Kortsvindel: egenandel, ansvar og frister

Reglene om misbruk av kort står i finansavtaleloven kapittel 4, og de er strengere mot banken enn de fleste tror. Utgangspunktet i § 4-30 første ledd er at betalingstjenesteyteren er ansvarlig for tap som skyldes en ikke godkjent betalingstransaksjon. Unntakene må banken bevise.

Ansvarstrappen

Situasjon	Ditt ansvar	Hjemmel
Uautorisert transaksjon, ingen skyld hos deg	0 kr	§ 4-30 (1)
Kortet tapt, stjålet eller uberettiget tilegnet	Egenandel inntil 450 kr	§ 4-30 (2)
Du kunne ikke ha oppdaget tapet på forhånd og har ikke opptrådt svikaktig	0 kr	§ 4-30 (2) annet punktum
Grov uaktsomhet i brudd på § 4-23 (1) eller § 4-24 (1)	Hele tapet, men maks 12 000 kr ved elektronisk betalingsinstrument	§ 4-30 (3)
Forsett — du måtte forstå at misligholdet ga nærliggende fare for misbruk	Hele tapet, uten tak	§ 4-30 (4)
Tap oppstått etter at du varslet	0 kr	§ 4-30 (5) a
Banken har ikke tilrettelagt for varsling	0 kr	§ 4-30 (5) b
Banken har ikke krevd sterk kundeautentisering	0 kr	§ 4-30 (5) c
Tapet skyldes banken selv eller noen som opptrer på dens vegne	0 kr	§ 4-30 (5) første punktum

To presiseringer som velter den vanlige fremstillingen. For det første er 12 000 kroner et tak, ikke en egenandel: du svarer for «hele tapet», men aldri mer enn 12 000 kroner. Er tapet 4 000 kroner, er ansvaret 4 000 kroner. For det andre finnes det ikke noe tak ved forsett (§ 4-30 fjerde ledd). 12 000-grensen gjelder bare ved grov uaktsomhet.

Regelen som oftest gir null i ansvar

§ 4-30 femte ledd bokstav c: har betalerens betalingstjenesteyter ikke krevd sterk kundeautentisering, svarer du ikke for tapet i det hele tatt — med mindre du har opptrådt svikaktig. Sterk kundeautentisering vil si to av tre faktorer: noe du vet, noe du har, noe du er.

Dette er praktisk viktig ved netthandel. Gikk transaksjonen gjennom uten BankID, app-godkjenning eller annen tofaktorbekreftelse, er utgangspunktet at hele tapet ligger hos banken. Spør uttrykkelig om det ble krevd sterk kundeautentisering, og be om å få det dokumentert.

Hvem har bevisbyrden?

Banken. Finansavtaleloven § 3-7 første ledd legger bevisbyrden for at transaksjonen «ble autentisert, korrekt registrert og bokført og ikke var berørt av teknisk svikt» på betalingstjenesteyteren når kunden nekter for å ha godkjent den.

Tredje ledd går lenger, og er verdt å sitere når banken viser til at kortet faktisk ble brukt:

«[B]ruken av et betalingsinstrument som er registrert av betalingstjenesteyteren […] er ikke i seg selv tilstrekkelig til å bevise at betalingstransaksjonen var godkjent av betaleren, eller at betaleren har opptrådt svikaktig eller forsettlig eller ved grov uaktsomhet har unnlatt å oppfylle en eller flere av sine plikter […]»

Og fjerde ledd hever beviskravet: det kreves kvalifisert sannsynlighetsovervekt for å bevise at en forbruker har samtykket til transaksjonen eller svikaktig eller forsettlig har unnlatt å oppfylle pliktene sine. «Kortet og koden ble brukt, altså må du ha gjort det» er derfor ikke et tilstrekkelig argument fra banken.

Bankens frist: neste virkedag

Dette er den mest oversette regelen i hele kapittelet. Finansavtaleloven § 4-32 første ledd:

«I den utstrekning kunden som følge av reglene i § 4-30 bestrider å ha ansvar for en ikke godkjent betalingstransaksjon, skal betalingstjenesteyteren straks, og senest innen utgangen av den påfølgende virkedagen, tilbakeføre beløpet og erstatte rentetap fra belastningstidspunktet.»

Banken skal altså tilbakeføre først og eventuelt utrede saken etterpå. Plikten gjelder ikke egenandelen etter § 4-30 annet ledd, og den forutsetter at du har varslet i tide etter § 4-24 annet ledd.

Det finnes ett lovlig unntak, og det er snevert. Har banken rimelige grunner til mistanke om svik, kan den la være å tilbakeføre — men bare hvis den innen fire uker fra den mottok skriftlig innsigelse anlegger søksmål eller bringer saken inn for et godkjent klageorgan. Stevningen eller klagen må være skriftlig og begrunnet. Konkluderer nemnda eller domstolen med at det ikke forelå rimelig mistanke om svik, svarer banken forsinkelsesrenter fra den dagen beløpet skulle vært tilbakeført.

Dine frister

Frist	Lengde	Hjemmel
Melde tap, tyveri eller misbruk	Uten ugrunnet opphold etter at du ble oppmerksom	§ 4-24 (1)
Absolutt reklamasjonsfrist for retting	13 måneder fra belastningstidspunktet	§ 4-24 (2)
13-månedersfristen bortfaller	hvis banken ikke har gitt deg opplysningene om transaksjonen	§ 4-24 (2) annet punktum
Bankens dokumentasjon av sperremelding	minst 18 måneder	§ 4-23 (2)

Begge fristene må være oppfylt. En kunde som oppdaget trekket etter to måneder og deretter ventet i åtte, er innenfor 13-månedersfristen, men kan likevel ha tapt retten fordi varselet ikke kom uten ugrunnet opphold. Sjekk kontoutskriften jevnlig — det er den eneste måten å oppdage småbeløp på.

Hva er grov uaktsomhet?

Terskelen er høy, og den knytter seg til bestemte plikter. § 4-30 tredje ledd gjelder bare brudd på § 4-23 første ledd — at konto og betalingsinstrument skal brukes i samsvar med vilkårene, og at du skal ta «alle rimelige forholdsregler for å beskytte personlig sikkerhetsinformasjon» — eller på varslingsplikten i § 4-24 første ledd.

Selv når du i utgangspunktet har ansvar, kan ansvaret lempes etter § 4-31. Lempingen bygger på en rimelighetsvurdering av hva slags personlig sikkerhetsinformasjon som var knyttet til instrumentet, omstendighetene da det ble tapt, og manglende aktsomhet eller andre forhold på bankens side som har medvirket til tapet. Ansvaret kan også lempes hvis brukerstedet forsto eller burde forstå at bruken var urettmessig. Lemping er utelukket ved svik og ved forsettlig brudd på pliktene.

Hva slags svindel er det snakk om?

Reglene over gjelder ikke godkjente betalingstransaksjoner — altså der noen andre har brukt kortet ditt uten ditt samtykke. Samtykkekravet står i § 4-2 første ledd: en transaksjon anses godkjent bare når betaleren har gitt sitt samtykke. Det gir tre ganske ulike situasjoner:

Situasjon	Hvilke regler
Kortet eller kortopplysningene er brukt av andre	§§ 4-30 til 4-32 — reglene i denne artikkelen
Noen har brukt BankID eller annen elektronisk signatur i ditt navn	§§ 3-19 til 3-21 — egne, men nesten identiske regler
Du har selv betalt, men fått noe annet enn avtalt	§ 2-7 — innsigelsesretten, ikke svindelreglene

Den midterste er verdt å kjenne. Blir de elektroniske signaturfremstillingsdataene dine — i praksis BankID — misbrukt, gjelder finansavtaleloven § 3-20 med de samme beløpene: egenandel inntil 450 kroner som utgangspunkt, inntil 12 000 kroner ved grov uaktsom unnlatelse av pliktene etter § 3-19, og fullt ansvar ved forsett. Ansvaret kan lempes etter § 3-21 etter de samme kriteriene som ved kortmisbruk, blant annet når forhold på tjenesteyterens side har medvirket til tapet.

Den tredje raden er den vanligste kilden til forvirring. Har du selv godkjent betalingen, men blitt lurt om hva du betalte for, er transaksjonen «godkjent» i lovens forstand. Da hjelper ikke § 4-30. Er kjøpet gjort på kreditt, er innsigelsesretten i § 2-7 sporet i stedet.

Slik går du fram

1. Sperr kortet med én gang. Ansvaret opphører fra det tidspunktet varselet er gitt. Sjekklisten står i sperre kortet.
2. Bestrid transaksjonene skriftlig og vis til § 4-30. Skriv at du krever tilbakeføring etter § 4-32 første ledd.
3. Be om dokumentasjon på at det ble krevd sterk kundeautentisering, jf. § 4-30 femte ledd bokstav c.
4. Anmeld forholdet. Politianmeldelse er ikke et lovkrav, men den dokumenterer tidspunkt og hendelsesforløp.
5. Klag til Finansklagenemnda Bank hvis banken avviser kravet eller lar fristen løpe. Fremgangsmåten står i klage på banken.

Er kortmisbruket en del av et større ID-tyveri — nye avtaler inngått i ditt navn — er sporet et annet. Se ID-tyveri: det første døgnet. Gjelder saken en vare eller tjeneste du selv kjøpte, men som ikke ble levert, er det innsigelsesretten i § 2-7 som gjelder, ikke reglene her. Se chargeback.