Ansvar ved misbruk av BankID

Transkript

1 Ansvar ved misbruk av BankID Bruk av elektronisk signatur ved avtaleinngåelse om finansielle tjenester Kandidatnummer: 591 Leveringsfrist: 25. november 2018 Antall ord:

2 Innholdsfortegnelse 1 INNLEDNING Presentasjon av tema og problemstilling Bakgrunn og aktualitet Rettskildebildet og plassering av emnet Rettslig plassering av emnet Rettskildebildet og metode Prioriteringer og avgrensninger BANKID Hva er BankID? De tre elementer BankID består av Styrking av regler om elektronisk signatur: eidas-forordningen Misbruk av BankID Typetilfeller for misbruk av BankID som elektronisk signatur Avtalevilkår for BankID Vilkårenes punkt Vilkårenes punkt Øvrige relevante vilkår ANSVAR PÅ AVTALERETTSLIG GRUNNLAG Avtalebinding ved elektronisk signatur Bevisbyrde Avtalebinding og ugyldighet i rettspraksis Lovforslagets betydning Høringssvar Oppsummering ANSVAR PÅ ERSTATNINGSRETTSLIG GRUNNLAG Erstatningsansvaret i norsk rett Grunnvilkår for erstatning Det alminnelige culpaansvaret culpanormen ved rene formuesskader Aktsomhetsnormen ved misbruk av BankID til elektronisk signering LB LB BankID overlatt til nærstående BankID tilegnet av nærstående i

3 4.5 Oppsummering ANSVAR PÅ LOVREGULERT GRUNNLAG Finansavtaleloven Finansavtalelovens virkeområde Analogisk anvendelse av finansavtaleloven Låneopptak og etterfølgende transaksjoner Forslag til ny finansavtalelov Forslagets ordlyd Høringssvar AVSLUTTENDE BEMERKNINGER LITTERATURLISTE ii

4 1 Innledning I dag styres verdensbildet i stor grad av den teknologiske utviklingen, og rettsvitenskapen er intet unntak. Samtidig som skjæringspunktet mellom teknologi og juss fordrer rettssamfunnet til å tenke nytt og utvikle nye løsninger, er det en kjensgjerning at jussen ofte er i kappløp med teknologien. 1 Finansmarkedet er en arena som i stadig større grad preges av digitalisering og finansiell innovasjon. I bank- og finansbransjen er teknologien med på å redefinere finansielle tjenester. Forestillingen om et kontantløst samfunn er etter hvert blitt en realitet, og det å «gå i banken» er ikke det samme som før. Det er ikke bare pengene som har blitt digitale det har også bankmøtene. 1.1 Presentasjon av tema og problemstilling Oppgavens overordnede tema er ansvar ved misbruk av BankID, der dette brukes som sertifikat for elektronisk signatur ved inngåelse av avtaler om finansielle tjenester mellom finansinstitusjon og forbruker. 2 Ved avtaleinngåelse om finansielle tjenester er det i dag helt vanlig at avtalen signeres elektronisk av banken og kunden. BankID kan både brukes til inngåelse av nye avtaleforhold, samtidig som det kan benyttes til å foreta endringer i eksisterende avtaler. Oppgavens rettslige problemstilling omhandler ansvarsfordelingen mellom banken og kunden der en tredjeperson rettsstridig misbruker en annens BankID til å signere og inngå en finansavtale på kundens vegne. Fordelingen av ansvar mellom banken og kunden ved en tredjepersons misbruk av betalingsinstrument og utføring av uautoriserte betalingstransaksjoner, eksempelvis en kontooverføring i nettbanken eller betaling med kort, er i dag regulert av finansavtaleloven. 3 Der BankID rettstridig benyttes som elektronisk signatur til andre disposisjoner enn betalingstransaksjoner, for eksempel til et (nytt) låneopptak, faller dette utenfor finansavtalelovens virkeområde og må løses etter ulovfestet rett. Det er de sistnevnte tilfellene som er gjenstand for behandling i denne oppgaven. 1 Garbo, Apollon (1995). Bing (2016) i Fremtidens fortid. 2 I den videre fremstilling vil «finansinstitusjon og lignende institusjoner» for enkelhets skyld også omtales som bank, sml. finansavtaleloven 1. 3 Lov 25. juni 1999 nr. 46 om finansavtaler og finansoppdrag. 1

5 Oppgaven tar sikte på å gi en rettsdogmatisk fremstilling av gjeldende rett med henblikk på å klargjøre hvilke ansvarsgrunnlag som gjelder i disse tilfellene, inkludert hvordan dette er søkt løst i rettspraksis. Forholdet mellom avtalerettslig, erstatningsrettslig og finansrettslig regulering står sentralt. Justis- og beredskapsdepartementets lovforslag i høringsnotat vedrørende revisjon av finansavtaleloven (2017) vil gjøres nærmere rede for der det er aktuelt. 4 Det vil underveis, men også avslutningsvis, foretas en vurdering av gjeldende rett. 1.2 Bakgrunn og aktualitet Det har de siste årene skjedd en omfattende digitalisering av både private og offentlige tjenester i Norge. Utviklingen går i stadig større retning av å erstatte manuelle eller fysiske oppgaver med digitale løsninger. Det er i dag utstrakt anledning til å inngå avtaler og skaffe seg tilgang til ulike tjenester ved bruk av elektronisk signatur og -identifikasjon. BankID ble lansert for de første kundene allerede i 2004, og har i dag ca. 4 millioner brukere. 5 BankID anvendes av alle landets banker, offentlige digitale tjenester 6 og innenfor stadig flere tjeneste- og brukertilbud. BankID er et produkt for elektronisk legitimasjon, levert av BankID Norge AS, og har primært to bruksområder; elektronisk signering og elektronisk identifisering, sistnevnte omtales også som autentisering. 7 Den respektive BankID utgjør innehaverens unike og personlige elektroniske signatur. En slik signatur er i utgangspunktet like juridisk bindende som en håndskreven underskrift. 8 Samtidig som digitaliseringen forenkler og effektiviserer tjenestene som finnes i markeds- og omsetningslivet i dag, utgjør det også en risiko for misbruk og identitetstyverier. Den teknologiske utviklingen har medført at BankID i stadig større grad misbrukes, ikke bare av nærstående, men også av mer organiserte kriminelle nettverk. I følge politiet er BankID-tyverier et økende problem. 9 4 Justis- og beredskapsdepartementet(2017), Høring revisjon av finansavtaleloven, heretter JD høringsnotat. 5 BankID, Om oss 6 Difi, ID-porten 7 BankID, Bruksområder 8 Se Prop.71 LS ( ) pkt. 12.3, jf. lov 15. juni 2018 nr. 44 om elektroniske tillitstjenester. 9 Dagens Næringsliv(2014), hvor politiinspektør Nordbø sitert. 2

6 En viktig funksjon i teknologi- og informasjonssamfunnet er å tilby forbrukerne gode, trygge og brukervennlige alternativer for bruk av betalings- og investeringstjenester. Undersøkelser i Norge og internasjonalt viser at forbrukernes kunnskaper om finansmarkeder og finansielle instrumenter generelt sett er for svak. 10 I Justis- og beredskapsdepartementets lovforslag vedrørende revisjon av finansavtaleloven, er det blant annet foreslått regler som omhandler bevisbyrde, misbruk av elektronisk signatur og ansvar for tredjepersoner, samt alminnelige regler om erstatning. 11 Forslaget synes med det å legge til rette for at færre skal havne i økonomisk uføre. I forbindelse med fremleggingen av lovforslaget fremholdt departementet at lovforslaget tok sikte på et sterkere vern for kredittkunder og kundens erstatningsrettslige vern, samt at det der også legges til rette for mer bruk av digitale løsninger, men at «næringen selv skal ta større ansvar for feil og misbruk av de elektroniske løsningene som de har oppfordret kundene sine til å ta i bruk, slik at forbrukeren har bedre vern mot svindel». 12 Høringsfristen var 15. desember 2017, og forslaget vil etter det opplyste fremlegges for Stortinget våren Lovforslaget har møtt omfattende kritikk fra flere instanser, først og fremst fra norsk finansog næringsliv. I et brev til justisministeren signert flere av høringsinstansene er det blant annet påpekt at: «[l]ovforslaget er utilstrekkelig utredet med få konsekvensutredninger» og at «flere av forslagene medfører en vesentlig endret rettstilstand på finansområdet, med til dels omfattende endringer i avtalerettslig regulering av finansavtaler». Endelig understrekes at det burde vært nedsatt et eget lovutvalg i forbindelse med lovrevisjonen. 14 Flere forbrukerorganisasjoner og rettshjelptiltak, men også andre brukernøytrale tilsynsmyndigheter, har derimot vært positive til hele eller deler av forslaget. Forbrukerrådet fremholder at de innskjerpingene som er foreslått for erstatningsansvar vil «bidra til at kostnader som 10 NOU2011:1 s Høringsnotat revisjon av finansavtaleloven (2017) s Se Justis- og beredskapsdepartementet (2017), høringsbrev og pressemelding ifm. publisering av lovforslaget. 13 Per Brev av , Videre arbeid med ny finansavtalelov, signert Finans Norge, NHO, Finansforbundet, Virke, Norsk Landbrukssamvirke, Finansieringsselskapenes Forening, Verdipapirforetakenes Forening og Verdipapirfondenes Forening, samt Advokatforeningen. Se også Advokatbladet (2018). 3

7 tidligere i stor grad er blitt båret av forbrukerne nå plasseres hos den profesjonelle parten» og skriver videre at dette er «et riktig prinsipp og gir potensiale for økt forbrukerbeskyttelse». 15 Forbrukerombudet uttaler at det etter deres syn er «et klart og veldokumentert behov for et sterkere forbrukervern». 16 Nasjonal kommunikasjonsmyndighet (Nkom) støtter også opp om en generell erstatningsregel i finansavtaleloven, og fremholder samtidig at de situasjonene som i dag må løses etter ulovfestet rett er underlagt regler som er «uklare og vanskelig å anvende». 17 Om forskjellen mellom misbrukssituasjonene som har til felles at det på en eller annen måte er benyttet BankID, men hvor finansavtaleloven beskytter kunden i det ene tilfelle men ikke det andre, uttaler førsteamanuensis Kjørven: «Er BankID en din misbrukt i kredittkort- eller nettbanksvindel? Flaks! Reglene beskytter deg. Er BankID en din misbrukt i lånesvindel? Uflaks! Reglene beskytter deg ikke» Rettskildebildet og plassering av emnet Rettslig plassering av emnet Forholdet mellom avtalerettslig, erstatningsrettslig og finansrettslig ansvarsgrunnlag står sentralt når det skal søkes klarlagt hvordan ansvarsfordelingen mellom banken og kunden fortoner seg i de ulike situasjonene. Finansavtaleloven gjelder for avtaler og oppdrag om finansielle tjenester med finansinstitusjoner eller lignende institusjoner. I finansavtaleloven kapittel 2, del V, er det gitt bestemmelser om plikter og ansvar for hhv. kunden og banken ved andres misbruk av konto og betalingsinstrument. Utgangspunktet etter finansavtaleloven 35(1) er at banken er ansvarlig for tap som skyldes uautoriserte betalingstransaksjoner. En betalingstransaksjon er uautorisert dersom kunden ikke har gitt samtykke til transaksjonen, jf. 24(2), jf. 35(1) siste punktum. I finansavtaleloven 35(2) og (3) er det videre oppstilt regler om ansvarsbegrensnings- og egenandelsansvar ved bruk av betalingsinstrument, som bestemmer at kunden helt eller delvis kan bli ansvarlig for tapet avhengig av kundens handlemåte og eventuelle forsømmelser. Hva gjelder 15 Forbrukerrådets høringssvar (2017) s Forbrukerombudets høringssvar (2017) s Nkoms høringssvar (2017) s Kjørven (2018). Debatt: ID-tyveri: Hvem skal ta regningen?, Nettavisen (2018). 4

8 kredittavtaler, oppstiller endelig finansavtaleloven 48 en regel om at avtalen mellom banken og kunden må være «skriftlig og undertegnet av forbrukeren», for å anses som bindende. Det ligger i dette at finansavtalelovens bestemmelser om misbruk bare kommer til anvendelse der det allerede er etablert en eller flere (gyldige) finansavtaler mellom banken og kunden, som direkte eller indirekte kan knyttes til en såkalt uautorisert betalingstransaksjon. Ansvarsfordelingen for misbrukstilfellene som er omfattet av finansavtaleloven, er dermed så å si fullt ut lovregulert. Dersom en tredjeperson rettsstridig misbruker en annens BankID til å signere og inngå en avtale på den egentlige innehaverens vegne, er dette etter den alminnelige avtaleretten å anse som falsk. I utgangspunktet binder ikke en slik disposisjon den rettmessige eier på avtalerettslig grunnlag, idet det foreligger en tilblivelsesmangel. 19 I de sistnevnte tilfellene er det imidlertid antatt at innehaveren av BankID kan bli ansvarlig for tapet etter alminnelige erstatningsrettslige regler. 20 Det er således snakk om et ansvar og en ansvarsfordeling som ikke er lovregulert. Den som har fått misbrukt sin elektroniske signatur ved uberettiget bruk fra tredjeperson, risikerer dermed å bli fullt ut ansvarlig for tap etter alminnelige erstatningsrettslige regler Rettskildebildet og metode Finansretten er i utgangspunktet preget av omfattende lovgivning. Finansinstitusjoner og finansielle tjenester har vært gjenstand for mer detaljregulering enn mye annen næringsvirksomhet, særlig med de siste tiårs implementering av en rekke direktiver for å søke en nærmere EU/EØS-tilpasning av lovverket. Oppgavens problemstilling har ikke isolert sett vært gjenstand for en helhetlig behandling, verken i lovverket, lovforarbeider eller i den juridiske litteratur. Det finnes få eller ingen sammenfattende teoretiske fremstillinger om ansvar ved misbruk av BankID, i alle fall hva gjelder rettsspørsmål som angår de privatrettslige sider av rettsområdet. I forslaget til ny finansavtalelov er oppgavens tema bare en av flere problemstillinger som er blitt satt på dagsorden. Lovforslaget behandler der emnet på et mer overordet nivå, og etter min mening ikke inngående hvilke rettsvirkninger den foreslåtte rettstilstanden kan medføre. 19 Giertsen (2014) s Jf. LB

9 Lovgivningsarbeidet er likevel i en begynnende fase, og vil danne et viktig grunnlag for den videre behandling. Det eksisterer videre meget begrenset rettspraksis som vedrører de aktuelle problemstillingene på rettsområdet. Det har vært flere saker til behandling i domstolene de siste årene, først og fremst fra tingrettene, samt enkelte avgjørelser fra lagmannsrettene. Det foreligger derfor foreløpig ingen positiv rettslig avklaring på problemstillingene, verken fra lovgiver eller Høyesterett. 21 Gitt at denne oppgaven fortrinnsvis omhandler situasjoner som ikke springer ut av et avtaleforhold med banken, vil praksis fra Finansklagenemnda i utgangspunktet ikke være relevant. I følge Finansklagenemdas saksbehandlingsregler, faller disse situasjonene utenfor nemndas formelle kompetanse, og må derfor avvises fra nemndsbehandling. 22 For å belyse hvordan rettsspørsmålene er søkt løst i praksis frem til nå, har jeg funnet det nødvendig å gjennomgå en rekke avgjørelser fra ting- og lagmannsrett i denne oppgaven. 23 Lagmannsretten har behandlet noen saker som berører temaet hvorav spesielt to synes å ha hatt særlig betydning for den videre utviklingen i tingrettene. 24 Hvilken betydning de har hatt kommer jeg nærmere inn på i kapitler 4 og 5. Underrettspraksis har normalt liten selvstendig rettskildemessig vekt, men kan etter omstendighetene ha relevans og tjene som argument på områder hvor rettstilstanden er uavklart. 25 Dette gjelder spesielt der gjeldende lovverk ikke gir entydig svar, og domstolene fortrinnsvis Høyesterett ikke ennå har avsagt avgjørelser av prinsipiell karakter Prioriteringer og avgrensninger I samsvar med de begrensninger som naturlig ligger i rammen for oppgaven, har det vært behov for å foreta flere avgrensninger. Det tas utgangspunkt i situasjoner hvor en tredjeperson misbruker en annens BankID til avtaleinngåelse, og hvor den rettmessige eier i de fleste tilfeller vil påstå seg ubundet. Den al- 21 I HR U nektet Høyesterett fremmet anke over lagmannsrettens dom LB Se FinKN , jf. saksbehandlingsreglene for Finansklagenemnda pkt. 1 (2017). 23 De fleste tingrettsavgjørelsene er upublisert og innhentet på direkte forespørsel til domstolen. 24 Avgjørelsene det her vises til er LB og LB Boe (2012) s. 257, Eckhoff (2001) s. 171, Eckhoff (2001) s

10 minnelige avtalerett vil kun bli belyst på et overordnet nivå, og da i relasjon til avtalebinding og ugyldighet. Oppgaven dreier seg primært om ansvarsfordelingen mellom banken og kunden, for de tilfeller som faller utenfor finansavtaleloven, og dermed reguleres av ulovfestede regler. Det er her vilkåret om erstatningsrettslig ansvarsgrunnlag som er blitt skilt ut til egen behandling. Øvrige vilkår for erstatningsansvar, herunder årsakssammenheng og økonomisk tap samt utmåling av dette, faller i utgangspunktet utenfor. Det avgrenses mot finansavtaleloven for øvrig, og delvis mot lovbestemmelsene som gjelder andres misbruk av konto og betalingsinstrument, derunder tilhørende EU/EØS-tilpasninger. Jeg har prioritert å behandle disse reglene på et overordnet nivå, men noe mer omfattende der de er egnet til å belyse hvordan ansvarsfordelingen mellom banken og kunden er søkt løst i loven. I Norge har vi flere tilbydere av løsninger for elektronisk identifikasjon og elektronisk signering, hvoretter jeg har prioritert å ta for meg ansvar ved misbruk av BankID. I tillegg til BankID kan nevnes Buypass og Commfides som også oppfyller kravene til «høyeste sikkerhetsnivå (nivå 4)», etter klassifiseringer satt av Direktoratet for Forvaltning og IKT (heretter Difi). 27 Særegent for BankID er imidlertid at løsningen støttes til elektronisk signering og avtaleinngåelse om finansielle tjenester av norske banker, og at det er svært utbredt. Det finnes videre en rekke typer svindel- og misbruksmetoder kunden kan stå overfor ved bruk av BankID. Ofte er det ikke en ukjent tredjepart som lurer kunden, men derimot familiemedlemmer eller nære bekjente. 28 Jeg har derfor prioritert å ta for meg tilfeller hvor kundens BankID misbrukes av nærstående, og ikke helt ukjente tredjeparter. Dette har også en direkte sammenheng med den normen som legges til grunn ved vurderingen av ansvarsgrunnlaget. 27 Difi, Ulike sikkerhetsnivå. 28 Nettavisen (2018). 7

11 2 BankID I dag har BankID svært mange bruksområder, samtidig som menigmann ofte ikke vet stort mye mer om denne «dingsen» enn hva den kan brukes til. I dette kapittelet vil jeg redegjøre for hva BankID er, hva det brukes til og hvilke avtaleverk som ligger til grunn for bruken. Hensikten er å bringe klarhet i hvordan BankID fungerer, inkludert som elektronisk signering. BankID ble utviklet i et samarbeid mellom norske forretnings- og sparebanker som en felles infrastruktur for disse. Det ble først tatt i bruk i 2004, og BankID Norge AS er i dag ansvarlig for drift og utvikling av tjenesten. 29 BankID utstedes av norske banker 30 og til grunn for utstedelsen ligger standardvilkår som er utarbeidet av Finans Norge. 31 Avtalevilkårene for BankID gjelder i utgangspunktet for den kunden som mottar BankID og den banken som utsteder. I punkt 1 finner man begrepene avtalen benytter for avtalepartene, noe som for øvrig også er av betydning for tolkningen av øvrige avtalevilkår: «[ ] sertifikatholder (heretter benevnt Kunden) [ ]» og «[ ] sertifikatutsteder (heretter benevnt Banken) [ ]». 32 Dette innebærer at dersom man ved bruk av BankID inngår en låneavtale med en bank, så trenger ikke det å være den samme banken som er sertifikatutsteder. Avtalen om BankID ligger til grunn mellom sertifikatholder (kunden) og sertifikatutsteder (banken), uavhengig av hvilke låneavtaler kunden velger å inngå med eventuelle andre banker, men som BankID-en med det verifiserer. 2.1 Hva er BankID? BankID Norge beskriver produktet slik: «Ved å bruke ditt fødselsnummer, koden du får fra kodebrikken eller sms, kodekort, apper e.l. og det personlige passordet du har valgt, får du tilgang til din BankID. Kodebrikken (eller annen engangskodeløsning) blir ofte tatt for å være BankID, men BankID er det elektroniske sertifikatet som er lagret sentralt hos Nets. 29 BankID,Om oss. 30 BankID,Kom i gang. 31 DNB, Avtalevilkår for PersonBankID. 32 Avtalevilkår-PersonBankID pkt. 1. 8

12 Bankene har ulike typer engangskodeløsninger. Det kan for eksempel være sms, et kort med forhåndstrykte koder, en elektronisk kodebrikke som genererer engangskoder, apper eller et kort med kortleser». 33 BankID er et såkalt PKI-basert (Public Key Infrastructure) 34 sertifikat, som innehaveren kan bruke til elektronisk signering. Løsningen baserer seg på tre elementer som alle må være tilstede for at signering eller identifisering kan gjennomføres. Det første elementet er fødselsnummer, det andre elementet er en engangskode man får fra egnet løsning og det tredje elementet er et selvvalgt personlig passord. Det er nettopp kombinasjonen av alle disse elementene, samt at utstedelsen i utgangspunktet krever personlig oppmøte og legitimering, som gjør at BankID oppfyller de krav som stilles til «høyeste sikkerhetsnivå (nivå 4)» av Difi. 35 På en enkel måte kan elementene BankID består av illustreres slik: Identifikasjon To-faktor autentisering Fødselsnummer Engangskode Personlig passord «Hvem jeg er» «Noe bare jeg har» «Noe bare jeg vet» Det kan stilles spørsmål om hvorvidt den faktiske utstedelsen av BankID kun skjer ved personlig oppmøte, et spørsmål som også har vært brakt inn for domstolene i tilknytning fremleggelse av vilkårene. 36 At utsteder er pliktig å gjennomføre en legitimasjonskontroll er avtalefestet i vilkårenes punkt 4, og det antas at det er denne kontrollen som løfter BankID fra mellomhøyt- til høyeste sikkerhetsnivå i henhold til Difi. Det fremgår av nevnte avtalevilkår at: «Ved utstedelse av PersonBankID skal Kunden legitimere seg og bekrefte riktigheten av oppgitte opplysninger. Slik identifisering skal skje ved personlig fremmøte hos Banken eller representant for denne, med mindre Kunden allerede er identifisert ved personlig fremmøte gjennom eksisterende kunde-/kontoforhold i Banken» BankID, Hva er BankID? 34 Se Prop.71LS ( ) s Difi, Ulike sikkerhetsnivå 36 Se punkt Avtalevilkår for PersonBankID pkt. 4 9

13 Som det her fremgår regnes det som tilstrekkelig at kunden er identifisert på korrekt måte forut for selve utstedelsen. Det bærende hensyn bak kravet om personlig oppmøte virker altså å være at elektronisk signatur utstedes til korrekt person. Det samme krav til personlig oppmøte følger av eidas-forordningen artikkel Utstedelsen av BankID og fremleggelse av avtalevilkårene var gjenstand for behandling i Agder lagmannsretts dom av Saken gjaldt ansvar for et forbrukslån som ble signert med en kvinnes BankID, men som var misbrukt av ektefellen. Tingretten 40 fant kvinnen erstatningsansvarlig, mens lagmannsretten frifant henne da det ikke kunne dokumenteres at hun hadde inngått avtalen om BankID selv eller at hun hadde mottatt denne ved personlig oppmøte De tre elementer BankID består av At ens fødselsnummer er personlig og ikke bør deles fritt med andre må kunne regnes som alminnelig kjent. Av den grunn bør man også kunne forvente en viss aktsomhet ved bruk og oppbevaring av fødselsnummeret, men det kan ikke forventes at man skal holde dette helt skjult for sine nærstående. Datatilsynet skriver på sine nettsider at fødselsnummer er et «[u]nikt identifiseringsnummer» og at «nummeret [ikke] regnes som en sensitiv personopplysning og [ikke] er taushetsbelagt». 41 At fødselsnummeret ikke regnes som en sensitiv personopplysning har betydning for hvilke plikter offentlige etater, finansinstitusjoner mv. er underlagt ved sin behandling, oppbevaring og sletting av dette. Det kan dermed ikke forventes et strengt hemmelighold av fødselsnummeret, men likevel at det behandles med samme varsomhet som for personopplysninger for øvrig. I relasjon til BankID er ikke et fødselsnummer i seg selv spesielt godt egnet som en sikker form for identifisering, men det gir et godt utgangspunkt ettersom det nettopp er unikt og kan fortelle hvem en person er. Som BankID selv fremhever finnes det flere aksepterte løsninger for engangskoder, men felles for disse er at det kreves noe fysisk som kunden har i sin besittelse, herunder eksempelvis en applikasjon på kundens smarttelefon. Dette elementet kan ofte være gjenstand for misforståelser, og for ordens skyld anses det hensiktsmessig å gå noe nærmere inn på dette. 38 For 910/2014/EU 39 Jf. LA TVI-AUAG 41 Datatilsynet, Fødselsnummer (2018) 10

14 Norske og norskdrivende banker utsteder ofte egne kodebrikker, kodekort og mobile løsninger for autentisering av sine kunder. Selv om disse vil fungere utmerket til sitt formål 42 og ofte har mange likhetstrekk med hverandre, er det ikke nødvendigvis slik at alle aksepteres som engangskodeløsninger for BankID. Et annet godt eksempel på noe som lett kan skape misforståelser finner vi ved å se på et tilleggsprodukt til BankID, nemlig BankID på mobil. Denne løsningen er også klassifisert som høyeste sikkerhetsnivå av Difi, og benyttes i dag til autentisering og enkel signering hos flere aktører, for eksempel av betalingsoppdrag i nettbank eller pålogging hos NAV. BankID på mobil har en innebygget to-faktor autentisering i form av at den genererer en nøkkel på telefonen («Noe bare jeg har») og krever at brukeren taster inn en selvvalgt PIN-kode på 4-8 siffer («Noe bare jeg vet»). Det må også legges til at sertifikatet «BankID på mobil» er lagret i et SIM-kort som er registrert i kundens navn hos en norsk teleoperatør. Kjernen til mange av misforståelsene ligger i at BankID på mobil, i tillegg til selvstendig bruk, kan benyttes som engangskodeløsning for «vanlig» BankID. 43 Jeg går ikke nærmere inn på hvorfor BankID på mobil per i dag ikke blir benyttet til avtaleinngåelse om finansielle tjenester. 44 Det viktige å poengtere her er at man ikke må blande BankID og BankID på mobil som den samme løsningen. Det tredje elementet BankID består av er det personlige passordet. Dette er den andre faktoren som sammen med engangskoden skaper en «to-faktor autentisering». 45 Passordet tildeles ikke ved utstedelsen, men lages og endres av kunden selv og er dermed noe bare denne kjenner til. Det personlige passordet har, som vil vises i kapittel 4, gjentatte ganger vært tema for domstolenes behandling i saker som omhandler ansvar ved misbruk av BankID. Graden av sikkerhet et passord bidrar med avhenger av to forhold; hemmelighold og passordsammensetting. Det ligger i dagen at et passord mister sin beskyttelsesevne dersom man ikke lykkes med å holde dette hemmelig for andre. Sammensettingen av et passord har videre betydning for hvor vanskelig det er å gjette for andre, eller hvor vanskelig det er for en datamaskin å finne. Datamaskiner kan forsøke svært 42 Eksempelvis innlogging i utstederens nettbank. 43 BankID, BankID på mobil som kodebrikke. 44 På nettsidene til BankID omtalt som «lange dokumenter». 45 Se illustrasjon i punkt

15 mange bokstav- og tallkombinasjoner i løpet av kort tid og på den måten finne et passord. En sikkerhetsmekanisme mot slike dataangrep finner vi i at BankID sperres ved gjentatte feilforsøk. Det er imidlertid ikke alle tjenester som har slike sikkerhetsmekanismer, noe som leder til økt risiko for misbruk dersom man benytter samme passord flere steder, noe som også har vist seg å være vanlig blant nordmenn. 46 Andre sikkerhetsmekanismer for å redusere risikoen for at uvedkommende skal gjette eller finne frem til et passord er krav til jevnlige passordbytter eller til passordsammensettingen, herunder kombinasjoner av spesialtegn, tall, store og små bokstaver Styrking av regler om elektronisk signatur: eidas-forordningen 47 eidas-forordningen gjelder som norsk lov, jf. lov om elektroniske tillitstjenester 1. Forordningen skiller mellom elektronisk signatur, avansert elektronisk signatur og kvalifisert elektronisk signatur, jf. hhv. artikkel 3 nr. 10, 11, jf. 26 og 12, jf. 28 og vedlegg 1. Forordningen utvider området for reguleringen av såkalte elektroniske tillitstjenester, og har ved ikrafttredelsen styrket reglene om elektronisk signatur. 48 I Norge har vi hatt en selvdeklarasjonsordning for kvalifiserte elektroniske signaturer, noe som ikke oppfyller kravene i eidas-forordningen. I lovforarbeidene fremholder departementet at: «forordningens system er at kvalifiserte tillitstjenestetilbydere må ha en tredjepartserklæring (samsvarserklæring) om at tilbyderen oppfyller forordningens krav for tjenesten» og slår videre fast at dette er et strengere regime enn dagens norske krav gir. 49 Det videre uttalt at en umiddelbar avvikling av selvdeklarasjonsordningen kan gi uheldige konsekvenser for etablerte løsninger og brukerne av disse. Nasjonal kommunikasjonsmyndighet (Nkom) lister imidlertid BankID som en kvalifisert tilbyder av tillitstjenester som er under deres tilsyn. 50 Forordningens artikkel 25 oppstiller en regel for rettsvirkningene av elektronisk signatur, og skiller der mellom elektronisk signatur og kvalifisert elektronisk signatur. Som jeg vil komme tilbake til i kapittel 3, forandrer ikke denne bestemmelsen gjeldende rett. 46 EVRY, Dårlig passordsikkerhet hos nordmenn (2014) 47 For 910/2014/EU 48 Prop.71 LS ( ) kapittel Ibid. punkt Nkom (2018) 12

16 2.2 Misbruk av BankID Med misbruk av elektronisk signatur menes i denne oppgaven at uvedkommende tredjepersoner får kontroll over og benytter BankID til å signere på innehaverens vegne, og med det tilsynelatende utgir seg for å være denne personen. Oppgaven tar for seg de tilfeller av misbruk hvor BankID benyttes som elektronisk signatur ved signering av avtaler om finansielle tjenester. Det finnes imidlertid en rekke andre ulike former for misbruk, noe som er viktig å ha i mente da dette har betydning for den skadeevne en misbrukssituasjon potensielt sett kan innebære. Konsekvensene ved misbruk av BankID kan eksempelvis være at sensitiv og personlig informasjon kommer på avveie, at det blir foretatt endringer av opplysninger i offentlige registre, at det etableres og registreres selskaper, eller at det inngås øvrige avtaler i innehaverens navn, uten at denne er kjent med dette. Det finnes i dag en rekke digitale tjenester, også utenfor bank- og finansbransjen, som uvedkommende kan få tilgang til og foreta ulike handlinger ved å benytte BankID. Eksempler på dette er Skatteetaten, Altinn, Aktørportalen, HelseNorge, for å nevne noen Typetilfeller for misbruk av BankID som elektronisk signatur En måte å kategorisere typetilfeller er å kartlegge hvem som normalt står bak de ulike formene for misbruk. Grovt sett kan man dele inn «misbrukerne» i to grupper ut fra relasjonen til innehaveren av BankID: nærstående eller øvrige (ukjente) tredjepersoner. Til den første kategorien hører typisk slektninger, ektefeller, samboere, venner og andre man har et nært forhold til. Typisk for denne kategorien vil være at misbrukeren utnytter et tillitsforhold med kunden for å tilegne seg dennes BankID. Til den andre kategorien hører i hovedsak personer som er ukjente for kunden. Typisk for denne kategorien vil være at tilegnelsen av BankID skjer gjennom kriminelle handlinger som tyveri, ran, hacking 51, phishing, 52 mv. Et spørsmål som senere vil bli nærmere berørt er om denne kategoriseringen av misbrukere vil være relevant for den aktsomhetsnormen som legges til grunn i ansvarsvurderingen ved et eventuelt erstatningsansvar, og videre om det er av betydning for en eventuell ansvarsbegrensning. 51 Store norske leksikon (2016) 52 Store norske leksikon (2016) 13

17 I det videre er det den første kategorien av misbrukere som vil fokuseres på, nemlig tilfeller hvor BankID urettmessig er benyttet av nærstående og ikke helt ukjente tredjeparter, jf. punkt Avtalevilkår for BankID Ved første øyekast synes BankID-vilkårene i punkt 13 å løse oppgavens problemstilling, idet overskriften lyder: «Ansvar ved misbruk av Kundens BankID». Det er derfor naturlig å ta utgangspunkt i de to underpunktene, 13.1 og Vilkårenes punkt 13.1 Leser man punkt 13.1 i sammenheng med vilkårenes punkt 1 finner man at anvendelsesområdet er svært begrenset. For det første fremgår det at det kun er kundens egne konti som omfattes, jf. ordlyden «Kundens konto». For det andre fremgår det av ordlyden at det kun gjelder konti kunden har i banken som har utstedt BankID, ikke konti i andre banker, jf. ordlyden «konto i Banken» Vilkårenes punkt 13.2 BankID-vilkårene punkt 13.2 har et mye bredere virkeområde og tar sikte på å regulere alle øvrige misbrukstilfeller, idet den lyder slik: «Hvis uvedkommende benytter Kundens BankID i andre situasjoner enn nevnt i punkt 13.1[ ]» Videre tas det der sikte på å regulere forholdet mellom kunden, og den som har handlet i tillit til disposisjoner gjort av misbrukeren, vanligvis en bank, idet den fastslår at den kan holde kunden erstatningsansvarlig ved uaktsomhet: «[ ] vil disse etter alminnelige rettsregler kunne holde Kunden erstatningsansvarlig dersom misbruket er muliggjort ved forsettlig eller uaktsom handling eller unnlatelse fra Kundens side.» I Borgarting lagmannsretts dom av ble det blant annet anført av banken at vilkårene i punkt 13.2 kom til anvendelse, og hvor lagmannsretten i den anledning uttaler at: «Lagmannsretten er usikker på om As ansvar reguleres av avtalen om BankID pkt Fra bankens prosessfullmektig er opplyst at bankene også har en BankID og at henvisningen til «en annen BankID-innehaver» også omfatter banker. Etter rettens syn 14

18 er likevel ordlyden uklar, og den gjør det nærliggende å anta at det er tenkt på andre utenforstående med BankID.» 53 Vilkårene synes dermed å legge til grunn at det ikke bare mellom partene i BankID-avtalen, men også overfor en eventuell bank som tredje part her, er avtalt at det er de alminnelige erstatningsrettslige regler kommer til anvendelse i disse misbrukssituasjonene Øvrige relevante vilkår Ettersom punkt 13.2 fastslår at ansvaret i de fleste tilfeller reguleres av alminnelige erstatningsrettslige regler er det naturlig å se hen til partenes øvrige kontraktsfestede plikter. Relevante vilkår vurderingen av erstatningsansvar finnes i punkt 6 om «Anvendelsesområdet for BankID», punkt 9 om «Vern om passord og andre sikkerhetsprosedyrer» og punkt 10 om «Melding om tap». Disse vilkår har også bidratt med å oppstille en terskel for aktsomhet i domstolenes vurderinger av om det foreligger ansvarsgrunnlag. Dette vil jeg komme nærmere tilbake til i oppgavens kapittel LB

19 3 Ansvar på avtalerettslig grunnlag Det er tidligere slått fast at den respektive BankID utgjør innehaverens unike og personlige elektroniske signatur. En slik signatur er like bindende som en håndskreven underskrift. 54 I lovforarbeidene til lov om elektroniske tillitstjenester 55 fremholder departementet at: «Avtalefrihet, herunder formfrihet, er et sentralt prinsipp i norsk rett. Som utgangspunkt velger partene selv i hvilken form de ønsker å inngå en bindende avtale, for eksempel muntlig, skriftlig på papir eller elektronisk.» 56 Det klare utgangspunktet må dermed være at en avtale som er inngått ved elektronisk signering er gyldig og binder det som tilsynelatende er avtalepartene. Dersom en tredjeperson misbruker en annens BankID til slik signering på innehaverens vegne, er dette å anse som falsk. Falsk er en sterk ugyldighetsgrunn, fordi «løftegiveren» aldri egentlig har avgitt et løfte. 57 I utgangspunktet binder ikke en slik disposisjon den rettmessige eier på avtalerettslig grunnlag, idet det foreligger en tilblivelsesmangel, jf. avtaleloven 58 kapittel 3, som suppleres av ulovfestede ugyldighetsgrunner. 59 Det er sikker sedvanerett at falsk regnes som en sterk ugyldighetsgrunn. Partene kan dermed ikke forpliktes til å oppfylle avtalen selv om en har vært i god tro Avtalebinding ved elektronisk signatur Ettersom bankens forpliktelser vanligvis kan oppfylles svært raskt, eksempelvis ved utbetaling av lån, vil det ofte forekomme at den allerede har oppfylt sine forpliktelser innen misbruket avdekkes. Banken vil på sin side påstå at avtalen er gyldig, kunden har tross alt «nedtegnet» sin signatur. På den andre siden vil kunden selvsagt anse seg som ubundet, han er jo tross alt svindlet. I praksis er det likevel ikke alltid like enkelt å fastslå at det foreligger en «falsk elektronisk signatur» som leder til ugyldighet. Ved elektronisk signering kan man ikke, som ved en konvensjonell håndskreven signatur, engasjere en skriftanalyst til å foreta en nærmere vurdering. Bevissituasjonen vil dermed være en helt annen. 54 Prop.71 LS ( ) pkt. 12.3, jf. lov nr. 44 om elektroniske tillitstjenester. 55 Som bygger på forordning 910/2014/EU. 56 Jf. Prop.71 LS ( ) pkt Giertsen (2014) s Lov 31. mai nr. 4 om avtaler. 59 Giertsen (2014) s Woxholth (2012) s

20 Dersom saken bringes inn for domstolene blir rettens oppgave å avgjøre om avtalen er gyldig eller ikke, ut fra en alminnelig sannsynlighetsvurdering det hendelsesforløp som retten finner mest sannsynlig. Den konkrete bevisvurderingen, hvor gjerne partsforklaringer og bevisbyrderegler står sentralt, vil dermed være avgjørende for utfallet Bevisbyrde Dersom banken mener at avtalen er gyldig og kunden er bundet, er det naturlige utgangspunkt at banken først og fremst må dokumentere at kundens elektroniske signatur ble benyttet, og at det videre ikke var noen tekniske feil ved gjennomføringen. Etter alminnelige avtalerettslige prinsipper er det den som påstår seg ubundet, og som påstår ugyldighet, som må sannsynliggjøre at dennes BankID ble misbrukt ved avtaleinngåelsen. Woxholth fremholder at den som gjør gjeldende at et løfte er ugyldig «vil ha bevisbyrden for dette». 61 Disse bevisbyrdereglene må også antas å gjelde for elektronisk signatur. Som uttrykk for gjeldende rett på det aktuelle området kan man se hen til Høyesteretts ankeutvalgs beslutning i HR U. Saken gjaldt riktignok betalingskort, og ikke elektronisk signering med BankID, men det må antas at uttalelsene også har relevans for andre lignende misbrukssituasjoner, idet det der heter at: «Utvalget bemerker at det påhviler betalingsinstitusjonen å påvise at belastning er foretatt ved bruk av betalingskortet sammen med den tilhørende personlige koden. Når dette som her er påvist, har kontohaveren bevisbyrden for at bruken av kortet likevel ikke skjedde med hans samtykke. Denne bedømmelsen foretas etter de vanlige bevisbedømmelsesregler.» I lovforslaget til ny finansavtalelov er det foreslått en ny 7 som regulerer bevisbyrden, og som vil kommenteres nærmere nedenfor Avtalebinding og ugyldighet i rettspraksis I det følgende vil det belyses hvordan domstolene frem til nå har vurdert spørsmålet om avtalebinding og ugyldighet ved misbruk av BankID som elektronisk signatur. Hvorvidt det foreligger ansvar på avtalerettslig grunnlag har ved en rekke anledninger vært gjenstand for vurdering i domstolene. Gjennomgangen viser at retten i de aller fleste tilfeller 61 Woxholth (2012) s

21 har funnet det sannsynliggjort og dermed trodd på den som tilsynelatende har inngått avtalen, men påstått seg utsatt for BankID-misbruk. Det må innledningsvis bemerkes at det faktum at en annen person enn BankID-eieren «trykker på knappene» ikke automatisk behøver å lede til at avtalen er ugyldig. Det må også sannsynliggjøres at vedkommende ikke direkte eller indirekte har tilsluttet seg avtalen, for eksempel ved en fullmakt. Som illustrasjon kan det vises til en besteforelder som ber sitt barnebarn om hjelp til å signere en (spesifikk) avtale elektronisk. Selv om det er barnebarnet som rent faktisk foretar selve signeringen må avtalen selvsagt anses som gyldig, idet barnebarnet etter fullmakt handler på vegne av og i hans sted. Drammen tingretts dom av er et av de første eksemplene på at retten har foretatt en nærmere bevisvurdering i relasjon til avtaleinngåelse ved bruk av elektronisk signatur. Spørsmålet i saken var om en kvinne hadde ansvar som medlåntaker for et forbrukslån, inngått i fellesskap med hennes avdøde ektefelle. Låneavtalen ble signert elektronisk, tilsynelatende av begge ektefellene, med deres respektive BankID. Tingretten fant at signaturen i seg selv og tidsrommet, tre dager, mellom henholdsvis ektefellens og kvinnens signering var tilstrekkelig bevis for at kvinnen mest sannsynlig signerte selv. I den anledning uttalte retten at: «Dette er ikke noe sikkert bevis på at det ikke foreligger et identitetstyveri, men er i hvert fall en indikasjon som sannsynliggjør at søknaden ble undertegnet av begge søkerne», hvoretter det ble lagt til grunn at det forelå en gyldig lånesøknad, undertegnet av både kvinnen og hennes ektemann. 62 Avgjørelsen ble videre påanket til Borgarting lagmannsrett som i dom av , til forskjell fra tingretten, kom til at kvinnen ikke var avtalerettslig forpliktet som medlåntaker. Kvinnen hadde forklart at hun hadde overlatt kodebrikke og passord til sin «norske ektefelle» ettersom han foresto alle hennes økonomiske forhold, at han hadde arbeidet som regnskapsfører og at det derfor ikke var unaturlig at ektefellene hadde lagt opp til en slik ordning. Lagmannsretten fant det mest sannsynlig at kvinnen verken hadde signert på eller vært kjent med låneavtalen. I sin bevisvurdering uttalte også lagmannsretten at den fant kvinnens forklaring (på dette punkt som) «troverdig», og la dermed denne til grunn. 63 Når lagmannsretten i sine premisser vurderer kvinnens eventuelle kjennskap til låneavtalen, må det legges til grunn at dette gjøres for å fastlegge om det foreligger en fullmakt eller ak TVI-DRAM 63 LB

22 sept av avtalen som gyldiggjør den, slik som eksemplifisert med besteforelderen og barnebarnet. Det vises videre til en lignende dom fra Sør-Trønderlag tingrett av Saken gjaldt opptak av forbrukslån og etterfølgende opplåning av det samme lånet, signert med BankID tilhørende en svært ung kvinne og hvor misbrukeren var hennes mor. Tingretten kom til at kvinnen (A) ikke var avtalerettslig bundet, idet den uttaler at: «As rettslige forklaring om at dette var fullstendig ukjent for henne fremstår på dette punktet troverdig. Hennes forklaring sammenfaller for de praktisk viktige punkter med hennes mors rettslige forklaring. Forklaringen understøttes av morens forklaring og det faktum at moren har erkjent forholdet i et brev til politiet. Retten ser ingen grunn for at A og moren skulle komme opp med en uriktig historie på dette punktet som utsetter moren for potensielt straffansvar for en alvorlig straffbar handling hun ikke har begått.» 64 Tingretten synes ved bevisvurderingen å legge til grunn at det var mindre sannsynlig at kvinnen hadde signert selv, enn at hun hadde gjort det. Selv om retten også her la vekt på at kvinnens forklaring fremsto som «troverdig», er det tydelig at det potensielle straffansvaret overfor moren var et viktig moment i vurderingen. I Haugaland tingretts dom av ble det også lagt vekt på at kvinnen anmeldte sin samboer for å ha misbrukt hennes BankID til å inngå en kredittkortavtale og endre hennes kontaktopplysninger. Samtidig som det ble lagt vekt på kvinnens og samboerens forklaringer fremholdt retten at: «[ ] A anmeldte forholdet. Det fremstår som lite sannsynlig for retten at hun skulle gå til et slikt skritt dersom hun selv hadde inngått kredittavtalen. Videre har retten sett hen til at kontaktopplysningene knyttet til kredittavtalen ble endret samme dag som kredittavtalen ble signert med hennes BankID.» 65 Som gjennomgangen viser har domstolene i flere tilfeller vektlagt det forhold at misbrukeren står overfor et potensielt straffansvar. Det er dermed naturlig at en politianmeldelse tillegges vekt i bevisvurderingen, spesielt når det er tale om nærstående TVI-STRO TVI-HAUG 19

23 Andre typer bevis fra en straffeforfølgning kan også ha betydning for rettens bevisvurdering. I Aust-Agder tingretts dom av ble misbrukerens erkjennelse fra straffesak trukket frem som bevis for at kunden ikke var avtalerettslig bundet: «Det vises til As forklaring, samt straffedommen mot hennes ektefelle, hvor han erkjenner at det var han som foretok lånopptaket i hennes navn. Retten nøyer seg på denne bakgrunn med å kunne konstatere at bevisførselen ikke gir grunnlag for å anse A personlig avtalebundet etter kredittavtalen med banken.» 66 I Stavanger tingretts dom av ble det også lagt vekt på at misbrukeren var straffedømt, og direkte vist til at det i straffedommen fremkom at retten der «utover enhver rimelig tvil» hadde funnet ham skyldig i lånebedragerier overfor sin kvinnelige samboer. Tingretten fant det også i den sivile saken bevist at det var samboeren som hadde tilegnet seg påloggingsdetaljene til hennes BankID og foretatt låneopptakene i hennes navn. Som støtteargument ble det samtidig uttalt at: «betalingsbekreftelsen er sendt til Bs e-post, noe som bidrar til å sannsynliggjøre at det er B som har vært i kontakt med banken». 67 Bevisbedømmelsen fra en straffesak vil naturligvis være av stor betydning i en eventuell etterfølgende sivil sak som vedrører det samme saksforhold, ettersom den strafferettslige bevisbyrde fordrer langt høyere krav til bevisets kvalitet og styrke. 68 I sivile saker er det tilstrekkelig med alminnelig sannsynlighetsovervekt og hvor tvil om et faktisk forhold i tilfelle må gå utover en av partene som da kan sies å ha bevisbyrden. Det finnes også eksempler på at retten har lagt vekt på at den angivelige misbrukeren står overfor en formell straffanklage, dvs. en siktelse. Det vises i den anledning til Nedre Telemark tingretts dom av , som gjaldt misbruk av en kvinnes BankID til signering av en låneavtale, og hvor tingretten la vekt på at hennes tidligere kjæreste var siktet for tilsvarende straffbare forhold: «Retten legger etter vurderingen av sakens bevis til grunn at det ikke er A, men derimot den tidligere kjæresten hennes, som har foretatt låneopptaket hos banken. Retten viser i denne forbindelse til at den tidligere kjæresten er siktet for tilsvarende forhold mot 6 andre kvinner.» TVI-AUAG TVI-STAV 68 Se f.eks. Rt s TVI-NETE 20

24 Etter mitt syn kan man ikke uten videre legge til grunn at en siktelse i seg selv medfører at det sivilrettslige beviskravet er oppfylt, med mindre dette støttes opp av andre beviser. I alle fall kan dette ikke gjelde når siktelsen(-e) gjelder andre misbruksforhold og andre parter enn det som er gjenstand for behandling i den sivile tvisten, slik som synes å ha vært tilfelle i den siterte dommen. Det kan dessuten være prinsipielle betenkeligheter ved en slik fremgangsmåte. I en dom fra Alstahaug tingretts dom av velger retten å se bort fra den angivelige misbrukerens politiforklaring, idet den uttaler at: «Avhørene av B er fremlagt for retten. Retten ser bort fra Bs forklaring i avhør til politiet. Dette fordi B hadde status som mistenkt i saken. Hun hadde ikke hadde noen plikt til verken å forklare seg eller til å forklare seg sannferdig i avhør». 70 Det er noe uklart om retten her mener at en politiforklaring ikke kan fremlegges for retten, eventuelt ikke legges vekt på, eller om bevisvekten var av mindre betydning fordi den var motstridende og vedkommende ikke forklarte seg direkte for retten. I lovkommentaren er det som utgangspunkt lagt til grunn at politiforklaringer og andre etterforskningsdokumenter i en straffesak kan brukes som bevis i en sivil sak, såfremt beviset ikke er fremskaffet på utilbørlig måte, jf. tvisteloven 21-12, jf I Agder lagmannsretts dom av ble det i disfavør av banken lagt vekt på at den hadde fremmet erstatningskrav mot misbrukeren i straffesaken. Saken gjaldt en kvinne som hadde overlatt kodebrikke og sitt personlige passord til sin daværende ektefelle, og hvor retten av andre grunner kom til at kunden ikke var avtalerettslig ansvarlig for dette. Det ble samtidig fremhevet at bankens anførsel om at det var kvinnen som hadde forestått låneopptaket var for lagmannsretten «vanskelig å forstå, når banken i straffesaken mot ektemannen krevde, og ble tilkjent erstatning for, at det var ham som stiftet lånet i en bedragerihandling mot banken.» 72 Jeg er enig i den vurderingen som lagmannsretten her legger til grunn, og det har de beste grunner for seg at banken ikke helt vilkårlig skal kunne kreve erstatning i to omganger for det samme forhold (med mindre det foreligger grunnlag for solidaransvar). Som bemerket innledningsvis, er det ikke uten videre slik at tredjepersons bruk av BankID til signering på andres vegne, automatisk medfører en ugyldig avtale det må noe mer til TVI-ALST 71 Jf. Schei m.fl. i lovkommentaren til tvisteloven LA

25 Spørsmålet i disse tilfellene er om kunden har tilsluttet seg avtalen, selv om den rent faktisk ikke signerte den selv. Når det gjelder spørsmålet om å sannsynliggjøre en eventuell avtaleinngåelse, kan det også være relevant å se hen til om kunden kan anses forpliktet basert etterfølgende handlinger eller unnlatelser. Slike momenter ble trukket frem i Gjøvik tingretts dom av , hvor det var spørsmål om kunden var avtalerettslig forpliktet. Saken gjaldt et billån som kundens to kolleger uberettiget hadde opptatt på hans vegne. Tingretten kom også i dette tilfellet til at avtalen ikke var gyldig, men fant avslutningsvis grunn til å kommentere noen tekstmeldinger banken skal ha sendt direkte til kunden: «Retten finner ikke grunn til å legge vekt på opplysninger om tekstmeldinger mellom banken og A [d]et er ikke holdepunkter for at A i disse meldingene forpliktet seg på avtalerettslig grunnlag.» 73 Det forhold at retten velger å kommentere dette forhold, indikerer at slike etterfølgende handlinger kan ha relevans og etter omstendighetene også tillegges vekt, når spørsmål om avtalebinding vurderes. Etterfølgende atferd var tema i Stavanger tingretts dom av Saken gjaldt en kvinne som fikk sin BankID misbrukt av daværende kjæreste til låneopptak og etterfølgende utvidelse av lånerammen. Kvinnen hadde selv, uten å ha vært klar over det, mottatt deler av beløpet i forbindelse med at hun ba kjæresten om et lån, og retten uttalte i den forbindelse at: «Retten finner det ikke bevist at hun på det tidspunktet var klar over hvor pengene kom fra, og hennes bruk av pengene kan under omstendighetene ikke anses som konkludent atferd.» 74 Med unntak av den førstnevnte tingrettsdommen, som for øvrig endte med et annet resultat i ankesaken, har retten kommer til at det ikke forelå ansvar på avtalerettslig grunnlag i noen av sakene det er redegjort for hittil. I Drammen tingretts dom av kom imidlertid retten til at kunden var avtalerettslig bundet, idet det synes å ha blitt lagt stor vekt på at det var foretatt to nedbetalinger til omstridt kredittkort- og konto, samt at øvrige konti ikke hadde blitt utsatt for misbruk TVI-GJOV TVI-STAV 22