Palveluntarjoajan palvelu ja lautakunnan toimivalta sekä maksajan suostumus maksutapahtumalle

Asiaselostus  

Kuluttaja (syntynyt vuonna 2007) myi 3.2.2024 farkkujaan palveluntarjoajan sivustolla, kun hän joutui petoksen uhriksi. Ostajaksi tekeytynyt huijari sai kuluttajaa erehdyttämällä hänen korttitietonsa ja niitä hyväksi käyttäen sai kuluttajan vahvistamaan omalla ID-sovelluksellaan kaksi maksua yhteensä 1 403,36 euroa.

Kuluttaja kohdisti vaatimuksensa palveluntarjoajaan ja pankkiin. Asiassa on kyse ensinnäkin siitä, onko lautakunta toimivaltainen käsittelemään asiaa kuluttajan palveluntarjoajaan kohdistaman vaatimuksen osalta. Lisäksi asiassa on kyse kuluttajan ja pankin välisen vastuukysymyksen osalta siitä, onko pankki vastuussa maksutapahtumista, joihin kuluttaja on antanut suostumuksensa.  

Lautakunnan ratkaisu

Kuluttajariitalautakunta ei suosita hyvitystä.

Hakijan vaatimukset perusteluineen

Kuluttaja vaatii, että palveluntarjoaja ja pankki hyvittävät hänelle 1 403,36 euron vahingon.

Kuluttaja on myynyt farkkujaan palveluntarjoajan palvelussa. Kuluttaja on saanut ilmoituksen, että joku on ostanut hänen farkkunsa. Lisäksi kuluttaja on saanut viestin, jossa on ollut linkki nettilomakkeeseen, johon on pyydetty laittamaan tilin ja luottokortin tiedot maksun vastaanottamista varten. Kuluttajan täytettyä lomakkeessa pyydetyt tiedot pankin ID-sovellukseen on tullut ilmoitus tunnistautumisesta ilman rahasummia kahteen kertaan. Kuluttaja on hyväksynyt ilmoitukset. Huijauslinkin luonut huijari on tämän jälkeen veloittanut kuluttajan käyttötililtä korttitietoja hyödyntäen 820,06 euroa ja 583,30 euroa.

Palveluntarjoajan olisi pitänyt tiedottaa asiakkaita siitä, että heidän sivuillaan on huijaustoimintaa. Lisäksi kuluttaja haluaa kiinnittää huomiota siihen, että hän on ollut alle 18-vuotias luodessaan oman tilin palveluntarjoajan palveluun, vaikka sivuston käyttöehdoissa todetaan, että alle 18-vuotiaalla ei voi olla omaa tiliä. Kuluttajan ikää ei ole varmistettu missään vaiheessa, eikä hänen huoltajansa tienneet kuluttajan luomasta tilistä.

Elinkeinonharjoittajan vastaus perusteluineen

Palveluntarjoaja kiistää kuluttajan vaatimuksen.

Kuluttaja on todennäköisesti joutunut tietojenkalasteluhyökkäyksen uhriksi. Palveluntarjoaja ei ole löytänyt yhtään tiliä, joka olisi rekisteröity huijarin tunnukseen. Palveluntarjoaja ei voi tarjota mitään hyvitystä, jos tapahtumaa ei ole tehty käyttämällä Osta nyt -painiketta. Palveluntarjoaja ei ole vastuussa vahingosta.

Palveluntarjoaja viittaa vastauksessaan käyttöehtoihinsa, joiden mukaan vain vähintään 18-vuotiaat rekisteröityneet käyttäjät (tai Pro-käyttäjät, jos kyseinen palvelu on saatavilla käyttäjän maassa) voivat lisätä tuotteita myyntiin ja suorittaa maksutapahtumia sivustolla.

Pankki kiistää kuluttajan vaatimuksen.

Pankin selvityksen mukaan kuluttaja on luultavasti joutunut huijauksen uhriksi, kun hän on ollut myymässä farkkujaan palveluntarjoajan käytettyjen tavaroiden myyntisivustolla. Kuluttaja on saanut huijarin tekemän ostotarjouksen farkuista ja kauppahinnan saadakseen hänet on harhautettu vahvistamaan kaksi maksua huijarille. Kuluttaja on todennäköisesti saatu luulemaan, että vahvistuspyynnöt koskisivat myynnin valtuutusta tai maksun vastaanottamista, vaikka todellisuudessa häneltä on pyydetty ja hän on vahvistanut huijarin kuluttajan korttitiedoilla tekemät kaksi maksua. Kuluttajan kortilla on tehty kaksi korttimaksua, jotka on molemmat vahvistettu kuluttajan ID-sovelluksella:

• 3.2.2024 klo 20:48 ”huijarin tunnus” 586,30 euroa
• 3.2.2024 klo 20:56 ”huijarin tunnus” 820,06 euroa

Kuluttaja on sulkenut korttinsa sulkupalvelussa 3.2.2024 klo 21:08 ja hänen verkkopankkitunnuksensa on suljettu 3.2.2024 klo 21:09.

Pankin järjestelmästä näkyvien lokitietojen mukaisesti kuluttajan ID-sovelluksessa on näkynyt maksuja koskevat vahvistuspyynnöt, jotka on molemmat hyväksytty kuluttajan verkkopankin käyttäjätunnuksella ja ID-sovelluksella. Vahvistusviesteissä on ollut muun muassa seuraavat tiedot: ‟Haluatko suorittaa Visa korttimaksun? Saaja ”huijarin tunnus”. Summa 586,30 euroa.” ‟Haluatko suorittaa Visa korttimaksun? Saaja ”huijarin tunnus”. Summa 820,06 euroa.”

Vahvistusviestien tekstien perusteella kuluttajalle ei ole voinut jäädä epäselväksi, mitä hän on vahvistamassa. Kyseessä olevat maksut eivät täten ole maksupalvelulaissa tarkoitetulla tavalla oikeudettomia eikä pankki ole vastuussa niistä.

Mikäli lautakunta katsoisi maksut oikeudettomiksi, pankki katsoo, että kuluttajalle on tällöinkin muodostunut vastuu maksuista, sillä hän on laiminlyönyt maksupalvelulain mukaisen velvollisuutensa huolehtia maksuvälineistä ja niihin liittyvistä henkilökohtaisista turvatunnuksista luovuttaessaan korttitietonsa tilanteessa, jossa hänen ei ole ollut tarkoitus tehdä kortillaan maksuja. Riidanalaiset maksut on vahvistettu kuluttajan omassa ID-sovelluksessa, jolloin maksuja koskevat tiedot ovat näkyneet ennen vahvistamista ja kuluttajan olisi tullut huomata tiedot ja lukea, mitä on tunnuksillaan vahvistamassa. Kuluttajan huolellisuusvelvoitteen laiminlyönti on tapahtumainkulkua kokonaisarvioinnin perusteella ja vahinkoriskin suuruus huomioiden katsottava maksupalvelulain 62 §:ssä säädetyllä tavalla törkeän huolimattomaksi. Vahinko on syntynyt sen seurauksena, ettei kuluttaja ole tarkistanut pankin ID-sovelluksessa näkyneitä vahvistusviestejä ennen kuin hän on vahvistanut maksut.

Ratkaisun perustelut

Lautakunnan toimivalta palveluntarjoajaa koskien

Asiassa on ensinnäkin arvioitava, onko lautakunta toimivaltainen käsittelemään asian kuluttajan ja palveluntarjoajan välisen riita-asian osalta. Kuluttajariitalautakunta käsittelee kuluttajien ja elinkeinonharjoittajien välisiä erimielisyyksiä sekä asuntokauppoihin, huoneenvuokrasuhteisiin ja asumisoikeuden luovutukseen liittyviä riitoja. (Laki kuluttajariitalautakunnasta 2 §)

Kuluttajansuojalaki koskee kulutushyödykkeiden tarjontaa, myyntiä ja muuta markkinointia elinkeinonharjoittajilta kuluttajille. Lakia sovelletaan myös, kun elinkeinonharjoittaja välittää hyödykkeitä kuluttajille. Kuluttajana pidetään luonnollista henkilöä (ihmistä), joka hankkii kulutushyödykkeen pääasiassa muuhun tarkoitukseen kuin harjoittamaansa elinkeinotoimintaa varten. Elinkeinonharjoittajalla tarkoitetaan kuluttajansuojalaissa luonnollista henkilöä taikka yksityistä tai julkista oikeushenkilöä, joka tuloa tai muuta taloudellista hyötyä saadakseen ammattimaisesti pitää kaupan, myy tai muutoin tarjoaa kulutushyödykkeitä vastiketta vastaan hankittaviksi. (Kuluttajansuojalaki 1 luku 1 §, 4 § ja 5 §).

Lautakunta on aikaisemmassa ratkaisukäytännössään esimerkiksi asioissa D/2492/39/2022 (annettu 27.6.2022) ja D/6456/30/2025 (annettu 1.12.2025) katsonut vastaavanlaista Tori.fi-palvelua koskevissa asioissa, että yksityishenkilön myydessä tuotetta toiselle yksityiselle henkilölle kyseessä ei ole elinkeinonharjoittajan ja kuluttajan välinen kulutushyödykettä koskeva riita-asia, jossa kuluttaja olisi vastikkeellisesti hankkinut kulutushyödykkeen elinkeinonharjoittajalta. Erilaisten digitaalisten palveluiden lisääntyessä lautakunta pitää tarpeellisena arvioida vanhaa toimivaltalinjaustaan uudestaan.

Tulkittaessa kuluttajariitalautakunnasta annettua lakia on syytä huomioida, että sillä on osaltaan pantu täytäntöön kuluttajariitojen vaihtoehtoisesta riidanratkaisusta annettu Euroopan parlamentin ja neuvoston direktiivi 2013/11 (ADR-direktiivi). ADR-direktiivin 2 artiklan 1 kohdan mukaan direktiiviä sovelletaan riidanratkaisumenettelyihin, jotka koskevat unioniin sijoittautuneen elinkeinonharjoittajan ja unionissa asuvan kuluttajan välisistä kauppa- tai palvelusopimuksista johtuvia velvoitteita. Direktiivissä itsessään ei ole palvelusopimuksen määritelmää, vaan palvelun käsite tulee Euroopan unionin toiminnasta tehdyn sopimuksen 57 artiklasta, jonka mukaan tässä sopimuksessa palveluilla tarkoitetaan suorituksia, joista tavallisesti maksetaan korvaus ja joita määräykset tavaroiden, pääomien tai henkilöiden vapaasta liikkuvuudesta eivät koske.

Palveluista sisämarkkinoilla annetun Euroopan parlamentin ja neuvoston direktiivin 2006/123/EY (palveludirektiivi) täytäntöönpanemiseksi annetussa hallituksen esityksessä todetaan asiasta seuraavaa (HE 216/2009 vp, 55): Korvauksen olennainen piirre on se, että se on kyseisen palvelusuorituksen taloudellinen vastike. Palvelun tavanomainen vastikkeellisuus viittaa siihen, että kyseisellä palvelulla on taloudellista merkitystä ja että palvelun tarjoaminen liittyy elinkeinotoimintaan. Palvelun ei sen sijaan tarvitse välttämättä olla vastaanottajalleen vastikkeellinen kuuluakseen lain soveltamisalan piiriin. Erityisesti internetissä on lukuisia palveluja, esimerkiksi haku- ja tietopalveluja, jotka rahoitetaan mainostuloilla ja jotka ovat vastaanottajille maksuttomia.

Lautakunnan arvion mukaan palveluntarjoajaa voidaan pitää digitaalisena palveluna ja kansainvälisenä verkon markkinapaikka-alustana (sovellus ja verkkosivu), joka on erikoistunut käytettyjen vaatteiden ja asusteiden myynnin ja ostamisen välittämiseen. Se toimii välittäjänä yksityishenkilöiden välillä ja tarjoaa mm. kaupankäyntiä varten integroidun maksujärjestelmän.

Euroopan unionissa on lisäksi annettu Euroopan parlamentin ja neuvoston direktiivi tietyistä digitaalisen sisällön ja digitaalisten palvelujen toimittamista koskeviin sopimuksiin liittyvistä seikoista (EU) 2019/770 (digisopimusdirektiivi), joka on pantu täytäntöön lisäämällä kuluttajansuojalakiin uusi 5 a luku. Ko. luvun 1 §:n mukaan luvussa säädetään sopimuksista, joiden nojalla elinkeinonharjoittaja toimittaa tai sitoutuu toimittamaan kuluttajalle digitaalista sisältöä tai digitaalisen palvelun ja kuluttaja maksaa tai sitoutuu maksamaan kauppahinnan tai kuluttaja luovuttaa tai sitoutuu luovuttamaan elinkeinonharjoittajalle henkilötietoja, paitsi jos elinkeinonharjoittaja käsittelee kuluttajan luovuttamia henkilötietoja yksinomaan digitaalisen sisällön tai digitaalisen palvelun toimittamiseksi tässä luvussa säädetyn mukaisesti tai täyttääkseen itseään koskevat lakisääteiset vaatimukset.

Digisopimusdirektiivin kansallista täytäntöönpanoa koskevassa hallituksen esityksessä on todettu, että digitaalisella palvelulla tarkoitettaisiin palvelua, jonka avulla kuluttaja voi luoda, käsitellä, tallentaa tai käyttää digitaalisessa muodossa olevaa dataa tai joka mahdollistaa kuluttajan tai palvelun muiden käyttäjien lataaman tai luoman digitaalisessa muodossa olevan datan jakamisen tai muun vuorovaikutuksen sen kanssa. Esimerkkinä voidaan mainita videoiden ja äänitallenteiden jakaminen ja muu verkkoon tallentaminen, pilvipalveluympäristössä tarjolla olevat pelit ja tekstinkäsittelymahdollisuudet sekä sosiaalinen media (direktiivin johdanto-osan 19 kappale). (HE 180/2021 vp, s. 65)

Direktiivin johdanto-osassa taikka kansallisissa esitöissä ei ole suoraan todettu, että palveluntarjoajan kaltainen verkon markkinapaikka-alusta olisi digisopimusdirektiivissä tarkoitettu digitaalinen palvelu. Kuluttajariitalautakunta ei kuitenkaan pidä tällaista tulkintaa poissuljettuna. Kuluttajansuojalain 5 a luvun sääntely kuitenkin osoittaa selkeästi, ettei palvelusta tarvitse välttämättä maksaa rahalla, jotta palvelu kuuluisi kuluttajansuojalain piiriin.  

Kaikki edellä kerrottu huomioiden lautakunta katsoo, että se on toimivaltainen käsittelemään palveluntarjoajan ja kuluttajan välisen riita-asian, vaikka kyseessä on kahden yksityisen henkilön välinen kauppa eikä palveluntarjoaja peri erillistä maksua asiakkailtaan.

Kuluttajan ja palveluntarjoajan välisen vastuusuhteen arviointi

Kuluttajan mukaan palveluntarjoaja ei ole toiminut ammattimaisesti ja huolellisesti, koska se ei ole tiedottanut asiakkaitaan huijaustapauksista, ja se on sallinut alle 18-vuotiaan kuluttajan luoda palveluun oman tilin, jonka käyttö on myöhemmin johtanut rahojen menetykseen. Palveluntarjoaja on kiistänyt olevansa vastuussa siitä, että kuluttaja on joutunut tietojenkalasteluhyökkäyksen uhriksi. Toisaalta palveluntarjoaja on myöntänyt, että vain vähintään 18-vuotiaat rekisteröityneet käyttäjät voivat lisätä tuotteita myyntiin ja suorittaa maksutapahtumia sivustolla.

Lautakunta toteaa, että palveluntarjoaja ei ole osoittanut eikä edes väittänyt tiedottaneensa asiakkaitaan sivustolla tapahtuvista huijausyrityksistä. Tätä ei voida kuitenkaan pitää hyvitykseen oikeuttavana virheenä.

Asiassa on riidatonta, että kuluttaja on ollut tapahtumahetkellä 16-vuotias ja hän on tehnyt tilin palveluntarjoajan palveluun, vaikka sopimusehtojen mukaan tilin saa luoda vain vähintään 18-vuotiaat. Kuluttajalla on ollut oma pankkitili ja pankkikortti, ja hän on sopimusehdoista huolimatta tehnyt ikäänsä nähden tavanomaisen oikeustoimen. Kun lisäksi otetaan huomioon, ettei ikää koskevaa velvoittavaa lainsäädäntöä ole, lautakunta katsoo, ettei palveluntarjoaja ole vastuussa kuluttajan itsensä vahvistamista maksuista.

Lopuksi lautakunta arvioi, onko palveluntarjoajaa pidettävä nyt käsiteltävänä olevassa asiassa kuluttajansuojalain 12 luvun 1 §:ssä tarkoitettuna välittäjänä. Kyseisen lainkohdan mukaan elinkeinonharjoittaja, joka välittää kulutushyödykettä koskevan sopimuksen hyödykkeen tarjoajan lukuun, vastaa hyödykkeen hankkivalle kuluttajalle sopimuksen täyttämisestä 5, 5 a ja 8 luvun mukaisesti. Lautakunta toteaa, että tässä tapauksessa ei ole kyse edellä yksilöityjen lukujen perusteella arvioitavasta tapahtumasta.

Kuluttajan ja pankin välisen vastuusuhteen arviointi

Maksupalvelulain 38 §:n mukaan maksutapahtuma saadaan toteuttaa vain maksajan suostumuksella. Maksutapahtumaa pidetään oikeudettomana, jollei maksaja ole antanut siihen suostumustaan sovitulla tavalla.

Asiassa on riidatonta, että kuluttaja on saanut huijarilta viestin, jossa on ollut linkki lomakkeeseen, jonne kuluttaja on kertonut kirjoittaneensa tili- ja korttitietonsa. Kuluttaja on luullut, että kyseisiä tietoja tarvitaan muun muassa maksun vastaanottamiseksi. Asiassa on lisäksi riidatonta, että kuluttaja on saanut kaksi maksun vahvistuspyyntöä omaan ID-sovellukseensa. Kuluttajan mukaan tässä vaiheessa on näkynyt maksun saaja, mutta ei summaa.

Pankki puolestaan toteaa, että sen järjestelmästä saatavien lokitietojen mukaisesti kuluttajan ID-sovelluksessa on näkynyt maksuja koskevat vahvistuspyynnöt, jotka on molemmat hyväksytty kuluttajan verkkopankin käyttäjätunnuksella ja ID-sovelluksella. Vahvistusviesteissä on ollut muun muassa seuraavat tiedot: 

‟Haluatko suorittaa Visa korttimaksun? Saaja ”huijarin tunnus”. Summa 586,30 euroa.”

‟Haluatko suorittaa Visa korttimaksun? Saaja ”huijarin tunnus”. Summa 820,06 euroa.”

Lautakunnalla ei ole aihetta epäillä pankin asiassa antamaa selvitystä. Vahvistusviestien tekstien perusteella kuluttajalle ei ole voinut jäädä epäselväksi, mitä hän on vahvistamassa. Lautakunta on ratkaisukäytännössään vakiintuneesti katsonut, että tapauksissa, joissa rikoksen uhri on huijattuna tullut itse hyväksyneeksi riidanalaiset maksut esimerkiksi omassa puhelimessaan olevalla pankin mobiilisovelluksella ja sovelluksessa on ennen vahvistuksen antamista näkynyt vahvistettavan maksun tiedot, ei pankkia ole suositettu hyvittämään asiassa aiheutunutta vahinkoa kuluttajalle. Näissä tapauksissa on katsottu, että vaikka kuluttaja on antanut maksujen vahvistukset rikollisten harhaan johtamana, on hän kuitenkin itse antanut maksuille maksupalvelulain 38 §:ssä tarkoitetun suostumuksensa, eivätkä kyseessä olevat maksutapahtumat tällöin ole maksupalvelulaissa tarkoitetulla tavalla oikeudettomia. Mainituin perustein pankki ei ole vastuussa maksuista, eikä lautakunta suosita asiassa hyvitystä.

Päätös oli yksimielinen.