Jeg sendte denne kommentaren til Rett24 26. juni, for å markere min uenighet med det Marte Kjørven og en del av av mine kolleger skrev om den dommen. Svaret fra Kjetil Kolsrud var at de hadde mye stoff som ventet på publisering, at de allerede hadde en annen kommentar med til dels samme innhold, som var Svein Kjetil Stallemo: Uholdbar kritikk av Entercard-dommen, og at kommentaren var for lang. Jeg avventet den bebudede komemntaren, og sendte en forkortet versjon til Rett24. Også små redaksjoner fortjener ferie, og dette ble liggende over ferien. Han skulle se på den, og for omtrent fire uker siden, skrev Kjetil Kolsrud “bruker den”, men fortsatt er den ikke publisert. Jeg pleier å vente til denne type kommentarer har blitt publisert andre steder jeg har sendt dem til, før jeg publiserer dem her på min blogg. Men nå tok min tålmodighet slutt, så nå kommer den her. Dette er den opprinnelige kommentarer som jeg skrev i juni, noe bearbeidet.

Jeg er uenig med Marte Kjørven m.fl. som kritiserer Høyesteretts dom i BankID-saken HR-2026-1359-A Entercard. Etter min vurdering kom Høyesterett til riktig resultat, men jeg ville ha begrunnet det på en annen måte. Høyesterett valgte å “hoppe over gjerdet der det er lavest”, og avgjorde saken som en erstatningssak. Vurdert som erstatningssak er jeg “i det vesentlige og resultat” enig med Svein Kjetil Stallemo: Uholdbar kritikk av Entercard-dommen,

Ser vi på tidligere praksis fra Finansklagenemnda og domstolene, har bankene altfor ofte fått medhold i saker om misbruk av BankID. Det har særlig vært saker hvor man ganske ukritisk har ment at forbrukeren har opptrådt erstatningsbetingende uaktsomt. Jeg gjennomgår en del slike saker i min bok Formueretten i informasjonssamfunnet, s. 203-265.

Høyesteretts ankeutvalg satte et problematisk utgangspunkt i HR-2017-639-U, da de uttalte:

«Utvalget bemerker at det påhviler betalingsinstitusjonen å påvise at belastning er foretatt ved bruk av betalingskortet sammen med den tilhørende personlige koden. Når dette – som her – er påvist, har kontohaveren bevisbyrden for at bruken av kortet likevel ikke skjedde med hans samtykke. Denne bedømmelsen foretas etter de vanlige bevisbedømmelsesregler.»

Saken gjaldt misbruk av betalingskort, ikke misbruk av BankID. Ved misbruk av BankID er skadepotensialet langt høyere enn ved misbruk av betalingskort. Likevel ble dette prinsippet ukritisk lagt til grunn ved misbruk av BankID i LB-2019-28374 og i tingrettens avgjørelse i den aktuelle saken. Vi bør her merke oss at i HR-2020-2021-A Brabank konkluderte Høyesterett med at det var banken som hadde bevisbyrden, se dommens avsnitt 70. Ankeutvalgets beslutning fra 2017 er ikke nevnt i den saken. Her må vi kunne basere oss på at en enstemmig avgjørelse fra Høyesterett i avdeling har langt større vekt enn en beslutning fra ankeutvalget.

I den aktuelle saken er det uansett, i motsetning til i HR-2020-2021-A Brabank, ingen tvil om hvordan ekssamboeren hadde fått tilgang til BankID og passord: Han ga det til henne.

I tingrettene dom, TVIN-2024-40465, står det følgende om sakens bakgrunn:

«Våren 2017 ba saksøkte, A, sin daværende samboer om hjelp til å håndtere post, betaling av regninger og bankoverføringer, via privatkontoer og bedriftskontoer. Han overlot derfor sin datamaskin, kodebrikke og passord til BankID til samboeren slik at hun kunne bistå. I forbindelse med kjøp av bil ba han henne også ta opp et billån i hans navn. Fra våren 2017 frem til september 2020 sjekket A verken konto, selvangivelser, post eller e-post.»

I lagmannsrettens dom LE-2025-13577 står det at samboerforholdet hadde tatt slutt i siste del av 2016, slik at også da ordningen ble etablert, ble BankID mm overlatt til tidligere samboer.

A var selvstendig næringsdrivende snekker. Bakgrunnen for at han overlot dette til sin tidligere samboer, var ifølge lagmannsrettens dom, at han hadde gått «tom» og hadde fått en «knekk». Han fant det krevende å holde orden på papirarbeidet og samtidig stå i jobb som selvstendig næringsdrivende håndverker. Samboerforholdet var på denne tiden slutt, men de var fortsatt mye sammen og hadde en sønn sammen. I tingrettens dom står det at A hadde en stor grad av tillit til at ekssamboeren ville håndtere hans økonomi i tråd med hans interesser. Går man gjennom praksis på dette området, er det ikke sjelden at noen har blitt svindlet av sine nærmeste. Det er dessverre ikke alltid grunnlag for den tillit mange har til sine nærmeste.

Det er ikke helt uvanlig at f.eks. dyktige håndverkere ikke er glade i papirarbeid og byråkrati, og derfor overlater dette til ektefelle eller samboer. Man kan gi disse fullmakt til å håndtere slike saker, slik man i litt større virksomheter gir økonomiansvarlig fullmakt til å ta hånd om økonomien.

Han gjorde i realiteten sin tidliere samboer til økonomiansvarlig, både når det gjaldt hans næringsøkonomi og hans privatøkonomi. Han ga henne alle de fullmakter som var nødvendige for at hun skulle kunne utføre denne oppgaven, og gjorde det som i praksis var nødvendig for at ordningen skulle kunne fungere.

Marte Kjørven m.fl. kritiserer Høyesterett for ikke å ha tatt stilling til avtalerettslig bundethet, et spørsmål som ble drøftet ganske inngående både i tingrettens og lagmannsrettens dommer. Den kritikken er jeg enig i. Dette er et av de mest åpenbare tilfellene hvor eID-innehaveren burde ha blitt holdt ansvarlig på avtalerettslig grunnlag, basert på at ekssamboeren hadde fått fullmakt til å opptre på hans vegne.

Man kan begrunne et fullmaktsforhold både med at A har utstyrt sin tidligere samboer med den nødvendige legitimasjon, og hun har handlet innenfor rammen av den legitimasjonen A hadde gitt henne, altså selvstendig fullmakt. Man kan videre basere det på at det var etablert en ordning som A var kjent med og aksepterte, og som fungerte over relativt lang tid – i denne saken ca 3,5 år. Altså en kombinasjons- eller toleransefullmakt.

Ser vi på BankID som et legitimasjonstegn, kan vi konstatere at måten fullmakten var kommet til uttrykk på i dette tilfellet, var i strid med gjeldende vilkår for BankID. Men at fullmakten er etablert i strid med slike vilkår, bør ikke få betydning for fullmaktens legitimasjonsvirkning overfor tredjemann. Jeg viser her til HR-2016-476-A Bremanger, hvor kommunens administrasjonssjef hadde inngått avtaler i strid med kommunens finansreglement, men hvor kommunen likevel ble bundet av de avtaler som var inngått.

Det svake punktet i denne argumentasjonen, og hvor jeg er noe i tvil, er at samboeren ikke opptrådte som seg selv, med en angivelig fullmakt, men misbrukte hans identitet og opptrådte i hans navn. Dette er falsk, og spørsmålet er om man kan bli bundet av falske transaksjoner når noen opptrer på den måten. På dette punktet blir det en viktig forskjell mellom eventuell avtalerettslig bundethet og et erstatningskrav begrunnet i at han gjennom sin uaktsomme opptreden hadde muliggjort den falske transaksjonen.

I gbl § 13 er det en legitimasjonsregel som sier at den som har et omsetningsgjeldsbrev i hende og etter teksten i gjeldsbrevet eller en sammenhengende rekke av skriftlige transporter «synest vera rette innehavaren til gjeldsbrevet, eller når han med grunn kann haldast for å vera den nemnde eller for å ha rett til å rå for han». Det interessante i denne sammenheng er om den som har det i hende «med grunn kann haldast for å vera den nemnde».

Det enkle skoleeksempelet i «papirverden» er om noen utgir seg for å være sin eneggede tvillingbror eller -søster. Bruk av en annens eID vil være et mer moderne eksempel på at man med grunn kan holdes for å være den i hvis navn transaksjonen foretas. Den nevnte bestemmelsen gjelder overdragelse av omsetningsgjeldsbrev, ikke etablering av kreditt, og er ikke anvendelig i det aktuelle tilfellet. Men den viser at lovgivningen ikke er helt fremmed for at man kan bli bundet eller i alle fall minste retten til å gjøre innsigelser gjeldende, når noen har opptrådt under falsk identitet.

Tingretten viser til to tingrettsavgjørelser hvor det ble konkludert med avtalebinding, men skriver at «Rettskildevekten av disse avgjørelsene er likevel beskjeden, og spørsmålet om avtalebinding i slike tilfeller kan ikke anses avklart i norsk rett», et synspunkt jeg kan være enig i. En dom som ikke nevnes, er den svenske høyesterettsdommen NJA 2021-1017, hvor Högsta domstolen uttaler i avsnitt 32:

«En mellanman bör alltså kunna binda huvudmannen även om det, när rättshandlingen företas, framstår som att denna företas av huvudmannen själv. Avgörande blir om mellanmannen är behörig att företräda huvudmannen.»

De konkluderte med at det var tillits- eller toleransefullmakt.

Etter svensk rett synes det ganske klart at man i et tilfelle som dette vil kunne binde den hvis identitet er misbrukt. På avtalerettens område er det stor grad av nordisk rettsenhet, og det er da vanlig å tillegge tungtveiende rettskilder fra andre nordiske land, betydelig vekt. Dette kommer klart til uttrykk i Rt-1985-883, hvor Høyesterett «legger betydelig vekt» på svenske lovforarbeider.

A var godt kjent med ordningen. Han gjorde ikke noe for å følge med på hvordan hun ivaretok hans interesser. Jeg gjentar noe av det jeg ovenfor har sitert fra tingrettens dom:

«Fra våren 2017 frem til september 2020 sjekket A verken konto, selvangivelser, post eller e-post.»

I tingrettens dom står det:

«A fulgte overhodet ikke opp egen økonomi frem til bedrageriene ble oppdaget av ekssamboerens døtre i september 2020.»

Han fikk i praksis mange oppfordringer til å reagere. I Høyesteretts dom, avsnitt 49, står det:

«Han lot også være å forholde seg til en «hel haug» av meldinger fra banker på mobiltelefonen»

Det avgjørende for å konkludere med toleransefullmakt i HR-2016-476-A Bremanger var kommunens passivitet. De var kjent med at administrasjonssjefen inngikk avtaler i strid med administrasjonsreglementet, men lot være å gripe inn. Kombinasjons- og toleransefullmakt synes stort sett å bli brukt som synonymer. I en sak som den aktuelle passer etter min vurdering kombinasjonsfullmakt best: Den påståtte fullmaktsgiver har gitt den påståtte fullmektigen et omfattende oppdrag og noe som kan fungere som legitimasjon, i kombinasjon med at den påståtte fullmaktsgiveren i lang tid har akseptert at den andre i praksis har opptrådt som fullmektig. Men hvilket ord man måtte velge for å betegne fullmakten, er uten betydning for resultatet. Man er langt unna de danske høyesterettsdommene U-2019-1192 og U-2019-1197 hvor noen som var blitt tvunget til å gi fra seg sin eID ble ansett for avtalerettslig bundet pga uaktsomhet (passivitet). Jeg er meget kritisk til disse dommene, se nærmere Formueretten i informasjonssamfunnet s. 212-214, 230-232 og 248-249.

Om man i det hele tatt skal kunne begrunne et resultat i saker om misbruk av eID med avtalerettslig bundethet basert på fullmakt, må det være i en sak som denne.

• Han tok initiativ til ordningen.
• Han ga henne alle nødvendige fullmakter for at ordningen skulle fungere.
• Han utstyrte henne med de nødvendige legitimasjonsmidler for at ordningen skulle kunne gjennomføres.
• Ordningen foregikk over lang tid.
• Han gjorde ikke noe for å kontrollere hvordan hun ivaretok hans økonomiske interesser.
• Han reagerte ikke på meldinger fra banker, som burde ha gitt en oppfordring til å undersøke nærmere.

Om man konstruerer dette som en selvstendig fullmakt eller som en kombinasjons- eller toleransefullmakt, er uten betydning for resultatet.

Jeg mener at han også kunne holdes ansvarlig på erstatningsrettslig grunnlag. I den aktuelle saken var det, i motsetning til i HR-2020-2021-A Brabank, ingen tvil om hvordan hun hadde fått tilgang til kodebrikke og passord. Mannen var ikke blitt lurt eller truet til å gi fra seg BankID og passord, og han var ikke blitt observert mens han selv brukte dette. Han hadde forsettlig overlatt kodebrikke og passord til sin tidligere samboer. På det punktet er jeg i det vesentlige og resultat enig med det Svein Kjetil Stallemo skriver i sin kommentar.

Hans opptreden hvor han ikke gjorde noe for å kontrollere hvordan hun ivaretok hans økonomi, til tross for en haug av varsler på telefonen, var i seg selv uaktsom.

Bankens opptreden. I HR-2020-2021-A Brabank sier Høyesterett i avsnitt 107:

«Jeg nevner at departementet i det jeg har sitert fra Prop.92 LS (2019–2020) side 184, uttaler at ett av tiltakene som en utlånsbank bør benytte, er å utbetale lånebeløpet til en konto som tilhører lånesøkeren.»

I den aktuelle saken hadde banken kontrollert at den kontoen beløpet skulle utbetales til, tilhørte den hvis identitet var oppgitt.

Marte Kjørven m.fl. mener at ansvaret burde ha vært lempet etter skl. § 5-2. Generelt synes jeg at Finansklagenemnda og domstolene har vært for lite villige til å lempe ansvaret, når de først har konkludert med ansvar. Men i denne saken er det så mye man kan laste A for, og lite man kan laste banken for. Beløpet er etter min vurdering heller ikke spesielt stort –  455 000 kr. Det er derfor ikke en sak hvor ansvaret burde ha vært lempet.

Her er det verdt å peke på en ulikhet om man bygger på avtalerettslig bundethet og erstatning for det tap banken har blitt påført. Er man avtalerettslig bundet, da er man bundet av den avtalen som er inngått, med mindre man skulle komme til et annet resultat basert på avt § 36, som jeg ikke går inn på. Et eventuelt erstatningsansvar vil kunne lempes.

Marte Kjørven m.fl. bruker mye plass på å skrive at det er et problem at disposisjonsfullmakt ikke løser hjelpebehov, da handlingsalternativene ikke dekker hjelpebehovene. Dette treffer ikke, da efaktura forutsetter at man har inngått en avtale om å motta efaktura. Det er dessuten feil, da det er mulig å gi fullmakt til å håndtere efaktura.

De skriver videre om hjelpebehovet for bruk av BankID ved andre tjenester, ikke minst fra det offentlige. Det er et reelt problem, og i det digitaliseringsivrige Norge har myndighetene sviktet når de ikke har sørget for en offentlig eID-tjeneste med tilstrekkelig sikkerhetsnivå, og ved at de ikke har sørget for at de som av ulike grunner ikke kan gjøre bruk av eID likevel skal ha tilgang til offentlige tjenester. Men denne saken har ingen ting med det å gjøre.

Det er fullt mulig å gjennomføre en bedre identitetskontroll når f.eks. låneavtaler inngås digitalt, enn det som er praksis når avtaler inngås ved bruk av BankID. Vi kan legitimere oss digitalt ved hjelp av pass eller nasjonalt ID-kort. Her er bildet av innehaver lagret digitalt, og det kan leses av en smarttelefon. Bildet som er lagret vil da sammenlignes med det bildet telefonens kamera viser. Det er omtrent som ved automatisk passkontroll.

Etter det jeg har forstått, er det en del motstand internt i en del banker mot å innføre slikt. For det er “så lite kundevennlig”. Når noe er kundevennig på denne måten, er det også svindlervennlig. Jeg vil ikke hevde at man skal bruke en slik utvidet sikkerhetsprosedyre ved alle transaksjoner, og jeg vil heller ikke mene noe om for hvilke transaksjoner dette bør gjennomføres. Det må bli en risikovurdering som bankene må foreta. Men her skal jeg ri en gammel kjepphest, et prinsipp som jeg har hevdet i alle fall siden jeg skrev min doktoravhandling Betalingsformidling i rettslig perspektiv s. 456, (lenke til Nasjonalbiblioteket) som jeg leverte i 1992: Den som kontrollerer sikkerheten i systemet må ha risikoen for at sikkerheten er god nok. Hvis tapet kunne ha vært unngått dersom banken hadde hatt etter forholdene gode nok sikkerhetstiltak, da må bankene bære det tapet.