När privata banker kontrollerar nyckeln till det digitala samhället – risker och vägar till större rättssäkerhet

Nästan alla vuxna i Sverige använder BankID. Det fungerar som en praktisk identifieringsmetod för att logga in hos Skatteverket, Försäkringskassan, 1177 och banken, skriva under avtal och använda tusentals andra tjänster. Samtidigt är BankID inte en lagstadgad rättighet. Det är en privat tjänst som utfärdas av banker enligt avtalsvillkor. Den kombinationen skapar en strukturell sårbarhet för rättssamhället – men det finns också konstruktiva vägar att stärka både tryggheten och rättssäkerheten för den enskilde.

Rättsläget – vad lagen faktiskt säger

Konsumenter som är lagligen bosatta inom EES har rätt att öppna ett betalkonto med grundläggande funktioner. Det framgår av 4 a kap. 1 § lagen (2010:751) om betaltjänster, betaltjänstlagen. Skyldigheten gäller inte om det skulle strida mot lagen (2017:630) om åtgärder mot penningtvätt och finansiering av terrorism, penningtvättslagen, eller om det finns särskilda skäl.

De grundläggande funktionerna definieras i 4 a kap. 2 § betaltjänstlagen. De omfattar tjänster för att öppna, inneha och avsluta ett konto, insättningar, kontantuttag inom EES samt vissa betalningstransaktioner, såsom autogiro, debetkort och stående överföringar. BankID, Swish och andra e-legitimationer nämns inte. De ingår alltså inte i den lagstadgade rätten till grundläggande betaltjänster.

Tillgång till BankID regleras i stället av avtalet mellan kunden och den utfärdande banken. Banken kan spärra eller blockera tjänsten enligt sina villkor, bland annat vid misstanke om missbruk eller när banken inte kan uppnå tillräcklig kundkännedom. Det är viktigt att skilja mellan att spärra ett enskilt BankID och att blockera ett personnummer för utfärdande av nya BankID. En sådan personnummerblockering gäller enligt BankID normalt i tolv månader och kan endast hävas av den bank som beslutade om den. Andra banker kan under den tiden inte utfärda ett nytt BankID.

Möjligheten att få en BankID-tvist prövad av Allmänna reklamationsnämnden, ARN, är begränsad och beror på nämndens behörighet och omständigheterna i ärendet. Rätten till ett grundläggande betalkonto ger inte i sig en rätt till BankID. En begränsad möjlighet till ARN-prövning innebär dock inte att en avtalsrättslig tvist aldrig kan prövas av domstol.

Riskerna för rättssamhället

Det praktiska beroendet av BankID innebär att en privat aktör, eller ett begränsat antal banker, kan påverka en persons möjlighet att agera digitalt i samhället. En spärr kan i praktiken försvåra eller omöjliggöra digitala kontakter med myndigheter, vården och andra samhällstjänster, även om personen fortfarande har rätt till ett grundläggande betalkonto. Spärrar kan ske på grund av misstanke. Det finns exempel på att även personer som själva blivit utsatta för bedrägeri har fått sitt BankID spärrat. Kriterierna är inte alltid transparenta för den enskilde, och möjligheten till oberoende prövning är begränsad jämfört med beslut om betalkonton.

Penningtvättslagen ställer höga krav på kundkännedom. Enligt 3 kap. får en verksamhetsutövare inte etablera eller upprätthålla en affärsförbindelse om den inte har tillräcklig kännedom om kunden för att kunna hantera risken för penningtvätt eller finansiering av terrorism. Banker riskerar sanktioner från Finansinspektionen om de brister i sina skyldigheter. Det kan leda till en riskaversion där spärrar används som säkerhetsåtgärd även i fall där mildare alternativ skulle kunna räcka.

Konstruktiva vägar framåt för större rättssäkerhet och trygghet

Det går att stärka systemet utan att försvaga skyddet mot bedrägerier och penningtvätt. Följande är förslag på utveckling, inte en beskrivning av skyldigheter som redan gäller i alla dessa situationer:

• Tydligare reglering av tillgången till digital identifiering. Lagstiftaren kan överväga miniminivåer för tillgång till e-legitimation, eller åtminstone krav på att banker tillämpar proportionalitet och dokumenterar varför mildare åtgärder inte räcker innan ett personnummer blockeras. Det skulle ligga i linje med de tankar Finansinspektionen har fört fram om betalkonton.
• Oberoende prövningsmöjlighet. En särskild, snabb och oberoende instans, eller ett utvidgat mandat för ARN, skulle kunna pröva BankID-blockeringar, särskilt när den enskilde anser att spärren är oproportionerlig eller felaktig. I dag är bankens egen omprövning ofta den första praktiska vägen för den som är blockerad.
• Obligatorisk prövning av mildare åtgärder. Banken bör i normalfallet först överväga att begränsa enskilda tjänster eller begära kompletterande information i stället för att omedelbart blockera personnumret. Beslut och skäl bör dokumenteras och meddelas den enskilde i den mån sekretessregler tillåter.
• Redundans och konkurrens mellan e-legitimationer. Staten och marknaden kan aktivt främja flera parallella, tillförlitliga e-legitimationer, exempelvis Freja eID och framtida lösningar, så att ingen enskild privat aktör blir den enda praktiska nyckeln till samhällstjänster. Myndigheter bör i större utsträckning acceptera flera alternativ.
• Bättre transparens och information. Banker kan bli tydligare med vilka omständigheter som typiskt leder till spärr eller blockering och hur den enskilde kan få ärendet omprövat. Det minskar osäkerheten och underlättar samarbete.
• Tekniska och praktiska stödåtgärder. Snabbare processer för att utfärda nytt BankID när det är möjligt, bättre stöd för personer som saknar giltigt pass eller nationellt id-kort och tydliga reservvägar för samhällskritiska ärenden under en spärrperiod skulle öka rättssäkerheten utan att ta bort bankernas ansvar att skydda systemet.

Praktiska tips för dig som enskild – så minskar du risken för spärr

Du kan inte helt eliminera risken, men du kan göra dig mer motståndskraftig:

• Ha reservmetoder. Ha gärna BankID på mer än en enhet om din bank tillåter det, eller en säkerhetsdosa eller personlig kod som reserv där banken erbjuder det. Det kan underlätta om ett enskilt BankID spärras, men kringgår inte en blockering av personnumret.
• Svara på bankens frågor om kundkännedom. Ignorera inte förfrågningar om din ekonomi eller dina transaktioner. Bristande svar kan leda till begränsningar. Svara sakligt och behåll kopior av din kommunikation.
• Skydda dig mot bedrägerier. Godkänn aldrig en BankID-förfrågan som du inte själv har startat. Lämna aldrig ut din säkerhetskod och logga inte in på uppmaning av någon som ringer eller skriver. Vid misstanke: lägg på och ring banken på dess officiella nummer.
• Håll din fysiska legitimation giltig. Ett svenskt pass eller nationellt id-kort behövs ofta för att skaffa nytt BankID. Kraven varierar mellan banker och utfärdandemetoder. Körkort räcker inte för BankID:s digitala id-kontroll med pass eller nationellt id-kort.
• Dokumentera och agera snabbt. Om något verkar fel, kontakta banken omgående, begär skriftlig information om möjligt och notera datum och vem du har pratat med. Vid misstänkt bedrägeri: kontakta banken för att spärra ditt BankID och gör en polisanmälan, exempelvis via 114 14.
• Känn till alternativen. För vissa myndighetsärenden kan Freja eID fungera som komplement. Grundläggande bankärenden går ofta att sköta på kontor eller via telefon även utan BankID. Kontrollera vilka alternativ den aktuella banken eller myndigheten erbjuder.

Avslutning

Det handlar inte om att bankerna är onda. De har lagstadgade skyldigheter att förhindra brott. Men när en privat tjänst har blivit nyckeln till det digitala samhället, utan att tillgången är lagstadgad, uppstår en strukturell risk. Genom tydligare regler, bättre prövningsmöjligheter, redundans och praktiska reservvägar kan vi öka både tryggheten för den enskilde och systemets robusthet. Det är fullt möjligt att kombinera ett starkt skydd mot missbruk med större rättssäkerhet.

Inlägget bygger på betaltjänstlagen, penningtvättslagen och offentligt tillgänglig information från Finansinspektionen, BankID och konsumentvägledning. Det är avsett som en faktabaserad beskrivning och reflektion, inte som juridisk rådgivning i enskilda fall. Villkor och praktiska rutiner kan förändras.

Källor

• Lag (2010:751) om betaltjänster, särskilt 4 a kap. 1–2 §§.
• Lag (2017:630) om åtgärder mot penningtvätt och finansiering av terrorism, särskilt 3 kap.
• Finansinspektionen – offentlig information om rätten till betalkonto och bankernas kundkännedom.
• BankID – offentlig information om spärr, blockering av personnummer och utfärdande av BankID.
• Allmänna reklamationsnämnden och konsumentvägledning – information om banktvister och möjligheter till prövning.