikkel 73 nr. 1.5 Samtidig beskriver direktivet situasjoner der kunden likevel skal hefte for hele eller deler av tapet. Særlig aktuell, og ofte opphav til tvist, er regelen i artikkel 74 nr. 1 tredje avsnitt om at kunden kan holdes ansvarlig ved høy grad av uaktsomhet i håndteringen av betalingsinstrumentet og/eller personlige sikkerhetsanordninger (passord eller koder).
    Medlemsstatene har en viss frihet til å fastsette tapsfordelingsregler i disse tilfellene, men kunden skal bære det fulle ansvaret der det er utvist særlig sterk grad av skyld.6 I både Norge og Sverige hefter kunden for 12 000 kr ved grov uaktsomhet, og for hele beløpet i situasjoner der kunden er svært sterkt å bebreide — i Norge ved ”forsett”, og i Sverige der kunden har opptrådt ”särskilt klandervärt”.7 Innholdet i denne groveste skyldgraden har etter hvert fått en del oppmerksomhet i litteraturen, og var gjenstand for behandling i Høyesteretts avgjørelse i HR2022-1752-A og Högsta domstolens avgjørelse i NJA 2022 s. 522.8 Betalingstjenestedirektivets system reiser imidlertid også et spørsmål om forholdet mellom tilbakebetalingsplikten i artikkel 73 nr. 1, og skyldreglene i artikkel 74. Er skyldreglene et unntak fra tilbakebetalingsplikten? Eller har kunden rett på tilbakebetaling selv om banken har mulighet til å ansvarliggjøre kunden etter skyldreglene? Spørsmålet er av praktisk betydning fordi det avgjør hvem som må reise sak for at spørsmålet om kundens skyldgrad skal komme opp for en domstol eller reklamasjonsnemnd. Som Schweigaard i sin tid forklarte, er utgangspunktet for enhver rettsprosess en ”virkelig eller formeentlig Uoverenstemmelse mellem den factiske og den retlige

 

4 Reglene gjelder alle betalingstjenesteytere, enten de har konsesjon som bank eller som noe annet. Ettersom jeg i denne artikkelen tar utgangspunkt i tapte kontoinnskudd, snakker jeg i det følgende om kunde og bank. 5 Direktivet sier at beløpet skal betales tilbake til ”betalaren”. Etter direktivets artikkel 4 nr. 8) er betaleren den som innehar en betalingskonto og har iverksatt en betaling fra den — altså omfatter det i teorien ikke kunder som er rammet av uautorisert bruk. Dette fremstår en ren inkurie fra EU-lovgiver, og det må være klart at det er kunden som skal ha tilbakebetaling (se bl.a. SOU 2016:53 s. 267). 6 Hovedregelen er at kunden skal hefte for hele tapet ”om betalaren ådrog sig dessa genom att handla bedrägligt eller genom att avsiktligen eller med grov vårdslöshet underlåta att uppfylla en eller flera av sina skyldigheter…”, jf. artikkel 74 nr. 1 tredje avnsitt. I tilfeller der kunden ikke har handlet bedragersk eller forsettelig får medlemsstatene likevel begrense kundenes ansvar, jf. siste avsnitt. Det er denne adgangen både Norge og Sverige har benyttet ved å etablere ansvarsgrensene på 12 000 kr. 7 Finansavtaleloven § 4-30 fjerde ledd, Lag (2010:751) om betaltjänster 5 a kap. 1 §, jf. 3 §. 8 Se for eksempel Kjørven, Marte Eidsand Høgberg, Alf Petter Woxholth, Geir. BankID-opplysninger på avveie — om vilkårene for aktivering av forsettsansvaret etter finansavtaleloven § 35 (3) og ny finansavtalelov § 4-30 (4). Lov og Rett. 2021, 60(6), 335–366.

Tingenes Orden”.9 Hvem som må initiere prosess, beror på hvordan virkeligheten ser ut før tvisten begynner. Hvis kunden får kreditert sin konto for det bortsvindlede beløpet uansett påstått skyld, faller det på banken å reise sak for å få dekning for sitt krav. Motsetningsvis; hvis banken ikke gjør annet enn å insistere på at kunden hefter for tapet, er det kunden som må klage forholdet inn til en reklamasjonsnemd eller reise sak for domstolene. Rekkevidden av tilbakebetalingsplikten avgjør dermed hvem som innehar det vi kan kalle prosessbyrden i tvisten om kundens skyldansvar etter reglene som gjennomfører artikkel 74 nr. 1 tredje avsnitt.10 I denne artikkelen vil jeg behandle dette spørsmålet om prosessbyrde i saker om ikke godkjente betalingstransaksjoner, samt sammenligne de nasjonale gjennomføringene i Norge og Sverige. Jeg vil også si noe om hvordan regelen om tilbakebetaling har blitt praktisert av Norske banker, samt hvilken praktisk betydning rettsspørsmålet kan ha for risikofordelingen ved misbruk av eID i betalingssystemet.

 

2 Nærmere om direktivets system og det aktuelle tolkningsspørsmål
Utgangspunktet etter PSD II artikkel 73 nr. 1 er at banken skal tilbakeføre det fulle beløpet som ble frasvindlet kundens konto ved ikke godkjente transaksjoner ”omedelbart…och i alla händelser senast i slutet av följande bankdag”. Kunden skal altså som hovedregel få kreditert sin konto innen utløpet av neste virkedag. Ettersom kunden etter bestemmelsens annet punktum skal stilles som om transaksjonen ikke hadde skjedd, har kunden også krav på den avtalte innskuddsrenten.
    Tilbakeføringsplikten etter artikkel 73 nr. 1 skal ikke gjelde der det er ”rimlig anledning att misstänka bedrägeri” og banken ”skriftligt meddelar denna anledning till den berörda nationella myndigheten”. Uten at det fremgår direkte av direktivbestemmelsen, er det ikke tvilsomt at det her siktes til bedrageri fra kunden selv.11 Banken er gitt mulighet til å undersøke om kundens varsel om misbruk i realiteten er et forsøk på å bedra banken, altså det som i bransjen kalles ”friendly fraud" eller ”chargeback fraud”. Unntaket fremstår som en ”sikkerhetsventil”, hvoretter bankens tilbakeføringsplikt suspenderes der kunden i realiteten benekter ansvar for transaksjoner hen selv har gjennomført, eller godtatt at tredjemann gjennomførte.12

 

9 Schweigaard, Anton Martin, Den norske Process, Første bind, 5. utgave (1891) s. 2. 10 Man bruker typisk betegnelsen ”søksmålsbyrde” for å klargjøre hvem av partene som må reise sak for å bringe virkeligheten i tråd med sin påstand. Her brukes ”prosessbyrde”, fordi sakene i praksis ofte bringes inn for en forbrukerreklamasjonsned, og det dermed ikke rettes noe søksmål. Det er også i tråd med begrepsbruken til norsk lovgiver i lovforarbeidene til finansavtalelovene av 1999 og 2020. 11 Dette er lagt til grunn av både norske og svenske myndigheter, jf. Justis- og beredskapsdepartementets uttalelser i Høringsnotat ny finansavtalelov s. 84 og SOU 2016:53 s. 266. Oppfatningen deles også av det europeiske banktilsynet (EBA), jf. Opinion of the European Banking Authority on its technical advice on the review of Directive (EU)
2015/2366 on payment services in the internal market (PSD2), avsnitt 292. 12 Et særlig spørsmål her oppstår i tilfeller der banken mener det foreligger samtykke, men kundens reklamasjon vanskelig kan ansees som en svikaktig handling,

 

Hvordan disse tilfellene behandles begrepsmessig er ulikt i Norge og Sverige — i Sverige er unntaket formulert slik at den rammer transaksjoner som mistenkes å likevel være ”behörige”, mens det i Norge vises til ”ikke godkjente”, men svikaktige fremkalte disposisjoner.13 Det må i alle tilfelle være klart at regelen først og fremst skal omfatte tilfeller der det er grunnlag for mistanke at kunden med viten og vilje avga et betalingssamtykke, eller tillot tredjemann å gjøre det, men nå benekter dette.14 For at banken skal kunne nekte tilbakeføring på grunnlag av en slik begrunnet mistanke, må den imidlertid etter artikkel 73 nr. 1 formidle sin mistanke til relevante myndigheter. I Sverige skjer dette ved melding til Finansinspektionen, i Norge ved klage til Finansklagenemda.15 Kundens egenandel på 50 euro jf. artikkel 73 nr. 3 første avsnitt, som gjør seg gjeldende så lenge tapet har oppstått ved misbruk av kundens betalingsinstrument, gjelder også uttrykkelig ”med avvikelse fra artikkel 73”. Et slikt unntak skaper få kontroverser — det er sjelden omtvistet at betalingen har skjedd ved hjelp av kundens BankID eller betalingskort, og dette er som regel enkelt for banken å vise.
    Et spørsmål som direktivets ordlyd tilsynelatende lar stå åpent, er om banken også kan nekte å tilbakeføre hele eller deler av svindelbeløpet under henvisning til at kunden har utvist en slik grad av skyld at hen skal hefte for hele eller deler av tapet. Her finnes ingen slik eksplisitt ordlyd om ”avvik” fra artikkel 73 nr. 1. Det kan imidlertid argumenteres for at det følger av sammenhengen at hele artikkel 74 utgjør et slikt avvik. Før vi ser nærmere på det rettsdogmatiske spørsmålet, og hvordan henholdsvis norsk og svensk lovgiver har håndtert det, vil jeg gå noe nærmere inn på de reelle hensyn som gjør seg gjeldende.

 

3 Om hensynene
Hvilke argumenter finnes det de lege ferenda for og imot at det skal skje en tilbakeføring også der kunden kan mistenkes for å ha opptrådt grov uaktsomt eller forsettlig, slik at prosessbyrden havner på banken? Det tyngste argumentet for å legge prosessbyrden på banken er det klassiske forbrukerhensynet — behovet for å korrigere en ujevnhet mellom

 

slik som ved svindel der kunden lures til selv å autorisere med sin bank-ID jf. Note 2. I slike tilfeller kan det være mistanke om transaksjonen er godkjent/behörig, uten at kunden kan mistenkes for å svindle banken. I Norge har Finansklagenemda og Forbrukertilsynet begge lagt til grunn at også dette spørsmålet — om det foreligger et samtykke — er omfattet av prosessbyrderegelen (se for eksempel Forbrukertilsynet, Orientering til bankene — krav til bankenes tilbakeføring av forbrukers tap ved uautoriserte transaksjoner, (https://www.forbrukertilsynet.no/wp-content/uploads/ 2022/12/orientering-til-bankene-krav-til-bankenes-tilbakeforing-av-forbrukers-tapved-uautoriserte-transaksjoner.pdf) s. 5, og sak FinKN-2022-1006). Med den svenske forståelsen av direktivet (se punkt 4) kommer dette spørsmålet ikke på spissen. 13 Finansavtaleloven § 4-32 annet ledd, lag om betaltjänster 5 a kap. 1 §. 14 Et krav om objektive mistankegrunner fremgår av direktivets fortale, avsnitt 71. 15 Finansavtaleloven § 4-32 annet ledd, lag om betaltjänster 5 a kap. 1 § 2 st.

partene.16 Man kan frykte at forbrukere grunnet manglende kunnskap, ressurser og tid vil ta til takke med bankens ”konklusjon” om at kunden er ansvarlig, også der denne er uriktig. Å legge prosessbyrden på kunden kan i så fall komme i veien for realisering av den forbrukerbeskyttelsen som direktivet søker å ivareta.17 Hvis vi også antar at direktivets regler om ansvarsfordeling bygger på en ønsket plassering av risiko, som skal gi finansnæringen insentiver til å utvikle sikre betalingsordninger, vil en prosessbyrdeordning som tilgodeser banken kunne undergrave denne målsetningen.18 Et annet argument i samme retning er kundens mer eller mindre akutte likviditetsbehov i kjølvannet av svindelen. For bankkunder vil det kunne innebære umiddelbare og alvorlige praktiske problemer dersom kontoen plutselig er tom og banken nekter å tilbakebetale. Også ”särskilt klandervärda” kunder har behov for mat, drikke og tak over hodet. Kanskje har de også underholdsansvar, slik at også barn og annen familie vil kunne bli skadelidende av bankens nektelse. Dersom banken først tilbakeførte, og deretter måtte opptre som en alminnelig kreditor, ville banken ha måttet forholde seg til beskyttelsen kunden har for midler som er nødvendige for sitt livsopphold.19 Og dersom kontoen blir stående ”tom” mens tvisten om ansvar verserer, kunne det hende at også kunder som ikke skulle bære tapet fordi de ikke hadde opptrått ”särskilt klandervärt”/med ”forsett”, blir satt i store praktiske vanskeligheter som følge av at de ikke får tilgang til pengene sine igjen før tvisten er vunnet.
    Dette henger igjen sammen med et tredje argument — at bankene i fravær av en særskilt prosessbyrderegel vil kunne anføres å få en problematisk ”dobbeltrolle”. Banken er kundens motpart i den aktuelle tvisten, samtidig som den har den praktiske kontrollen over det innestående på kundens konto. I Norge har det i lang tid vært en oppfatning om at det ofte vil være betenkelig at banker motregner (kvittar) i kundenes kontoinnskudd.20 Motregning (kvittning) i bankkonto har derfor vært strengt lovregulert siden den forrige finansavtaleloven av 1999 trådte i kraft.21 Argumentet har vært at banker ikke bør kunne

 

16 Ettersom reglene om ansvar for ikke godkjente betalingstransaksjoner også gjelder deklaratorisk for næringsdrivende kunder, vil disse også her kunne nyte godt av tilbakeføringsplikten. Banken vil imidlertid kunne regulere ordninger for betalingstransaksjoner nærmere gjennom avtalevilkår. I Nordeas generelle vilkår for innskudd og betalingstjenester for næringsforhold punkt 24, er det for eksempel avtalt at tilbakeføringsreglene i finansavtl. § 4-32 ikke kommer til anvendelse. 17 At PSD II tar sikte på å harmonisere reglene på et nivå med god forbrukerbeskyttelse er eksplisitt uttalt i fortalens avsnitt 6. 18 Se i denne retning f.eks. PSD II fortale avsnitt 4, og det Justis- og beredskapsdepartementets forståelse av direktivets formål i Prop. 92 LS (2019-2020) s. 19. 19 I Norge beskyttes kontoinnskudd som dekker livsopphold fra beslag, jf. Dekningsloven § 2-5. I svensk rett følger motsvarende regel av 5 kap. 1 § 1 st. 7 utsökningsbalken (UB). 20 Sæbø, Rune, Motregning, Fagbokforlaget (2013) s. 340–351. Sæbø redegjør konsist for diskusjonen i Norge frem til regler om bankers motregningsrett ble lovfestet i finansavtaleloven av 1999. 21 Finansavtaleloven 1999 § 29 og någjeldende finansavtalelov § 4-13.

bruke sin kontroll over kundens betalingskanaler til å få dekning for sine krav mot kunden, både av hensyn til kundens egen likviditet og av hensyn til andre mulige kreditorer og kontraktsmotparter.22 Tilsvarende argumenter kan i betalingssvindeltilfellene brukes for å la verdien av kundens kontofordring være beskyttet inntil kundens ansvar er slått fast av en uavhengig rettsinstans.23 Motsetningsvis kan det også anføres betenkeligheter med en rettstilstand der bankene må tilbakeføre svindelbeløpet, og deretter rette krav mot kunden. En relevant betraktning er at en for streng tilbakeføringsplikt øker risikoen for at kunder kan begå svindel mot banken ved å alliere seg med en angivelig ”svindler”, oppnå tilbakeføring og ved det bedra banken for et beløp tilsvarende ”svindelen”. Når banken senere retter krav, kan kunden bestride ansvar og med dette kunne bli sittende med en vinst sammen med ”svindleren”.
    Selv om dette vil være et risikabelt spill for kunden, vil kanskje enkelte bli lokket til å forsøke. Man kan da risikere at penger havner i hendene på kriminelle miljøer som kan bruke det til å finansiere annen, alvorlig kriminalitet. I teorien vil et unntak for tilfeller der det er ”rimelig grunnlag for mistanke om svik” avhjelpe et slikt problem. Det kan imidlertid være mulig at mer talentfulle svindlere lykkes i å fremstille ”svindelen” på en slik måte at banken ikke finner grunnlag for å nekte tilbakeføring. Dette kan i alle fall tale for at en kundevennlig prosessbyrderegel suppleres med en relativt lempelig vurdering av hvorvidt det kan gjøres unntak grunnet mistanke om svik fra kunden.24 En annen betenkelighet med en kundevennlig tolkning knyttes til effektiviteten og kostbarheten i prosessen. Det kan i mange tilfeller være et gode for begge parter med et raskt utenrettslig oppgjør. Hvis kunden først skal ha tilbake svindelbeløpet og deretter forsvare seg mot et krav, kan banken se seg nødt til å bringe saken inn for en domstol. Det kan dermed lede til en prosess som potensielt vil være mer kostbar for begge parter, og for så vidt også gjøre at de nasjonale klagenemdene får utspilt sin rolle — kreditor oppnår ikke tvangsgrunnlag ved å anlegge sak hos hverken Finansklagenemda eller ARN. Den tapende kunden vil i tillegg risikere at forsinkelsesrenter og inndrivelseskostnader legges til kravet.
    Det kan med andre ord gjøres gjeldende betydningsfulle argumenter i begge retninger. Dersom bankene stort sett vurderte kundens aktsomhet riktig, og også tok hensyn til situasjoner der kunden behøvde midlene til livsopphold, ville det neppe være behov for en egen regel

 

22 I Ot.prp.nr.41 (1998–1999) s. 39 begrunner departementet begrensningen i motregningsretten med argumenter svært like de som ble anført for å pålegge banken prosessbyrden ved ikke godkjente betalingstransaksjoner i finansavtaleloven av 1999. 23 I Sverige virker det ikke å være noe tilsvarende forbud mot motregning; det blir en mer konkret vurdering av om motregningshindre gjør seg gjeldende, jf. Lindskog, Stefan, Kvittning, 3. utgave side 357 flg. 24 Jf. unntaksregelen i artikkel 73 nr. 1 som omtalt i punkt 2. Se også lenger ned under punkt 4 om tolkning av denne regelen

om prosessbyrde. Det fremstår imidlertid høyst uklart om dette er tilfelle, i alle fall i Norge.25 Det som uansett er verdt å nevne, er at ”nullpunktet” — at kunden sitter med prosessbyrden i fravær av særskilt regulering — egentlig kun er et utslag av at banken i praksis kan bestemme hvor mye den tilgjengeliggjør på kundens konto. Innestående på konto er formelt sett en fordring på banken,26 og man kan like godt se det slik at det er banken som har ”tapt pengene” da de har gjennomført betalingstransaksjonen uten et gyldig samtykke for å belaste kundens fordring.27

4 Inneholder PSD II en regel om prosessbyrde?
Hvis vi beveger oss fra betraktninger de lege ferenda til rettstilstanden de lege lata, er det interessant å se at man i Norge og Sverige virker å ha tenkt ulikt om forholdet mellom tilbakeføringsplikten og kundens skyldansvar. I Norge er tolkningen fra Justis- og beredskapsdepartementet at direktivet innebærer at medlemsstatene skal oppstille en plikt til å tilbakebetale kunden uten hensyn til hvilken skyld kunden har utvist, så lenge det ikke er rimelig mistanke om svik. ”Direktivets løsning…”, forklarer departementet i forarbeidene til finansavtaleloven, innebærer at det foreligger en tilbakeføringsplikt ”selv om det er kunden som er ansvarlig for tapet etter reglene i artikkel 74”. Det presiseres for eksempel at tilbakeføring skal skje selv om ”det er rimelige grunner til å mistenke at kunden grovt uaktsomt har forsømt sine plikter”.28 Synspunktet er altså at kundens skyld — med mindre det dreier seg om svik fra kunden selv — ikke utløser noe unntak fra utgangspunktet om tilbakeføring. At denne forståelsen av PSD II uten særlig diskusjon legges til grunn av norske departementsjurister, kan ha sammenheng med at den norske finansavtaleloven hadde særregler om prosessbyrde lenge før betalingstjenestedirektivene. Allerede i 1993 uttalte den norske Banklovkommisjonen at prosessbyrden burde ligge på bankene i slike saker,29 og dette ble gjeldende rett ved ikrafttredelsen av finansavtaleloven av 1999 § 37. Det har derfor ikke vært sådd tvil om denne rettsoppfatningen i Norge, ei heller fra bankene.30 (Praksis er — som vi skal se — en annen ting).
    I Sverige tyder kildene på at forståelsen har vært den motsatte. I SOU 2016:53, som gjennomgikk PSD IIs implikasjoner for Sverige, fremgikk

 

25 Se for eksempel bankenes svar til kundene i eksempelsakene i vedlegg til brevet omtalt i note 35. 26 Se Torvund, Olav, Betalingsformidling i et rettslig perspektiv, TANO (1993) s. 150 mv. om kontopenger. 27 I Tyskland virker dette å være den rådende oppfatningen av selve svindelsituasjonen jf. Oleownik, Sonia, the Development and Phishing in Online Banking — An
Overview of the European and German Legal Positions, i Borges, G., Sorge, C. (eds) Law and Technology in a Global Digital Society, Springer (2022) (https://doi.org/ 10.1007/978-3-030-90513-2_13) s. 266. 28 Høringnsotat ny finansavtalelov s. 84–85. 29 NOU: 1994:19 s. 146. 30 Finans Norge, Rundskriv nr. 10/22 ”Tilbakeføringsplikten etter Finansavtaleloven § 37”.

om dagjeldende svensk rett at ”utredningen delar regeringens uppfattning att det indirekt framgår av den nuvarande regleringen att återbetalning ska göras omedelbart om det inte förhåller sig så att betalaren ska ansvara för hela eller delar av det belopp som avser den obehöriga transaktionen”.31 I utredningen virker det som utvalget tar sikte på å opprettholde en slik rettstilstand, der tilbakeføringsplikten i praksis blir et utgangspunkt som kan fravikes dersom kunden skal bære hele eller deler av tapet grunnet egen skyld.
    En slik regelforståelse virker å komme til uttrykk i lagen om betaltjänster 5a kap. 1 §, som fastsetter at banken skal ”återställa kontot…om inte annat följer av 2–6 §§”. Skyldreglene fremgår av 3 §, og er dermed tilsynelatende unntatt fra regelen om tilbakeføringsplikt.32 Så vidt jeg kan se er hverken muligheten for at dette er direktivstridig, eller den praktiske betydningen av prosessbyrdespørsmålet, omtalt i svenske lovforarbeider.
    Det er dermed fristende å spørre om det er svensken eller nordmannen som har den rette forståelsen av betalingstjenestedirektivet på dette punktet. Kanskje kan den manglende klarheten i direktivets ordlyd innebære at medlemsstatene har frihet til å holde artikkel 73 og 74 mot hverandre innenfor rammene av nasjonal privatrett, og at direktivet ikke harmoniserer denne avveiningen. Argumentet kan muligens ha noe for seg, men samtidig er PSD II i utgangspunktet et fullharmoniseringsdirektiv.33 Hvis direktivet skal leses slik at kundens ansvar utgjør unntak fra tilbakeføringsplikten, er det nærliggende å konkludere med at norske banker pålegges en tilbakebetalingsplikt de etter direktivet ikke skal ha. Og i motsatt fall blir svenske bankkunder frarøvet en betydningsfull EU-basert rettighet.34 I europeisk litteratur er spørsmålet så vidt jeg kan se viet begrenset oppmerksomhet. I den omtale som finnes, virker man å legge til grunn at skyldreglene ikke skal være noe unntak fra tilbakebetalingsplikten; direktivet oppstiller en regel om ”pay first, argue later”.35 Dette svarer altså til den norske forståelsen av direktivet. I Oleownik sin redegjørelse

 

31 SOU 2016:53 s. 268. (min utheving). 32 Jeg forstår det også slik at dette er tolkningen av lagen om betaltjänster som kommer til uttrykk i nemndspraksis, for eksempel ARN-2022-04140, under punktet ”Allmänt om regleringen”. 33 PSD II artikkel 107. Se i denne sammenheng sak C-337/20, hvor EU-domstolen fastslår at kravet til fullharmonisering for PSD I medfører at nasjonale regler ikke kan pålegge betalingstjenesteyterne ytterligere ansvar enn hva som følger av direktivet. 34 I begge tilfellene bør man i så fall reise spørsmål om et EU-konformt resultat kan nås gjennom tolkning av de nasjonale bestemmelser. 35 Guimarães, Maria Raquel og Steennot, Reinhard, Allocation of Liability in Case of Payment Fraud: Who Bears the Risk of Innovation? A Comparison of Belgian and Portuguese Law in the Context of PSD II, European Review of Private Law Volume 30, Issue 1 (2022) s. 46–47. Steennot har gitt uttrykk for dette synspunkt flere steder, se f.eks. Steennot, Reinhardt, Liability for unauthorized payment transactions: the transposition of PSD2 in Belgium, i The Transposition of PSD2 and Open Banking / (Ed.) E. Bani, V. De Stasio, A. Sciarrone Alibrandi Bergamo University Press (2021) s. 174.

for phishing-svindel i tysk rett, forklares det imidlertid at bankens krav etter artikkel 73 nr. 3 flg. motregnes i tilbakebetalingskravet, hvilket gir tilsvarende praktiske utfall som den svenske rettstilstanden.36 Det kan altså være grunn til å tro at det hersker ulike oppfatninger om forholdet mellom skyldreglene og tilbakebetalingsplikten rundt omkring i Europa.37 Selv vil jeg i alle fall mene at det norske justisdepartementets forståelse harmoniserer godt med direktivets system. Dette begrunner jeg først og fremst med det eksplisitte unntaket som i artikkel 73 nr. 1 er gitt for tilfeller der kunden mistenkes for bedrageri og banken sender melding til myndighetene om dette. Det klare inntrykket er at kravet om skriftlig melding skal sikre notoritet over bankers påberopelse av unntaket; som uttrykt i SOU 2016:53 skal man unngå at ”leverantörer slentrianmässigt hänvisar till en misstanke om att betalaren har handlat svikligt för att undkomma betalningsansvar”.38 Om banken også skulle kunne nekte tilbakeføring med henvisning til grov uaktsomhet eller ”särskilt klandervärt” på kundens hånd, så fremstår det underlig at direktivet ikke oppstiller noen slik varslingsprosedyre eller dokumentasjonskrav for disse tilfellene — hvor kunden tross alt mistenkes for et mindre alvorlig forhold. Skal banken da kunne velge mellom å enten nekte tilbakeføring under henvisning til en varslet mistanke om svik, eller å bare påstå at kunden var ”grov oaktsam” eller opptrådt ”särskilt klandervärt” — og i det sistnevnte tilfelle kunne nekte tilbakeføring uten noen rapporteringsplikt?39 Etter mitt syn har det formodningen mot seg at PSD II artikler 73 og 74 skal forstås på denne måten.
    Med den forståelsen som er lagt til grunn i norsk rett, bør imidlertid ikke unntaket for tilfeller hvor det er rimelig mistanke om svik fra kunden tolkes for strengt — det er ikke direktivets hensikt å tilrettelegge for ”friendly fraud”. Det kan ikke kreves at banken skal kunne bevise at kunden definitivt forsøker å bedra banken, men at det foreligger ”objektive grunner” som gir opphav til en ”rimelig mistanke”.40 Om kunden mangler en god forklaring på hvordan betalingsinstru-

 

36 Se note 18. Jeg har i Wold, Prosessbyrden ved betalingssvindel argumentert for at en slik motregningsinnsigelse ikke kan aksepteres etter norsk rett dersom man legger til grunn den forståelse av tilbakeføringsplikten som norske myndigheter har gjort. 37 Et annet eksempel på en forståelse i tråd med den ”svenske” tolkningen ser vi i den europeiske bankføderasjonens veiledning til det første betalingstjenestedirektivet, som langt på vei reiste samme tolkningsspørsmål, se EBF, European Banking
Industty PSD Expert Group, Guidance For The Implementation Of The Payment Services
Directive Version 1.0 — August 2009, s. 25–26. 38 SOU 2016:53 s. 268. 39 Så vidt jeg kan se, legger ordlyd og forarbeider i lagen om betaltjänster til rette for nettopp dette. Ordlyden i 5 a kap. 1 § annet ledd kan kanskje forstås slik at varslingsplikten etter svensk rett også skal omfatte tilbakehold på andre grunnlag enn mistanke om transaksjonen egentlig var ”behörig”. I SOU 2016:53 virker det imidlertid helt klart forutsatt at det er en eventuell mistanke om at transaksjonen egentlig var autorisert som skal rapporteres, se side 268. Det er også klart at det er dette som er direktivets ordning. Hvordan denne varslingsplikten praktiseres av svenske banker har jeg ikke lyktes i å klarlegge. 40 Jf. fortalens avsnitt 71.

ment/ koder har havnet på avveie, eller svindelen svarer til karakteristika som er typisk for friendly fraud, må dette normalt være tilstrekkelig til å kunne holde igjen betalingen for nærmere undersøkelser.41 Når man leser sammenhengen mellom PSD I og PSD II, og også ser hen til EU-kommisjonens veiledninger til PSD I, er inntrykket at unntaket for rimelig mistanke om svik nettopp er ment å gi bankene en rimelig ”etterforskningsperiode”.42 På en annen side vil det være ganske mange kunder hvor det raskt vil være åpenbart at det ikke er snakk om ”friendly fraud” — slik som saksforholdene i HR-2022-1752-A og NJA 2022 s. 522. I slike saker fremstår det vel helt ubetenkelig at prosessbyrden legges på banken.

 

5 Om norsk praksis — juss og virkelighet
Erfaringen fra Norge har imidlertid vist at å ha en regel om snudd prosessbyrde ikke nødvendigvis innebærer at prosessbyrden faktisk snur i praksis. Som fremhevet over, var det allerede fra 1999 gjeldende rett i Norge at bankene som utgangspunkt måtte tilbakeføre det omstridte beløpet fra ikke godkjente betalingstransaksjoner. Det eneste lovlige unntaket, var å bringe saken inn for Finansklagenemda eller domstolene innen fire uker.43 Det fremtrer imidlertid stadig klarere at lovens system altfor sjelden ble fulgt. Det norske rettshjelpstiltaket ID-juristen, som blant annet tilbyr gratis rettshjelp i betalingssvindelssaker, gjorde i 2022 en gjennomgang av innkomne saker hvor innestående på kundens konto var ført ut av svindlere. Gjennomgangen viste at det var normen heller enn unntaket at bankene holdt igjen beløpet fra svindelen på det grunnlag banken selv mente var riktig — uten å bringe forholdet inn for nemnd eller domstol.44 På bakgrunn av gjennomgangen sendte ID-juristen et varsel til det norske Forbrukertilsynet,45 som etter nærmere under-

 

41 Man kan vel også tenke at banken i medhold av regelverket om hvitvasking (”penningtvätt”) bør holde et våkent øye med aktiviteten på kontoen til kunder som får tilbakeføring, jf. for Norges del; hvitvaskingsloven §§ 9 og 24 om henholdsvis risikobaserte kundetiltak og løpende oppfølgning. 42 Se EU-Kommisjonen, Your questions on PSD Payment Services Directive 2007/64/EC
Questions and answers s. 187, hvor det skisseres at bankene under PSD I ”might take reasonable time to conduct an investigation” i tilfeller hvor det er alvorlig mistanke om at kunden opptrer bedragersk. Inntrykket er at unntaket I PSD II artikkel 73 nr. 1 om rimelig mistanke for svik tar sikte på å formalisere denne fremgangsmåten, som under PSD I tilsynelatende ble lest inn i skillet mellom godkjente og ikke godkjente transaksjoner. 43 Finansavtaleloven 1999 § 37 annet ledd. Unntaket er fjernet ved vedtakelsen av ny finansavtalelov 44 Brev sendt fra rettshjelptiltaket ID-juristen til forbrukertilsynet og finanstilsynet 21. april 2022, som omtalt i note 20. Brevet er tilgjengelig på https:// www.forbrukertilsynet.no/wp-content/uploads/2022/06/brev-fra-id-juristen...vedlegg.pdf. For ordens skyld; forfatteren bisto ID-juristen med faglige råd i forbindelse med brevet som ble sendt til de norske tilsynsmyndighetene. ID-juristen er finansiert gjennom forskningsprosjektet Samfunnssikkerhet og Digitale Identiteter, hvor forfatteren også er ansatt som stipendiat. 45 Ibid.

søkelser av bankenes tilbakeføringspraksis kom til samme konklusjon.46 Med litt humør kan vi vel si at mange norske banker — 117 år etter unionsoppløsningen — har praktisert svensk rett på dette punktet: kunden har fått tilbakeført svindelbeløpet med mindre banken har ment at kunden var ansvarlig for tapet, tilsvarende lagen om betaltjänster kap. 5 a 1 §.
    En viss distanse mellom ”law in books” og ”law in action” virker heller ikke å være noe særnorsk fenomen på dette punkt. Om situasjonen i Belgia, uttaler Steennot at ”… Belgian PSPs do not always comply with this requirement. PSPs fear that they will not be able to recover the reimbursed amounts from the payer, if at a later stage it is found that the payer is liable. This behaviour is stimulated by the lack of a specific civil remedy, that payers can invoke if PSPs do not comply with this rule.”47 I tråd med hva Steennot fremhever, kan man nok også i Norge til dels forklare bankenes manglende etterlevelse av prosessbyrderegelen med at det ikke har vært noen åpenbar privatrettslig konsekvens ved regelbrudd. Kunden har selvsagt kunnet klage saken inn for Finansklagenemda, men banken har i slike tilfeller sittet med beløpet under hele tvisteperioden, og kan i klagesaken gjøre gjeldende at kunden var ansvarlig grunnet grov uakstomhet eller forsett. Anførsler om at brudd på plikten avskjærer bankens krav om at kunden dekker tapet, har blitt kontant avvist av nemda.48 Bankene hadde dermed i realiteten alt å tape på å tilbakeføre beløpet til kunden ved tvist.
    Det er imidlertid nå relativt klart at tilbakeføringskravet etter norsk rett utgjør et selvstendig krav, som det løper forsinkelsesrenter på.49 Forbrukertilsynet går i rapporten fra 2022 også langt i å varsle bankene om at fremtidige brudd på regelen vil bli møtt med offentligrettslige sanksjoner.50 Kanskje kan dette medføre at norsk bransjepraksis skjerpes, og at vi får se hvilke utslag en regel om snudd prosessbyrde får i virkeligheten?

 

6 Avsluttende refleksjoner
Diskusjonen om prosessbyrde ved betalingssvindel viser viktigheten av at spørsmål om forbrukerhensyn ikke reduseres til ufravikelige kontraktsreguleringer. På forbrukerområdet er problemstillinger av prosessuell og prosesstaktisk art minst like viktig som det er ellers i jussen. Vi kan her trekke paralleller til EU-domstolens etter hvert rikholdige praksis om forholdet mellom EU-forbrukerretten og nasjonal prosess-

 

46 Forbrukertilsynet, Orientering til bankene — krav til bankenes tilbakeføring av forbrukers tap ved uautoriserte transaksjoner, (https://www.forbrukertilsynet.no/wp-content/ uploads/2022/12/orientering-til-bankene-krav-til-bankenes-tilbakeforing-avforbrukers-tap-ved-uautoriserte-transaksjoner.pdf). 47 Stennoot (2021) s. 174. PSPs sikter her til betalingstjenesteyter, altså banken. 48 Se for eksempel FINKN-2022-1006. 49 Finansavtaleloven § 4-32 annet ledd og FINKN-2022-1006. Se nærmere om dette i Wold, Prosessbyrden ved betalingssvindel. 50 Forbrukertilsynet, Orientering til bankene, s. 12–13.

lovgivning.51 Domstolens resonnement har nettopp vært at forbrukerens antatt svakere stilling kan medføre at hen ikke har noen ”reell mulighet” til å vinne frem med sitt krav dersom den prosessuelle posisjonen ikke styrkes.52 For tilfellet diskutert i denne artikkelen er det formelt sett ikke prosessrett det handler om, men den underliggende avveiningen er langt på vei den samme — i hvilken grad må forbrukerretten gå forbi materielle ansvarsfordelingsspørsmål og også regulere tvisteprosedyren? Dette er antakelig spørsmål norske og svenske rettsanvendere i økende grad vil måtte forholde seg til i tiårene som kommer.

 

 

51 For omtalte av denne praksisen fra norsk perspektiv, se Wold, Vebjørn og Omland, Petter, I rimelighetens navn, Finansforetakenes betalingssøksmål mot forbrukere og
EØS-forbrukerrettens prosessuelle side, Løvlie, Hodnefjeld, Olthuis (red.), Festskrift — Jussbuss 50 år, RennessanseMedia, Oslo (2021) s. 68–89. 52 Se for eksempel sak C-176/17 Profi Credit Polska I avsnitt 69, med videre henvisninger (ECLI:EU:C:2018:711).