Kreditkort

Obehöriga transaktioner: vad banken måste betala tillbaka

Har någon annan använt ditt kort är huvudregeln att banken ska lägga tillbaka pengarna, och att det är banken som ska bevisa att något ska stanna på dig. Ditt eget ansvar är dessutom begränsat i lag till 400 kronor, 12 000 kronor eller hela beloppet, beroende på vad som kan visas om ditt handlande. Spärra kortet först, reklamera skriftligt sedan. Resten av sidan handlar om var gränserna faktiskt går.

Gör det här först

Spärren är det enda steget som direkt begränsar skadan, eftersom ansvaret upphör för allt som belastar kontot efter att du anmält den. Det finns ingen anledning att vänta in en utredning innan du gör den.

1. Spärra kortet. Numret står på bankens webbplats och i appen, och de flesta banker har spärrjour dygnet runt. Ring aldrig tillbaka det nummer bedragaren ringde från, och använd inte en länk du fått i ett meddelande. Notera klockslag och vem du talade med.
2. Reklamera skriftligt till banken. Skriv vilka transaktioner det gäller, när du upptäckte dem och att du inte godkänt dem. Skriftligt, eftersom du då kan visa när du hörde av dig, och det är den tidpunkten 6 § hänger på.
3. Polisanmäl. Banken begär det ofta, och anmälan blir dessutom ett uttryckligt villkor i den EU-regel som är på väg.
4. Begär återställande med hänvisning till 5 a kap. 1 §. Fråga uttryckligen om banken behandlar ärendet som en obehörig eller en behörig transaktion. Svaret avgör vilka regler som gäller, och du har rätt att veta vilket spår du är på.
5. Anmäl till ARN om banken säger nej. Prövningen är kostnadsfri. Har betalningarna samtidigt blivit svåra att klara är kommunal budget- och skuldrådgivning också kostnadsfri.

Huvudregeln: kontot återställs först

Ordningen i lagen är den omvända mot vad många banker signalerar när ärendet öppnas. Utredningen kommer inte före återbetalningen. Den kommer efter.

Har det genomförts en obehörig transaktion från en kontohavares konto, ska kontohavarens betaltjänstleverantör återställa kontot till den ställning som det skulle ha haft om transaktionen inte hade genomförts, om inte annat följer av 2-6 §§. Återställandet ska ske omedelbart och senast i slutet av den bankdag som inträffar efter det att betaltjänstleverantören har fått kännedom om transaktionen. 5 a kap. 1 § betaltjänstlagen (2010:751)

Banken får skjuta upp återställandet, men bara på en bestämd grund. Det ska finnas anledning att misstänka att transaktionen var behörig, och då har banken rätt till skälig tid för att undersöka saken. Det är en smalare öppning än den formulering kunder ofta möts av, där utredningen framställs som ett obligatoriskt första steg.

Nästa mening i paragrafen är den som sällan citeras, och den ger dig något konkret att hänvisa till:

Om kontot inte återställs omedelbart eller senast i slutet av den bankdag som inträffar efter det att betaltjänstleverantören har fått kännedom om transaktionen, ska leverantören skriftligen underrätta Finansinspektionen om anledningen. 5 a kap. 1 § andra stycket

Ett dröjsmål är alltså inte en intern rutinfråga mellan dig och banken. Det utlöser en rapporteringsskyldighet mot tillsynsmyndigheten. Att fråga banken skriftligt om den underrättelsen har lämnats, och begära svaret i skrift, kostar ingenting och gör bankens egen frist synlig i ärendet.

Ansvarstrappan: tre steg, och två sätt att hamna utanför den

Om något ska stanna på dig avgörs av 2, 3 och 6 §§. Stegen bygger inte på hur stor skadan är utan på vad du gjort, och varje steg kräver mer av banken att visa än steget under.

Två rader är värda att stanna vid. Den ena är 5 §. Saknas stark kundautentisering där den krävs faller hela ansvaret på banken, oavsett hur oaktsam du varit. Den andra är 6 §, den enda punkten där du själv kan förlora hela skyddet genom passivitet. Tidsfristen räknas från att du fick vetskap, och den yttersta gränsen på 13 månader räknas från att beloppet belastade kontot. Det är ett argument för att gå igenom kontoutdragen även när ingenting känns fel.

Vem ska bevisa vad

Bevisfrågan avgör fler ärenden än paragraferna gör, och den är delad. Du ska göra det antagligt att transaktionerna var obehöriga, alltså att någon annan än du genomförde dem. Banken ska visa att du varit grovt oaktsam eller särskilt klandervärd. Högsta domstolen skriver ut den senare halvan i klartext:

Det är betaltjänstleverantören som har bevisbördan för att konsumenten har handlat särskilt klandervärt (jfr prop. 2009/10:122 s. 28). Högsta domstolen i mål T 4623-21, punkt 29

Praktiskt betyder uppdelningen att kortets fysiska öde spelar roll. Är kortet stulet talar det för sig självt. Ligger kortet kvar i din ägo och uttagen ändå gjorts med rätt kod är det din del av bevisbördan som blir den svåra, och då blir tidpunkten för ditt eget senaste köp, kvitton och kontoutdragets mönster det du har att visa på.

Vad räknas som grov oaktsamhet

Det här är steget de flesta ärenden faktiskt avgörs på, och lagen definierar det inte. Högsta domstolen anger ribban med hänvisning till förarbetena:

I lagförarbetena anges att det för grov oaktsamhet i den mening som avses i 5 a kap. 3 § måste vara fråga om ett markant avsteg från aktsamhetsnormen där kontohavaren har varit obetänksam i en sådan grad att han eller hon inte är ursäktad; lindriga fall av slarv eller tillfällig glömska utgör därför inte ett grovt oaktsamt agerande (se prop. 2009/10:122 s. 27 ff.). Högsta domstolen i mål T 4623-21, punkt 24

Domstolen pekar ut fem saker som väger in när ansvaret prövas efter ett bedrägeri där behörighetsfunktionerna inte skyddats: miljön och situationen du befann dig i, dina möjligheter att skydda dig mot en obehörig transaktion, din ålder och erfarenhet, hur förslaget bedrägeriet var, och vad du förstått eller borde ha förstått om uppgifterna du lämnade och vad de kunde leda till. Den sista är den som oftast talar mot den drabbade.

Allmänna reklamationsnämnden har prövat tillräckligt många kortstölder för att en fast praxis ska ha vuxit fram i vissa situationer. Konsumenternas Bank- och finansbyrå sammanfattar den, och mönstret är skarpare än det kan verka.

Raden längst ner är den obehagliga, eftersom den bygger på en slutsats om vad som måste ha hänt snarare än på vad som bevisats hända. Har du en kod som är lätt att gissa, eller en kod som återanvänds på annat, är det värt att veta att just den slutsatsen dras.

Var gränsen för särskilt klandervärt går

Det översta steget är det enda utan tak, och det är därför banker ofta argumenterar för det när beloppet är stort. Högsta domstolen har prövat frågan i ett mål som liknar de vanligaste bedrägerierna.

En konsument blev uppringd av någon som uppgav sig ringa från en banks säkerhetsavdelning i ett ärende om samtycke enligt dataskyddsförordningen. Under två samtal lämnade han ut både koden till sitt mobila BankID och svarskoder från sin bankdosa, och bedragaren kunde skapa ett nytt BankID och föra över pengarna. Domstolen såg allvarligt på handlandet, men drog ändå gränsen under det översta steget.

Det framgår således av utredningen att MT blev utsatt för ett förslaget bedrägeri. Han uppvisade dock en betydande vårdslöshet genom att vid det andra samtalet lämna ut koderna från bankdosan. Det är emellertid inte bevisat att han i samband med de båda samtalen avsiktligen lämnade ut koderna till en obehörig person. Det kan inte heller anses bevisat att MT agerade som han gjorde med insikt om att det fanns en risk för de obehöriga transaktioner som kom att utföras. Högsta domstolen i mål T 4623-21, punkt 34

Bedömningen av just det översta steget ska enligt domstolen i princip göras objektiverat, alltså utifrån hur en konsument av motsvarande slag i samma situation typiskt sett skulle ha agerat. Det är inte din egen efterhandskänsla av att ha varit dum som prövas, utan hur någon i din situation rimligen kunde väntas handla.

Konsumenten fick alltså stå för 12 000 kronor och banken för resten, trots att han själv vitsordade att han agerat grovt vårdslöst. Två saker krävs enligt domen för det obegränsade ansvaret, och ingen av dem var visad: att koderna avsiktligen lämnades till någon obehörig, eller att konsumenten faktiskt insåg risken och ändå handlade. Ett skickligt utfört bedrägeri räcker inte i sig.

Den avgörande gränsen: godkände du betalningen själv?

Allt ovan förutsätter att transaktionen var obehörig. Är den behörig, alltså godkänd av dig, gäller inte 5 a kap. och ingen av trappans begränsningar. Det är den skarpaste gränsen i hela regelverket, och den syns inte alls för den som drabbats. Tre situationer som känns likadana får därför helt olika utgång.

Den mellersta raden är dagens svaga punkt i skyddet, och rättsläget där är avgjort åt det håll som missgynnar konsumenten. Konsumentverket skriver ut det utan omskrivningar.

Det finns en dom från Högsta domstolen som ger dig större möjligheter att få tillbaka pengar vid obehöriga transaktioner. I den domen prövades dock inte frågan om en överföring eller betalning som en konsument genomför på en bedragares anvisning utgör en så kallad obehörig transaktion. Därför kan du inte hänvisa till den. Konsumentverket

Myndigheten fortsätter med hur frågan faktiskt har bedömts. ARN har i flera ärenden ansett att betalningar med Swish inte är obehöriga transaktioner, och detsamma gäller andra överföringar där konsumenten på bedragarens uppmaning genomfört alla moment själv. Tingsrätt och hovrätt har kommit till samma slutsats. Konsumentverket delar inte den uppfattningen och överklagade, men Högsta domstolen meddelade inte prövningstillstånd, så hovrättens avgörande gäller.

Praktiskt betyder det att ett bedrägeri där du själv signerar i appen ser ut som en helt vanlig betalning för banksystemet, och att den som vill ha pengarna tillbaka då står utan trappan. Skillnaden mellan att lämna ifrån sig koder som bedragaren sedan använder, vilket prövas som obehörigt, och att själv genomföra överföringen, som inte har bedömts så, är hårfin i stunden och avgörande efteråt.

Det som är på väg att ändras i EU

Just den luckan är utpekad i EU:s nya betaltjänstförordning. Överenskommelsen mellan Europaparlamentet och rådet den 27 november 2025 innehåller en särskild regel för bedrägerier där någon utger sig för att vara betaltjänstleverantören:

För att skydda kunder mot bedrägerier där någon utger sig för att vara en anställd hos betaltjänstleverantören och lurar kunden att godkänna en betalning, ska leverantören betala tillbaka hela beloppet, förutsatt att kunden polisanmäler bedrägeriet och underrättar sin betaltjänstleverantör. Europaparlamentets pressmeddelande 27 november 2025, i vår översättning

Överenskommelsen innebär också att en transaktion som en bedragare initierar eller ändrar ska behandlas som obehörig, och att banker blir ersättningsskyldiga om de inte infört rimliga åtgärder mot bedrägerier.

Om banken säger nej

Nästa steg är Allmänna reklamationsnämnden, som prövar konsumenttvister kostnadsfritt och lämnar en rekommendation. För just den här ärendetypen har rättsläget rört sig till konsumentens fördel sedan Högsta domstolens dom, och det är Konsumentverket som konstaterar det:

Allmänna reklamationsnämnden (ARN) har, efter Högsta domstolens dom, prövat ärenden på ämnet. ARN har i de flesta av dessa fall bedömt att banken ska betala tillbaka hela eller delar av det förlorade beloppet. Konsumentverket

Vad ett ärende kostar i tid, och vad en rekommendation är värd när den väl kommer, går däremot att läsa ur nämndens egen årsredovisning. Vi har sammanställt bankavdelningen mot nämnden som helhet.

Det tabellen däremot säger något om är tid och tyngd. Räkna med 182 dagar i median för ett bankärende, och notera att bankavdelningen var den enda avdelning där handläggningstiden inte sjönk under året. Vinner du väger beslutet tungt. Av de 100 bifallsbesluten på bankavdelningen följdes 90 procent av företaget, mot 76 procent för nämnden som helhet.

Vanliga frågor