Stutta svarið
Banki eða annar greiðsluþjónustuveitandi ber að meginreglu tjón af greiðslu sem viðskiptavinur heimilaði ekki. Viðskiptavinurinn á þá almennt rétt á tafarlausri endurgreiðslu, eigi síðar en við lok næsta virka dags eftir að bankinn uppgötvar færsluna eða fær tilkynningu um hana. Bankinn þarf að sanna sannvottun og rétta skráningu. Það eitt að kort, PIN-númer eða rafræn skilríki hafi verið notuð sannar ekki sjálfkrafa samþykki eða stórfellt gáleysi.
Viðskiptavinur getur þó þurft að bera allt að jafnvirði 50 evra þegar tjónið stafar af týndu, stolnu eða misnotuðu greiðslumiðli. Hann getur borið allt tjónið ef hann olli greiðslunum með sviksamlegum hætti eða braut af ásetningi eða stórfelldu gáleysi gegn skyldum um notkun og öryggi greiðslumiðils. Eftir að kort eða misnotkun hefur verið tilkynnt ber hann almennt ekki frekara tjón.
Önnur regla getur gilt þegar viðskiptavinur framkvæmir sjálfur millifærslu eða staðfestir rétta fjárhæð og viðtakanda en gerir það vegna blekkinga. Slík greiðsla getur talist heimiluð þótt viðskiptin að baki henni séu svik. Þá er ekki sjálfgefinn réttur til endurgreiðslu samkvæmt reglum um óheimilaðar greiðslur. Reyna þarf tafarlaust afturköllun, tilkynna lögreglu og kanna endurkröfu, samningsbundin úrræði og hvort bankinn hafi sjálfur brugðist sérstakri aðgæslu- eða öryggisskyldu.
Fyrsta spurningin er hvort greiðslan var heimiluð
Lög nr. 114/2021 um greiðsluþjónustu byggja ábyrgðina fyrst og fremst á samþykki. Greiðsla telst aðeins heimiluð ef greiðandinn samþykkti framkvæmd hennar á því formi sem hann og bankinn sömdu um.
Ef samþykki er ekki fyrir hendi telst greiðsla ekki hafa verið heimiluð.
—
Þetta leiðir til mikilvægs greinarmunar:
Svik við undirliggjandi kaup gera greiðslu því ekki sjálfkrafa óheimila. Á sama hátt verður færsla ekki sjálfkrafa heimiluð aðeins vegna þess að kerfi bankans skráði notkun öryggisskilríkja.
Hvað þarf bankinn að endurgreiða?
Haldi viðskiptavinur því fram að greiðsla hafi verið óheimil og tilkynni innan tilskilins tíma skal bankinn almennt endurgreiða alla fjárhæðina strax og færa reikninginn í þá stöðu sem hann hefði verið í án færslunnar. Endurgreiðsla á að fara fram eigi síðar en við lok næsta virka dags.
Ef notandi greiðsluþjónustu heldur því fram að greiðsla sé óheimil skal greiðsluþjónustuveitandi greiðanda [...] endurgreiða greiðanda þegar í stað fjárhæð óheimiluðu greiðslunnar.
—
Bankinn getur neitað þessari tafarlausu endurgreiðslu ef hann hefur grun um svik og tilkynnir gruninn til Fjármálaeftirlits Seðlabanka Íslands. Endanleg ábyrgð ræðst þá áfram af samþykki, sönnun og reglum 80. gr., ekki af því einu að bankinn hafi merkt færslu grunsamlega.
Viðskiptavinur þarf að tilkynna óheimila eða ranglega framkvæmda greiðslu án óþarfa tafar eftir að hann verður hennar var og í síðasta lagi innan 13 mánaða frá skuldfærslu. Þrettán mánuðir eru ytri mörk, ekki ráðlegging um að bíða. Tilkynning sama dag getur komið í veg fyrir frekara tjón og aukið líkur á að stöðva eða endurheimta fjármuni. Þrettán mánaða mörkin gilda þó ekki ef bankinn veitti ekki eða gerði ekki aðgengilegar lögboðnar upplýsingar um greiðsluna.
Umfjöllunin hér miðast við neytanda. Sé notandi greiðsluþjónustunnar ekki neytandi má í samningi víkja frá sumum reglnanna, meðal annars um sönnun og ábyrgð greiðanda, og semja um annan tilkynningarfrest.
Hver ber sönnunarbyrðina?
Bankinn þarf að sanna að greiðslan hafi verið sannvottuð, rétt skráð og færð í reikningshald og að tæknileg bilun eða annar ágalli hafi ekki haft áhrif á hana. Ef bankinn byggir á svikum eða stórfelldu gáleysi viðskiptavinar þarf hann jafnframt að leggja fram gögn því til stuðnings.
Ef notandi greiðsluþjónustu neitar að hafa heimilað framkvæmd greiðslu fer það eftir atvikum hvort notkun greiðslumiðils [...] dugi ein og sér til sönnunar á því að greiðandi hafi annaðhvort heimilað greiðsluna eða [...] af stórfelldu gáleysi látið hjá líða að uppfylla [...] skyldur.
—
Í reynd þarf að skoða tæknigögnin: hvaða tæki og auðkenni voru notuð, hvaða fjárhæð og viðtakandi birtust við staðfestingu, hvenær samþykki var veitt og hvort hver færsla fékk sjálfstæða staðfestingu. Skjáskot, smáskilaboð, tilkynningar úr bankaappi og nákvæm tímalína geta því skipt úrslitum.
Hvenær ber viðskiptavinurinn hluta tjónsins eða allt?
Ef óheimila greiðslan varð vegna týnds, stolins eða misnotaðs greiðslumiðils ber greiðandi almennt tap allt að jafnvirði 50 evra í íslenskum krónum. Sú sjálfsábyrgð gildir þó ekki ef honum gat ekki orðið misnotkunin ljós og hann sýndi ekki af sér sviksamlega háttsemi, eða ef tapið stafaði af starfsmanni, umboðsaðila eða útvistunaraðila bankans.
Greiðandi getur þurft að bera allt tjónið ef hann:
- stofnaði til greiðslnanna með sviksamlegum hætti,
- braut af ásetningi gegn skyldum sínum um notkun og öryggi eða
- braut gegn þeim af stórfelldu gáleysi.
Venjuleg mistök eða einfalt gáleysi jafngilda ekki sjálfkrafa stórfelldu gáleysi. Meta þarf aðstæður, eðli öryggisskilríkjanna, viðvaranir sem birtust og hvernig kort, sími, PIN-númer eða rafræn skilríki voru varðveitt og notuð.
Í hafði þriðji maður tekið debetkort og komist yfir PIN-númer eftir að korthafinn notaði kortið að beiðni ókunnugs manns í París. Kortið var síðan notað í 13 úttektir. Landsréttur taldi bankann hafa lagt fram nægar upplýsingar um aðdragandann og korthafann hafa sýnt stórfellt gáleysi við notkun og varðveislu korts og öryggisskilríkja. Hann þurfti því að bera allt tjónið.
Í ljósi aðstæðna [hafði hann] sýnt af sér stórfellt gáleysi við notkun og varðveislu debetkortsins og öryggisskilríkjanna.
—
Dómurinn segir ekki að notkun PIN-númers ein og sér sanni alltaf stórfellt gáleysi. Niðurstaðan byggðist á heildstæðu mati á aðstæðum og gögnum bankans.
Hvaða áhrif hefur sterk sannvottun?
Banki á meðal annars að krefjast sterkrar sannvottunar þegar viðskiptavinur skráir sig inn á greiðslureikning á netinu eða virkjar rafræna greiðslu. Við fjargreiðslu á sannvottunin að tengjast virkri, tiltekinni fjárhæð og tilteknum viðtakanda. Nánari reglur nr. 1360/2023 innleiða tæknilegar EES-reglur um slíka sannvottun.
Krefjist bankinn ekki sterkrar sannvottunar ber greiðandi almennt ekkert tjón af óheimilaðri greiðslu nema hann hafi sjálfur sýnt sviksamlega háttsemi. Sterk sannvottun er þó ekki sama og óyggjandi sönnun um samþykki. Hún getur sýnt að tilteknir auðkenningarþættir voru notaðir; bankinn þarf enn að tengja gögnin við þá fjárhæð og þann viðtakanda sem deilt er um.
Í úrskurði taldi úrskurðarnefnd um viðskipti við fjármálafyrirtæki bankann hafa sýnt með gögnum að hver umdeild kortafærsla hefði verið samþykkt með rafrænum skilríkjum. Kröfu um endurgreiðslu var því hafnað. Úrskurður nefndar er ekki dómur og hvert mál ræðst af eigin sönnunargögnum.
Hvað ef viðskiptavinurinn millifærði sjálfur vegna svika?
Samþykkt greiðsla vegna svika á sér stað þegar brotaþoli er blekktur til að framkvæma eða samþykkja greiðsluna sjálfur. Dæmi eru fölsk fjárfesting, falskur reikningur frá birgi eða símtal frá aðila sem þykist vera starfsmaður banka.
Ef viðskiptavinurinn valdi eða sá rétta fjárhæð og viðtakanda og samþykkti greiðsluna á umsömdu formi getur hún talist heimiluð samkvæmt 64. gr., þótt svikarinn hafi blekkt hann um tilefnið. Þá ber bankanum ekki sjálfkrafa að endurgreiða samkvæmt 79. gr. Möguleg krafa á bankann þarf til dæmis að byggjast á sannaðri vanrækslu á sérstakri öryggis-, aðgæslu- eða samningsskyldu og orsakatengslum við tjónið.
Þetta kom fram í úrskurði . Viðskiptavinur hafði sjálfur millifært 5.000 evrur með rafrænum skilríkjum til kaupa á rafmynt eftir ítarleg fjárfestingarsvik. Nefndin taldi ekki sannað að bankinn hefði haft sérstaka vitneskju sem gaf honum tilefni til að sjá svikin fyrir eða stöðva greiðsluna. Endurgreiðslukröfu var hafnað.
Niðurstaðan getur orðið önnur ef svikari framkvæmdi greiðsluna, ef viðskiptavinurinn samþykkti ekki þá fjárhæð eða þann viðtakanda sem birtist eða ef bankinn hafði sérstakar upplýsingar og brást skýrri skyldu. Því þarf að varðveita staðfestingarskjáinn og greina nákvæmlega hvað viðskiptavinurinn gerði.
Hvað á að gera strax?
- Hafa þarf tafarlaust samband við bankann, loka korti og netbankaaðgangi og óska eftir stöðvun eða afturköllun millifærslu.
- Tilkynna þarf hverja umdeilda færslu skriflega og taka skýrt fram hvort viðskiptavinurinn neitar að hafa heimilað hana eða samþykkti greiðsluna vegna blekkinga.
- Krefjast þarf tæknigagna um samþykki, sannvottun, tæki, tíma, fjárhæð og viðtakanda og rökstuddrar afstöðu til 64. og 77.–80. gr. laganna.
- Varðveita þarf smáskilaboð, tölvupóst, símtalaskrá, skjáskot, vefslóðir, tilkynningar úr bankaappi og reikningsyfirlit.
- Tilkynna þarf fjársvikin til lögreglu og afhenda bankanum málsnúmer ef það liggur fyrir.
- Kanna þarf endurkröfu samkvæmt kortareglum eða hjá seljanda. Slík endurkrafa er sérstakt úrræði og ekki það sama og lögbundin endurgreiðsla óheimilaðrar greiðslu.
Bankinn á að hafa skilvirka kvörtunarleið. Svarfrestur má að jafnaði ekki vera lengri en 15 virkir dagar samkvæmt reglum sem settar eru á grundvelli 103. gr. Ef ágreiningur leysist ekki má bera neytendamál undir úrskurðarnefnd um viðskipti við fjármálafyrirtæki. Dómsmál getur einnig komið til greina.
Niðurstaða
Bankinn ber almennt tjón af raunverulega óheimilaðri kortafærslu eða netbankagreiðslu og þarf að endurgreiða hana hratt. Ábyrgð viðskiptavinar er venjulega takmörkuð við jafnvirði 50 evra, en getur náð til alls tjónsins við svik, ásetning eða stórfellt gáleysi. Bankinn ber sönnunarbyrði fyrir sannvottuninni og fyrir þeirri háttsemi sem hann byggir slíka aukna ábyrgð á.
Þegar brotaþoli hefur sjálfur samþykkt rétta fjárhæð og viðtakanda eftir blekkingu er greiðslan hins vegar oft heimiluð í skilningi greiðsluþjónustulaga. Þá þarf sérstakan grundvöll til að færa tjónið á bankann. Úrslitaatriðin eru því ekki aðeins að svik hafi átt sér stað, heldur hver framkvæmdi greiðsluna, hvað samþykkið náði til, hvaða öryggisgögn liggja fyrir og hversu hratt var tilkynnt.
Heimildir
This article provides general legal information, not advice for a specific matter. Laws, facts and procedural deadlines may change the result. Follow the linked primary sources and obtain local advice before acting.