Misbruk av BankID- noen obligasjonsrettslige

problemstillinger

og misbrukes

Hvordan skjer misbruk av BankID?

• Misbruk foretatt av en ukjent gjerningsperson

på nett

– Hacking

– Phising

• Misbruk foretatt av nærstående

– Pålogging på annens nettbank, overføring av

penger

– Lån i en annens navn

Rettslig grunnlag for tapsallokering

• Uautoriserte betalingstransaksjoner

– Regulert i finansavtaleloven

• Uautorisert låneopptak

– Ingen særregulering av dette – må løses med

utgangspunkt i alminnelig kontrakts- og

erstatningsrett

Uautoriserte betalingstransaksjoner

• Finansavtaleloven § 35

• Finansinstitusjonen har som hovedregel

ansvar for «uautoriserte

betalingstransaksjoner»

• Kunden er ansvarlig for en egenandel på

12000 kroner ved grov uaktsomhet

• Reiser to spørsmål

– Når er en betalingstransaksjonen «uautorisert»?

– Hvor går grensen for «grov uaktsomhet»?

Når er en betalingstransaksjon

«uautorisert»?

• «En betalingstransaksjon anses bare som

autorisert dersom betaleren har gitt samtykke

til transaksjonen», jf. finansavtaleloven § 24

• Hva om du låner bort BankID til samboeren

for at samboeren skal hjelpe deg med

selvangivelsen?

• Må ha gitt samtykke til den konkrete

transaksjonen

Er det grovt uaktsomt å

følge linken og oppdatere

sikkerhetsinnstillingene

med BankID?

FinKN-2017-649

«Sakens dokumenter viser at både e-posten og den nettsiden

klageren ble ledet inn på, var troverdige. Lenken førte tilsynelatende

til Apples nettside. Den førte likevel ikke dit, men til en falsk side.

Nemnda forstår det slik at det var vanskelig eller umulig for

kortholderen å se at lenken og nettsiden ikke var ekte. Grov

uaktsomhet må derfor i tilfelle begrunnes med at kortholderen fulgte

en lenke i en e-post i stedet for selv aktivt å taste inn adressen, og at

han ga fra seg sikkerhetsopplysninger på den siden lenken første

ham til. … Med den publisitet som finnes om svindel og med de

advarsler som gis mot å la seg svindle, mener nemnda at det må det

regnes som grovt uaktsomt å gi sikkerhetsopplysninger på denne

måten, selv om både e-posten og nettsiden var troverdige. Nemnda

konkluderer med at kortholderen har opptrådt grovt uaktsomt i

saken.»

Misbruk av BankID til låneopptak

• Problemstillinger

– Er en avtale inngått med BankID i en annens

navn bindende for innehaveren av BankID?

• Reiser spørsmål om fullmakt

– Hvis avtalen ikke er bindende, kan den som er

utsatt for ID-tyveriet likevel bli ansvarlig for å

betale tilbake lånet til banken?

Avtalebinding

• Utgangspunktet:

– Avtale inngått i annens navn er ikke bindende

(tilsvarer falsk underskrift)

• Unntak: fullmakt

• Når innebærer misbruk av en annens BankID

fullmakt slik at avtalen binder den som

utsettes for misbruket?

Dansk Højesteret sag 82/2018

• http://www.hoejesteret.dk/hoejesteret/nyheder/Afgorelser/Docu

ments/82-18.pdf

Afgørelsen af, om indehaveren bliver aftaleretligt forpligtet i tilfælde af, at

tredjemand misbruger indehaverens digitale signatur, må træffes på

grundlag af en konkret vurdering af det samlede hændelsesforløb. I denne

vurdering indgår bl.a., under hvilke omstændigheder tredjemand er

kommet i besiddelse af indehaverens nøgle (brugernavn, adgangskode

og nøglekort til NemID), om indehaveren har haft kendskab til, at

tredjemand er kommet i besiddelse af de pågældende oplysninger, og om

indehaveren har gjort, hvad der var muligt for at forhindre misbrug, f.eks.

ved at spærre sit NemID så hurtigt som muligt, jf. herved betænkning nr.

1456/2004 om e-signaturs retsvirkninger, side 105-110. Herefter tiltræder

Højesteret af de grunde, der er anført af landsretten, at A har udvist en

sådan grad af uagtsomhed, at han i forhold til Basisbank hæfter for

låneoptagelsen på aftaleretligt grundlag, selv om underskriften ikke er

tilføjet digitalt af ham selv.

Ansvar på erstatningsrettslig grunnlag

• Den alminnelige culparegelen innebærer at

den som har opptrådt uaktsomt, og dermed

påført en annen tap, blir erstatningsansvarlig.

• Uaktsom håndtering av BankID

– Passord er lett å gjette, ikke byttet på lang tid

– Ikke oppdaterte virusprogrammer

– Skrevet ned passord

– ….

– Erstatningsansvarlig overfor banken?

Utdrag BankID-avtalen

• «PersonBankID er personlig og skal ikke overdras eller på annen måte overlates til

eller brukes av andre enn Kunden. Passord, personlige koder og andre

sikkerhetsprosedyrer må ikke røpes for noen, heller ikke overfor politiet, Banken

eller husstandsmedlemmer. Kunden skal benytte oppdatert programvare, herunder

operativsystem, nettleserprogram og annen programvare for sikker kommunikasjon

med nettstedet, samt antivirusprogramvare. For øvrig skal Kunden følge Bankens til

enhver tid gjeldende sikkerhetsråd.»

• «Dersom noen har handlet i tillit til disposisjoner gjort av uvedkommende som har

misbrukt Kundens BankID, for eksempel inngått avtale med misbrukeren, vil disse

etter alminnelige rettsregler kunne holde Kunden erstatningsansvarlig dersom

misbruket er muliggjort ved forsettlig eller uaktsom handling eller unnlatelse fra

Kundens side.»

• Kan forbrukslånsbanken påberope seg at disse

avtalevilkårene er brutt, og at kunden derfor er

ansvarlig?

BankID-avtalen som tredjemannsavtale– «Prinsippet om avtalens subjektive begrensning er ikke til hinder

for at rettsordenen lenge har godtatt at også en tredjemann kan få

en selvstendig rett på grunn av en avtale som er inngått mellom

andre personer (såkalte tredjemannsavtaler).» Woxholth

BankID-avtale

KundePrimærbank

Forbrukslånsbank

90 år gammel dame med alzheimers

og hjelpeverge (FinKN-2014-550)

«Når det ikke var satt noen begrensninger for klagers bruk av sin bankkonto,

kan nemnda ikke se at banken har utvist noen form for uaktsomhet i denne

saken. Lånesøknaden gjaldt ikke et særlig høyt beløp, og det er ikke opplyst

om noe spesielt påfallende ved den. Søknaden kunne imøtekommes

automatisk. Klager må da være ansvarlig for hele det tapet som måtte bli

følgen av det urettmessige låneopptaket.

Flertallet vil for øvrig tilføye at klager utvilsomt har opptrådt grovt uaktsomt i

forbindelse med oppbevaring av kodebrikke og personlig kode. Etter

avtalens pkt. 9 pliktet hun å sørge for at ikke uvedkommende kunne

misbruke kontoen ved å få tilgang til hennes BankID. I et slikt tilfelle finner

flertallet at klager blir ansvarlig for tapet fullt ut etter alminnelige

erstatningsrettslige regler. Flertallet finner ikke grunnlag for lemping av dette

ansvaret på grunnlag av kontoavtalen eller skadeserstatningsloven § 5-1

eller § 5-2»

LG-2018-151437

Etter lagmannsretten syn har ankende part i dette tilfellet ikke opptrådt med

tilstrekkelig aktsomhet ved bruk av sin nettbank og BankID i forhold til den risiko

som ligger for misbruk av denne type personlig informasjon. Selv om hun ikke har

latt sin samboer bruke hennes nettbank eller opplyst til han hva hennes BankID-

passord var, har hun ikke tatt nødvendige forholdsregler for å sikre at han ikke

kunne gjøre seg kjent hennes BankID-passord. Det vises til at hun etter egen og

samboerens forklaring brukte nettbanken og BankID-passordet selv om de satt

sammen. Det var dette som gjorde det mulig for samboeren å se hva ankende part

tastet inn på sin PC.

Ankende part kunne med letthet ha forhindret at samboer fikk mulighet til å kikke

på passordet hun tastet inn på PC'en ved å vende seg bort fra han ved inntasting

eller at hun skjulte selve inntastingen. Dette gjorde hun imidlertid ikke. Måten hun

forholdt seg på ved bruk av BankID-passordet innebar altså en klar risiko for at

samboeren kunne se hva passordet var. Ved å forholde seg slik, tilsidesatte hun de

generelle kravene og forventingene til henne for bruk av BankID og hun må derfor

bære ansvaret for at BankID-passordet kom til samboerens kunnskap. Hun er

derfor alene på dette grunnlag erstatningsansvarlig for ankemotpartens tap

Ektefelle tar

opp lån i den

andre

ektefellens

navn

• 17-197796TVI-HAUG

• 18-074832TVI-

OTIR/01

• 16-174649TVI-NERO

• 18-050976TVI/ALST

• 14-193249TVI-FOLL

• 17-169552TVI-FOLL

• LA-2017-135340

• LB-2016-43622

Case 4: mor tar opp

lån i datters navn

17-184519TVI-STRO

Case 5: hjemmehjelp misbruker

BankID (HR-2017-2292-A)

Case 7: misbruk i voldelig forhold

• Straffesak, LE-2018-70451

– Mann skyldig i grov mishandling av sin tidligere

samboer over 10 år. Mishandlingen bestod blant

annet av kvelertak, spark mot magen mens

fornærmede var gravid og trusler om å drepe

fornærmede og felles barn.

– «I forbindelse med at samboerskapet tok slutt, tok

tiltalte fornærmedes BankID og benyttet den til å

bytte passord og vanskeliggjorde hennes

mulighet til å kjøpe seg ting på egenhånd.»

Hvis du vil unngå store økonomiske

tap etter misbruk av BankID, pass på:• Ha mye penger på konto, så ID-tyven kan stjele

penger fra kontoen din istedenfor å ta opp lån i ditt

navn

• Ikke fall for sofistikerte nettangrep

• Ikke ha alzheimers (eller andre diagnoser)

• Ikke vær pleietrengende

• Ikke vær narkoman eller ha narkomane

familiemedlemmer

• Ikke ha foreldre eller andre nærstående som lider av

spillavhengighet

• Ikke vær i et voldelig forhold

Forslag til ny finansavtalelov § 14

• Foreslått å likestille misbruk av BankID til

uautoriserte betalingstransaksjoner og annen

misbruk, inkl. misbruk ved låneopptak

Læringsmål, fullført masterstudium

«Jurister skal alltid legge til grunn høye etiske

standarder og de skal kjenne og følge normene for

faglig og akademisk redelighet. Gode jurister skal ha så

vel menneskelige som faglige ferdigheter. Gjennom

studiet vil du få kunnskap om forholdet mellom jussen

og samfunnet, om reglers virkning og utvikling.

Utdannelsen gir deg store muligheter til å påvirke andre

menneskers tilværelse og til å delta i utforming av

samfunnet. Med dette følger et stort ansvar.»

https://www.uio.no/studier/program/jus/hva-lerer-du/