Dagleg leiar i eit energiselskap vart i 2019 narra av eksterne svindlarar til å overføre om lag 130 millionar kroner frå selskapets konto i Danske Bank til to kontoar i Hong Kong, kontrollert av svindlarar. Spørsmålet for Høgsterett var om banken er ansvarleg for ikkje å ha åtvara kunden mot overføringane. Selskapet som vart svindla gjorde gjeldande at banken var ansvarleg for tapet fordi betalingstransaksjonane var uautoriserte, men fekk ikkje medhald i dette. Høgsterett kom til at betalingane var autoriserte av kunden. Selskapet gjorde subsidiært gjeldande at Danske Bank var ansvarleg på aktløysegrunnlag sjølv om betalingane var autoriserte. Selskapet fekk heller ikkje medhald i dette. Høgsterett meinte banken korkje hadde brote plikter i lov, forskrift, direktiv eller bransjenormer, inkludert kvitvaskingsreglane. Rettsområde: Erstatningsrett. Finansavtalelova 1999 § 35, Finansavtalelova 2020 § 4-30 Dommarar: Falkanger, Arntzen, Høgetveit Berg, Thyness, Stenvik
(1)Dommar Høgetveit Berg: Kva saka gjeld og bakgrunnen for henne
(2)Saka gjeld ein banks skadebotansvar overfor ein profesjonell bedriftskunde, der den daglege leiaren hjå kunden hadde blitt manipulert av svindlarar til å overføre store pengar til kontoar i Hong Kong. Spørsmålet er om banken er ansvarleg for ikkje å ha åtvara kunden mot overføringane.
(3)Edison Norge AS var i 2019 ein del av eit energikonsern. Morselskapet Edison International S.p.A. – Edison – har hovudkontor i Italia. Morselskapet er indirekte eigd med over 99 % av Électricité de France (EDF).
(4)Den daglege leiaren i Edison Norge vart hausten 2019 narra av eksterne svindlarar til å overføre om lag 130 millionar kroner frå selskapets konto i Danske Bank til to kontoar i Hong Kong, kontrollert av svindlarar.
(5)Svindelen kom i gang ved at den daglege leiaren i Edison Norge – A – mottok ein e-post frå ein svindlar som ga seg ut for å vera dagleg leiar i konsernspissen – B – med melding om eit selskapsoppkjøp. A fekk beskjed om å svare skriftleg. Svindlaren nytta ei e-postadresse som var til forveksling lik adressa til B. A har forklart at han på dette tidspunktet hadde eit ubesvart opprop på telefonen frå B. Han prøvde å ringe tilbake, men B tok ikkje telefonen. Han skreiv då til svindlar-B at han hadde forsøkt å ringe han.
(6)Svindlar-B svarte at A ikkje skulle ringe, men lese den følgjande e-posten ein stad der ingen kunne sjå han. Svindlaren gav her informasjon om eit oppkjøp i Kina og instruks om at ein advokat ville gje han alle betalingsinstruksjonane i høve oppkjøpet. Svindlar-B bad A om full diskresjon, også internt, og at kommunikasjonen skulle skje gjennom advokaten. A godtok dette og tok kontakt med svindlar-advokaten, som instruerte om at all kommunikasjon skulle skje på Gmail. Svindlar-advokaten ga deretter instruksar om kontonummer og beløp som skulle overførast til Hong Kong.
(7)I alt 13 betalingar vart gjorde gjennom Danske Bank frå 24. september til 8. oktober 2019. Alle transaksjonane vart gjennomførte ved at A, som hadde einesignatur og prokura for Edison Norge, gav skriftlege betalingsinstruksar per e-post til banken. Overføringane var delte opp, slik at A heldt seg innanfor den interne fullmakta si på 1 million euro kvar gong. Også Edison Norges finansdirektør – C – var involvert i kontakten med banken, og var ein pådrivar overfor banken for å få transaksjonane gjennomførte.
(8)Danske Bank hadde eit automatisert system for å oppdage mistenkjelege transaksjonar, ei såkalla fraud engine. Systemet blir aktivert ved at ein transaksjon får «raude flagg» dersom det er eitt eller fleire avvikande omstende ved transaksjonen. Av ukjent grunn var fraud engine ikkje aktivert for betalingar frå Edison Norge. Likevel vart den fyrste betalingstransaksjonen stoppa, men dette var på grunn av ein tastefeil i banken som gjorde at beløpet gjekk til ein internkonto i banken. Banken avklarte med A at han stod bak og gjennomførte deretter betalinga.
(9)Betalingane vart finansierte ved at Edison Norge løpande henta midlar gjennom cash calls frå morselskapet. Oppmodingane om overføringane av desse midlane frå Italia vart grunngjevne i generelle vendingar utan å nemne det oppkonstruerte oppkjøpet i Kina.
(10)Det grove bedrageriet vart avdekt 10. oktober 2019. Mesteparten av pengane var tapte. To svindlarar vart i 2022 dømde til fengsel i seks år for brotsverket, sjå TSRO-2021-134092-1. Begge godtok dommen.
(11)Edison Norge AS reiste søksmål mot Danske Bank for Oslo tingrett i august 2020. Ved årsskiftet 2020–2021 vart Edison Norge AS seld til Sval Energi AS og skifta namn til Sval Norge AS. Edison International S.p.A. heldt attende skadebotkravet mot Danske Bank ved salet og tredde inn i rettssaka som einaste saksøkar mot Danske Bank.
(12)Oslo tingrett sa 8. februar 2022 dom med slik domsslutning: «1. Danske Bank NUF dømmes til å betale 31 410 109 – trettienmillionerfirehundreogtitusenetthundreogni – kroner i erstatning til Edison International S.p.A. med tillegg av lovens forsinkelserente fra 19. april 2020. 2. Sakskostnader tilkjennes ikke.»
(13)Tingretten kom til at overføringane var autoriserte av Edison Norge, men at Danske Bank ikkje hadde handla forsvarleg i tilknyting til svindelkontrollen i banken og kunne lastast for dette. Retten fann årsakssamanheng mellom bankens unnlatingar og Edison Norges tap.
(14)Tingretten kom likevel til at Edison Norges daglege leiar og finansdirektør hadde vore aktlause, og reduserte skadebota med ¾ ut frå medverknaden til den skadelidne, jf. skadebotlova § 5-1. Begge partane anka dommen.
(15)Borgarting lagmannsrett sa 19. april 2023 dom med slik domsslutning: «1. Ankene for Danske Bank NUF og Edison International S.p.A. forkastes. 2. Hver av partene bærer egne sakskostnader for lagmannsretten.»
(16)Lagmannsretten kom til at overføringane var autoriserte av Edison Norge ved at A hadde dei nødvendige fullmaktene. Fleirtalet i lagmannsretten kom, som tingretten, til at Danske Bank ikkje hadde opptredd forsvarleg i svindelkontrollen. Fleirtalet fann også årsakssamanhengen prova og at kravet ikkje var prekludert, men reduserte skadebota med ¾ ut frå medverknad. Mindretalet meinte banken ikkje hadde brote avtala eller elles vore aktlaus og ville frifinne på dette grunnlaget.
(17)Danske Bank har anka dommen til Høgsterett. Anken er retta mot lagmannsrettens rettsbruk og provdøminga. Edison International har anka avleidd. Den avleidde anken er retta mot lagmannsrettens provdøming og rettsbruk.
(18)For Høgsterett har Finans Norge erklært partshjelp til fordel for Danske Bank.
(19)Saka står i den same stillinga som for lagmannsretten. Partanes syn
(20)Den ankande parten, og ankemotpart i den avleidde anken, – Danske Bank – har i korte trekk gjort gjeldande:
(21)Ansvarsgrunnlag manglar. Edison må sjølv bera risikoen for tapet. Alle transaksjonane var autoriserte. Betalingsinstruksjonane på e-post frå den daglege leiaren var både tilstrekkelege samtykke og sjølvstendige avtaler om betalingsoppdrag. I tillegg medverka selskapets finansdirektør til alle betalingane.
(22)Det fanst ingen avtale mellom Edison Norge og Danske Bank om at betalingstransaksjonar skulle godkjennast av to autoriserte personar ved manuelle instruksjonar. Rettsleg kunne den daglege leiaren uansett overstyre dette med einesignaturen sin. Faktisk vart alle transaksjonane godkjende også av finansdirektøren gjennom aktiviteten hans overfor banken. Edison Norge autoriserte difor alle transaksjonane og er med det sjølv ansvarleg for tapet.
(23)Avtaler for nettbankløysinga er utan relevans. Den daglege leiaren var legitimert aleine til å opptre for selskapet overfor banken, jf. aksjelova §§ 6-30 til 6-32 og prokuralova § 1. Moglege interne grenser, som ikkje også var kommuniserte til banken, er utan relevans for kunderelasjonen mellom Edison Norge og Danske Bank. Banken var i aktsam god tru, og disposisjonane er gyldige.
(24)Danske Bank eller tilsette i banken har ikkje handla på ein måte som kan føre til ansvar etter den ålmenne ulovfesta aktløyseregelen eller arbeidsgjevaransvaret etter skadebotlova § 2-1. Det gjeld ingen lovbestemte plikter for Danske Bank til å forhindre slik svindel som Edison Norge vart utsett for. Banken har heller ikkje brote andre normer som gjev selskapet skadebotrettsleg vern mot autoriserte betalingar. Kvitvaskingsreglane er ikkje relevante i aktløysevurderinga sidan dei ikkje er eigna til å gje private partar skadebotrettsleg vern. Reglane er uansett ikkje brotne. Moglege brot på Danske Banks interne rutinar knytt til svindelkontroll, gjev ikkje Edison krav på skadebot så lenge rutinane samsvarar med eller er strengare enn dei lovreglane og andre normer som gjeld.
(25)Det følgjer av punkt 23 og 24 i dei generelle avtalevilkåra at finansavtalelova 1999 § 35 er fråvike. Uansett omfattar korkje § 35 eller avtala punkt 23 svindelen. Paragraf 35 fyrste ledd gjeld tap som oppstår når ein tredjepart misbrukar kundens konto eller betalingsinstrument. Det er ikkje tilfellet i saka her sidan det var Edison Norge sjølv som disponerte.
(26)Vidare ligg det ikkje føre årsakssamanheng mellom dei påståtte skadevaldande unnlatingane og det økonomiske tapet. Det er ikkje gjort sannsynleg at tapet ville ha vore unngått dersom banken hadde stilt ytterlegare spørsmål om betalingane. Endeleg har Edison under alle omstende tapt det moglege kravet på grunn av for sein reklamasjon og/eller passivitet.
(27)Uansett gjev Edison Norge sine eigne handlingar grunnlag for heilt eller delvis bortfall av skadebota, jf. skadebotlova § 5-1.
(28)Danske Bank har sett fram slik påstand: «I hovedanken: 1. Danske Bank NUF, filial av Danske Bank A/S, frifinnes. 2. Danske Bank NUF, filial av Danske Bank A/S, tilkjennes saksomkostninger for tingretten, lagmannsretten og Høyesterett. I den avledede anken: 1. Danske Bank NUF, filial av Danske Bank A/S, frifinnes. 2. Danske Bank NUF, filial av Danske Bank A/S, tilkjennes saksomkostninger for tingretten, lagmannsretten og Høyesterett.»
(29)Partshjelparen – Finans Norge – har i korte trekk gjort gjeldande:
(30)Partshjelparen har fullt ut slutta seg til ankegrunnane til den ankande parten og har sett fram samanfallande påstand. Hjelparen har ut over dette særleg framheva:
(31)Skadebotreglane i finansavtalelova 1999 må ha stor vekt ved fastlegginga av ansvarsnorma. Det er lite rom for eit aktløyseansvar ut over det ansvaret bankane har etter dei lovfesta reglane. Dei lovfesta skadebotreglane i finansavtalelova 1999 inkorporerer fullharmoniserte EØS-rettslege reglar. Desse skil grunnleggjande mellom bankens ansvar for gjennomføring av betalingsoppdrag som er godkjente av kunden og oppdrag som ikkje er det. Finansavtalelova 1999 § 43 andre ledd viser at kunden sjølv han ansvar for eigne feil ved gjennomføring av autoriserte transaksjonar, og at banken berre har ansvar for korrekt gjennomføring av det autoriserte betalingsoppdraget i samsvar med kontonummeret som kunden har oppgjeve. Banken vil i eit tilfelle som i saka her heller ikkje etter dei noverande eller komande skadebotreglane i EØS-regelverket om betalingsoppdrag, vera skadebotansvarleg.
(32)Rettskjeldene viser ikkje at bankane skal ha overvakingssystem mot svindel overfor næringsdrivande kundar ved manuelt autoriserte transaksjonar. Enn mindre at bankane skal drive manuell intervensjon overfor kunden og stille kontrollspørsmål. Det er ingen plikt til å overprøve om kundens avgjerd om å betale er fri for sosial manipulasjon frå utanforståande.
(33)Bransjepraksis krev ikkje svindelovervaking eller manuell kontroll av autoriserte betalingar. Det er sentralt at arbeidet til bankane med å redusere svindel ved betalingstransaksjonar må vegast opp mot omsynet til eit tids- og kostnadseffektivt betalingssystem. Det er eventuelt ei oppgåve for lovgjevarane å flytte risikoen for å etterprøve om betalingsavgjerda frå kunden byggjer på rette føresetnader, over på bankane.
(34)Finans Norge har sett fram slik påstand: «1. Danske Bank NUF, filial av Danske Bank A/S, frifinnes. 2. Finans Norge tilkjennes sakskostnader for Høyesterett.»
(35)Ankemotparten, og ankande part i den avleidde anken, – Edison International S.p.A. – har i korte trekk gjort gjeldande:
(36)Prinsipalt er Danske Bank ansvarleg på objektivt grunnlag fordi tilsette i banken utførte uautoriserte overføringar til svindlarane, i strid med krava til autorisering i finansavtalelova 1999 §§ 24 og 35, bankens standardvilkår punkta 4, 5 og 23, og avtala mellom partane om dobbel autorisasjon for overføringar frå kontoen til Edison Norge.
(37)Trass i at finansavtalelova 1999 § 2 seier noko anna, er § 35 fyrste ledd ufråvikeleg. Dette er fordi § 35 gjennomfører direktiv 2015/2366/EU artikkel 60 i norsk rett. Det er ein feil ved gjennomføringa at § 2 gjer § 35 deklaratorisk. Enten må § 2 og/eller § 35, i tråd med presumsjonsprinsippet, tolkast slik at § 35 er preseptorisk, eller så må EØS-retten gå framom.
(38)Ein betalingstransaksjon er ikkje autorisert dersom kunden ikkje har samtykt til han. Finansavtalelova 1999 § 35 viser til § 24, som i tredje ledd bestemmer at samtykke til betalingstransaksjonar må gjevast i den forma og på den måten som er avtalt mellom betalaren og banken. Finansavtalelova 1999 § 15 andre ledd bestemmer at før det blir inngått rammeavtale mellom kunden og banken, skal det mellom anna opplysast om form og prosedyre for å gje samtykke til å gjennomføre ein betalingstransaksjon. Desse opplysningane er uttømande. Paragraf § 24 tredje ledd må forståast i tråd med dette. Etter rammeavtala vedlegg F var det berre tre namngjevne personar som «jointly» kunne bruke den aktuelle kontoen. Den daglege leiaren kunne altså ikkje aleine bruke kontoen slik det vart gjort. Alle dei 13 betalingstransaksjonane var med dette uautoriserte.
(39)Uansett handla Danske Bank, eller tilsette i banken, aktlaust. Det gjeld eit strengt profesjonsansvar for banken. Det er ei rekkje regelsett som skal hindre svindel som i saka her. Danske Bank hadde mangelfulle rutinar mot bedrageri. Banken braut plikta til å forvisse seg om at transaksjonane ikkje var ein del av ein svindel. Tilsette i Danske Bank burde ha oppdaga og reagert på dei mistenkjelege omstenda ved overføringane. Banken hadde aktlaust deaktivert den automatiske svindelkontrollen. I tillegg braut banken reglane i kvitvaskingslova, noko som også er eit sjølvstendig ansvarsgrunnlag sidan bedrageria ville ha blitt avverja utan desse brota. Også interne retningsliner vart brotne.
(40)I lys av bankens forhold kan ikkje Edison Norges moglege eiga aktløyse føre til reduksjon av bankens skadebotansvar. Selskapet kan ikkje identifiserast med dei tilsette for desse betalingstransaksjonane, då dei ved å handle i strid med vedtektsfesta kompetanse, interne rutinar og selskapets interesser gjekk langt ut over det Edison Norge med rimelegheit kunne forvente.
(41)Det er årsakssamanheng mellom dei ansvarsutløysande omstenda og det økonomiske tapet til Edison Norge. Skadebotkravet er ikkje prekludert eller på anna vis bortfalle. Edison Norge gjorde kravet gjeldande overfor Danske Bank så snart det var grunn til det.
(42)Edison International S.p.A. har sett fram slik påstand: «1. Danske Bank NUFs anke forkastes. 2. Danske Bank NUF dømmes til å betale et beløp fastsatt etter rettens skjønn i erstatning til Edison International S.p.A. med tillegg av lovens forsinkelsesrente fra 19. april 2020. 3. Danske Bank NUF dømmes til å betale sakskostnader for Oslo tingrett, Borgarting lagmannsrett og Høyesterett til Edison International S.p.A.» Mitt syn Ansvar for uautoriserte betalingar?
(43)Dei tre grunnvilkåra for skadebot er ansvarsgrunnlag, økonomisk tap og årsakssamanheng mellom desse. I saka her har Edison tvillaust lidd eit tap på opp mot 130 millionar kroner.
(44)Edison har prinsipalt gjort gjeldande at betalingstransaksjonane var uautoriserte og med det utløyste ansvar etter finansavtalelova 1999 § 35 fyrste ledd, som hadde slik ordlyd på bedrageritidspunktet: «Institusjonen er ansvarlig for tap som skyldes uautoriserte betalingstransaksjoner, med mindre noe annet følger av paragrafen her. En betalingstransaksjon er uautorisert dersom kunden ikke har gitt samtykke til transaksjonen, jf. § 24.»
(45)Avslutningsvis i § 35 fyrste ledd andre punktum er det vist til § 24, som lyder: «(1) Kunden kan bruke konto og betalingsinstrument til innskudd, uttak og andre betalingstransaksjoner i samsvar med rammeavtalen. (2) En betalingstransaksjon anses bare som autorisert dersom betaleren har gitt samtykke til transaksjonen. Samtykket kan gis før betalingstransaksjonen gjennomføres, eller, dersom det er avtalt mellom betaleren og dennes institusjon, etter gjennomføringen. (3) Samtykke til å gjennomføre en betalingstransaksjon eller gjentatte betalingstransaksjoner gis i den form og på den måte som er avtalt mellom betaleren og dennes institusjon. (4) Samtykket kan tilbakekalles, men ikke senere enn tidspunktene angitt i § 28. Et samtykke til å gjennomføre gjentatte betalingstransaksjoner kan tilbakekalles slik at fremtidige transaksjoner anses som uautoriserte, jf. også § 26 femte ledd.»
(46)Finansavtalelova 1999 § 35 kom inn i lova i 2009 som følgje av implementeringa av det fyrste betalingstenestedirektivet – direktiv 2007/64/EF. Det andre betalingstenestedirektivet – direktiv 2015/2366/EU – byggjer vidare på det fyrste direktivet, og tar på den same måten sikte på å leggje til rette for eit einsarta rettsleg rammeverk for betalingstenester i EØS-området. Norske reglar som gjennomfører dei offentlegrettslege føresegnene i det andre direktivet, og dei privatrettslege føresegnene om bruk av tredjepartsaktørars tenester, tok til å gjelde 1. april 2019. Finansavtalelova 1999 gjaldt fram til finansavtalelova 2020 tok til å gjelde i 2023.
(47)Påstandsgrunnlaget om ansvar etter finansavtalelova 1999 § 35 føreset at rammeavtala mellom Edison Norge og Danske Bank vedlegg F – «Account Mandate and Business Online – Corporate Customers» – uttømande regulerte kven som kunne disponere over kontoen. Eg kan ikkje sjå at dette er tilfellet.
(48)Finansavtalelova 1999 § 15 andre ledd bokstav b nr. 3 bestemmer at før kunden blir bunden av ei rammeavtale, skal banken gje kunden opplysningar om «form og prosedyre for å gi og tilbakekalle samtykke til å gjennomføre en betalingstransaksjon, jf. § 24 tredje ledd». Etter mitt syn kan ein av dette ikkje utleie at rammeavtala er uttømande. Ein kan heller ikkje frå finansavtalelova 1999 § 24 tredje ledd utleie at disposisjonsretten skal vera uttømande regulert i rammeavtala, sidan denne føresegna berre viser til «den form og på den måte som er avtalt» mellom partane. Tvert om inneheld finansavtalelova 1999 § 23 reglar om «enkeltstående betalingstransaksjoner som ikke omfattes av en rammeavtale» – noko som klart nok føreset at rammeavtala ikkje må vera uttømande.
(49)Konkret og lest i samanheng er vedlegg F til rammeavtala mellom Edison Norge og Danske Bank ei fråsegnsfullmakt som legitimerer bestemde personar til å betale elektronisk gjennom «Business Online». Vedlegg F ekskluderer ikkje andre fullmaktsgrunnlag, og avgrensar ikkje den generelle fullmakta til A som dagleg leiar.
(50)Ein må difor falle attende på dei ålmenne representasjonsreglane. Etter aksjelova § 6-30 er det styret som representerer selskapet utetter og har signaturretten. Styret kan delegere signaturretten etter § 6-31 fyrste ledd, mellom anna til den daglege leiaren i selskapet. Vedtektene til Edison Norge 18. november 2014 § 6 seier at selskapets firma «tegnes av styreleder alene eller [av] daglig leder alene».
(51)Den daglege leiaren A hadde fullmakt til å instruere om dei 13 betalingane. Det rokkar ikkje ved dette at selskapet ved enkelte tidlegare betalingar eventuelt ikkje hadde nytta denne einekompetansen. Det er ikkje godtgjort at partane hadde ei avtale som kravde dobbel godkjenning når A bad om betalingar utanfor nettbank.
(52)For enkeltståande betalingstransaksjonar, der det ikkje er avtalt formkrav til samtykket på førehand, må utgangspunktet vera at den disposisjonen som ber om transaksjonen også inneheld det samtykket som krevst, jf. Børge Grøttjord og Karl Rosén: Finansavtaleloven med kommentarer, 2014 side 150.
(53)Konklusjonen blir etter dette at alle dei 13 betalingane til kontoane i Hong Kong var autoriserte av Edison Norge. Eg treng då ikkje ta stilling til om uttrykket «uautoriserte» i finansavtalelova 1999 § 35 fyrste ledd omfattar personelle manglar hjå kontohavaren eller om regelen berre gjeld transaksjonar som er gjorde av tredjepersonar. Eg treng heller ikkje ta stilling til om § 35 kunne fråvikast. Endeleg treng eg ikkje ta stilling til om ansvar kan tuftast på den delen av rammeavtala mellom partane som regulerte uautoriserte transaksjonar – eller om finansdirektør Cs kontakt med banken ved gjennomføringa av transaksjonane i september og oktober 2019 kan likestillast med formell autorisasjon. Konklusjonen fører uansett til at reglane om objektivt ansvar for uautorisert betaling ikkje kjem i bruk.
(54)Edisons prinsipale påstandsgrunnlag for skadebotansvar kan etter dette ikkje føre fram. Ansvar på grunnlag av aktløyse? Ansvarsreglane i eller utanfor kontrakt?
(55)Edison har subsidiært gjort gjeldande at Danske Bank er ansvarleg sjølv om betalingane var autoriserte, fordi banken er ansvarleg på grunn av aktløyse.
(56)Ein skil gjerne mellom skadebot i og utanfor kontraktsforhold. Det er likevel ikkje eit skarpt skilje. Reglane om skadebot i og utanfor kontrakt er i stor grad samanfallande og overlappande. Også den metodiske tilnærminga er i stor grad felles.
(57)Aktløyseregelen er den grunnleggjande skadebotregelen både i og utanfor kontrakt. Spørsmålet er om Danske Bank eller tilsette i banken burde ha handla annleis, det vil seia om banken hadde ei plikt til å overvake transaksjonane og å treffe tiltak dersom det var noko som kunne tyde på svindel, sjølv om det var på det reine at betalinga skjedde etter instruks frå den daglege leiaren i Edison Norge.
(58)Det er tale om eit reint formuestap. Samstundes er den påståtte skadevaldande handlinga ei unnlating som ikkje er knytt til ein risiko som banken har skapt. Om ein tek utgangspunkt i aktløysevurderinga utanfor kontrakt, kan skadebotansvar då berre vera aktuelt dersom det ligg føre eit brot på ei etablert handlenorm.
(59)Avtala om betalingsformidling og føremålet med henne står difor, uavhengig av innfallsvinkel, sentralt i aktløysevurderinga. Brot på plikter i avtala?
(60)Ut over påstandsgrunnlaget knytt til dobbel autorisasjon som eg har drøfta over, har Edison ikkje gjort gjeldande at Danske Bank elles har brote dei skriftlege avtaleføresegnene.
(61)Eg nemner likevel at rammeavtala/kontoavtala del C – «Generelle vilkår for innskudd og betalingstjenester – næringsforhold» – inneheld føresegner om oppretting av konto og legitimasjon, kontoinformasjon og kontroll, bruk av kontoen for betalingstransaksjonar, mottak av betalingsordrar, overføringstid for betalingstransaksjonar, avvising av betalingsordrar, bankens ansvar for utføring av betalingsordrar, feil frå kontohavaren ved utføring av betalingsordrar og ansvar ved uautoriserte betalingstransaksjonar.
(62)Det står korkje i rammeavtala/kontoavtala del C eller elles i avtala at Danske Bank har plikt til å kontrollere betalingsavgjerdene til kunden for å førebyggje intern eller ekstern svindel. Ein delkonklusjon er difor at banken ikkje har brote noka eksplisitt kontraktsfesta plikt.
(63)Den ulovfesta lojalitetsplikta i kontraktsforhold kjem eg attende til. Brot på plikter i lov, forskrift eller direktiv?
(64)Spørsmålet er etter dette om lov, forskrift eller direktiv stiller krav til bankar om vern mot svindel ved autoriserte betalingar.
(65)Finansavtalelova 1999 § 40 føreset at banken skal gjennomføre transaksjonar som er sette i verk av kunden, men lova har ikkje føresegner om plikt til overvaking av transaksjonar. Tvert om bestemmer § 43 fyrste ledd at banken er ansvarsfri dersom kunden har skrive feil kontonummer. Banken er også ansvarsfri sjølv om kunden har skrive rett namn på mottakaren, men feil kontonummer, jf. § 43 andre ledd. Visse modifikasjonar følgjer av § 43 a, men denne føresegna omfattar berre nettbaserte betalingstenester. Finansavtalelova 1999 inneheld inga plikt til overvaking og kontroll av betalingstransaksjonar med sikte på å avdekke svindel knytt til betalingsavgjerdene til kunden. Reguleringa i lova viser etter mitt syn, tvert om, eit utgangspunkt om at kunden har ansvaret for eigne feil.
(66)Eg finn støtte for dette i Ot.prp. nr. 94 (2008–2009), som var dei norske førearbeida til gjennomføringa av direktiv 2007/64/EF i norsk rett. På side 157–158 i proposisjonen skriv departementet at direktivet byggjer på at kunden sjølv må dekkje tapet ved eigne feil. Vidare skriv departementet at ein ikkje kan ha løysingar i nasjonal rett som inneber at tap som etter eit fullharmoniseringsdirektiv skal liggje på kunden, regelfast blir velta over på bankane slik at det undergrev løysinga i direktivet.
(67)Edison har peikt på forskrift om system for betalingstenester 15. februar 2019 nr. 152 § 2 andre ledd. Men heller ikkje denne føresegna stiller krav om at ein bank skal ha eit datasystem eller konkrete rutinar for å hindre intern eller ekstern svindel hjå ein kunde ved autoriserte transaksjonar. Forskrifta § 2 gjennomfører direktiv 2015/2366/EU artikkel 95 om Management of operational and security risks. Denne er retta mot payment services, jf. artikkel 95 nr. 1. Etter artikkel 95 nr. 3 kan European Banking Authority – EBA – utarbeide guidelines. I dei retningslinene som er lagt fram i saka og som gjeld frå juni 2020, står det ikkje noko om svindelovervaking der kunden sjølv har stått for overføringa.
(68)Edison har derimot peikt på retningsliner heimla i artikkel 96 om Incident reporting. Desse retningslinene gjeld rapportering – og gjev ikkje grunnlag for ei skadebotrettsleg handleplikt.
(69)Eg kan etter dette ikkje sjå at ein frå forskrift om system for betalingstenester § 2 eller direktiv 2015/2366/EU kan utleie ei plikt for bankar til å utvikle generelle system eller rutinar for å hindre eller redusere risikoen for økonomisk uheiderleg framferd i ei verksemd eller svindel initiert av ein aktør utanfor verksemda. Eg skyt inn at partane er samde om at Commission Delegated Regulation 2018/389, som supplerer direktiv 2015/2366/EU artikkel 97 om Authentication, har reglar om transaksjonsovervaking. Men desse gjeld berre ved sterk kundeautensitering og kjem ikkje i bruk der betalinga er gjort etter betalingsinstruksjonar på e-post, som i saka her.
(70)Eg viser derimot til at EBA i rapport EBA/REP/2022/14 side 81 identifiserer sosial manipulering som eit område «where further improvements … are needed». På den same staden kjem EBA med nokre forslag til kva som kan gjerast for å redusere risikoen for slik manipulering. Ut frå dette finn eg det klart at EBA, korkje i 2019 eller 2022, kan ha meint at bankar hadde plikt til å utvikle system og prosedyrar for å hindre eller redusere risikoen for økonomiske mislege handlingar både internt hjå kunden og svindel utanfrå, ved autoriserte betalingar.
(71)Eg viser også til at EU-kommisjonen i juni 2023 la fram eit forslag til ny forordning om betalingstenester, COM (2023) 367, jf. COD 2023/0210. Her heiter det i fortalen avsnitt 79: «Consumers should be adequately protected in the context of certain fraudulent payment transactions that they have authorised without knowing these transactions were fraudulent. The number of ‘social engineering’ cases where consumers are misled into authorising a payment transaction to a fraudster has significantly increased in recent years. ‘Spoofing’ cases where fraudsters pretend to be employees of a customer's payment service provider and misuse the payment service provider's name, mail address or telephone number to gain the customers’ trust and trick them into carrying-out some actions, are unfortunately becoming more widespread in the Union. Those new types of ‘spoofing’ fraud are blurring the difference that existed in Directive (EU) 2015/2366 between authorised and unauthorised transactions. Means through which the consent may be assumed to be granted are also becoming more complex to identify, as fraudsters can take control of the whole consent and authentication process including of the strong customer authentication completion. The conditions under which the customer authorised a transaction by giving his or her permission to it should be taken into due consideration, including by courts, to qualify a transaction as being authorised or unauthorised. A transaction may indeed have been authorised in circumstances where such authorisation was granted on manipulated premises affecting the integrity of the permission. It is therefore no longer possible, as was the case in Directive (EU) 2015/2366, to limit refunds to unauthorised transactions only. It would however be disproportionate and financially very costly to payment services providers to open every fraudulent transaction, authorised or unauthorised, to a systematic refund right. It might also cause moral hazard and a reduction in the customer’s vigilance.»
(72)Her er bedrageri av forbrukarar ved «social engineering» omtalt som eit aukande problem. Stendig meir sofistikerte svindelmetodar viskar ut skiljet mellom autoriserte og uautoriserte transaksjonar – noko som gjer at reguleringa i direktiv 2015/2366/EU ikkje lenger er tilstrekkeleg. Forslaget som blir sett fram til ny skadebotregel i artikkel 59 nr. 1, er likevel avgrensa til forbrukarar – og tilfella der svindlarane gjev seg ut for å vera tilsette i banken. Lovforslaget ville altså ikkje treft i saka her.
(73)Forslaget liknar noko på dagens regulering i finansavtalelova § 3-49 tredje ledd. Denne føresegna bestemmer at banken på nærare vilkår er ansvarleg for tapet til kunden dersom nokon utan avtale gjev seg ut for å vera eller representere banken. Men det er altså ikkje tilfellet i vår sak.
(74)Eg legg til at dersom ein kunne ha utleidd rettskrav om system eller rutinar mot svindel ved autoriserte transaksjonar frå direktiv 2015/2366/EU, ville ein nok ha sett spor av dette i lovgjeving eller praksis frå EU-land. Slike spor er ikkje påviste.
(75)Oppsummert kan eg ikkje sjå at det i lov, forskrift eller direktiv på skadetidspunktet var stilt opp krav for bankar om systematiske tiltak mot risikoen for bedrageri ved autoriserte betalingar. Særleg om kvitvaskingsreglane
(76)Dersom ein handlingsregel på eit livsområde skal ha relevans i aktløysevurderinga, må han i utgangspunktet sikte på å verne den interessa som skaden har ramma. Regelen må tolkast for å finne interessene han tek sikte på å verne. Brot på reglar som berre er meint å vareta offentlege interesser, vil normalt ikkje vera skadebotutløysande.
(77)Føremålet med kvitvaskingsreglane følgjer av kvitvaskingslova § 1 fyrste ledd, nemleg å førebyggje og avdekke kvitvasking og terrorfinansiering. Kvitvasking er handlingar som er skildra i straffelova §§ 332 og 337, det vil seia heleri og kvitvasking. Ingen av delane er tilfellet i saka her. Tiltaka i lova skal verne det finansielle og økonomiske systemet og samfunnet som heilskap, jf. kvitvaskingslova § 1 andre ledd. Føremålet med lova er ikkje å førebyggje eller avdekke andre straffbare handlingar, til dømes bedrageri eller annan økonomisk kriminalitet. Det sentrale med kvitvaskingslova er at den rapporteringspliktige skal gjennomføre kundetiltak og løpande oppfølging på grunnlag av ei vurdering av risikoen for kvitvasking og terrorfinansiering, jf. kvitvaskingslova § 9 fyrste ledd. Etter § 25 skal banken undersøkje forhold som kan indikere at midlar er knytte til nettopp kvitvasking eller terrorfinansiering. Dette er ikkje ei plikt til å undersøkje og rapportere annan mogleg kriminalitet, til dømes bedrageri. Etter § 26 skal banken rapportere til Økokrim dersom det etter nærare undersøkingar er omstende som gjev grunnlag for mistanke om kvitvasking eller terrorfinansiering.
(78)Etter kvitvaskingslova § 27 fyrste ledd kan ein mistenkjeleg transaksjon ikkje gjennomførast før Økokrim er varsla. Banken har plikt til ikkje å avsløre undersøkingar, oversending av opplysningar til Økokrim eller etterforsking etter kvitvaskingslova, overfor kunden, jf. § 28 fyrste ledd.
(79)Ein bankkunde som er blitt utsett for bedrageri, vil etter mitt syn ikkje kunne tufte eit skadebotkrav aleine på grunnlag av brot på kvitvaskingsreglane. Eg utelukkar med dette ikkje at grove brot på kvitvaskingsreglane kan vera relevante i ei aktløysevurdering i kombinasjon med andre lov- eller normbrot, men det er ikkje tilfellet i saka her. Bransjepraksis og interne rutinar
(80)Ut over dei konkrete pliktene som følgjer av avtaleverket, må plikta til god yting og aktsemda til ein bank vurderast ut frå kva som er standarden i bransjen. Det sentrale her er bankens plikt til å vareta kundens interesser ved betalingstransaksjonane på ein forsvarleg måte. Banken har ei lojalitetsplikt overfor kunden, og ei omsorgsplikt innanfor rammene av oppdraget. Etter omstenda kan kunden også ha rettkomne forventningar om å bli gjort merksam på forhold som ikkje ligg i kjernen av oppdraget, til dømes der banken på ein eller annan måte har fått positiv kunnskap om irregulære forhold. Ein mogleg praksis i bransjen vil difor vera relevant i vurderinga av om Danske Bank eller tilsette der har vore aktlause.
(81)Eg legg til grunn at alle bankar har system og rutinar som rettar seg mot uautoriserte betalingstransaksjonar i nettbankløysingar. Tap som oppstår ved manglar i eit slikt system, er bankane ansvarlege for etter finansavtalelova 1999 § 35 – i dag finansavtalelova § 4-30.
(82)Eg legg vidare til grunn at bankar, for å motverke at autoriserte transaksjonar blir gjorde av eller under påverknad frå uheiderlege medarbeidarar i verksemda eller utanforståande, i større eller mindre grad også har rutinar som rettar seg mot slike transaksjonar. Men nokon normerande bransjepraksis – eller kva for «sikkerheitsnivå» denne i så fall ligg på – er ikkje påvist. Når det ikkje finst slik bransjepraksis, må bankane i utgangspunktet gjera dette på den måten dei sjølv finn tenleg. Dette inkluderer oppbygging av system og utarbeiding og etterleving av interne retningsliner. Eit godt svindelkontrollsystem vil gje eit konkurransefortrinn.
(83)Når det ikkje finst ei bransjenorm, kan moglege brot på Danske Banks interne rutinar for kontroll med autoriserte betalingstransaksjonar ikkje gje grunnlag for skadebotansvar. Det må i alle fall vera klart når rutinane ikkje er gjort kjende for kundane, slik tilfellet er i saka her. Når Edison Norge frå november 2015 og utover ved ein feil var unntatt frå bankens fraud engine, er dette i seg sjølv ikkje ansvarsutløysande.
(84)Edisons subsidiære påstandsgrunnlag for skadebotansvar kan etter dette ikkje føre fram. Konklusjon og sakskostnader
(85)Anken har ført fram. Den avleidde anken har ikkje ført fram. Sidan det ikkje ligg føre ansvarsgrunnlag, finn eg ikkje grunn til å drøfte årsakssamanheng, medverknaden frå den skadelidne eller rettstap ut frå manglande reklamasjon eller passivitet.
(86)Danske Bank har vunne saka. Etter hovudregelen i tvistelova § 20-2 fyrste ledd skal Edison dekkje Danske Bank og partshjelparen Finans Norge sine sakskostnader for Høgsterett. Eg ser ikkje grunn til å gjera unntak etter § 20-2 tredje ledd.
(87)Danske Bank har kravd 2 749 398 kroner for Høgsterett medan Finans Norge har kravd 1 014 020 kroner. Beløpa er i all hovudsak advokatsalær – samla 680 timar til i snitt 4 725 kroner – pluss meirverdiavgift for Danske Banks del. I tillegg kjem ankegebyr med 42 141 kroner. Edison har ikkje hatt innvendingar mot storleiken på krava.
(88)Ankesaka var omfattande. Tingingane i Høgsterett tok fire rettsdagar. Eg meiner krava må godtakast, jf. tvistelova §§ 20-5 og 20-6.
(89)For sakskostnadsansvaret for tingretten og lagmannsretten skal Høgsterett leggje resultatet sitt til grunn, jf. tvistelova § 20-9 andre ledd. Heller ikkje her ser eg grunn til å fråvike hovudregelen i tvistelova § 20-2 fyrste ledd.
(90)Danske Bank har kravd 8 455 317 kroner for handsaminga i tingretten. Av dette er 6 524 144 kroner advokatsalær og 213 100 kroner honorar til sakkunnig vitne, eksklusive meirverdiavgift. Banken har vidare kravd 5 935 356 kroner for handsaminga i lagmannsretten. Av dette er 3 332 980 kroner advokatsalær og 1 404 350 kroner honorar til sakkunnige vitne, eksklusive meirverdiavgift. I tillegg kjem ankegebyr for lagmannsretten med 58 704 kroner.
(91)Saka var breitt lagt opp i tingretten og lagmannsretten. Eg meiner krava må godtakast for begge instansane, jf. tvistelova § 20-5.
(92)Eg røystar for slik D O M : 1. Danske Bank blir frifunnen. 2. Den avleidde anken blir vraka. 3. I sakskostnader for tingretten, lagmannsretten og Høgsterett betalar Edison International S.p.A. til Danske Bank 17 240 916 – syttenmillionartohundreogførtitusennihundreogseksten – kroner innan 2 – to – veker frå dommen er forkynt. 4. I sakskostnader for Høgsterett betalar Edison International S.p.A. til Finans Norge 1 014 020 – einmillionfjortentusenogtjue – kroner innan 2 – to – veker frå dommen er forkynt.
(93)Dommer Stenvik: Jeg er i hovedsak og i resultatet enig med førstvoterende.
(94)Dommer Thyness: Likeså.
(95)Dommer Arntzen: Likeså.
(96)Dommer Falkanger: Likeså.
(97)Etter røystinga sa Høgsterett slik