En mann ble holdt erstatningsansvarlig for tap som følge av at ekssamboeren misbrukte hans BankID ved opptak av forbrukslån, og ansvaret ble ikke lempet eller begrenset. Høyesterett kommer til at det ikke er nødvendig å ta stilling til om han er bundet av låneavtalen på avtalerettslig grunnlag, fordi han uansett er erstatningsansvarlig. Misbruket av BankID skyldtes at mannen bevisst hadde overlatt BankID-brikken, passordet og personnummeret til ekssamboeren. Han unnlot også over lengre tid å kontrollere egen økonomi, til tross for at han var kjent med at ekssamboeren hadde hatt problemer med egen økonomi og pengespill. Høyesterett legger til grunn at BankID er en strengt personlig sikkerhetsløsning, og at det gjelder en streng aktsomhetsnorm for innehaveren. Etter en samlet vurdering av partenes handlemåte og risikobidrag kommer Høyesterett til at mannen i det minste grovt hadde brutt sin aktsomhetsplikt. Kredittyteren hadde på sin side iverksatt relevante kontrolltiltak i tråd med gjeldende praksis og kunne ikke bebreides. Det foreligger tilstrekkelig adekvat årsakssammenheng mellom mannens handlinger og tapet. Finansavtaleloven 2020 § 3‑20 om beløpsmessig begrensning av ansvar ved misbruk av eID kommer ikke til anvendelse, fordi låneavtalen ble inngått før lovens ikrafttredelse. Det er ikke grunnlag for avkortning etter skadeerstatningsloven § 5‑1, ettersom kredittyteren ikke hadde medvirket til skaden. Videre forelå det ikke særlige omstendigheter som tilsier lemping etter § 5‑2, til tross for at ansvaret var økonomisk tyngende. Preventive hensyn og hensynet til tilliten til eID-løsninger talte også mot lemping. Avgjørelsen utdyper de rettslige utgangspunktene som gjelder for erstatningskrav som følge av misbruk av BankID. Rettsområde: Erstatningsrett
(1)Dommer Steen: Sakens spørsmål og bakgrunn
(2)Saken gjelder ansvar for låneopptak foretatt av ankende parts ekssamboer, som han hadde overlatt sin BankID til.
(3)Våren 2017 ba A sin ekssamboer om hjelp til å betale regninger og gjøre bankoverføringer fordi han gikk gjennom en vanskelig periode. Han ga henne det hun trengte for å kunne benytte BankID-en – kodebrikke, passord og personnummer.
(4)Over en periode på to og et halvt år brukte ekssamboeren As BankID til å søke om forbrukslån på totalt 11 636 000 kroner. Hun fikk innvilget lån på til sammen 1 284 000 kroner. Ekssamboeren ble i dom av Vestre Innlandet tingrett 8. september 2022 dømt for grovt bedrageri av det sistnevnte beløpet, samt identitetskrenkelse.
(5)Entercard Norge, som er ankemotpart i saken her, mottok en av lånesøknadene og innvilget denne i juli 2018. Låneavtalen ble oversendt til As e-postadresse, og ekssamboeren signerte med As BankID. Lånebeløpet på 455 000 kroner ble utbetalt til hans konto.
(6)A ble først kjent med at det var tatt opp forbrukslån i hans navn 9. september 2020.
(7)Den 8. mars 2024 tok Entercard ut stevning mot A med krav om tilbakebetaling av lånet med tillegg av renter og omkostninger.
(8)I Vestre Innlandet tingretts dom 7. oktober 2024 ble A dømt til å betale 100 000 kroner til Entercard. Retten fant at vilkårene for erstatning var oppfylt, men at det var grunnlag for å lempe erstatningskravet etter skadeserstatningsloven § 5-2. A ble tilkjent sakskostnader etter unntaksregelen i tvisteloven § 20-3.
(9)Entercard anket dommen, og A innga avledet anke. Eidsivating lagmannsrett avsa 16. september 2025 dom med slik domsslutning: «I anken: 1. A betaler 457 608,22 – firehundreogfemtisyvtusensekshundreogåttekommatjueto – kroner til Entercard Norge – Filial av Entercard Group AB, med tillegg av lovens forsinkelsesrente fra 1. mai 2019 til betaling skjer. 2. A betaler 5 536 – femtusenfemhundreogtrettiseks – kroner til Entercard Norge – Filial av Entercard Group AB. 3. A betaler 14 000 – fjortentusen – kroner til Entercard Norge – Filial av Entercard Group AB, med tillegg av lovens forsinkelsesrente fra 16. juli 2019 til betaling skjer. 4. Forfallstidspunktet for slutningens punkt 1 til 3 er 2 – to – uker etter forkynnelse av denne dom. I avledet anke: Anken forkastes. For begge anker: 1. A betaler saksomkostninger for tingretten til Entercard Norge – Filial av Entercard Group AB med 150 000 – etthundreogfemtitusen – kroner innen 2 – to – uker etter forkynnelse av denne dom. 2. A betaler saksomkostninger for lagmannsretten til Entercard Norge – Filial av Entercard Group AB med 120 000 – etthundreogtjuetusen – kroner innen 2 – to – uker etter forkynnelse av denne dom.»
(10)Lagmannsretten fant at det verken var grunnlag for å redusere erstatningen etter medvirkningsregelen i skadeserstatningsloven § 5‑1 eller å lempe ansvaret etter § 5‑2.
(11)A har anket til Høyesterett over lagmannsrettens generelle og konkrete rettsanvendelse samt bevisvurderingen.
(12)Finans Norge har inngitt skriftlig innlegg til belysning av allmenne interesser, jf. tvisteloven § 15-8.
(13)Det er for Høyesterett fremlagt enkelte nye bevis. Ellers står saken i samme stilling som for lagmannsretten. Partenes syn på saken
(14)Den ankende part – A – har i korte trekk gjort gjeldene:
(15)A kan ikke holdes ansvarlig for lånet på avtalerettslig grunnlag. Låneavtalen er ugyldig som følge av falsk, fordi den er inngått som ledd i identitetsmisbruk uten hans kunnskap eller samtykke. Det bestrides også at han kan være bundet av en avtale inngått av ekssamboeren i hans navn ved at hun benyttet hans BankID.
(16)Han kan heller ikke holdes erstatningsrettslig ansvarlig. Det foreligger ikke ansvarsgrunnlag. Han har ikke opptrådt uaktsomt, fordi han trengte hjelp på grunn av sin helsetilstand og ble utnyttet av sin ekssamboer. Tapet skyldes bankens mangelfulle rutiner og risikofylte utlånspraksis. Det bestrides også at det foreligger adekvat årsakssammenheng.
(17)Subsidiært kan As erstatningsansvar ikke overstige beløpsgrensene i finansavtaleloven 2020 § 3‑20. Atter subsidiært må erstatningen falle bort eller reduseres som følge av Entercards medvirkning, jf. skadeserstatningsloven § 5‑1, samt lempes som urimelig tyngende for A etter skadeserstatningsloven § 5-2.
(18)A har lagt ned slik påstand: «Prinsipalt: A frifinnast. Subsidiært: A sitt skadebotansvar overfor Entercard – Filial av Entercard Group AB setjast ned heilt eller delvis. For begge tilfelle: A / det offentlege vert å tilkjenna saka sine omkostningar.»
(19)Ankemotparten – Entercard Norge – Filial av Entercard Group AG – har i korte trekk gjort gjeldende:
(20)A er direkte avtalerettslig bundet basert på en konkret vurdering av det samlede hendelsesforløp. Særlig sentralt er at A forsettlig ga fra seg sin BankID og datamaskin til ekssamboeren. Han var kjent med forhold ved henne som innebar en nærliggende fare for misbruk. Banken hadde rimelig grunn til å tro at avtale var inngått, og var i aktsom god tro. Avtalen er ikke ugyldig som falsk når misbruket er muliggjort ved As egne handlinger.
(21)Subsidiært er A bundet etter reglene om ulovfestet representasjon, idet han ga ekssamboeren legitimasjon til å opptre på hans vegne og således skapte en berettiget forventning hos Entercard om at avtale var inngått.
(22)Atter subsidiært er A erstatningsansvarlig. Han har forsettlig brutt sin aktsomhetsplikt ved å overlate BankID og kontrollen over egen økonomi til ekssamboeren, og tapet er en påregnelig og adekvat følge av dette. Det bestrides at Entercard har medvirket til tapet eller opptrådt uaktsomt, og det er verken grunnlag for avkortning etter skadeserstatningsloven § 5‑1 eller lemping etter § 5‑2. Finansavtaleloven 2020 § 3-20 kommer ikke til anvendelse på en låneavtale inngått før loven trådte i kraft.
(23)Entercard Norge – Filial av Entercard Group AB har lagt ned slik påstand: «1. Anken forkastes. 2. A dømmes til å erstatte Entercard Norge – Filial av Entercard Group AB sine sakskostnader for Høyesterett.» Mitt syn på saken Innledning
(24)Jeg har kommet til at A fullt ut må holdes erstatningsansvarlig for det tapet som Entercard har lidt. Det er derfor ikke nødvendig å ta stilling til Entercards anførsel om at A er bundet av låneavtalen på avtalerettslig grunnlag. Saksforholdet
(25)Saken har sin bakgrunn i at A våren 2017 ba sin ekssamboer om bistand til å håndtere post, betalinger og bankoverføringer for både hans privat- og bedriftskonto. A var sliten og deprimert. Han fant det krevende å stå i jobb som selvstendig næringsdrivende snekker og samtidig holde orden på papirarbeidet. Han overlot derfor sin BankID-brikke og -passord samt personnummer til ekssamboeren. I tillegg ga han henne tilgang til sin datamaskin og e-post.
(26)A var kjent med at ekssamboeren tidligere hadde hatt problemer med egen økonomi og pengespill, men trodde det var tilbakelagte problemer. Fra våren 2017 til september 2020 kontrollerte han ikke post, e-post, bankkontoer eller skattemeldinger. Han fortsatte imidlertid å sende fakturaer til sine kunder.
(27)I perioden mars 2018 til september 2020 søkte ekssamboeren, i det vesentlige uten As viten, om en rekke forbrukslån i hans navn på til sammen 11 636 000 kroner, hvorav 1 284 000 kroner ble innvilget. A brukte om lag 100 000 kroner av disse midlene til kjøp av bil.
(28)Entercard mottok 16. juli 2018 en elektronisk lånesøknad i As navn. I søknaden var det opplyst at det omsøkte lånet på 445 000 kroner skulle gå til refinansiering av andre forbrukslån oppgitt til 415 000 kroner. På det tidspunktet hadde ekssamboeren fått utbetalt 430 000 kroner i forbrukslån til As konto fra to andre kredittytere.
(29)Entercard behandlet lånesøknaden i all hovedsak maskinelt. Samme dag som søknaden ble mottatt, ble lånetilbud og signeringslenke sendt til As e-postadresse.
(30)Lånetilbudet ble 23. juli 2018 signert av ekssamboeren ved hjelp av As BankID. Lånet ble utbetalt samme dag til hans bankkonto. Inkludert gebyrer mv. utgjorde skyldig beløp 457 600 kroner på lånetidspunktet.
(31)Renter og avdrag på lånet ble etterhvert ikke betalt. Etter å ha sendt betalingspåminnelse 16. april 2019, hevet Entercard låneavtalen med virkning fra 1. mai 2019. Det ble deretter sendt inkassovarsel og betalingsoppfordring.
(32)I september 2020 ble A informert om låneopptakene. Han anmeldte forholdet til politiet 9. november 2020. Lånebeløpene var ikke lenger i behold på As konto, og det er uavklart hva de ble benyttet til. BankID
(33)BankID er en personlig digital identifikasjon utstedt av norske banker etter avtale med den enkelte kunde, som kan brukes til sikker identifisering og elektronisk signering på nett. Løsningen fungerer som en digital parallell til fysisk legitimasjon og håndskrevet signatur i rettslige og praktiske sammenhenger. BankID er den mest brukte personlige elektroniske legitimasjonen (eID) i Norge og brukes av en rekke private og offentlige virksomheter. Den utgjør i praksis en grunnleggende infrastruktur for digital samhandling, særlig innenfor bank- og finanssektoren, forvaltningsrettslige tjenester og kontraktsinngåelser på nett.
(34)Den tekniske løsningen er oppsummert slik i innlegget fra Finans Norge: «Den grunnleggende sikkerheten i BankID-systemet bygger på en tofaktor- autentisering som ligger i kombinasjonen av noe bare rettighetshaveren har (slik som en mobilapp eller kodebrikke) med noe bare rettighetshaveren vet (slik som et personlig passord), samt tilknytningen til rettighetshaverens fødselsnummer. Med nyere teknologiske løsninger kan autentisering også skje ved bruk av biometri, slik som ansiktsgjenkjenning eller fingeravtrykk.»
(35)BankID er regulert av lov om elektroniske tillitstjenester som gjennomfører europaparlaments- og rådsforordning (EU) nr. 910/2014, eIDAS‑forordningen, i norsk rett. Bruken av elektronisk identifikasjon bygger på det grunnleggende prinsipp at innehaveren skal ha enekontroll – «sole control» – over sine signaturfremstillingsdata, jf. forordningen artikkel 26 bokstav c.
(36)BankID er en strengt personlig legitimasjon etter BankID-avtalen, og skal – uten unntak – ikke deles med andre. I 2018 fulgte dette av «Avtale om PersonBankID» av 20. mai 2016 punkt 9 om «Vern om passord og andre sikkerhetsprosedyrer»: «PersonBankID er personlig og skal ikke overdras eller på annen måte overlates til eller brukes av andre enn Kunden. Passord, personlige koder og andre sikkerhetsprosedyrer må ikke røpes for noen, heller ikke overfor politiet, Banken eller husstandsmedlemmer. …»
(37)Finansavtaleloven, som er fra 2020 og trådte i kraft 1. januar 2023 – og altså etter lånopptaket i saken her – viser til denne avtalereguleringen i § 3-19 første ledd, som lyder: «Den som har rett til å bruke en elektronisk signatur som kan benyttes til å inngå avtale om finansiell tjeneste, skal bruke de elektroniske signaturfremstillingsdataene i samsvar med vilkårene for utstedelse og bruk og skal ta alle rimelige forholdsregler for å beskytte personlig sikkerhetsinformasjon som er knyttet til de elektroniske signaturfremstillingsdataene, så snart disse er mottatt. Vilkårene for utstedelse og bruk skal være objektive, ikke innebære forskjellsbehandling og stå i forhold til formålet.»
(38)For en nærmere redegjørelse for bruken av Bank-ID viser jeg til HR-2020-2021-A Brabank avsnitt 29–35. Ansvarsgrunnlag Aktsomhetsnormen
(39)Problemstillingen er om A opptrådte erstatningsbetingende da han overlot Bank-ID-brikke og -passord til sin ekssamboer på et tidspunkt da det var krevende for ham å ivareta papirarbeid med videre.
(40)Høyesterett har i Brabank-dommen drøftet anvendelsen av culpanormen der det økonomiske tapet har oppstått som følge av misbruk av BankID, jf. avsnitt 51–61. Utgangspunktet er at rettighetshaveren må ta alle rimelige forholdsregler for å beskytte de personlige sikkerhetsanordningene knyttet til sin Bank-ID, jf. avsnitt 54. Hva som ligger i dette kravet, er blant annet regulert i den tidligere gjengitte «Avtale om PersonBankID» punkt 9, hvor det går uttrykkelig frem at passord og sikkerhetsprosedyrer ikke skal deles med noen, heller ikke medlemmer av husstanden.
(41)Ved vurderingen av om skadevolder kunne og burde ha handlet annerledes, er det også relevant å se hen til hvilke forventninger som kan stilles til skadelidte. Skadelidte kan ha en rolle, herunder muligheter for å unngå at skaden oppstår, som kan gjøre at den risikoen som kan knyttes til skadevolderen, blir så liten at det ikke er grunnlag for å ilegge ham ansvar.
(42)Når BankID benyttes til å inngå en låneavtale med betydelige økonomiske konsekvenser med en kredittyter låntakeren ikke tidligere har hatt kundeforhold til, kan det være grunn til å stille strengere krav til kredittyter enn kun å konstatere korrekt legitimasjon ved BankID, jf. Brabank-dommen avsnitt 59.
(43)I forarbeidene til finansavtaleloven 2020 nevnes to eksempler på mulige tiltak fra kredittyterens side, jf. Prop. 92 LS (2019–2020) punkt 18.2.5 på side 183–184: «Muligheten for at rettighetshaveren oppfatter misbruket – kanskje før kredittbeløpet betales – vil øke betraktelig dersom kredittytere i større grad sendte bekreftelser på låneforespørsel til rettighetshaverens offentlig registrerte mobilnummer, adresse eller elektroniske postkasse. Det bør dessuten være mulig for kredittyteren å sikre at kreditt bare utbetales til en konto som tilhører den som har søkt kreditt … .»
(44)Slike strenge krav gir også et insitament for tjenesteyterne til å ha gode rutiner og sikkerhetsmekanismer, som igjen vil bidra til å sikre tilliten i samfunnet til bruken av personlig elektronisk legitimasjon ved inngåelser av avtaler og bruk av tjenester, jf. proposisjonen punkt 18.2.5 på side 184.
(45)På samme måte som førstvoterende i Brabank-dommen legger jeg til grunn at hensynene fremhevet i forarbeidene er relevante for vurderingen av ansvarsgrunnlag også for avtaler inngått før finansavtaleloven 2020 trådte i kraft, jf. dommen avsnitt 61.
(46)Spørsmålet om innehaveren av BankID har brutt sin aktsomhetsplikt overfor banken, beror etter dette på en samlet vurdering av partenes handlemåte og risikobidrag. Rettighetshaveren har et strengt ansvar for å beskytte sine personlige sikkerhetsanordninger, mens kredittyteren må treffe rimelige kontrolltiltak, særlig ved nye og risikofylte låneforhold. Har A opptrådt ansvarsbetingende?
(47)Spørsmålet er for det første om A iverksatte alle rimelige tiltak for å beskytte sin BankID. Misbruket var et resultat av at han bevisst overlot BankID-brikke og -passord til sin ekssamboer. Jeg legger til grunn, og det er heller ikke bestridt, at A var kjent med eller måtte forstå at hans BankID er en strengt personlig legitimasjon som uten unntak ikke skal deles med andre.
(48)Ekssamboeren fikk også tilgang til hans datamaskin og e-post. Det må videre legges til grunn at hun hadde sentrale personopplysninger, som personnummer. I tillegg disponerte hun en telefon som stod registrert på As enkeltpersonforetak.
(49)Over en periode på mer enn tre år – fra våren 2017 til september 2020 – sjekket A verken sine bankkontoer, selvangivelser, post eller e-post. Han lot også være å forholde seg til en «hel haug» av meldinger fra banker på mobiltelefonen. Han var videre kjent med at ekssamboeren tidligere hadde hatt problemer med egen økonomi og pengespill.
(50)A har forklart sin opptreden med at han i perioden var sliten og deprimert og derfor hadde behov for bistand til å håndtere egen økonomi. Han arbeidet redusert, men var ikke sykmeldt. Han fortsatte også selv å utstede fakturaer til sine kunder. Det foreligger ingen tidsnær dokumentasjon eller andre opplysninger som tilsier at A manglet forutsetninger for å vurdere risikoen ved sine handlinger.
(51)Dersom en rettighetshaver har behov for bistand fra tredjepart ved bruk av en eID-løsning, kan det inngås avtale om disposisjonsfullmakt for bankkonto. Fullmakten gjør det mulig å få bistand uten å komme i konflikt med de absolutte sikkerhetskravene. Finans Norge beskriver ordningen slik i sitt skriftlige innlegg: «En disposisjonsfullmakt gir en navngitt tredjepart tilgang til å utføre nærmere angitte disposisjoner på vegne av kontohaver, uten at kontohaveren trenger å dele sin personlige elektroniske identitet eller sine autentiseringsopplysninger med andre. Den autoriserte personen handler da på eget ansvar innenfor fullmaktens rammer, og finansforetaket har et klart grunnlag for å identifisere hvem som har gjennomført den aktuelle transaksjonen.»
(52)I likhet med lagmannsretten finner jeg det etter dette klart at A – også sett hen til hans forutsetninger på det aktuelle tidspunkt – ikke traff alle rimelige forholdsregler for å beskytte sin BankID og forebygge misbruk.
(53)Også forhold på kredittyters side må som nevnt tas i betraktning i uaktsomhetsvurderingen. Entercard mottok en digital lånesøknad i As navn om et forholdsvis betydelig forbrukslån på 455 000 kroner. Søknaden ble inngitt ved utfylling av et digitalt skjema, hvor det blant annet var opplyst at lånet skulle benyttes til refinansiering av eksisterende forbruksgjeld oppgitt til 415 000 kroner. Det er ikke påvist forhold ved selve søknaden som tilsa skjerpet aktsomhet fra Entercards side.
(54)I lys av at A ikke hadde et tidligere kundeforhold til Entercard, og i lys av lånebeløpets størrelse og det forhold at låneavtalen ble inngått utelukkende ved bruk av BankID, må det stilles visse krav til kredittyters kontrolltiltak, jf. Brabank-dommen avsnitt 59.
(55)Behandlingen av lånesøknaden skjedde i all hovedsak maskinelt. Entercard innhentet en ekstern kredittsjekk av A, hvor blant annet årlig netto inntekt fremgikk, samt at han ikke hadde betalingsanmerkninger. Det ble også foretatt oppslag i konto- og adresseringsregisteret (KAR) for å kontrollere at A var eier av bankkontoen lånebeløpet skulle utbetales til. Prosessen gikk raskt, og Entercard sendte lånetilbud og signeringslenke til As e-postadresse samme dag som selskapet mottok søknaden.
(56)Ved oppslag i KAR og utbetaling til As konto samt ved utsendelse av lånetilbud og signeringslenke til hans e‑postadresse iverksatte Entercard begge tiltakene som i forarbeidene til finansavtaleloven 2020 er fremhevet som egnet til å motvirke misbruk av eID ved inngåelse av låneavtaler.
(57)A har ikke gjort gjeldende at Entercard skulle ha frarådet låneopptaket, jf. finansavtaleloven 1999 § 47. Han har imidlertid anført at Entercard burde ha foretatt ytterligere undersøkelser rundt hans økonomi før lånet ble innvilget. Han har blant annet vist til at ekssamboeren i mars og april 2018 søkte om flere forbrukslån fra to andre kredittytere på lavere beløp, og at disse søknadene ble avslått.
(58)I dag har banker og andre kredittgivere adgang til å innhente opplysninger om en persons usikrede gjeld, herunder forbrukslån og kredittkortgjeld, fra gjeldsregistrene i medhold av gjeldsinformasjonsloven. Loven trådte i kraft 1. november 2017, men gjeldsregistrene ble først operative fra 1. juli 2019.
(59)På tidspunktet for låneopptaket hadde Entercard ingen mulighet for å innhente en slik samlet oversikt over As usikrede gjeld. Jeg kan derfor ikke se at Entercard handlet kritikkverdig ved å begrense seg til en ekstern kredittsjekk.
(60)A har videre anført at Entercard burde ha kontaktet ham på telefon for å verifisere at det faktisk var han som sto bak søknaden om forbrukslånet.
(61)Etter Brabank-dommen har Finans Norge med virkning fra 1. januar 2021 utgitt en bransjenorm for å «forebygge, avdekke og følge opp tilfeller av misbruk av BankID til opptak av usikret kreditt til forbruker».
(62)Det følger av punkt 5.1 at banken, så langt det er mulig, skal verifisere telefonnummeret til BankID-innehaveren ved etablering av kundeforhold, noe som for eksempel kan skje ved oppslag på allment tilgjengelige nummeropplysningssider. Ettersom normen ikke gjaldt på lånetidspunktet, kan det ikke tillegges vekt at Entercard ikke foretok slik verifisering før utbetaling. Jeg nevner likevel at ekssamboeren i søknaden oppga et mobilnummer registrert på As enkeltpersonforetak, som hun disponerte. Jeg tilføyer at etter bransjenormens ikrafttredelse vil verifisering inngå som et moment i vurderingen av kredittyters opptreden.
(63)A har videre gjort gjeldende at siden det angitte formålet med lånet var å refinansiere forbruksgjeld, burde Entercard ha utbetalt lånet direkte til de to kredittyterne som allerede hadde innvilget forbrukslån på til sammen 430 000 kroner.
(64)På tidspunktet for låneopptaket forelå det verken lovregler eller bransjenormer som tilsa at lånebeløpet ved refinansiering av forbrukslån skulle utbetales direkte til kreditorene. Det anførte kan derfor ikke tillegges vekt.
(65)A har også anført at Entercard burde ha foretatt ytterligere autentisering, eksempelvis ved fysisk oppmøte, videomøte eller biometrisk kontroll. Jeg kan ikke se at slike tiltak kan oppstilles som krav til kredittyter i denne saken hvor det er tale om et forbrukslån på 455 000 kroner.
(66)Når det gjelder biometrisk kontroll, viser jeg til at det både på avtaletidspunktet og i dag er alminnelig akseptert at identifikasjon skjer ved bruk av eID basert på personnummer, engangskode (kodebrikke eller tilsvarende) og personlig passord. Dette utgjør en etablert og normativt forankret form for sikker autentisering. Å kreve ytterligere biometrisk verifikasjon ville innebære et skjerpet sikkerhetsnivå som verken følger av lov, forskrift eller alminnelig bransjepraksis.
(67)Jeg kan heller ikke se at det i et digitalisert samfunn kan oppstilles et generelt krav om fysisk oppmøte ved inngåelse av låneavtaler av denne art eller annen bruk av eID. Et slikt krav ville bryte med de grunnleggende forutsetningene for elektronisk identifikasjon og digitale avtaleinngåelser, og i realiteten undergrave formålet med eID‑løsningene.
(68)Det samme gjelder bruk av videomøter. Selv om dette i noen tilfeller kan tenkes å styrke kontrollen, er det ikke nærmere belyst for Høyesterett hvilke praktiske og økonomiske konsekvenser det ville ha å innføre rutinemessige videomøter, eller hvilken reell økning i sikkerheten dette ville gi. Jeg kan derfor ikke se at det generelt kan kreves at kredittytere benytter et slikt kontrolltiltak.
(69)Etter en samlet vurdering finner jeg det klart at det foreligger ansvarsgrunnlag. A har rettsstridig gitt ekssamboeren tilgang til sin BankID. Han var kjent med hennes historikk knyttet til spilleproblemer, og han utviste over en periode på mer enn tre år en nær total passivitet med hensyn til å følge opp egen økonomi, noe som ville ha avdekket misbruket på et tidligere stadium. Han har i det minste grovt brutt sin aktsomhetsplikt. Det foreligger ingen forhold på kredittyters side som kan begrunne et annet resultat. Økonomisk tap, årsakssammenheng og adekvans
(70)Entercards økonomiske tap består av lånebeløpet, påløpte renter, forsinkelsesrenter og inndrivelseskostnader. Tapets størrelse er ikke bestridt. A har heller ikke gjort gjeldende at det mangler faktisk årsakssammenheng mellom den skadevoldende handling og tapet, men har anført at kravet til adekvans ikke er oppfylt.
(71)I HR-2023-1108-A avsnitt 33 er adekvanskravet beskrevet slik: «I rettspraksis er kravet til adekvans gjerne formulert slik at erstatningsansvaret må avgrenses mot skade som er ‘en så upåregnelig, fjern og avledet følge av den skadevoldende handling at det ikke er rimelig å knytte ansvar til den’, jf. HR-2020-1332-A avsnitt 64 med henvisning til Rt-2007-172 avsnitt 66. Det skal altså foretas en vurdering av påregneligheten og nærheten mellom skaden og den ansvarsbetingende handlingen.»
(72)A ga ekssamboeren tilgang til sin BankID, samt e-post og post, uten noen form for kontroll fra hans side, til tross for kjennskap til hennes tidligere økonomiske problemer og problemer med pengespill. Tapet som har oppstått som følge av ekssamboerens misbruk av As BankID, herunder lånet fra Entercard, fremstår etter dette ikke som en så upåregnelig, fjern eller avledet følge av den skadevoldende handling at det er urimelig å holde A ansvarlig for tapet.
(73)Jeg kan i denne situasjonen ikke se at det er plass for å legge vekt på alminnelige risikofordelings- og rimelighetsvurderinger.
(74)Vilkårene for å tilkjenne Entercard erstatning er etter dette oppfylt. Finansavtalelovens begrensning av ansvar ved misbruk av eID
(75)A har anført at hans erstatningsansvar må begrenses i tråd med beløpsgrensene for egenandel i finansavtaleloven 2020 § 3-20. Entercard har gjort gjeldende at bestemmelsen ikke kan anvendes på en avtale inngått i 2018.
(76)Finansavtaleloven 2020 § 3‑20 regulerer ansvarsfordelingen mellom tjenesteyter og rettighetshaver ved misbruk av elektroniske signaturfremstillingsdata. Bestemmelsens annet til fjerde ledd angir rettighetshaverens ansvar for egenandeler basert på graden av utvist skyld. De lyder slik: «(2) Rettighetshaveren svarer med en egenandel på inntil 450 kroner. Rettighetshaveren svarer likevel ikke med en slik egenandel dersom rettighetshaveren ikke kunne ha oppdaget misbruket på forhånd og heller ikke har opptrådt svikaktig. (3) Rettighetshaveren svarer med en egenandel på inntil 12 000 kroner dersom tapet skyldes at rettighetshaveren grovt uaktsomt har unnlatt å oppfylle sine plikter etter § 3-19 første og annet ledd. (4) Rettighetshaveren svarer med en egenandel tilsvarende det tapet tjenesteyteren kan gjøre gjeldende i samsvar med ellers gjeldende rettsregler, dersom rettighetshaveren har misligholdt en eller flere av sine plikter etter § 3-19 første og annet ledd forsettlig slik at rettighetshaveren måtte forstå at misligholdet kunne innebære en nærliggende fare for at de elektroniske signaturfremstillingsdataene kunne bli misbrukt.»
(77)Spørsmålet er om bestemmelsen kommer til anvendelse på en låneavtale inngått i 2018, altså før lovens ikrafttredelse. Overgangsreglene er oppstilt i finansavtaleloven 2020 § 8‑2. Første ledd, som er relevant for denne saken, lyder: «Loven gjelder for avtaler som er inngått før loven er trådt i kraft, med de særregler som er fastsatt i annet ledd eller forskrift gitt i medhold av tredje ledd. Lovens regler om avtaleinngåelse og plikter i forbindelse med avtaleinngåelsen, herunder regler om opplysningsplikt forut for avtaleinngåelsen og regler om angrerett og betenkningstid, gjelder når avtalen inngås etter at loven er trådt i kraft.»
(78)Utgangspunktet er dermed at loven også får anvendelse på eldre avtaler, med unntak for regler som gjelder «avtaleinngåelse» og «plikter i forbindelse med avtaleinngåelsen».
(79)Isolert sett kan ikke reguleringen av ansvarsfordelingen i § 3‑20 anses å gjelde selve avtaleinngåelsen. Bestemmelsen bygger imidlertid på og viser til §§ 3‑18 og 3‑19, som oppstiller plikter for både tjenesteyteren og brukeren ved inngåelse av finansavtaler ved bruk av elektronisk signatur. Etter § 8‑2 første ledd annet punktum gjelder disse pliktene bare for avtaler inngått etter lovens ikrafttredelse.
(80)Når de underliggende pliktreglene i §§ 3‑18 og 3‑19 ikke kommer til anvendelse på avtaler inngått før lovens ikrafttredelse, taler systemhensyn for at heller ikke ansvarsbestemmelsen i § 3‑20 bør gis anvendelse på slike avtaler.
(81)Hvis loven ikke inneholder en klar regulering av overgangsspørsmålet, har lovgiver lagt til grunn at løsningen skal bero på hva som er en «fornuftig tolkning av loven», og «hva som fremstår som et naturlig skjæringstidspunkt», jf. Prop. 92 LS (2019–2020) kapittel 39, spesialmerknadene til forsikringsavtaleloven § 8-2, side 400.
(82)Tapsfordelingsreglene i § 3‑20 innebærer ikke en kodifisering av tidligere rett, men representerer en ny regulering. Bestemmelsen styrker rettighetshaverens stilling sammenlignet med tidligere rettstilstand. Dette taler etter mitt syn klart mot å gi bestemmelsen anvendelse på avtaler inngått før finansavtaleloven 2020 trådte i kraft.
(83)På denne bakgrunn kan jeg ikke se at finansavtaleloven § 3‑20 kommer til anvendelse ved fastsettelsen av As økonomiske ansvar. Skadelidtes medvirkning
(84)A har anført at erstatningen skal settes ned grunnet skadelidtes medvirkning.
(85)Skadeserstatningsloven § 5-1 nr. 1 og 2 lyder slik: «1. Dersom den direkte skadelidte eller erstatningssøkeren har medvirket til skaden ved egen skyld, kan erstatningen settes ned eller falle bort for så vidt det er rimelig når en tar hensyn til atferden, og dens betydning for at skaden skjedde, omfanget av skaden og forholdene ellers. Dette gjelder likevel ikke dersom skadelidte på skadetiden ikke hadde fylt 10 år. 2. Som medvirkning reknes det også når den direkte skadelidte eller erstatningssøkeren har latt være i rimelig utstrekning å fjerne eller minske risikoen for skade eller etter evne å begrense skaden.»
(86)Etter § 5‑1 nr. 1 krever avkortning at skadelidte har utvist skyld og derved har medvirket til skaden. Er vilkårene oppfylt, kan erstatningen reduseres eller falle bort. Vurderingen beror på en helhetsvurdering, hvor blant annet atferden, årsaksbidraget og skadens størrelse inngår, jf. HR-2023-1796-A Pareto avsnitt 30–33.
(87)Ved vurderingen av om skadelidte er å bebreide, må det ses hen til hvilke forventninger det var rimelig å stille til skadelidte, herunder risikoens størrelse og synbarhet samt skadelidtes forutsetninger, jf. samme dom avsnitt 34 og 35.
(88)Entercard har spilt en perifer rolle i årsaksbildet. Skaden er forårsaket av As erstatningsbetingende atferd. Entercard har på sin side handlet i tråd med regler og bransjenormer på tidspunktet, og det er ikke påvist ytterligere handlinger som kredittyter burde ha iverksatt for å redusere risikoen for skade i denne saken.
(89)Jeg mener etter dette at vilkåret om skadelidtes skyld ikke er oppfylt, og erstatningen skal ikke settes ned etter skadeserstatningsloven § 5-1. Lemping
(90)A har endelig anført at ansvaret helt eller delvis må lempes etter skadeserstatningsloven § 5-2, som lyder: «Erstatningsansvaret kan lempes når retten under hensyn til skadens størrelse, den ansvarliges økonomiske bæreevne, foreliggende forsikringer og forsikringsmuligheter, skyldforhold og forholdene ellers finner at ansvaret virker urimelig tyngende for den ansvarlige. Det samme gjelder når det i særlige tilfelle er rimelig at den skadelidte helt eller delvis bærer skaden.»
(91)Bestemmelsen åpner for lemping i to situasjoner: når fullt ansvar vil være urimelig tyngende for skadevolder, og når det er rimelig at skadelidte helt eller delvis bærer tapet. Lemping er en unntaksregel med snever rekkevidde og forutsetter særlige omstendigheter.
(92)Høyesterett har i Brabank-dommen gitt generell veiledning om når det kan være grunnlag for lemping etter BankID-misbruk, jf. avsnitt 65–67, men tok ikke stilling til spørsmålet om lemping, da det ikke forelå ansvarsgrunnlag. Likevel uttaler førstvoterende i avsnitt 109: «… der en privatperson etter alminnelige erstatningsregler blir erstatningsansvarlig overfor en finansinstitusjon for et stort økonomisk tap som er oppstått som følge av misbruk av BankID, vil det, avhengig av de nærmere omstendighetene, kunne være grunnlag for å sette erstatningsbeløpet vesentlig ned etter lempningsregelen i skadeserstatningsloven § 5-2.»
(93)Jeg legger føringene i Brabank-dommen til grunn for den videre vurderingen.
(94)Når det gjelder As situasjon i dag, bygger jeg på lagmannsrettens bevisvurdering, foretatt på grunnlag av umiddelbar bevisførsel: «A er 100 % sykmeldt og har beskjeden inntekt. A er sterkt preget av saken og det misbruket av tillit han opplevde fra ekssamboeren. Han fremstår som dypt deprimert og med begrensninger i fungeringen. Med bistand fra nær familie har A nå fått oversikt over den økonomiske situasjonen. A eier egen bolig, og har mest sannsynlig friverdi i boligen som kan benyttes til refinansiering. Det er likevel liten tvil om at erstatningsansvaret vil virke økonomisk tyngende for ham. Entercard har mulighet til å pulverisere tapet gjennom sin virksomhet. A har på sin side ikke forsikringsordninger som kan avdempe ansvaret.»
(95)Tapet Entercard krever erstattet, utgjør et betydelig beløp, men det er forårsaket av at A ga ekssamboeren tilgang til sin BankID, personnummer, datamaskin, e-post, post og mobiltelefon. Over en periode på mer enn tre år kontrollerte han aldri hennes bistand, selv om han også hadde konkrete oppfordringer til dette som følge av kjennskap til hennes tidligere spilleproblemer og mange meldinger fra banker på sin mobiltelefon. A er dermed sterkt å bebreide for at tapet har oppstått, samtidig som banken ikke er å bebreide. Dette taler klart mot lemping av erstatningsansvaret.
(96)Jeg legger videre vekt på betydningen BankID og andre former for eID har i det norske samfunnet. Digital identifikasjon og signering er i dag en grunnleggende forutsetning for effektiv gjennomføring av finansielle tjenester og for den bredere digitaliseringen av samfunnet.
(97)Tilliten til eID er en grunnleggende forutsetning for at forbrukere, foretak og offentlige myndigheter benytter seg av elektroniske løsninger, se fortalen til eIDAS-forordningen betraktning 1. Tilbydere av eID‑løsninger er derfor underlagt omfattende forpliktelser, både av teknisk og organisatorisk art, for å sikre at løsningene ikke kan misbrukes. Det forhold som i mindre grad lar seg kontrollere på systemnivå, er om brukeren etterlever de grunnleggende vilkårene for bruk av eID, herunder plikten til å bevare enekontroll over egne autentiseringsmidler. Dersom en forbruker forsettlig har brutt sin aktsomhetsplikt, utgjør det en risiko som verken finansforetak som slutter avtaler med kunder basert på BankID, eller den aktuelle BankID-tjenestetilbyderen kan beskytte seg mot gjennom tekniske sikkerhetstiltak alene, nettopp fordi dette skjer ved at innehaveren selv opphever den sperren systemet bygger på. Sterke preventive hensyn taler derfor mot lemping.
(98)Jeg har etter dette kommet til at det ikke er grunnlag for lemping av As erstatningsansvar, verken helt eller delvis. Konklusjon og sakskostnader
(99)Vilkårene for å holde A erstatningsansvarlig for det fulle tap Entercard har lidt, er oppfylt. Anken forkastes.
(100)Entercard har vunnet saken og har etter hovedregelen i tvisteloven § 20-2 første ledd, jf. § 20-5 første ledd, krav på full erstatning for sine nødvendige sakskostnader. Saken har imidlertid reist enkelte prinsipielle spørsmål som i begrenset grad har vært prøvd av domstolene, og som Entercard selv har en generell interesse av å få avklart. Sammen med styrkeforholdet mellom partene medfører det etter min mening at tungtveiende grunner gjør det rimelig at det ikke tilkjennes sakskostnader for noen instans, jf. tvisteloven § 20-2 tredje ledd.
(101)Jeg stemmer for denne
(102)Dommer Stenvik: Jeg er i det vesentlige og i resultatet enig med førstvoterende.
(103)Dommer Bergsjø: Likeså.
(104)Dommer Thyness: Likeså.
(105)Justitiarius Øie: Likeså.
(106)Etter stemmegivningen avsa Høyesterett denne