Ny dom om ansvar for BankID-misbruk

Den 18. juni 2026 avsa Høyesterett en ny dom (HR-2026-1359-A) om ansvar ved misbruk av BankID. I saken ble en mann som hadde overlatt BankID til sin tidligere samboer fullt ansvarlig for bankens tap. Det er imidlertid viktig å merke seg at saken gjelder hendelser som fant sted før den nye finansavtaleloven trådte i kraft 1. januar 2023. Dommen bygger derfor på den tidligere rettstilstanden og ikke på de nye ansvarsreglene som følger av dagens finansavtalelov.

Bakgrunnen for saken

Våren 2017 ba mannen sin ekssamboer om hjelp til å betale regninger og gjøre bankoverføringer fordi han gikk gjennom en vanskelig periode. Han ga henne det hun trengte for å kunne håndtere hans økonomi herunder BankID (kodebrikke), passord, personnummer og tilgang til hans e-post.

Mannen var kjent med at ekssamboeren tidligere hadde hatt problemer med egen økonomi og pengespill, men trodde det var tilbakelagte problemer.

Fra våren 2017 til september 2020 kontrollerte han ikke post, e-post, bankkontoer eller skattemeldinger. I denne perioden brukte ekssamboeren mannens BankID til å søke om forbrukslån på totalt 11.636.000 kroner og fikk innvilget lån på til sammen 1.284.000 kroner.

Lånene ble etter hvert misligholdt og A oppdaget hva som hadde skjedd i september 2020. Et av lånene, et refinansieringslån på 445.000 kroner, var fra Entercard som krevde at mannen skulle tilbakebetale lånet fullt ut.

Saken for Høyesterett

Entercard mente primært at mannen måtte anses å være bundet av låneavtalen siden han visste det var en fare for misbruk da han ga ekssamboeren hans BankID og banken var i god tro. Subsidiært mente banken at mannen måtte ha et erstatningsansvar fordi han hadde vært uaktsom. Høyesterett vurderte ikke spørsmålet om låneavtalen var bindende for mannen, men valgt å løse saken basert på erstatningsansvar.

Høyesterett har tidligere vurdert om en BankID-innehaver kunne holdes ansvarlig etter at uvedkommende hadde misbrukt hans BankID til å ta opp et forbrukslån i «Easybank-dommen» (HR-2020-2021-A). Utgangspunktet til Høyesterett var den såkalte culpanormen. Denne normen innebærer at den som har opptrådt uaktsomt, og som ved dette har påført noen annen en skade, kan ha plikt til å erstatte det økonomiske tapet som er oppstått. Selv om innehaveren i den saken hadde oppbevart kodebrikken på en kritikkverdig måte, kom Høyesterett til at det ikke var bevist at han hadde opptrådt så uaktsomt at han kunne ilegges erstatningsansvar. Retten la også vekt på at banken hadde valgt å utbetale et betydelig lån utelukkende basert på BankID, uten ytterligere kontrolltiltak, og at banken dermed selv hadde akseptert en betydelig risiko. Samlet sett førte dette til at BankID-innehaveren ble frifunnet for erstatningskravet i Easybank-saken.

I denne saken mente Høyesterett imidlertid at mannens egen håndtering av BankID-en i langt større grad hadde muliggjort misbruket. Høyesterett la også vekt på at dersom mannen trengte hjelp i en periode så skulle han ha gitt ekssamboeren en disposisjonsfullmakt som kunne vært begrenset mot opptak av lån. Det var dermed mer å bebreide mannen for enn i Easybank-saken. Samtidig mente Høyesterett at Entercard hadde gjort noen kontrolltiltak for å motvirke svindel. Banken hadde sørget for at lånet ble betalt ut til mannens registrerte bankkonto og sendt tilbudet om låneopptaket til riktig e-post-adresse, men når ekssamboeren hadde kontroll på både bankkontoen og e-post var dette likevel ikke tilstrekkelig. Høyesteretts konklusjon var derfor at mannen i dette tilfellet var erstatningsansvarlig overfor banken.

Ettersom det omtvistede låneopptaket skjedde i 2018 kom ikke dagens finansavtalelov til anvendelse på saken. Den nye finansavtaleloven, som trådte i kraft i 2023, inneholder en egen bestemmelse om ansvar for tap ved misbruk av BankID. Bankkunders ansvar er nå begrenset til 12.000 kroner dersom kunden har handlet grovt uaktsomt og vil bare være ansvarlig for hele tapet dersom kunden forsettlig har misligholdt sine plikter, herunder å beskytte BankID og passord, slik at kunden måtte forstå at misligholdet kunne innebære en nærliggende fare for misbruk.

Det er dermed i dag en høyere terskel for at bankkunder skal bli erstatningsansvarlige ved misbruk av BankID. Dommen gir derfor lite veiledning for hvordan tilsvarende saker ville bli avgjort etter dagens lovverk, men den understreker betydningen av å beskytte personlige autentiseringsmidler.