Tapahtumatiedot

Asiakkaan työntekijä on tehnyt etäkäyttökanavissa maksutoimeksiannot, joiden mukaisesti asiakkaan pankissa olevalta tililtä on maksettu 2.7.2019 48.750,00 euron ja 4.7.2019 42.500,00 euron suoritukset yksityishenkilölle ulkomaiseen pankkiin. Työntekijä antoi ko. maksutoimeksiannot saatuaan maksuista yhtiön osakkaan nimellä kaksi sähköpostiviestiä, jotka eivät todellisuudessa olleet osakkaan lähettämiä. Asiakas on 4.7.2019 ilmoittanut pankille puhelimitse ns. toimitusjohtajahuijauksesta. Pankki on asiakkaan toimeksiannosta pyytänyt maksujen palautusta ja selvitysten jälkeen ulkomainen pankki on palauttanut ensimmäisestä maksusta asiakkaan tilille 15,48 euroa ja toisesta 40.390,53 euroa palautumatta jääneen määrän ollessa siten 50.834,99 euroa.

Asiakkaan valitus

Asiakas vaatii pankkia korvaamaan asiassa aiheutuneen 50.834,99 euron vahingon. Maksutoimeksiannot huijausviestin johdosta antaneella asiakkaan palveluksessa olevalla henkilöllä on ollut oikeus antaa yhtiön normaaleihin hyväksyttäviin maksuihin perustuvia maksutoimeksiantoja pankille. Henkilöllä ei ole ollut oikeutta antaa ko. maksutoimeksiantoja, koska ne eivät ole millään tavalla liittyneet yhtiön toimintaan. Hänet on rikollisella toiminnalla erehdytetty antamaan ne.

Tiivistettynä kyse on siitä, onko pankki täyttänyt rahanpesulaissa määrätyt velvollisuutensa, kuten velvollisuuden hankkia asiakasta koskevia tietoja, seurata asiakkaan liiketoimia ja keskeyttää epäilyttävä liiketoimi, ja onko em. velvollisuuksien mahdollinen laiminlyönti mahdollistanut ja osaltaan aiheuttanut vahingon syntymisen, ja jos on, onko pankille syntynyt sen vuoksi korvausvelvollisuus asiakasta kohtaan.

Pankki on ollut velvollinen täyttämään lakiin perustuvat velvollisuutensa siitä riippumatta, onko maksutoimeksiannot antanut asiakkaan palveluksessa oleva henkilö toiminut asiassa huolimattomasti. Nämä velvollisuudet tulee täyttää jopa sellaisessa tilanteessa, jossa pankin asiakas tarkoituksellisesti, siis toisin kuin nyt, suorittaa sellaisen liiketoimen, jota on mahdollisesti pidettävä rahanpesulain tarkoittamana epäilyttävänä liiketoimena.

Pankin vastauksen mukaan pankilla ei ole mahdollisuuksia tuntea asiakkaan liiketoimintaa asiakasta paremmin, mistä asiakas on samaa mieltä. Riittävää on se, että pankki tuntee asiakkaan liiketoiminnan siten kuin laissa on määrätty. Rahanpesulain mukaan pankin:
- tulee hankkia tietoja asiakkaansa toiminnasta, tämän liiketoiminnan laadusta ja laajuudesta sekä perusteista palvelun tai tuotteen käyttämiselle,
- on järjestettävä asiakkaan toiminnan laatuun ja laajuuteen, asiakassuhteen pysyvyyteen ja kestoon sekä riskeihin nähden riittävä seuranta  sen varmistamiseksi, että asiakkaan toiminta vastaa sitä kokemusta ja tietoa, joka ilmoitusvelvollisella on asiakkaasta ja tämän toiminnasta.
- on erityisesti kiinnitettävä huomiota liiketoimiin, jotka rakenteeltaan tai suuruudeltaan taikka ilmoitusvelvollisen koon tai toimipaikan osalta poikkeavat tavanomaisesta, jos liiketoimilla ei ole ilmeistä  taloudellista tarkoitusta tai ne eivät sovi yhteen sen kokemuksen tai  tietojen kanssa, jotka ilmoitusvelvollisella on asiakkaasta selvitettävä.
Edellä todetun lisäksi pankin on keskeytettävä liiketoimi lisäselvityksiä varten tai kieltäydyttävä liiketoimesta, jos liiketoimi on epäilyttävä.

Kaikki edellä todetut velvollisuudet ovat siten ehdottomia, että pankilla ei ole harkintavaltaa niiden täyttämisen suhteen. Nämä velvollisuudet ovat olemassa myös riippumatta siitä, mitä asiakkaan ja pankin välisissä sopimuksissa tai muissa pankin toimintaa säätelevissä laeissa on määrätty tai millaisia varoituksia pankki on julkaissut kyseisenlaisiin toimitusjohtajahuijauksiin liittyen.

Maksut ovat kaikilta osin poikenneet asiakkaan tavanomaisesta maksuliikenteestä. Molemmat maksut ovat olleet asiakkaan maksuliikenteessä poikkeuksellisen suuria. Tuon suuruisia maksuja asiakas maksaa ylipäätään ainoastaan Verohallinnolle. Asiakkaan liiketoimissa maksut ulkomaille varsinkin Britanniaan ovat äärimmäisen poikkeuksellisia. Maksuja ulkomaille yksityishenkilölle ei ole tapahtunut lainkaan ennen ko. tapahtumia.  Myös maksujen selitteenä käytetty ilmaisu ”Tarkoitus: Hankkeen hankinta” on ollut poikkeuksellisen epämääräinen ja ylimalkainen.

Pankki ei ole ottanut lainkaan kantaa siihen, onko se ylipäätään tehnyt jotain edellä kuvattujen, lakiin perustuvien velvollisuuksiensa täyttämiseksi. Asiakkaan käsityksen mukaan on selvää, että jos pankki olisi täyttänyt edellä kuvatun tietojen hankkimis- ja selonottovelvollisuutensa, se olisi havainnut, että kyseessä on sisällöltään epäilyttävä liiketoimi, joka pankin tulee keskeyttää. Tällöin myös vahingon syntyminen olisi estynyt. Pankin laiminlyönnillä on siten suora syy-yhteys aiheutuneeseen vahinkoon.

Pankin toiminnassa ei ole kyse sopimukseen perustuvien velvollisuuksien rikkomisesta, vaan kyse on pankin sopimuksen ulkopuolisesta korvausvastuusta, jolloin sovellettavaksi tulevat vahingonkorvauslain yleiset säännökset.

Vahingonkorvauslain (412/1974) 2 luvun 1 §:n 1 momentin mukaan "Joka tahallisesti tai tuottamuksesta aiheuttaa toiselle vahingon, on velvollinen korvaamaan sen, jollei siitä, mitä tässä laissa säädetään, muuta johdu.". Asiassa on kyse pankin tuottamuksesta.

Edelleen Vahingonkorvauslain 5 luvun 1 §:n mukaan "Milloin vahinko on aiheutettu rangaistavaksi säädetyllä teolla tai julkista valtaa käytettäessä taikka milloin muissa tapauksissa on erittäin painavia syitä, käsittää vahingonkorvaus hyvityksen myös sellaisesta taloudellisesta vahingosta, joka ei ole yhteydessä henkilö- tai esinevahinkoon.". Tässä tapauksessa vahingonkorvausvastuun syntymiselle kyseisen lainkohdan perusteella on olemassa erittäin painavia syitä, mikäli katsotaan että pankki on laiminlyönyt edellä todettujen lakiin perustuvien velvollisuuksiensa täyttämisen.

Pankilla ei ole ollut lainkaan harkintavaltaa kyseisten velvollisuuksien täyttämisen suhteen. Rahanpesulain tarkoituksena on mm. tehostaa rikoksen tuottaman hyödyn jäljittämistä ja takaisinsaantia. Ko. laissa asetettujen velvollisuuksien noudattamista valvovat rahanpesulaissa tarkemmin määritellyt eri viranomaiset ja niiden rikkomisesta voi seurata rahamäärältään merkittävän suuruisia hallinnollisia seuraamuksia. Velvollisuuksien sisältö, niiden noudattamisen seuranta ja niiden rikkomisen seuraukset on määritelty poikkeuksellisesti omassa erityslaissaan.

Pankin vastine

Pankki ei voi korvata aiheutunutta vahinkoa. Pankki katsoo, että tilinomistaja on sopimusehtojen nojalla vastuussa toimeksiannossa olevien tietojen oikeellisuudesta.

Perustelut

Euromaksualueella välitettävien euromaksujen voimassa olevat yleiset ehdot annetaan asiakkaalle tiliä ja/tai verkkopalvelua avattaessa. Avattaessa palveluita itsepalvelukanavia käyttäen asiakas ilmoittaa hyväksyneensä ehdot. Pankki viittaa siihen, mitä ehdoissa todetaan maksutoimeksiannon antamisesta ja peruuttamisesta tai muuttamisesta sekä palveluntarjoajan vastuusta maksun toteuttamisesta ja vastuun rajoituksista. 

Maksupalvelulain 38 §:n mukaan maksutapahtumaa pidetään oikeudettomana, jollei maksaja ole antanut siihen suostumustaan sovitulla tavalla. Tässä tapauksessa tilisiirrot on toteutettu tilinkäyttöoikeutetun henkilön toimesta itsepalvelukanavassa, joten oikeudettomista maksutapahtumista ei ole ollut kyse. Tässä tapauksessa kyse on ollut siitä, että laskutus on tapahtunut erehdytystarkoituksessa ilman laskutusperustetta.

Maksupalvelulain 40 § 1 momentissa on edelleen todettu, että maksupalvelun käyttäjä ei voi peruuttaa maksutoimeksiantoa sen jälkeen, kun maksajan palveluntarjoaja on vastaanottanut sen. Saman pykälän 2-4 edellytyksiä maksutapahtumien peruuttamiseksi ei ole tässä tapauksessa ollut käsillä.

Vaatimuksen perusteeksi on esitetty mm. se, että pankilla on voimassaolevan sääntelyn mukaan velvollisuus tuntea asiakas sekä asiakkaan liiketoiminta ja näin ollen pankin olisi pitänyt havaita tehtyjen maksutoimeksiantojen vilpillinen tausta.

Rahanpesulaki (Laki rahanpesun ja terrorismin rahoituksen estämisestä 28.6.2017/444) asettaa pankeille velvollisuuden tuntea asiakkaansa ja tämän liiketoiminta. Sääntelyn tavoite on estää rahanpesua ja terrorismin rahoittamista, edistää tällaisen toiminnan paljastamista ja selvittämistä sekä tehostaa rikoksen tuottaman hyödyn jäljittämistä ja takaisinsaantia. Laki ei ota kantaa asiakkaan ja pankin väliseen vastuunjakoon liittyen asiakkaan tekemiin maksutoimeksiantoihin, eikä se vähennä taikka poista asiakkaan vastuuta antamistaan maksutoimeksiannoista.

Asiakas tuntee oman liiketoimintansa aina pankkia paremmin. Tässä tapauksessa vahingonkorvausvaatimus perustuu väitteelle siitä, että pankin olisi pitänyt havaita liiketoimen poikkeuksellisuus tilanteessa, jossa asiakkaan valtuuttama tilinkäyttöoikeutettu ei ole maksutoimeksiantojen poikkeuksellisuutta havainnut ennen maksutoimeksiantojen tekemistä. Tilinomistaja vastaa antamistaan käyttöoikeuksista, ja käyttöoikeuden haltija vastaa tekemistään maksutoimeksiannoista. Pankilla ei ole mahdollisuuksia tuntea asiakkaan liiketoimintaa asiakasta paremmin.

Tilisiirrot on toteutettu itsepalvelukanavassa asiakkaan antamien tietojen perusteella. Pankki ei ole tiennyt, eikä ole voinut tietää maksun saajan vilpillisyydestä ja pankki on suorittanut maksun yhteydessä kaikki vaadittavat tarkastukset. Asiakkaan yhteydenoton jälkeen pankki on tehnyt voitavansa maksujen palauttamiseksi maksajalle. Pankki on noudattanut laissa säädettyjä velvoitteitaan, eikä vastaa asiakkaaseen kohdistuneen huijauksen aiheuttamasta vahingosta.

Lisäksi pankki toteaa, että rahanpesulain tarkoittaman ilmoitusvelvollisen (eli pankin) asiakkaan joutuminen väärinkäytöksen uhriksi ei tässä tapauksessa ole osoitus sitä, että pankki olisi jättänyt täyttämättä sille rahanpesulaissa asetettuja velvollisuuksia. Kyse on pankin yritysasiakasta kohdanneesta valitettavasta väärinkäytöksestä yritysasiakkaan oman työntekijän käyttäessä yritysasiakkaan maksutiliä etäkanavassa. Pankilla ei ole mahdollisuutta estää kaikkia maksukanavissa tapahtuvia väärinkäytöksiä, etenkään silloin, kun asiakkaan edustaja suorittaa maksuja itsepalvelukanavassa ilman pankin henkilökunnan minkäänlaista myötävaikutusta tai tietoa. Rahanpesulain sisällöstä ei tällaista velvollisuutta tule. Pankki ei ole myöskään sitoutunut sopimuksin tai sopimusehdoissa tällaiseen.

Pankki noudattaa toiminnassaan rahanpesulain asettamia vaatimuksia asiakkaan tuntemiseksi, mutta toteaa, että se ei turvallisuussyistä anna tässä tarkempia tietoja niistä menetelmistä tai keinoista, joita se käyttää rahanpesulain 3 luvussa tarkoitettujen, asiakkaan tuntemiseen liittyvien velvollisuuksiensa täyttämiseen.

Pankin kanssa tehdystä tilisopimuksesta liitteineen johtuen pankki kiistää myös sen, että aiheutunutta vahinkoa pitäisi edes lähtökohtaisesti arvioida sopimuksen ulkopuolisena vahinkona. Ottaen huomioon, että pankki ei ole jättänyt asiassa noudattamatta sille lainsäädännössä asettuja velvollisuuksia, pankki toteaa, että vaikka tapahtunutta päädyttäisiinkin arvioimaan sopimuksen ulkopuolisena vahinkona, edellyttäisi tämä selvitystä myös siitä, mikä on ollut riidanalaiset maksutoimeksiannot antaneen oma tuottamus ja/tai sen aste.

Edellä mainitusta ei ole esitetty mitään selvitystä, vaikka valituksessaan asiakas itse toteaa, että riidanalaiset maksutoimeksiannot eivät ole kuuluneet ne aloittaneen henkilön toimivaltuuksien piirin, koska ne eivät ole millään tavalla liittyneet yhtiön toimintaan. Asiakkaalla on itsellään velvollisuus varmistaa, että sen työntekijät toimivat toimivaltuuksiensa rajoissa. Asiakas vastaa itse työntekijöidensä riittävästä ohjeistamisesta ja kouluttamisesta sekä tarvittavan valvonnan ja kontrollien järjestämisestä, jotta tällaisilta väärinkäytöksiltä vältyttäisiin. Asiakasyritys on itse määritellyt, kenellä on mahdollisuus käyttää sen maksutiliä. Tilinomistajan ja pankin väliseen sopimukseen perustuva tilinkäyttö ei voi lähtökohtaisesti aiheuttaa pankille korvausvelvollisuutta.

Pankin ja viranomaisten toimet asiakkaiden varoittamiseksi

Väärinkäytösten ehkäisemiseksi sekä pankki, viranomaiset että muut tahot ovat aktiivisesti varoittaneet yrityksiä erilaisista huijauksista. Yrityksiä on varoitettu muun muassa seuraavilla tiedotteilla:
5.6.2019 Yrityksiin kohdistuvat petokset ja tietomurrot lisääntyvät erityisesti kesäloma-aikaan — lue miten voit ennaltaehkäistä väärinkäytöksiä
30.1.2019 [pankki].fi: 0ffice 365 -tunnusten kalastelu jatkuu!
29.6.2018 [pankki].fi: Varo huijaria — Office 365 -tunnusten tietojenkalastelua hyödynnetään toimitusjohtaja- ja laskutushuijauksissa
29.8.2017 [pankki].fi: Varoitus toimitusjohtajahuijauksista (CEO Fraud)
29.6.2017 yrittajat.fi: Kesälomakausi on sesonkiaikaa toimitusjohtajahui-jauksissa
16.6.2017 [pankki].fi: Varoitus loma-aikana yrityksiin kohdistuvista huijauksista

Erilaisista huijauksista on tiedotettu myös seuraavilla sivuilla: Traficom-Ajankohtaista-Tietoturvaohjeet, Traficom-Ajankohtaista-Varoitukset, Hui-jausinfo.fi, kyberturvallisuuskeskus.fi -Ajankohtaista -Ohjeet ja oppaat, kkv.fi - Pieniin ja keskisuuriin yrityksiin kohdistuvat huijaukset, Finanssiala -Netti-huijaukset, Kauppalehti -Yrittäjät maksavat huijareille kymmeniä miljoonia vuosittain

Lopuksi

Nyt arvioitavassa tilanteessa pankki ei tiennyt, eikä ole voinut tietää maksun saajan vilpillisyydestä ja pankki on suorittanut maksun yhteydessä kaikki vaadittavat tarkastukset. Maksutoimeksiannot on toteutettu annettujen maksutietojen perusteella.

Vaatimukset pankkia kohtaan ovat kokonaisuudessaan perusteettomia. Mitään syy-yhteyttä pankin toimintaan, tai toimimatta jättämiseen, ei ole. Asiakas vastaa itse omien työntekijöidensä riittävästä ohjeistuksesta ja koulutuksesta.

Edellä esitetyin perustein pankki ei vastaa asiakkaan tekemistä maksuista, eikä ole toimillaan vaikuttanut vahingon syntymiseen tai syntyneen vahingon määrään. Näin ollen pankki ei ole korvausvelvollinen asiakkaan kärsimästä valitettavasta vahingosta.

Selvitykset

Valitusta koskevan osapuolten kirjelmöinnin lisäksi lautakunnalle on toimitettu seuraavat asiakirjat:
- Euromaksualueella välitettävien euromaksujen yleiset ehdot
- Lähtevien ja saapuvien valuuttamaksujen yleiset ehdot

Ratkaisusuositus

Kysymyksenasettelu

Pankkilautakunnan on ratkaisusuosituksen antamista varten ensin ratkaistava, onko aiheutunutta vahinkoa arvioitava asiakkaan ja pankin välisessä suhteessa sopimuksen ulkoisena vahinkona vai sopimussuhteessa tapahtuneena vahinkona. Edelleen Pankkilautakunnan on arvioitava, voidaanko pankin katsoa laiminlyöneen velvollisuuksiaan sopimusperusteisen tai sopimuksen ulkoisen korvausvastuun synnyttävällä tavalla.

Sovellettavat lainkohdat ja sopimusehdot

Maksupalvelulain (290/2010) 1 §:n (Soveltamisala) mukaan
Tässä laissa säädetään maksupalveluja koskevasta tiedonantovelvollisuudesta ja sopimusehdoista sekä maksupalvelujen toteuttamisesta.
Tätä lakia sovelletaan seuraaviin maksupalveluihin:
[…]
2) maksutapahtuman toteuttaminen tilisiirtona, varojen siirtona palveluntarjoajan maksutilille, suoraveloituksena taikka maksukortilla tai muulla maksuvälineellä; […]

Lain 8 §:n (Määritelmät) mukaan
Tässä laissa tarkoitetaan:
[…]
6) tilisiirrolla maksajan maksutilin veloittamista maksajan toimeksiannosta varojen siirtämiseksi maksunsaajan maksutilille; […]

Lain 40 §:n (Maksutoimeksiannon peruuttaminen) mukaan
Maksupalvelun käyttäjä ei voi peruuttaa maksutoimeksiantoa sen jälkeen, kun maksajan palveluntarjoaja on vastaanottanut sen, jollei 2–4 momentista muuta johdu. […]

Lain 41 §:n (Palveluntarjoajan velvollisuus toteuttaa maksutoimeksianto) mukaan
Palveluntarjoaja saa kieltäytyä toteuttamasta maksutoimeksiantoa vain, jos puitesopimuksessa sovitut ehdot maksutoimeksiannon toteuttamiselle eivät täyty tai jos muualla laissa niin säädetään.

Euromaksualueella välitettävien euromaksujen yleisten ehtojen Maksutoimeksiannon antaminen -kohdan mukaan
Maksaja vastaa toimeksiannossa olevien tietojen oikeellisuudesta. Maksajan pankki ei ole velvollinen korjaamaan tai täydentämään toimeksiantoa, ellei toisin ole sovittu. Jos se kuitenkin toimeksiantoa vastaanottaessaan havaitsee siinä virheen, se pyrkii mahdollisuuksien mukaan ilmoittamaan siitä maksajalle. […]

Ehtojen Maksutoimeksiannon peruuttaminen tai muuttaminen -kohdan mukaan
Maksajalla on oikeus peruuttaa toimeksianto viimeistään eräpäivää edeltävänä pankkipäivänä ellei pankki ole muun kuin kuluttaja-asiakkaan kanssa erikseen toisin sopinut.
Maksajana on oikeus tehdä muutoksia maksutoimeksiantoon vain [Pankki]verkkopalveluissa ja Kassanhallintapalvelussa viimeistään eräpäivää edeltävänä pankkipäivänä.
Peruutus on tehtävä viimeistään eräpäivää edeltävänä pankkipäivänä ennen klo 12.00.
Maksajalla ei kuitenkaan ole oikeutta peruuttaa tai muuttaa pankille antamaansa maksutoimeksiantoa sen jälkeen, kun pankki on aloittanut toimeksiannon toteuttamisen, veloittanut maksajan tiliä tai antanut maksun suorittamisesta kuitin.

Ehtojen Maksajan pankin vastuu -kohdan mukaan
Maksajan pankin vastuu maksun toteuttamisesta päättyy, kun maksua koskevat tiedot on toimitettu maksunsaajan pankille ja maksua koskevat varat siirretty maksunsaajan pankin tilille. […]

Ehtojen Maksupalvelun käyttäjän vastuu virheellisistä tiedoista -kohdan mukaan
Maksupalvelun käyttäjällä ei ole oikeutta saada varojen tai palvelumaksujen palautusta taikka korkoa, jos maksu on jäänyt toteuttamatta tai toteutettu virheellisesti hänestä johtuvasta syystä. Maksupalvelun käyttäjänä ei myöskään ole oikeutta saada maksun viivästymisestä korvausta, jos maksu on viivästynyt hänestä johtuvasta syystä.
Maksajan pankki ei vastaa maksun toteuttamisesta, jos maksu on jäänyt toteuttamatta sen takia, että maksaja on antanut pankille virheellisiä tai puutteellisia tietoja.

Asian arviointi

Pankkilautakunta katsoo, että asiakkaan korvausvaatimus koskee asiakkaan ja pankin välisessä sopimussuhteessa asiakkaan antamien maksutoimeksiantojen toteuttamista. Näin ollen tapauksessa on arvioitavana pankin sopimusperusteinen vastuu ja sovellettavaksi tulevat maksupalvelulaki sekä Euromaksualueella välitettävien euromaksujen yleiset ehdot. Edelleen Pankkilautakunta katsoo, että rahanpesulaista ei seuraa pankille reaaliaikaista velvollisuutta estää asiakkaan itse tekemiä maksutapahtumia.

Pankkilautakunta katsoo asiassa olevan riidatonta, että ko. tilisiirrot on toteutettu asiakkaan antamien maksutoimeksiantojen mukaisesti maksupalvelulain ja maksutoimeksiantoon sovellettavien yleisten ehtojen edellyttämällä tavalla. Näin ollen Pankkilautakunta katsoo asiakkaan vaatimukset asiassa perusteettomiksi.

Lopputulos

Pankkilautakunta ei suosita asiassa hyvitystä.

Pankkilautakunta oli yksimielinen.

PANKKILAUTAKUNTA

Puheenjohtaja Sillanpää
Sihteeri Hidén

Jäsenet:
Ahlroth
Aspelund
Atrila
Laine