Vipps, Apple Pay og Google Pay — sikkerhet og ansvar

Betaler du med telefonen, betaler du fortsatt med kortet. Den digitale lommeboken er en måte å presentere kortet på, ikke en ny type kreditt eller en ny konto. Det er også svaret på de fleste spørsmålene om ansvar: reglene som gjelder for plastkortet, gjelder her.

Hva er tokenisering?

Kortnummeret ditt legges ikke inn i telefonen. I stedet får enheten et token — et eget nummer som representerer kortet, og som bare er gyldig for den enheten. Betalingen skjer med tokenet og en engangskode som er unik for hver transaksjon.

Tre praktiske konsekvenser følger av dette:

• Butikken får aldri se kortnummeret ditt. Lekker brukerstedets systemer, lekker et token som ikke kan brukes andre steder.
• Tokenet kan sperres alene. Mister du telefonen, kan utstederen sperre tokenet uten å sperre plastkortet — og motsatt.
• Nytt kort betyr ikke nytt oppsett. Ved kortbytte oppdateres tokenet i mange tilfeller automatisk.

Selve godkjenningen skjer i telefonen, med ansiktsgjenkjenning, fingeravtrykk eller kode. Det er dette som gjør at kravet til sterk kundeautentisering normalt er oppfylt: noe du har (telefonen med tokenet) og noe du er eller vet (biometri eller kode).

Hvem eier hva?

Vipps drives av Vipps MobilePay AS, org.nr. 918 713 867, et selskap i Vipps-konsernet. Samme konsern, Vipps Holding AS, eier Stø AS — selskapet som driver BankAxept, og som het BankID BankAxept AS fram til 19. mai 2025. Apple Pay og Google Pay er tekniske løsninger som formidler kort utstedt av din egen bank; kortutstederen er fortsatt banken din, ikke teknologiselskapet.

Hvem som er utsteder betyr noe, for det er utstederen kravene dine rettes mot. Hva som skiller de underliggende betalingsordningene, står i BankAxept, Visa Debit og Mastercard Debit.

Hvem har ansvaret ved misbruk?

De samme reglene som ved kortmisbruk. En digital lommebok er et betalingsinstrument, og finansavtaleloven §§ 4-30 til 4-32 gjelder fullt ut:

Situasjon	Ditt ansvar
Uautorisert transaksjon, ingen skyld hos deg	0 kr
Telefonen tapt eller stjålet	Egenandel inntil 450 kr
Grov uaktsomhet	Hele tapet, maks 12 000 kr
Forsett	Hele tapet, uten tak
Tap etter at du varslet	0 kr
Banken krevde ikke sterk kundeautentisering	0 kr

Bankens plikt til å tilbakeføre beløpet «straks, og senest innen utgangen av den påfølgende virkedagen» (§ 4-32 første ledd) gjelder også her, og bevisbyrden ligger på banken etter § 3-7. Full gjennomgang står i kortsvindel: egenandel, ansvar og frister.

Beløpsgrenser du selv kan sette

Finansavtaleloven § 4-9 lar deg og banken avtale beløpsgrenser for transaksjoner med betalingsinstrumentet. Grensene for mobilbetaling er altså avtalt, ikke lovbestemt, og de står i din avtale — som regel justerbare i appen eller nettbanken.

Tre grep som er verdt ti minutter:

1. Sett en lav grense per transaksjon for den digitale lommeboken, hvis du bruker den til hverdagskjøp.
2. Slå av kontaktløs betaling uten opplåsing der løsningen tillater det.
3. Legg kredittkortet i lommeboken for netthandel og reiser, og debetkortet for dagligvarer. Da har du innsigelsesretten der den er verdt noe.

Telefonen er stjålet — hva gjør du?

1. Sperr betalingsinstrumentene. Ring banken eller bruk en annen enhet. Utstederen skal kunne motta varsel til enhver tid og straks hindre videre bruk (§ 4-23 annet ledd). Be om kvittering — den skal kunne dokumenteres i minst 18 måneder, og den fastslår tidspunktet ansvaret ditt opphørte (§ 4-30 femte ledd bokstav a).
2. Fjernslett eller lås enheten via produsentens finn-min-enhet-tjeneste. Det sperrer også tokenene i mange løsninger.
3. Sperr BankID hvis den ligger på telefonen. Misbruk av elektronisk signatur har egne regler i finansavtaleloven §§ 3-19 til 3-21, med de samme beløpene: 450 kroner i utgangspunktet, inntil 12 000 kroner ved grov uaktsomhet.
4. Gå gjennom transaksjonene og bestrid det du ikke kjenner igjen, skriftlig.
5. Anmeld forholdet.

Rekkefølgen og fristene i sin helhet står i sperre kortet.

Når du sender penger til feil person

En overføring mellom privatpersoner er ikke et kortkjøp, og reglene er andre. Finansavtaleloven § 4-26 første ledd er utgangspunktet: et betalingsoppdrag som er gjennomført i samsvar med det angitte kontonummeret eller annen entydig identifikasjon — for eksempel et mobilnummer — regnes som korrekt gjennomført overfor den mottakeren identifikasjonen utpeker. Det gjelder selv om du i tillegg oppga navn som ikke stemte. Banken kan da ikke holdes ansvarlig.

Men den slipper ikke unna med det. § 4-26 annet ledd pålegger betalingstjenesteyteren å «treffe rimelige tiltak for å få beløpet tilbakeført», og mottakerens bank plikter å samarbeide og gi relevante opplysninger. Lar beløpet seg ikke hente inn, skal banken etter skriftlig forespørsel fra deg gi alle opplysninger den har tilgang til som er relevante for å få pengene tilbake (§ 4-26 tredje ledd) — slik at du selv kan forfølge kravet.

Praktisk: meld fra til banken samme dag, be skriftlig om tiltak etter § 4-26 annet ledd, og be om opplysningene etter tredje ledd hvis pengene ikke kommer tilbake. Kontroller alltid mottakerens navn i appen før du bekrefter — det er identifikasjonen, ikke navnet, som er bindende.

Valg av betalingsvaremerke gjelder også i appen

Retten til å velge hvilket betalingsvaremerke som brukes på et kombinert kort gjelder ikke bare plastkortet. Finanstilsynet har uttalt at regelverket gjelder «både fysiske betalingskort og digitale lommebøker». Hjemmelen er forordning (EU) 2015/751 artikkel 8, som gjelder som norsk forskrift etter forskrift 16. desember 2019 nr. 1843 § 1: betalingsmottakeren kan foreslå et varemerke, men betaleren har det endelige valget.

Betaling i utlandet fra telefonen

Vilkårene følger kortet, ikke appen. Bruker du et kort med 2,00 prosent valutapåslag — medianen i det norske markedet — gjelder de 2,00 prosentene også når betalingen skjer med telefonen.

Den ene tingen du selv styrer, er valutavalget. Tilbyr terminalen eller nettbutikken å gjøre om beløpet til norske kroner på salgsstedet, kalles det DCC, og vekslingen gjøres da av brukerstedets leverandør i stedet for av kortnettverket. Finansavtaleloven § 2-3 annet ledd:

«En betalingsmottaker eller en annen som på salgsstedet tilbyr en valutaomregning til betaleren før en betalingstransaksjon iverksettes, skal opplyse betaleren om gebyrer og om vekslingskursen som vil bli benyttet ved vekslingen. Betaleren skal samtykke til vekslingen på dette grunnlaget.»

En terminal som bare spør «NOK eller EUR?» uten å vise kursen og påslaget, oppfyller ikke kravet. Velg alltid lokal valuta. Da får du kortnettverkets kurs pluss utstederens påslag, i stedet for brukerstedets kurs — og hos flere utstedere kommer valutapåslaget på toppen av DCC-marginen uansett.

Er mobilbetaling tryggere enn kortet?

På ett punkt målbart: brukerstedet får aldri kortnummeret, og hver transaksjon godkjennes i enheten. Det fjerner en hel kategori av misbruk — kopierte kortdata fra et lekket brukersted.

På et annet punkt er risikoen flyttet, ikke fjernet. Betalingsmiddelet ligger nå i den gjenstanden du oftest tar fram, legger fra deg og mister. Og den vanligste formen for tap i dag er ikke at noen stjeler kortdataene dine, men at du selv blir overtalt til å godkjenne en betaling. Mot det hjelper verken token eller biometri — bare å stoppe opp før du legger fingeren på skjermen.