Det er over de siste årene avsagt en rekke dommer om misbruk av BankID ved opptak av forbrukslån. Høyesterett har henvist den første saken til behandling. Høyesterett kan nøye seg med å stille partene et enkelt spørsmål: Er dette et formuestap som har erstatningsrettslig vern? Utfallet bør ikke være noen stor overraskelse.

Spørsmålet om erstatningsrettslig vern er verken anført eller drøftet i noen av de rundt 50 BankID sakene. Det er overraskende at nesten 40 lagdommere kan la saker med så tvilsomt rettslig grunnlag passere over skranken, uten å stille spørsmål om kravet er i samsvar med grunnleggende erstatningsrett. Den eneste domstolen jeg kan se har løftet fram spørsmålet er Gjøvik tingrett. (TGJOV-2017-170313)

BankID-sakene har tre involverte parter: Innehaveren av BankID, svindleren og banken. Banken er utvilsomt skadelidt. Den skadevoldende handlingen – misbruket – er det svindleren som står for. Normalt har innehaveren av BankID ikke utført andre handlinger enn å opptre uaktsomt med hensyn til oppbevaring av kode og passord. Det er ingen relasjon mellom innehaveren av BankID og banken. Tapet som oppstår er utvilsomt tredjeparts formueskade.

Skal banken kunne kreve erstatning fra tredjemann må bankens tap være en erstatningsrettslig vernet interesse. Det er på ingen måte sikkert, snarere tvert imot. Utgangspunktet er klart: Det skal mye til for at et tredjemannstap har erstatningsrettslig vern, jfr Rt 2005, s 65 [49] (KILE). Skadens uberegnelighet og under ugunstige omstendigheter ruinerende omfang er et annet og reelt moment av betydning som gjør det betenkelig å trekke grensene for erstatningsplikten for vidt, jfr Rt 1973 s. 1268 (Flymanøver).

Siden 1973 har det med andre ord vært sikker rett at ikke alle typer krav har erstatningsrettslig vern, senest slått fast i HR-2020-312 (Ansvarlig søker): «Ved tredjepartskader og rene formuestap kan skadevolderens handlinger eller unnlatelser potensielt ramme en stor og ubestemt krets. Rettspraksis har på den bakgrunn oppstilt grenser for erstatningsansvaret».

Erstatningsrettslig vern for tredjepartstap kan bygge på at skaden har rammet en «konkret og nærliggende interesse» eller «berettiget forventning». Felles er at det skal foretas en «bred helhetsvurdering», i realiteten rene adekvansbetraktninger.

I rettspraksis flyter begrepene «konkret og nærliggende interesse» og «berettiget forventning» til en viss grad over i hverandre. Det første anvendes ved de klassiske ulykkeshendelser, mens «berettiget forventning» anvendes ved skader som utvikles over tid. Her er skadelidtes forventning og relasjonen mellom partene sentral, det settes på spissen i BankID sakene.

Spørsmålet om «berettiget forventning» er drøftet av Høyesterett i Rt 1981, s 462, (Malvik), Rt 1990, s 1235 (Fiskarbank), Rt 1991, s 954 (Spanor), Rt 1992, s 453 (Furunkulose), og Rt 2006, s 1519 (Pionerdykker). Avgrensning av ansvaret er særlig drøftet i HR-2020-312 (Ansvarlig søker). Internasjonalt har prinsippet kommet til uttrykk i Principles of European Tort, art 1:102. Kjelland har gitt en systematisk fremstilling i sin lærebok Erstatningsrett (2019).

Noen grunnleggende hovedtrekk må være til stede:

  1. Utgangspunktet er klassisk culpa - spørsmålet om innehaveren av BankID har opptrådt tilstrekkelig uaktsomt. Har innehaveren tatt «rimelige forholdsregler for å beskytte de personlige sikkerhetsanordningene». Her har domstolene jevnt over rotet seg bort i den forestilling at ansvarsgrunnlag medfører ansvar. Det følger av HR-2020-312 (Ansvarlig søker) at simpel uaktsomhet er tilstrekkelig for å konstatere ansvarsgrunnlag, men det gir ikke uten videre erstatningsrettslig vern: «Graden av skyld vil […] være relevant i den bredere avveiningen av om skadelidtes interesser har erstatningsrettslig vern».
  2. Utgangspunktet for vern er brudd på en norm eller regel som beskytter skadelidtes interesser. BankID er skjermet mot misbruk ved at brukerne plikter å beskytte sin BankID. Denne forpliktelsen gjelder overfor egen bank, men ikke overfor forbrukslånbanken.
  3. Forbrukslånbanken må i tillegg ha en berettiget forventning om å være beskyttet mot misbruk. Det nokså enkle utgangspunktet er at transaksjoner bekreftet med BankID er legitime, forbrukslånbankene kan innrette seg i tillit til dette.
  4. Bankens forventning kan ikke bare bygge på legitimasjon alene, forventningen må ha en viss styrke og karakter, jfr Rt 1981, s 62 (Malvik). Forventningen om å låne ut penger uten fare for tap må bygge på et bredere grunnlag enn legitimasjon alene.
  5. Banken har aldri møtt kunden, og tar en bevisst risiko ved å velge automatiserte prosedyrer. Spørsmålet er om det er rimelig at banken kan overvelte denne riskoen på ukjente tredjemenn. «Risikobetraktninger taler for at [skadelidte] er nærmest til å bære tapet», jfr Rt 2000, s 176 (Arbeidsgiveravgift).
  6. Kravet om en viss nærhet byr på særlige utfordringer. Det kan ikke påvises en relasjon mellom brukeren av BankID og en for denne helt ukjent forbrukslånbank, partene har aldri vært i kontakt med hverandre. Utgangspunktet er klart: «Det forutsetter at det foreligger en konkret og nærliggende interesse i forhold til den skadete gjenstand», jfr Rt 2005, s 65 (KILE).
  7. Ansvaret må ikke være ubestemt i tid, personkrets og omfang. Når en BankID er åpnet for misbruk vil innehaveren verken ha kontroll over beløp, tid eller overfor hvem man pådrar seg ansvar. Ansvar over for ukjent skadelidt reiser det klassiske spørsmålet om flodbølgebegrensning; om man kan pålegges ansvar for «indeterminate amount for an indeterminate time to an indeterminate class». BankID sakene treffer utvilsomt planken ganske rent på dette spørsmålet. Selv om det utvilsomt har vært påregnelig at omfattende skadevirkninger kunne bli følgen […], antar påregneligheten en ubestemt og nærmest abstrakt karakter sett i forhold til det enkelte skadetilfelle. jfr Rt 1973, s 1268 (Flymanøver).

Alle disse forholdene skal veies opp mot hverandre, hvor retten ut fra en bredere vurdering må ta stilling til om kravet er en erstatningsrettslig vernet interesse. Ved vurderingen inngår rimelighetsbetraktninger, forsikringsmuligheter og tapets omfang.

Det store spørsmålet er hvordan domstolene kan avsi så mange dommer som støter mot alminnelig rettsfølelse, uten at advokater eller dommere stiller spørsmål om det eksisterer et rettslig grunnlag for kravet. Kvaliteten står utvilsomt tilbake fra hva det rettssøkende publikum bør forvente.